kaineanung

Ok, anders gefragt: gibt es irgendwo eine Anleitung die das gut beschreibt wie die 'Server-Farm' aussehen soll und wie das einzurichten ist? 1x Server der als Lizenzierungs und Brokerserver fungiert 2x Server die als Sitzunghosts fungieren optional 1x RDS Profile Disk (ist ja nur ein Fileserver / Freigabe und das Einstellen passiert sicher aus der RDS-Konfiguration aus Das ist doch eigentlich eine 'normale' Konstellation die man so in vielen Umgebungen vorfindet. Ich finde aber keine Anleitungen wie man das einrichtet! Ich bin zwar b***d, aber normalerweise findei ch immer was.. in diesem Fall aber nicht. Kann mir wenigstens dahingehend jemand helfen und mir ein Link zu einer ANleitung schicken? Deutsch oder Englisch ist wurscht.. Danke schon mal im Voraus!

Hallo Leute, wir schreiten voran! Jetzt steht die AD unter W2K16 und jetzt habe ich die Aufgabe bekommen einen Terminalserver hinzustellen, ein paar RDS-Lizenzensen zu kaufen und dann experimentieren wir und schauen ob wir das dann grö´ßer aufziehen oder nicht. Jedenfalls habe ich bisher mehrere male ein TS-Server zum Testen oder befristeten nutzen aufgebaut gehabt. Jedes mal habe ich alle benötigten Rollen auf ein und den selben Server installiert weil Skalierbarkeit / Erweiterbarkeit keien Rolle gespielt hat. Jetzt mache ich mir natürlich schon Gedanken wenn alles gut klappt und wir immer mehr und mehr auf RDS setzen wie ich das einfach managen kann und weitere RDS-Server aufstellen kann. Daher wollte ich euch mal fragen wie ihr das so in euren Umgebungen aufgestellt habt oder was für mich empfehlenswert wäre? Welche Rollen brauche ich eigentlich genau und welche können locker unter einer 'Haube werkeln' und welche als eigenständiger Server aufgestellt werden sollten? Ich dachte mir folgendes: Die 'Verwaltungsrollen' wie z.B. der Remotedesktoplizenzierungsserver und der Verbindungsbroker brauchen jeder für sich keine große Ressourcen (glaube ich) und daher können die locker in einem Server untergebracht werden. Die rolle die die Desktops dann auch virtualisiert, auf dem die Arbeit dann auch stattfindet also, die bekommen eigene Server spendiert und notfalls kann ich weitere hinzunehmen und der Verwaltungsgruppe hinzufügen damit sie dann 'Loadbalancing' und der Gleichen machen. So, das war meine grobe Überlegung. Bisher habe ich mir keine Gedanken gemacht welche Rolle was genau macht da alles autark in einem Server untergebracht war und so funktionierte. Meine Frage ist jetzt: gibt es eine Schritt für Schritt Anleitung für RDS-Neulinge die nicht zu tief aber tief genug alles Beschreibt? Oder gibt es hier jemanden der mir kurz wagen kann welche Rollen in einem Server untergebracht werden und welcher nicht auf dem dann die Desktops laufen (ich denke dies ist der Remotedesktop Sitzungshost, oder?) Bevor jemand fragen tut: wir wollen Remote Desktop Service einführen, also Sitzungsbasierend nicht Virtualisierungsbasierend... P.S. was macht ein Remotedesktop-Gateway nochmal genau? was macht ein Web Access Remotedesktop genau? (bei den anderen Rollen glaube ich es zu wissen) Schon einmal im Voraus vielen Dank für eure Hilfe!

