BaSe

Man schiebt das Computerkonto des DHCP-Servers in die Gruppe DnsUpdateProxy und keinen Benutzer. Man erstellt einen Benutzer für die Registrierung im DNS, damit man eben keinen Computer in diese Gruppe schieben muss.

Welche Einstellung hat der DHCP-Server bezüglich der DNS-Updates (registriert er alles auf Anforderung oder nur PTR) ?

Das hat aber alles nur etwas mit der dynamischen DNS-Registrierung zu tun, nichts mit der Adressvergabe an sich.

Ich würde den Vorgang mal sniffen ...

Dann hab ich mich wohl verlesen, ich hab ja einen Benutzer für die Anmeldeinformationen für dyn. DNS-Updates erstellt und hatte diesen in die oben genannten Gruppe eingefügt, habs geändert und dem Benutzer Domänen-Admin rechte gegeben.

Angegeben ist

-DNS-A und PRT Einträge immer dyn. aktualisieren

- A- und PTR-Einträge beim löschen des Lease verwerfen

- DNS-A und PTR-Einträge für DHCP Clients, die keine Updates anfordern...

Bleibt mir wohl nichts übrig als den Verkehr mitzusniffen, mal sehen ob ich daraus eine Erkenntnis gewinne...

Hab schon wieder die nächsten Ereignisse:

Log:

15,11/25/08,09:09:53,NACK,131.107.0.118,D5FKG32J.test.de,001422D22752,

15,11/25/08,09:09:53,NACK,131.107.0.118,D5FKG32J.test.de,001422D22752,

32,11/25/08,09:09:53,DNS-Aktualisierung erfolgreich,131.107.0.118,D5FKG32J.test.de,,

10,11/25/08,09:09:54,Zuweisen,131.107.0.118,D5FKG32J.test.de,001422D22752,

32,11/25/08,09:09:54,DNS-Aktualisierung erfolgreich,131.107.0.118,D5FKG32J.test.de,,

32,11/25/08,09:09:54,DNS-Aktualisierung erfolgreich,131.107.0.118,D5FKG32J.test.de,,

13,11/25/08,10:39:29,Konflikt,131.107.0.118,BAD_ADDRESS,,

11,11/25/08,08:35:59,Erneuern,131.107.0.184,DC3BTZ1J.test.de,001422C82A9D,

32,11/25/08,08:35:59,DNS-Aktualisierung erfolgreich,131.107.0.184,DC3BTZ1J.test.de,,

15,11/25/08,08:36:06,NACK,131.107.0.184,DC3BTZ1J.test.de,001422C82A9D,

10,11/25/08,08:36:07,Zuweisen,131.107.0.184,DC3BTZ1J.test.de,001422C82A9D,

32,11/25/08,08:36:07,DNS-Aktualisierung erfolgreich,131.107.0.184,DC3BTZ1J.test.de,,

13,11/25/08,10:39:29,Konflikt,131.107.0.184,BAD_ADDRESS,,

Und dann das gleiche Bild bei diesem

13,11/25/08,10:39:29,Konflikt,131.107.0.228,BAD_ADDRESS,,

Über ein ipconfig /renew auf dem BAD_Addres IP Client kann ich die Fehlermeldung im DHCP beseitigen, aber wie kommt das zustande? Vor allem was sind das für seltsame MAC Adressen?

Hast Du mehr als einen DHCP-Server ? Hat der DHCP-Server mehr als eine Netzwerkkarte ?

Haben die Clients mehr als eine Karte ? Ist auf dem DHCP-Server die Konflikterkennung an ? Hast Du den DHCP-Bereich/die DHCP-Datenbank schon mal abgestimmt ? Wie werden die IPs im DNS registriert, der DHCP-Server A und PTR, der Client A und PTR, der Client A und der DHCP-Server PTR ? Mit welchem Benutzerkonten registriert der DHCP-Server in den (Active Directory integrierten, nur sicheren ?) Zonen ?

- Ich habe für alle Subnets einen DHCP, er hat auch nur eine IP Adr.

