micha_s

Da bin ich wieder! Der Tip mit dem SMB-Signing war goldrichtig! Musste am W2K3 den Schlüssel: MS-NW(Client):Kommunikation digital signieren(wenn Server zustimmt) =

aktiviert -> auf deaktiviert setzen, danach konnte ich den Server zum zweiten DC machen.

Tausend Dank an alle, die mich hier unterstützt haben!

kann leider heute nicht an´s System, der Kunde sitzt nicht am Ort, muss 30km hingondeln. Wenn es klappt, bekomme ich Remotezugriff und kann weiterspielen.....

Dank an alle und ein schönes Wochenende, ich gebe hier Bescheid, wenn ich was erreicht habe.

Achso und wie war das... die Ereignisprotokolle beider Server sagen nichts dazu?

Hattest du noch einen anderen 2003er Server zum DC gemacht oder wie war das? Wenn ja könntest den ja mal zum Master machen und es dann nochmal mit dem anderen probieren.

Protokolle schweigen sich aus, der anere server ist nur Member, das hatte aber ohne Probleme funktioniert. Habe soeben nochmal die Sicherheitsrichtlinien mit denen bei anderen Kunden in ähnlicher Umgebung verglichen, die sind identisch, somit also auch fast auszuschliessen.........:(

Vielleicht hat auch der Dom Admin ein Problem. versuch es mal mit nem anderen Account, den du zu den Domain Admins hinzufügst.

danke für den Tip - leider auch schon probiert......

Wie meldest du dich als Domain Admin an? Ich dachte die Kiste ist noch nicht in der Domäne?

ja - natürlich nicht, lokaler Admin und in DCPROMO Anmeldung als Doman-Admin

Mir fällt langsam nix mehr ein. Und im DCPROMOUI.LOG steht nix interessantes? Vielleicht kannst du noch von der neuen Kiste nen Netdiag posten. Wie bist du eigentlich an der neuen Kiste angemeldet?

nee, dem DCPROMOUI.LOG kann ich nix sinnvolles entnehmen, grösstenteils die gleichen Meldungen wie bei Ausführung DCPROMO.

Anmeldung als Domain-Admin, oder User mit Admin-Rechten, oder lokaler Admin.... alles probiert.

Moin an alle hier!

habe mir die Sache mit dem SMB-Signing nochmal durch den Kopf gehen lassen (hatte ja die ganze Nacht Zeit) - es läuft bereits ein weiterer W2K3 Server im Netz, der liess sich ohne ein Problem in die Domain integrieren. Ich kann ja auch auf Freigaben der beiden Server zugreifen, das dürfte doch bei einem SMB-Problem auch nicht funktionieren?!

Thema DNS - eine fehlerhafte ReverseLookupzone kann doch auch nicht diesen Effekt verursachen, ich suche ja nach Servernamen und nicht nach IP.

Bin etwas ratlos, zumal ich nicht weiss, ob ich heute das System heute mal neu starten kann.

Welchen DNS hast du eingetragen?

auf dem zu integrierenden Server die IP vom DC (= DNS Server), das System ist allerdings ohne Zugang nach Extern, unter der Forward Lookupzone ist noch die (.) - Zone konfiguriert. Bei Zugang zum Internet nehme ich die i.d.R. raus, aber ich habe gelesen, dass damit ein Problem mit der AD auftreten kann (hatte ich allerdings noch nie)

DCdiag sieht gut aus, dann würde ich jetzt auch auf beiden Kisten das SMS Signing abschalten.

musste da bisher noch nicht ran, hoffe auf die laufende Konfiguration hat das keinen Einfluss, sonst habe ich 100 Clients die böse auf mich sind! :shock:

muss leider bis früh um 6.00 Uhr warten, vorher kein Neustart des vorhandenen DC möglich.

DCDIAG 4/3 (sorry, war grösser als ich dachte!)

Starting test: Services

* Checking Service: Dnscache

* Checking Service: NtFrs

* Checking Service: IsmServ

* Checking Service: kdc

* Checking Service: SamSs

* Checking Service: LanmanServer

* Checking Service: LanmanWorkstation

* Checking Service: RpcSs

* Checking Service: RPCLOCATOR

* Checking Service: w32time

* Checking Service: TrkWks

* Checking Service: TrkSvr

* Checking Service: NETLOGON

* Checking Service: Dnscache

* Checking Service: NtFrs

......................... SERVER01 passed test Services

Starting test: OutboundSecureChannels

* The Outbound Secure Channels test

** Did not run Outbound Secure Channels test

because /testdomain: was not entered

......................... SERVER01 passed test OutboundSecureChannels

Starting test: ObjectsReplicated

SERVER01 is in domain DC=kkhwsw,DC=de

Checking for CN=SERVER01,OU=Domain Controllers,DC=kkhwsw,DC=de in domain DC=kkhwsw,DC=de on 1 servers

Object is up-to-date on all servers.

