Thema DC - Fortsetzung, Troubleshooting

[kosta88 2]

Von der Reverse Lookup Zone. Ich muss sie bei uns erstellen. Ist aber egal, die wird repliziert, jedoch offensichtlich nicht sofort. Aus welchen Grund auch immer.

[lefg 276]

Dann ist ja alles gut. Du kommst voran. :)

bearbeitet 14. Mai 2017 von lefg

[kosta88 2]

Genau. Ich melde mich dann noch mit dem Thema DHCP...

 

Aber eins: ich muss mich einfach nur herzlichst bedanken. Kann mich noch auf meine ersten Posts erinnern, vor ca. 3 Jahren. Was ein Konto und was ein Profil ist war so ne Sache, aber was eine Domäne, AD, DNS, FQDN, UNC, und noch vieles mehr, das waren ja noch Fremdbegriffe. Mal davon was gehört, aber die Bedeutung war vollkommen unklar. Angefangen mit viel Wikipedia, dann viel lesen (googeln), aufschreiben, skizzieren, lernen, probieren, div. Lernvideos, Bücher zu WinServer... und dann auch noch hier die tolle Unterstützung haben mich weit gebracht. Echt toll!!!

[lefg 276]

Dann mal eine Gute Nacht.

[kosta88 2]

Also, ein wenig Fortschritt. Oder ob wirklich Fortschritt...

 

Nachdem ich gesehen habe dass die Replikation lokal funkt, die lokalen DCs stabil sind, war heute soweit den RZ-DC hochzustufen.

Jedoch um die Daten ins RZ zu übertragen, war wohl das einfachste die Replikation zum laufen zu bringen - ja ja, Replikation über NAT...

 

Hochstufen ging OK. Ich weiß ehrlich gesagt nicht mehr ob ich etwas speziell konfiguriert habe, damit es funktioniert, aber gleich danach wollte ich natürlich sehen ob die Replikation funktioniert. Nein. Probleme, beim Öffnen von ADUC Fehlermeldung, bei manueller NTDS Replikation in AD Standorte und Dienste kam zu RPC-Fehlern usw.

 

Nun Troubleshooting: mal sehen wer wem sehen oder nicht sehen kann. Egal was ich versucht habe, die Replikation lief in Fehlermeldungen - auch mit dem Registry-Eintrag. Ich habe mich zu dem Zeitpunkt entschieden den Kollegen in RZ zu erreichen. Denjenigen der die Sache vor 2 Monaten bei uns angefangen hat zu konfigurieren.

 

Üblich ist es ja so - beim "dcpromo" bekommt der DC als DNS in Netzwerk-Einstellungen sich selbst (üblicherweise 127.0.0.1) eingetragen. Zuerst muss DNS vom anderen DC eingetragen werden, damit domain-join funktioniert, jedoch wenn man dann den DC hochstuft, wird er als DNS "eigenständig", und braucht ja normalerweise nicht andere DNS. Die Replikation muss natürlich stattfinden, die DCs müssen sich ja sehen.

 

Und da genau begann mein Problem.

Ich habe versucht das Thema mit dem Registry-Eintrag. Kein Erfolg, oder ich habe was falsch gemacht...

Habe versucht mittels zusätzlichen A-Records auf dem RZ-DNS...

2 IPs für einen Namenserver (original + genatet)...

Und was weiß ich noch was.

Nichts brachte Erfolg. Mag sein auch dass ich etwas nicht korrekt gemacht habe, wie zB. die fehlenden CNAME Einträge für den RZ-DC in _msdcs Zone (später) eingetragen.

 

Bis mich der Kollege angerufen hat und meinte:

- ich soll ein A-Record im DNS des RZ-DC für die genatete IP des lokalen DCs erstellen (also genau gesagt S02 = 10.241.56.131)

- ich soll doch den lokalen DC (also 10.241.56.131) als DNS für den RZ-DC eintragen

 

Replikation läuft durch.

 

Da kam ich mir da ein wenig doof vor. Berechtigt?

Warum soll RZ-DC-DNS den lokalen DNS zum auflösen verwenden...??? Er muss ja doch selbst auflösen können, oder!!??

Was passiert wenn die alle gemeinsam laufen, und lokale DC ausfällt?