- Die Clients haben alle nur eine Netzwerkkarte

- Konflikterkennung war aus, hab ich jetzt aber eingeschaltet.

- DHCP Datenbank ist abgestimmt.

- Die IP´s werden im DNS registriert, es gab nur Probleme mit alten PTR´s die habe ich aber inzwischen gelöscht.

- DHCP Server ist im DNS drin(ist auch der GC im AD)

- Ich hab ein Benutzerkonto erstellt und dem Benutzer in die Gruppe DNSUpdateProxy geschoben, den Benutzer dann am DHCP eingetragen.

Was meinst du mit "der Client A und der DHCP-Server PTR"?

Hallo,

ich habe seit einigen Tagen Problem mit der Vergabe von IP´s per DHCP.

In den letzten Tagen häufen sich die Meldungen von BAD ADRESSES und IP Konflikte im Netzwerk.

Im DHCP steht folgendes:

131.107.0.132 BAD_ADDRESS Leaseablauf:25.11.2008 Kennung 84006b83

(Diese IP wird bereits verwendet).

Im DHCP Log steht folgendes:

15,11/25/08,06:35:46,NACK,131.107.0.132,SID003467.test.de,000E8C802F58,

15,11/25/08,06:35:46,NACK,131.107.0.132,SID003467.test.de,000E8C802F58,

15,11/25/08,06:35:46,NACK,131.107.0.132,,000E8C802F58,

31,11/25/08,06:35:46,DNS-Aktualisierung fehlgeschlagen,131.107.0.132,SID003467.test.de,-1,

10,11/25/08,06:35:47,Zuweisen,131.107.0.132,SID003467.test.de,000E8C802F58,

32,11/25/08,06:35:47,DNS-Aktualisierung erfolgreich,131.107.0.132,SID003467.test.de,,

31,11/25/08,06:35:47,DNS-Aktualisierung fehlgeschlagen,131.107.0.132,SID003467.test.de,-1, 31,11/25/08,06:47:00,DNS-Aktualisierung fehlgeschlagen,131.107.0.132,SID003467.test.de,-1,

31,11/25/08,07:47:06,DNS-Aktualisierung fehlgeschlagen,131.107.0.132,SID003467.test.de,-1,

15,11/25/08,07:54:53,NACK,131.107.0.132,,0015C50913B2,

31,11/25/08,07:54:53,DNS-Aktualisierung fehlgeschlagen,131.107.0.132,SID003467.test.de,-1,

10,11/25/08,07:54:53,Zuweisen,131.107.0.132,DJCJS82J.test.de,0015C50913B2,

13,11/25/08,07:54:53,Konflikt,131.107.0.132,BAD_ADDRESS,

31,11/25/08,07:54:53,DNS-Aktualisierung fehlgeschlagen,131.107.0.132,DJCJS82J.test.de,-1,

32,11/25/08,07:54:53,DNS-Aktualisierung erfolgreich,131.107.0.132,DJCJS82J.test.de,,

Der Rechner SID003467 bekommt um 6:35 die IP Adresse zugewiesen, um 7.54 Uhr versucht plötzlich der andere Rechner die IP zu leasen.

Wenn ich jetzt auf den Rechner draufgehe hat der Rechner SID003467 noch die IP, im Ereignisslog des anderen Rechners.

Ich kann mir das überhaupt nicht erklären... :(

Der Rechner DJCJS82J hat sich um 7:55 die IP 131.107.0.171 vom DHCP Server geholt, im DHCP MMC steht der Rechner mit der IP 131.107.0.171 aber nicht drin !!!!