Checking for CN=NTDS Settings,CN=SERVER01,CN=Servers,CN=Standardname-des-ersten-Standorts,CN=Sites,CN=Configuration,DC=kkhwsw,DC=de in domain CN=Configuration,DC=kkhwsw,DC=de on 1 servers

Object is up-to-date on all servers.

......................... SERVER01 passed test ObjectsReplicated

Starting test: frssysvol

* The File Replication Service Event log test

The SYSVOL has been shared, and the AD is no longer

prevented from starting by the File Replication Service.

......................... SERVER01 passed test frssysvol

Starting test: kccevent

* The KCC Event log test

Found no KCC errors in Directory Service Event log in the last 15 minutes.

......................... SERVER01 passed test kccevent

Starting test: systemlog

* The System Event log test

Found no errors in System Event log in the last 60 minutes.

......................... SERVER01 passed test systemlog

Running enterprise tests on : kkhwsw.de

Starting test: Intersite

Skipping site Standardname-des-ersten-Standorts, this site is outside the scope provided by the command line arguments provided.

......................... kkhwsw.de passed test Intersite

Starting test: FsmoCheck

GC Name: \\server01.kkhwsw.de

Locator Flags: 0xe00001fd

PDC Name: \\server01.kkhwsw.de

Locator Flags: 0xe00001fd

Time Server Name: \\server01.kkhwsw.de

Locator Flags: 0xe00001fd

Preferred Time Server Name: \\server01.kkhwsw.de

Locator Flags: 0xe00001fd

KDC Name: \\server01.kkhwsw.de

Locator Flags: 0xe00001fd

......................... kkhwsw.de passed test FsmoCheck

DCDIAG 3/3

Starting test: NetLogons

* Network Logons Privileges Check

......................... SERVER01 passed test NetLogons

Starting test: Advertising

The DC SERVER01 is advertising itself as a DC and having a DS.

The DC SERVER01 is advertising as an LDAP server

The DC SERVER01 is advertising as having a writeable directory

The DC SERVER01 is advertising as a Key Distribution Center

The DC SERVER01 is advertising as a time server

The DS SERVER01 is advertising as a GC.

......................... SERVER01 passed test Advertising

Starting test: KnowsOfRoleHolders

Role Schema Owner = CN=NTDS Settings,CN=SERVER01,CN=Servers,CN=Standardname-des-ersten-Standorts,CN=Sites,CN=Configuration,DC=kkhwsw,DC=de

Role Domain Owner = CN=NTDS Settings,CN=SERVER01,CN=Servers,CN=Standardname-des-ersten-Standorts,CN=Sites,CN=Configuration,DC=kkhwsw,DC=de

Role PDC Owner = CN=NTDS Settings,CN=SERVER01,CN=Servers,CN=Standardname-des-ersten-Standorts,CN=Sites,CN=Configuration,DC=kkhwsw,DC=de

Role Rid Owner = CN=NTDS Settings,CN=SERVER01,CN=Servers,CN=Standardname-des-ersten-Standorts,CN=Sites,CN=Configuration,DC=kkhwsw,DC=de

Role Infrastructure Update Owner = CN=NTDS Settings,CN=SERVER01,CN=Servers,CN=Standardname-des-ersten-Standorts,CN=Sites,CN=Configuration,DC=kkhwsw,DC=de

......................... SERVER01 passed test KnowsOfRoleHolders

Starting test: RidManager

* Available RID Pool for the Domain is 1602 to 1073741823

* server01.kkhwsw.de is the RID Master

* DsBind with RID Master was successful

* rIDAllocationPool is 1102 to 1601

* rIDNextRID: 1341

* rIDPreviousAllocationPool is 1102 to 1601

......................... SERVER01 passed test RidManager

Starting test: MachineAccount

* SPN found :LDAP/server01.kkhwsw.de/kkhwsw.de

* SPN found :LDAP/server01.kkhwsw.de

* SPN found :LDAP/SERVER01

* SPN found :LDAP/server01.kkhwsw.de/KKHWSW

* SPN found :LDAP/65738777-cc55-4126-84ad-53d6dbcc7d2a._msdcs.kkhwsw.de

* SPN found :E3514235-4B06-11D1-AB04-00C04FC2DCD2/65738777-cc55-4126-84ad-53d6dbcc7d2a/kkhwsw.de