Ich schaffe es nun in die Startoptionen->Problebehandlung->Systemimage-Wiederherstellung->Anmeldung als lokaler Administrator. Er findet bei sich selber natürlich kein Image weil dieses auf einem anderen Server liegt. Gehe ich auf 'Systemabbild auswählen' -> Erweitert -> 'Im Netzwerk nach einer Systemabild suchen' -> 'Netzwerkverbindung herstellen' -> \\Fileserverr\Freigabe -> Anmeldedaten eingeben bekomme ich eine Fehlermeldung (0x80070035). Die Fehlermeldung hat nach erster Recherche ergeben daß ein BUG im SMB-Protokoll dies auslöst. Ok, ich habe das komplette Systemimageverzeichnis auf einen USB-Bootstick mit W2K16 draufgepackt und von dort gestartet und wieder in die Reparaturoptionen und Widerherstellung usw. (siehe paar Zeilen weiter oben) und er findet die Widerherstellungsdateien wieder nicht. Also über das Netzwerk geht es nicht, über den loaklen Bootstick auch nicht. Wozu dann diese Widerherstellungsdatei wenn man diese nicht wieder restoren kann als ganzes? Ich will nämlich das ganze Volume wiederherstellen um quasi ein 1:1 Restore durchgeführt zu haben. Kann mir mal einer sagen wo mein Denkfehler ist? Wie soll ich das verdammte Ding wiederherstellen?

Ich lese auch gerade daß ich beim restoren darauf achten soll daß die Sicherung lokal verfügbar sein soll. Ähm, wie soll das gehen? Ich sichere mein Test-DC in meiner Test-Domäne über das Test-Netzwerk auf einen Test-Fileserver. Wenn sowas angeboten wird, gehe ich davon aus das man das Restoren dann auch von diesem Ort ausführen kann? Ausserdem komme ich nicht klar mit dem Starten in diesem besonderen Modus: Ich kann F8 drücken bis ich schwarz werde. Da kommt nichts.... und wenn ich es durch 'Beim Booten Zurücksetzen / Strom ziehen' doch ab und zu beim nächsten Booten dann in die 'Start-Optionen' schaffe, steht da nirgends 'Verzeichnisdienstwiederherstellung' o.ä.. Ich finde nur 'Widerherstellung" aber das ist dann was anderes, richtig?

Hallo Leute, wir sind vor kurzem von einem W2K3-Server auf ein W2K16-Server umgestiegen und zwar von 1xDC auf nun 2xDC (Ja, es hat vorher Gottlob all die Jahre funktioniert und wir hatten Glück). Jetzt hatten wir bereits einmal mit der Replikation von DC0 auf DC1 Probleme und ein demoten & promoten musste gemacht werden damit alles wieder problemlos läuft. Dabei habe ich mir Gedanken gemacht was passiert eigentlich wenn dies so nicht funktionieren sollte und dann noch bei dem FSMO-Rolleninhaber? Da ist mir eingefallen daß ich das hier bei euch irgendwann mal am Rande mitbekommen habe das man AD auch sichern kann. Wegen der USN-Rollback-Problematik soll man dies den vorgesehenen Windows-Tools überlassen und ja keine Snapshot-Techniken von VMWare oder der Gleichen nutzen. Somit wären wir jetzt bei der Frage wie ich denn so eine Sicherung der AD machen kann? Ich habe ein wenig recherchiert und habe herausgefunden daß man mit der "Windows-Server-Sicherung" (wbadmin.msc) AD sichern und restoren kann. Ich habe es ausprobiert und die Sicherung ist mit Ach und Krach durchgegangen. Das Wiederherstellen gar nicht denn ich finde die Punkte, die ich in den Beschreibungen zum Wiederherstellen aufgeführt werden, so gar nicht. Ausserdem verstehe ich nicht ganz was ich denn genau auswählen soll/muss beim Sichern? Da sind so viele Optionen, Systemdateien, ganze Volumes und all das was mir ein wenig oversized vorkommt. Ich will doch nur meine Active-Directory sichern. Kann mir mal einer hier erklären was denn das minimalste ist was zu sichern ist, was ich da einstellen muss udn vor allem: Wie stelle ich das wieder her? Oder nutzt ihr vielleicht 3rd-Party-Werkzeuge die schlanker, gezielter usw. sind? Schon einmal im Voraus vielen Dank für eure Hilfe oder zumindest für das Lesen bis hierhin.

Ja, kenne ich. Ist mit repaadmin /options + irgendwas mit INBOUND und OUTBOUND 'sund so'. (Weiß er gerade nicht genau aber die Befehle kenne ich). Hat leider nichts gebracht.