Im Log steht:

11,11/25/08,07:54:14,Erneuern,131.107.0.171,DJCJS82J.test.de,0015C50913B2,

11,11/25/08,07:54:14,Erneuern,131.107.0.171,DJCJS82J.test.de,0015C50913B2,

32,11/25/08,07:54:14,DNS-Aktualisierung erfolgreich,131.107.0.171,DJCJS82J.test.de,,

32,11/25/08,07:54:14,DNS-Aktualisierung erfolgreich,131.107.0.171,DJCJS82J.test.de,,

15,11/25/08,07:54:51,NACK,131.107.0.171,DJCJS82J.test.de,0015C50913B2,

15,11/25/08,07:54:52,NACK,131.107.0.171,DJCJS82J.test.de,0015C50913B2,

15,11/25/08,07:54:52,NACK,131.107.0.171,DJCJS82J.test,0015C50913B2,

15,11/25/08,07:54:52,NACK,131.107.0.171,,0015C50913B2,

31,11/25/08,07:54:52,DNS-Aktualisierung fehlgeschlagen,131.107.0.171,DJCJS82J.test.de,-1,

10,11/25/08,07:55:02,Zuweisen,131.107.0.171,DJCJS82J.test.de,0015C50913B2,

Ich habe 2 AD integr. DNS Server auf den bisher kein Alterung/Aufräumvorgang lief. Da ich vor kurzem bei uns NetBios auf den Clientmaschinen deaktiviert habe kommt es bei manchen zu einer fehlerhaften Auflösung weil manche IP´s mehere Clients zugeordnet sind.

Ich muß noch dazu erwähnen das auf dem DHCP Server DNS dynamic Updates konfiguriert ist.

Ich habe jetzt folgendes vorgenommen:

- In den Serverproperties des DNS unter erweitert den Haken für den Aufräumprozess gesetzt (7 Tage)

In einer Reversezone die Alterung aktiviert(7-7). In der Zone steht als Datum für den Aufräumvorgang der 1.1.1601 1.00 Uhr drin.

Jetzt habe ich den Aufräumprozess manuell angestoßen und aEvent 2502 wurde ausgegeben:

Der DNS-Server hat den Aufräumzyklus abgeschlossen, aber es wurden keine Knoten besucht. Der Grund für diesen Zustand kann sein:

1) Es sind keine Zonen für das Aufräumen durch diesen Server konfiguriert.

2) Es ist ein Aufräumzyklus innerhalb der letzten 30 Minuten durchgeführt worden.

3) Während des Aufräumens ist ein Fehler aufgetreten.

Der nächste Aufräumzyklus ist für die nächsten 168 Stunden geplant.

Wenn ich mir jetzt das Alterungsdatum der Reversezone anschau steht der 1.12.2008 12.00 Uhr drin, die veralteten Reverseeinträge wurden aber nicht bereinigt(obwohl manche den Zeitstempel von 7.11.2008 tragen).

Macht er die erste Bereinigung jetzt erst am 1.12 obwohl als erster Wert der 1.1.1601 angegeben war?

Mein 2tes Problem ist, ich möchte konfigurieren das nur ein Server den Bereinigungsjob durchführt:

Muß ich auch für jede Reversezone dnscmd / zoneresetscavengeservers durchführen. In welchem Format geb ich die Reversezone an?

dnscmd server1.hamburg.test.de /zoneresetscavengeservers 1.107.131.in-addr.arpa 131.107.0.9 ??

Hab mich die Tage mal etwas schlau gemacht. Geräte mit dem CE Zeichen sind ausreichend gegen elek.mag Strahlungen geschirmt, daher kann man USV generell unter Servern etc verbauen. Es sei denn der Hersteller weist extra darauf hin.

Hallo Leute,

ich hab leider keine passende Kategorie gefunden, deshalb hier.

Ich muß unsere APC USV umbauen da unser 19" Schrank voll ist.

Jetzt ist nur noch direkt unter einem SAN System platz.

Habt ihr schon mal gehört das meine seine USV nicht direkt unter einen Server schieben sollte? Hab zwar schon im Internet nach dem Thema Einbau gesucht, es gab aber nirgends Hinweise das man das nicht tun sollte.

Das ist mir alles schon klar, mir ginge es nur um die Clients die im gleichen Subnet liegen.

Da der Client im gleichen Subnet liegt enthät er in seinem IP Paket auch

kein Relay-IP-Adressfeld, somit bekommt er eine IP aus Scope1.