* SPN found :HOST/server01.kkhwsw.de/kkhwsw.de

* SPN found :HOST/server01.kkhwsw.de

* SPN found :HOST/SERVER01

* SPN found :HOST/server01.kkhwsw.de/KKHWSW

* SPN found :GC/server01.kkhwsw.de/kkhwsw.de

......................... SERVER01 passed test MachineAccount

DCDIAG 2/3

Doing primary tests

Testing server: Standardname-des-ersten-Standorts\SERVER01

Starting test: Replications

* Replications Check

......................... SERVER01 passed test Replications

Starting test: Topology

* Configuration Topology Integrity Check

* Analyzing the connection topology for CN=Schema,CN=Configuration,DC=kkhwsw,DC=de.

* Performing upstream (of target) analysis.

* Performing downstream (of target) analysis.

* Analyzing the connection topology for CN=Configuration,DC=kkhwsw,DC=de.

* Performing upstream (of target) analysis.

* Performing downstream (of target) analysis.

* Analyzing the connection topology for DC=kkhwsw,DC=de.

* Performing upstream (of target) analysis.

* Performing downstream (of target) analysis.

......................... SERVER01 passed test Topology

Starting test: CutoffServers

* Configuration Topology Aliveness Check

* Analyzing the alive system replication topology for CN=Schema,CN=Configuration,DC=kkhwsw,DC=de.

* Performing upstream (of target) analysis.

* Performing downstream (of target) analysis.

* Analyzing the alive system replication topology for CN=Configuration,DC=kkhwsw,DC=de.

* Performing upstream (of target) analysis.

* Performing downstream (of target) analysis.

* Analyzing the alive system replication topology for DC=kkhwsw,DC=de.

* Performing upstream (of target) analysis.

* Performing downstream (of target) analysis.

......................... SERVER01 passed test CutoffServers

Starting test: NCSecDesc

* Security Permissions Check for

CN=Schema,CN=Configuration,DC=kkhwsw,DC=de

* Security Permissions Check for

CN=Configuration,DC=kkhwsw,DC=de

* Security Permissions Check for

DC=kkhwsw,DC=de

......................... SERVER01 passed test NCSecDesc

DCDIAG 1/3

Domain Controller Diagnosis

Performing initial setup:

Done gathering initial info.

Doing initial required tests

Testing server: Standardname-des-ersten-Standorts\SERVER01

Starting test: Connectivity

......................... SERVER01 passed test Connectivity

Doing primary tests

Testing server: Standardname-des-ersten-Standorts\SERVER01

Starting test: Replications

......................... SERVER01 passed test Replications

Starting test: NCSecDesc

......................... SERVER01 passed test NCSecDesc

Starting test: NetLogons

......................... SERVER01 passed test NetLogons

Starting test: Advertising

......................... SERVER01 passed test Advertising

Starting test: KnowsOfRoleHolders

......................... SERVER01 passed test KnowsOfRoleHolders

Starting test: RidManager

......................... SERVER01 passed test RidManager

Starting test: MachineAccount

......................... SERVER01 passed test MachineAccount

Starting test: Services

......................... SERVER01 passed test Services

Starting test: ObjectsReplicated

......................... SERVER01 passed test ObjectsReplicated

Starting test: frssysvol

......................... SERVER01 passed test frssysvol

Starting test: kccevent

......................... SERVER01 passed test kccevent

Starting test: systemlog

......................... SERVER01 passed test systemlog

Running enterprise tests on : kkhwsw.de

Starting test: Intersite

......................... kkhwsw.de passed test Intersite

Starting test: FsmoCheck

......................... kkhwsw.de passed test FsmoCheck

Domain Controller Diagnosis

Performing initial setup:

* Connecting to directory service on server server01.

* Collecting site info.

* Identifying all servers.

* Found 1 DC(s). Testing 1 of them.

Done gathering initial info.

Doing initial required tests

Testing server: Standardname-des-ersten-Standorts\SERVER01

Starting test: Connectivity

* Active Directory LDAP Services Check

* Active Directory RPC Services Check

......................... SERVER01 passed test Connectivity

Dank ITHome DCDIAG jetzt erhältlich:

dcdiag.txt

sorry, DCDIAG muss ich im Moment schuldig bleiben, Kunde findet seine Datenträger nicht!