Nach langem Hin und Her habe ich aufgegeben und den betreffenden Server einmal demotet und wieder promotet. Jetzt funktioniert alles wieder! Achtung für die die das ebenso machen wollen und werden: Nicht erschrecken wenn nach dem Promoten per "repadmin /showrepl" oder andere Optionen oder Befehlen irgendwelche Fehler angezeigt werden -> es dauert eine Weile bis die Replikation 'getriggert' und ausgeführt wird (repadmin /syncall /force hat das Problem auch nicht gelöst gehabt). Nach dem Promoten ca. 20 Minuten später (oder mehr oder weniger. Ich habe nicht ständig darauf geachtet) war alles ok und die Replikationen von allen zu allen war in Ordnung. Somit hat sich das Thema erledigt. Ich würde mir aber schon wünschen irgendwann mal professionell so ein Problem lösen zu können statt mit dem 'Quick&Dirty' mit Demoten & Promoten...

Eventlog, Also Ergebnisanzeige ist bei Windows echt ein sc*** muss ich sagen... Wie man da zu den korrekten Informationen kommt ohne irgendwelche IDs auswendig zu kennen ist mir Schleierhaft... Alleine schon die Utnerscheidung das es Sicherheit, System und Anwendungs-Logdateien gibt ist ja schon verwirrend. Ich gehe mal davon aus daß 'Sicherheit' gefragt ist. Dort sieht es gut aus und das macht mich stutzig: Eriegnis-ID: 4933 Aufgabenkategorie: Verzeichnisdienstreplikation Beschreibung: Die Synchronisierung eines Replikats eines Active Directory-Namenskontextes wurde beendet. Ziel-DRA: CN=NTDS Settings,CN=SRV-DC0,CN=Servers,CN=Default-First-Site,CN=Sites,CN=Configuration,DC=FIRMA,DC=local Quell-DRA: CN=NTDS Settings,CN=SERVERT2,CN=Servers,CN=Default-First-Site,CN=Sites,CN=Configuration,DC=FIRMA,DC=local Namenkontext: DC=TBEDV,DC=FIRMA,DC=local So, wo kann ich noch schauen was los ist? Bin ich bei diesem Log auch an der richtigen Stelle? Wie gesagt: Im Notfall mache ich den Server neu. Muss ich irgendwas beachten? FSMO-Rollen sind auf dem srv-dc0 (srv-dc1 wird neu gemacht). 1. Globalen Katalog entfernen 2. Demoten 3. aus der Domäne nehmen 4. Neu installieren 5. Rolle AD-Server installieren und einrichten 6. promoten und ihn als DC einer bestehenden Domäne hinzufügen Das würde ich dann morgen machen wenn nichts anderes funktioniert. Ich würde aber schon gerne wissen wie es die Profis machen mit Onboard-Tools oder 3rd-party-tools. Ich würde mir gerne auch diese Arbeit sparen UND ich will das geringste Risiko gehen. Ich denke aber das mit dieser Vorgehensweise der Fehler behoben wäre weil laut Protokoll ist ja immer dieser srv-dc1 Server der die Replikation verweigert. Wenn ich auf der srv-dc0 'repadmin /showrepl' ausführe, sagt er mir immer beim 'Default-First-Site\SRV-DC1 das der Quellserver keine Replikationsanforderungen entgegennimmt. Mache ich das gleiche beim srv-dc1 (also 'repadmin /showrepl'), dann sagt er mir beim 'Default-First-Site\SRV-DC0' das der Zielserver nicht will. Gibt es noch genauere Informationen wo ich sehe daß tatsächlich der srv-dc1 die Replikation verweigert? Meint ihr ein neu aufsetzen des Servers würde mein Problem lösen?

Wie man manuell repliziert habe ich rausgefunden. In "Active Directory Standorte und Dienste" -> Server auswählen -> NTDS Settings -> Replikationsverbindung auswählen -> rechte Maustaste -> jetzt replizieren Ich wähle also 'srv-dc1' aus und die Replizierungsverbindung zu, 'srv-dc0' und führe 'Jetzt replizieren' aus und bekomme sofort die Fehlermeldung: >> Beim Versuch den Namenskontext "TBEDV.FIRMA.local" von Domänencontroller "SRV-DC0" nach Domänencontroller "SRV-DC1" zu synchronisieren, ist folgender Fehler aufgetreten: "Der Zielserver nimmt zurzeit keine Replikationsanforderungen entgegen." Dieser Vorgang wird nicht fortgesetzt <<