 

Und das beste: aus irgendeinem Grund verschwindet das erstellte A-Record immer wieder, und trotzdem funktioniert die Auflösung (was auch logisch ist, nachdem 10.241.56.131 primärer DNS ist)

 

Was passiert, sollte ich dann am Ende die lokalen DCs entfernen, habe ich weiterhin ein Problem, da ich dann die DCs hinterm NAT habe, die Clients vorm NAT bedienen müssen. Bin ich der einzige der hier auch Probleme sieht?

 

Recht interessant das ganze, aber gleichzeitig auch sehr ermüdend.

bearbeitet 17. Mai 2017 von kosta88

[NilsK 2.781]

Moin,

 

ich vermute, dass das NAT zu dem Problem beiträgt. Das ist eine Konfiguration, die man lieber meidet.

 

Zu den verschwindenden DNS-Einträgen: Ist das Windows Server 2008 R2? Dann hilft möglicherweise ein Hotfix. In 2008 R2 und Windows 7 gibt es einen Fehler, der nach IP-Konfigurationsänderungen die DNS-Records löscht.

 

Gruß, Nils

[kosta88 2]

Ich weiß dass man sie lieber meiden soll. Jedoch weiß ich noch nicht ob ich sie meiden kann - wird noch besprochen.

Derzeit wäre es gut zu versuchen, auch wenn nicht langfristig, die Sache zum laufen zu bringen.

Jedoch würde ich das gerne so lösen, ohne auf dem RZ-DC DNS vom lokalen DC eintragen zu müssen und ohne host-datei Einträgen. Die DCs müssen eigentlich selbstständig arbeiten können, wenn ich es richtig verstehe.

Lässt sich das machen?

 

Ich denke schon dass es machbar ist, jedoch verstehe ich noch nicht ganz das Thema msdcs und alle Einträge richtig, wie sie korrelieren und welche repliziert werden. Ich bin derzeit stark beim lesen über Replikation und DNS, damit ich es einfach besser verstehen kann.

Was ich jetzt weiß:

RZ-DC muss domain.local anpingen können und die Antwort durch die genatete IP des lokalen DCs bekommen (na eh klar).

Man muss den lokalen DC anpingen können (erschließt sich aus dem oberen Satz).

Man muss den RZ-DC auflösen und erreichen können (geht eh immer).

 

Hier sehe ich ein Zusammenhang zwischen diversen DNS Einträgen als notwendig, und vom Sinn her, dürfte es eh funktionieren, vor allem wenn man auf dem lokalen DC den Registry-Eintrag für mehrere IPs setzt (damit bekennt sich DC als ansprechbar mit sowohl lokaler als auch genateten IP).

 

Und nein, handelt sich um 2012R2.

 

Und wie sieht es mit einer Konfiguration aus, wenn ich lokal keinen DC mehr habe? Dann werden nur die Clients genatet, DC würde nur im RZ stehen. Gibt's da Probleme?

bearbeitet 18. Mai 2017 von kosta88

[magheinz 100]

Ich weiß dass man sie lieber meiden soll. Jedoch weiß ich noch nicht ob ich sie meiden kann - wird noch besprochen.

Warum fragst du dann?

 

 

Ich denke schon dass es machbar ist, jedoch verstehe ich noch nicht ganz das Thema msdcs und alle Einträge richtig, wie sie korrelieren und welche repliziert werden. Ich bin derzeit stark beim lesen über Replikation und DNS, damit ich es einfach besser verstehen kann.

Was ich jetzt weiß:

RZ-DC muss domain.local anpingen können und die Antwort durch die genatete IP des lokalen DCs bekommen (na eh klar).

Man muss den lokalen DC anpingen können (erschließt sich aus dem oberen Satz).

Man muss den RZ-DC auflösen und erreichen können (geht eh immer).

Wieso macht man eigentlich ein so komplexes Projekt wenn man keine Ahnung hat.

Sorry, aber wer "verstehe ich noch nicht ganz das Thema msdcs" schreibt muss das ganze doch nicht auch noch ein einem offensichtlich ziemlich komplexen Netzwerk bauen. Und dann noch in der Registry des DCs rumpfuschen...

 

Mach doch erst mal deine Besprechung von oben, mit etwas Glück ist danach alles nur noch halb so komplex.

Danach baust du das ganze mal in einem kleinen Netwzerk auf.