Als letztes würde mir noch einfallen, das du evtl. noch "leichen" älterer DCs im AD hast oder ansonsten wirklich mal versuchen, obs der Server als Mitgliedsserver tut oder auch nicht.

nein, keine Leichen vorhanden, die Vorbereitung der Domäne auf ADS (adprep) habe ich schon erfolgreich durchgeführt.

Habe eben mal versucht, den Server als Member in die Domäne zu integrieren, aber da habe ich den gleichen Fehler.

Vermutlich wird das Problem im Bereich SMB liegen, aber mir ist noch nicht ganz klar, welche Änderung durchgeführt werden soll. Ich kann wechselweise auf beide Server zugreifen (Freigaben) Eine Neuinstallation des W2K3 hatte ich übrigens auch schon durchgeführt.

wenn du domänenname eingibst, kommt aber eine eingabeaufforderung ob du damit domänenname.local meinst

genau! ich kann die richtige Domäne auswählen, das tu ich auch, das ist dann domäne.de (wurde mal so konfiguriert)

Wie gesagt:

ist in Arbeit!

Nochmal ne dumme Frage... Bei dem neuen Server handelt es sich nicht um einen SBS Server oder? :D

neeee - ganz bestimmt nicht!

;)

Welche Macken? Ich würde da mal ansetzen. Poste mal nen Dcdiag.

Macke: SP4 für W2K kann nicht installiert werden, danach sieht man nur noch blau...

ist ein bekanntes Problem von MS, aber der Server ist schon ein paar Jahre alt, soll gegen ein redundantes System ausgetauscht werden

In der Domain Controllers Policy bzw. der lokalen Policy ...

auf dem W2K-DC habe ich unter Sicherheitsrichtlinie für Domänencontroller nur einen Eintrag aktiviert:

Serverkommunikation digital signieren(wenn möglich) = aktiviert

alle anderen Einträge der lokalen Richtlinien/Sicherheitsoptionen sind deaktiviert

auf dem W2K3 Server sieht es so aus:

MS-NW(Client):Kommunikation digital signieren(immer) = deaktiviert

MS-NW(Client):Kommunikation digital signieren(wenn Server zustimmt) = aktiviert

MS-NW(Server):Kommunikation digital signieren(immer) = aktiviert

MS-NW(Server):Kommunikation digital signieren(wenn Client zustimmt) = aktiviert

tut Änderung da Not?

Vielen Dank an alle für die rege Zuarbeit!:)

Die Fehlermeldung weist auf ein Problem mit der Signierung hin. Schalte doch testweise die Signierung auf beiden Servern ab (aber nachher korrekt wieder einschalten) ...

Kann ich die zentral abschalten, oder muss ich das einzeln in den Richtlinien tun? Das laufende System darf ich nicht gefährden.

Wie ist denn die dazugehörige EventID?

DNS ist korrekt eingetragen und funktioniert nehme ich mal an ;)

EventID - alle Protokolle schweigen sich aus. DNS ist eingetragen, DNS-Server auf dem W2K3 ist noch nicht konfiguriert, aber installiert. Ich kann IP und Servernamen anpingen.

du hast ADPREP mit den beiden Schaltern /FORESTPREP sowie /DOMAINPREP ausgeführt. Wenn es ein R2 sein sollte, dann das ADPREP von der zweiten CD benutzt.

- so durchgeführt, von CD2!

Ist der 2003er-Server bereits als Memberserver in die Domäne integriert?

Falls nicht, versuche dieses mal zuerst und starte dann erneut das DCPROMO. Funktioniert es jetzt?

- ebenfalls nicht möglich, ich hatte den Server schon mal in der Domäne, aber dann konnte er ebenfalls nicht zum DC gemacht werden!

Versuchst du das herauf stufen mit dem Domänen-Administrator Konto?

- ja

Du kannst auch mal das DCPROMOUI.LOG kontrollieren für weitergehende Informationen:

- habe ich mir angeschaut, die Fehlermeldungen erscheinen auch dort, aber die anderen Informationen sagen mir nicht wirklich was.

Yusuf`s Directory - Blog - Debug Protokollierung

Die Anmeldung erfolgte mit Domän-Admin und testweise mit einem User, der über Rechte des Domain-Admins verfügt.

Die SMB-Einstellungen hatte ich schon einmal berabeitet (auf dem W2K3 - Server den Punkt: microsoft-netzwerk(Server): Kommunikation digital signieren(immer) von deaktiviert auf aktiviert), seitdem kann ich vom DC auf die freigegebenen Ordner des neuen W2K3-Servers zugreifen.