Авторизация в NT домене через NAT

[Mg0]

Вот такая история.
Есть NT домен. Основной и бэкап контроллеры сидят в сетке 172.16.1.х
В этой же сетке сидит W2K сервер с 2-мя сетевыми картами. На второй карте висит сетка 172.16.2.х (десяток компов под W98). Включен NAT (это жесткая необходимость). При этом при попытке залогироваться с любого из этих 98-х компов юзера получают сообщение: "Пароль не опознан ни одним сервером домена. Некоторые сетевые ресурсы могут оказаться недоступны" -> "ОК" -- "Отмена" .. Если нажать "ОК", то авторизация, видимо, как-то происходит, потому что доступ ко всем ресурсам, находящимся в сети 172.16.1.х происходит в соответствии с разрешениями, установленными в домене. Можно было бы и не париться, т.к. все работает, но во 1-х, достает само это сообщение и во 2-х, если ввести неправильный пароль, то W98 юзера пускают, юзер начинает работать, а потом сетевой принтер недоступен, сетевые диски отвалены и т.п.
Хотелось бы, чтобы авторизация происходила при входе в сеть, т.е. если уж юзер залогировался, то все без проблем; ввел неправильный пароль -- сразу это видел. Есть идеи?

[AcidSly]

А W2k у тебя контролер домена?
попробуй поставить на 98 AD клиента, как вариант

[ShooTer]

1.Все апдейт установелны?
2.Машины занесены в АД?

Рекомендую поставит WINS для работы с WIN98.

[Mg0]

2AcidSly
Да нет, W2K у меня просто сервер, а первичный и бэкап-контроллеры сидят под NT4.0+SP6. (Просто машины старые, по 128 Мб памяти, но там крутые рэйды и влом все переносить).
А кто такой AD клиент?
2ShooTer
WINS сервер есть, кстати, живет на той самом W2K сервере-шлюзе
Для W2K все апдейты есть, для W98SE -- только обновления безопасности.

[ShooTer]

Секунду.
По какому принципу тебя построены политки безопасности? И какую роль выполняет W2K сервер?

[Mg0]

2ShooTer
Политики безопасности -- "по умолчанию", т.е. вся безопасность управляется NT доменом. W2K сервер -- просто член домена. На нем живет WINS-сервер для обеих сеток (172.16.1.х и 172.16.2.х), Citrix MetaFrame (раздает народу Office-2000) и кое-какие общие каталоги, ну и ессно, он является роутером между сетками 172.16.1.х и 172.16.2.х. Адреса из 2-й сетки спрятаны от 1-й сетки через NAT.
ActiveDirectory не разворачивалась, т.е. вся безопасность из NT, причем оба NT-контроллера (PDC и BDC) находятся в 1-й сети, а клиенты, у которых траблы с авторизацией -- во 2-й. Ессно, все юзеры заведены в NT домене.