Hallo,

folgende Scenario:

Subnet1:

131.107.0.0/18

GW 131.107.0.22

DHCP Server

Subnet2:

192.168.11.0/24

GW 192.168.11.1

Relay Agent

Am DHCP Server 2 Scopes:

Scope1:

131.107.0.1 - 131.107.0.50

Bereichsoption:ROUTER:131.107.0.22

Scope2:

192.168.11.1 - 192.168.11.50

Bereichsoption:ROUTER:192.168.11.1

--------------------------------------

Wenn der DHCP-Server die Nachricht empfängt vom Relay Agent in Subnet2, überprüft er das Relay-IP-Adressfeld, um festzustellen, ob es über einen DHCP-Bereich (einen Pool von IP-Adressen) verfügt und vergibt dem Client eine IP aus Scope2.

Jetzt meine Frage: Wie erkennt der DHCP Server, wenn ein Client im Subnet1 nach einer IP fragt, ob er eine IP aus Scope1 oder Scope2 zuweisen soll?

Hallo,

kleines Feedback.

Das Problem lag an den ShellExtensions von TugZIP, scheinbar läd er beim rechtsklick ne Menge Extensions.

Die lokal installierten Virenscanner sind schon so konfiguriert das keine Netzlaufwerke gescannt werden, hab aber desweiteren die Scanner mal deaktiviert, Problem immer noch das gleiche.

Client:WinXP;Server:Win2003

Ich hab ein Phänomen das ich schon seit längeren beobachte. Wenn ich auf einem Netzlaufwerk eine Datei mit der r.Maustaste anklicke dauert es besonders lang bis dann das Menü erscheint, und das nur bei executeable Dateien .exe. Es dauert manchmal bis zu 10sec bis das Menü aufpoppt und auch manchmal wieder gleich verschwindet. Mit anderen Dateien ala .pdf, .ini, etc. tritt das Problem nicht auf.

Kennt das jemand?

Ja, klingt pausibel die Computer in eine Gruppe zupacken :rolleyes: :)

Also GPOs zur Softwareverteilung ist die einzige Möglichkeit für mich halbwegs Software im LAN zu verteilen, bisher hat es in Verbindung mit WinInstallLE03 immer gelangt.

Hallo,

ich hab ein Thema bei dem ich selber nicht weiterkomme. Ich hab mir eine Gruppenrichtlinie erstellt die ein MSI installieren soll, aber nur wenn die unteng enannte Software installiert ist.

Gleichzeitig hab ich einen WMI-Filter auf das GPO angewandt:

Namespace root\CIMv2

Abfrage : Select * from Win32_Product where name = "Einsatzplanung 3.5"

Leider installiert er die Software auf dem Client, ob die oben genannte Software nun installiert ist oder nicht.

–

Konnte mir meine Frage eben beantworten:

Because WMI filters are ignored on Windows 2000-based computers, a filtered GPO will always be applied on them.

Da wir leider noch einige Windows2000 Clients im Einsatz haben muss ich wohl manuell in der Sicherheitsfilterung jeden Clientcomputer eintragen auf dem installiert werden soll, und das hat MS nicht gut gelöst...

Comparing Traffic Policing and Traffic Shaping for Bandwidth Limiting  [QoS Policing] - Cisco Systems

Wir bekommen bei uns jetzt eine 34Mbit Leitung, bisher hatten wir einzelne 2mbit SDSL Leitungen.

Jetzt möchte ich die Bandbreite pro Port aufteilen, z.b

Port 1 :10Mbit für einen Astaro VPN Server für Site-to-Site VPN

Port 2: 4 Mbit für einen ProxyServer & MTA.

Port 3: 6 Mbit für ein Cisco PIX für Site-to-Site VPN

Zum Einsatz kommt ein X beliebiger Cisco Switch z.b 3500XL etc.

Jetzt gibt es ja zwei Möglichkeiten um die Bandbreite zu begrenzen, und da liegt der Haken...die Unterschiede zwischen den beiden.