Dann packst du einen Server in ein anderes netz und routest dazwischen

Dann baust du NAT dazu

usw.

 

Wenn du dann verstanden hast was wie zusammen spielt, dann baust du das in echt.

bearbeitet 18. Mai 2017 von magheinz

[lefg 276]

Und wie sieht es mit einer Konfiguration aus, wenn ich lokal keinen DC mehr habe? Dann werden nur die Clients genatet, DC würde nur im RZ stehen. Gibt's da Probleme?

 

An einem Client richte den oder einen weiteren DNS-Eintrag mit Zeiger auf den RZDC, dann ipconfig/registerdns ausführen an der Eingabeaufforderung. Nach einiger Zeit oder auch sofort sollte der A-Record in der FLZ des DNS erscheinen.

[kosta88 2]

Dachte ich mir dass das reicht. Besten Dank für die Info, lefg.

[lefg 276]

Ich bin mir aber nicht im Klaren über den Zustand deiner Domäne,

 

ob sie funktionsfähig, oder

 

was funktioniert nicht?

 

 

Gibt es Fehlermeldungen in den Ereignisanzeigen der DCs?

 

Stellen die Ergebnisse von dcdiag zufrieden?

 

Wird das AD, Änderungen dessen repliziert von einem DC im LAN zum DC im RZ und auch umgekehrt?

 

Sind die DNS der DC tatsächlich AD-integrierte?

bearbeitet 18. Mai 2017 von lefg

[kosta88 2]

Okay, also... habe jetzt folgende Einstellung im RZ:

1.DNS: 10.241.56.131 (S02 genatet)

2.DNS: localhost

3.DNS: voraussichtlich RZ-DNS (RZ-eigen)

Keine sonstigen Einstellungen, Registry-Einträge oder DNS-Einträge.

Es funktioniert.

 

Es irritiert mich allerdings dass ich ZWINGEND den S02 als 1.DNS in RZ-DC Netzwerkeinstellungen eintragen muss. Wenn ich ihm als 2.DNS eintrage, geht schon nichts mehr: ping an domain.local geht nicht mehr, Replikation scheitert usw. Und das sollte eben nicht sein.

Gibt es Fehlermeldungen in den Ereignisanzeigen der DCs?

Ich muss es länger in jetziger Konfiguration laufen lassen um Fehler via eventvwr verlässlich ansehen zu können. Bisher gab es einige ja, aber es wurde auch permanent umgestellt.

 

Stellen die Ergebnisse von dcdiag zufrieden?

Das einzige was jetzt noch aufschlägt (Test auf dem RZ-DC ausgeführt):

 

Wird das AD, Änderungen dessen repliziert von einem DC im LAN zum DC im RZ und auch umgekehrt?

Scheint so. Auch AD Replication Status Tool meldet keine Fehler (es werden auch alle 3 Server getestet).

 

Sind die DNS der DC tatsächlich AD-integrierte?

Ja, schon. _msdcs Subdomäne ist vorhanden, wird delegiert an die parent zone, und sowohl bei der _msdcs wie auch bei der domain.local Domäne ist das Häkchen gestzt (bzw. wird auch in FLZ und RLZ als Typ angezeigt).

[NilsK 2.781]

Moin,

 

ich gehe weiter davon aus, dass das NAT das Problem ist.

 

Gruß, Nils

[kosta88 2]

2 Stunden später: keine Fehler mehr in dcdiag /q. Auf keinem der 3 Server.

 

Konfiguration in RZ-DC:

1.DNS: 10.241.56.131 (lokal DC)

2.DNS: 10.225.159.1 (RZ-DC)

 

Die lokalen DCs haben DNS sich selbst und nichts anderes.

bearbeitet 18. Mai 2017 von kosta88

[lefg 276]

Nun, 3xdcdiag positiv, dass ist sehr schön.

 

Und die Replikation des AD, Änderen funktionieren auch? Ja? Sehr schön

 

Wie schaut es aus mit aktuellen Fehlereinträgen in den Ereignisanzeigen?

 

Wurde schon versuchsweise ein Client auf den DNS des zukünfigen DC der Domäne ausgerichtet? Ich nehme doch an, die Clients sollen den DNS des DC abfragen?

bearbeitet 18. Mai 2017 von lefg