So wie ich das verstanden habe kann bei Traffic Shaping nur der ausgehende Datenverkehr limitiert werden, bei Traffic Policy´s der ein und ausgehende Datenverkehr(eingehender wäre nach meinen Verständnis z.b Downloads)

Es gibt da zusätzlich Unterschiede bei Advantages & Bursts welche ich nicht so ganz verstehe. Könnte mir das jemand kurz erörtern?

Also ich bin seit der NT4.0 Welt dabei, Erfahrung bezg. der Thematik habe ich wohl genug, das einzige was für mich neu ist sind Gesamtstrukturen mit untergeo. Domains.

Zeitdruck habe ich zum Glück nicht, da gibt mir die GL frei Hand und das ganze wird erst im Frühjahr 2009 umgesetzt da bei uns erst die Konsolidierung der Server in eine VMware Umgebung ansteht, erst wenn das abgeschlossen ist kann ich überhaupt an eine Windows 2008 Domäne denken, voher stehen nämlich noch kleine Projekte wie Update von Domino 7 auf 8 an :cry:

Ich werde das wohl wie folgt machen:

2 DC in VMware Umgebung, 1 DC der auch als GlobalC als phys. Server, alles 2008) als Ein-Domänen-Modell, anschließend Migration der User & Computer aus unserer Win2k3 Domain in die Window 2008 Domain( wobei ich mich Frage, werden anschließend auf den Clients neue Profile erstellt oder bleiben die alten erhalten(werd ich wohl in VMware Testumgebung durchspielen müssen).

Danach Schritt für Schritt alle andere Firmen migrieren, jeweils an den Standortorten 2 DC, wobei einer als global Katalog laufen sollte?

Anschließend in Urlaub gehen und vielleicht Gärtner werden :D

Danke für eure Antworten !

Also Kassel hat 180 Clients, Stuttgart 70 & Hamburg 67, wir am Hauptsatz haben knapp 320 Clients.

Alle 3 Unternehmen haben ihre eigene vorhanden Serverintrastruktur und sind technisch gut gerüstet , sowie räumlich.

Ich hatte ja 3 Möglichkeiten in Betracht gezogen:

1. Entweder bleiben die Domänen eigenständig und das ganze über Vertrauenstellungen abwickeln.

2. Gesamtstruktur mit untergeor. Domains

3. Eine Domain mit zusätzlichen DCs an den jeweiligen Standorten

Jeder der Firmen hat mindestens 2 DC´s + versch. andere Server und vorhandene Backupstrategien, da mach ich mir keine Sorgen.

Das ist wieder die Qual der Wahl, Punkt 1 kommt aber für mich am wenigstens in Frage da man bei Vertrauenstellungen wieder das Problem der Gruppenverschachtelung hat(für mich aufwenig).

Bleibt noch Punkt 2 oder 3, bleibt vielleicht noch zu erwähnen das alle Firman über 10Mbit Interconnect Leitungen an unseren Standort angebunden werden.

Für meinen Teil ist das ganze Neuland und eine tolle Herausforderung.

Das Virenschutzproblem stellt sich für mich nicht da wir Symantec System Management im Einsatz haben und auch die Verteilung kein Problem darstellen würde, Updates könnte man z.b von unseren WSUS mit dere WSUS synchen, aber da bin ich vielleicht etwas zu blauäugig :-)

Eine kurze Frage da ich die Win08 Schulung noch vor mir habe.

Windows Server 2008-Domänencontroller haben einen neuen, sicheren Standardwert für die Sicherheitseinstellung "Mit Windows NT 4.0 kompatible Kryptographiealgorithmen zulassen ". Diese Einstellung verhindert, dass Microsoft Windows und "nicht-Microsoft-SMB-Clients" schwächere Kryptographiealgorithmen im NT 4.0-Stil beim Herstellen von Sitzungen mit Windows Server 2008-Domänencontrollern über einen sicheren Kanal verwenden. Daraus resultierend schlagen Vorgänge oder Anwendungen, die einen sicheren Kanal für den Windows Server 2008-Domänencontroller erfordern, eventuell fehl.

Von dieser Änderung sind die folgenden Plattformen betroffen: Windows NT 4.0, "nicht-Microsoft-SMB-Clients", sowie NAS-Geräte, die keine stärkeren Kryptographiealgorithmen unterstützen. Einige Vorgänge, die auf Clients, auf denen eine ältere Windows-Version als Vista mit Service Pack 1 ausgeführt wird, sind ebenfalls betroffen. Dies schließt mit dem Active Directory-Migrationstool bzw. mit den Windows-Bereitstellungsdiensten durchgeführte Domänenbeitrittsvoränge ein.

Das heißt diese Einstellung ist als Standard aktiviert und betrifft auch Windows XP/Win2000 Clients wenn diese sich an der Domänen anmelden wollen?

Das ganze hat jetzt aber nicht mit der Gesamtstrukturfunktionsebene Windows 2008 zu tun oder?

Hallo,

ich hab mal eine Frage an euch und würde gerne eure Meinungen hören.

Unser Unternehmen hat mehrere Firmen gekauft die eine eigene Domäne besitzen und die jetzt in unser Unternehmen eingegliedert werden sollen.

Wir besitzen selber eine W2k3 Domänen die die Gesamtstruktur darstellt aber deren Name für mein Vorhaben damals nicht so glücklich gewählt wurde(stadt.firma.de)

Meine Überlegung ist, diese Firmen als untergeordnete Domänen in unsere Gesamtstruktur einzubinden. Durch die Migration unserer Server in eine VMware Umgebung die demnächst ansteht hab ich mir überlegt das ganze

in einer Win08 Domäne umzusetzen:

- Meine Überlegung ist nun eine neue Domäne firma.de anzulegen die Computerkonten und Konten unseres Standorts enthält(Migration von unserer Win2k3 Domäne mittels ADMT)

- Die 3 anderen Firmen möchte ich als untergeor. Domänen einbinden, nach der Struktur z.b kassel.firma.de, hamburg.firma.de & Stuttgart.firma.de da diese Firmen auch eigene Admins haben die ihrer Domäne eigenständig administrieren können/sollen und ich ggf. von "oben" eingreifen kann.

Würdet ihr es anderst machen, und wenn ja wie(Vorschläge gerne willkommen)

Ne hatte schon nach beidem gesucht. Habs getestet und bin voll zufrieden ^^

Wieso find ich den nicht, hab doch auch gegoogelt. Naja hast wohl die Lizenz zum googeln ^^

Thx !

Kennt jemand einen guten Freeware Packetsniffer den man nicht installieren muß? Wireshark etc. ist ja ganz nett, aber um mal schnell von einem Server den Datenverkehr Zwecks Analyse zu sniffen ziemlich aufwendig. Der Sniffer von MS ist ja grottenschlecht :-)

Danke !

Ich hab mich damit noch nicht viel beschäftigt. Ich kann ja an der FW ein Portforwarding(z.b UDP 1701,500,4500 für IPsec) auf die IP des Kunden machen, so kann der Client aus dem LAN die VPN Verbindung aufbauen. Aber wie und wo bestimmt man denn welche Ports innerhalb des Tunnels gestattet sind, z.b das der Kunde kein Ping über den VPN Tunnel ins LAN machen kann? Oder meintest du den Ping auf den Client, der die VPN Verbindung aufgebaut? Ein Ping ins LAN funktioniert doch sowieso nicht, da müsste doch wenigstens die Routingtabelle des Clients angepasst werden oder?

Ich möchte verhindern das der Kunde aus dem Kundennetz auf unser LAN, bzw. die Server zugreifen kann.

Mich interessiert wie Ihr das bei euch handhabt wird.

Können bei euch User per VPN aus dem internen LAN heraus auf Kundensysteme zugreifen oder gibt es bei euch ein extra Subnet, physisch getrennt vom internen LAN, wo sich die User mit ihrem Patchkabel reinstecken können?

Wenn ein User 2 Netzwerkkarten hat. darf er dann gleichzeitig in diesem Subnet und im internen LAN drinnenstecken?

Schade, in der Version 4.00.119 hat noch alles mit Office 2000 funktioniert.