Habe ich auf beiden Servern ausgeführt gehabt und auf beiden gab es keine Fehlermeldungen. Hier das Ergebnis vom srv-dc0 (srv-dc1 sieht ebenso aus): RÜCKRUFMELDUNG: Die folgende Replikation wird ausgeführt: Von: e468f7e5-85bb-43d6-8623-9b4e607ffff9._msdcs.FIRMA.local An : 9a72a47f-9560-47e1-8b42-68fc26d19e82._msdcs.FIRMA.local RÜCKRUFMELDUNG: Die folgende Replikation wurde erfolgreich abgeschlossen: Von: e468f7e5-85bb-43d6-8623-9b4e607ffff9._msdcs.FIRMA.local An : 9a72a47f-9560-47e1-8b42-68fc26d19e82._msdcs.FIRMA.local RÜCKRUFMELDUNG: Die folgende Replikation wird ausgeführt: Von: bb958d04-42c5-485d-bc9c-d42843ee44b7._msdcs.FIRMA.local An : 9a72a47f-9560-47e1-8b42-68fc26d19e82._msdcs.FIRMA.local RÜCKRUFMELDUNG: Die folgende Replikation wurde erfolgreich abgeschlossen: Von: bb958d04-42c5-485d-bc9c-d42843ee44b7._msdcs.FIRMA.local An : 9a72a47f-9560-47e1-8b42-68fc26d19e82._msdcs.FIRMA.local RÜCKRUFMELDUNG: SyncAll wurde abgeschlossen. SyncAll wurde ohne Fehler beendet. "repadmin /showrepl" bringt immer noch Fehler: Repadmin: Befehl "/showrepl" wird für den vollständigen DC "localhost" ausgeführt Default-First-Site\SRV-DC0 DSA-Optionen: IS_GC Standortoptionen: (none) DSA-Objekt-GUID: 9a72a47f-9560-47e1-8b42-68fc26d19e82 DSA-Aufrufkennung: dfa43ab7-2061-4eea-8ee3-a22625c7f3f0 ==== EINGEHENDE NACHBARN===================================== DC=FIRMA,DC=local Default-First-Site\SRV-DC1 über RPC DSA-Objekt-GUID: bb958d04-42c5-485d-bc9c-d42843ee44b7 Letzter Versuch am 2020-02-27 09:55:17 ist fehlgeschlagen, Ergebnis 8456 (0x2108): Der Quellserver nimmt zurzeit keine Replikationsanforderungen entgegen. 912 aufeinander folgende Fehler. Letzte Erfolg um 2020-02-17 11:13:47. CN=Configuration,DC=FIRMA,DC=local Default-First-Site\SERVERT2 über RPC DSA-Objekt-GUID: e468f7e5-85bb-43d6-8623-9b4e607ffff9 Letzter Versuch am 2020-02-27 10:05:12 war erfolgreich. Default-First-Site\SRV-DC1 über RPC DSA-Objekt-GUID: bb958d04-42c5-485d-bc9c-d42843ee44b7 Letzter Versuch am 2020-02-27 10:05:12 war erfolgreich. CN=Schema,CN=Configuration,DC=FIRMA,DC=local Default-First-Site\SERVERT2 über RPC DSA-Objekt-GUID: e468f7e5-85bb-43d6-8623-9b4e607ffff9 Letzter Versuch am 2020-02-27 09:55:17 war erfolgreich. Default-First-Site\SRV-DC1 über RPC DSA-Objekt-GUID: bb958d04-42c5-485d-bc9c-d42843ee44b7 Letzter Versuch am 2020-02-27 09:55:17 ist fehlgeschlagen, Ergebnis 8456 (0x2108): Der Quellserver nimmt zurzeit keine Replikationsanforderungen entgegen. 241 aufeinander folgende Fehler. Letzte Erfolg um 2020-02-17 10:59:28. DC=TBEDV,DC=FIRMA,DC=local Default-First-Site\SRV-DC1 über RPC DSA-Objekt-GUID: bb958d04-42c5-485d-bc9c-d42843ee44b7 Letzter Versuch am 2020-02-27 09:55:17 ist fehlgeschlagen, Ergebnis 8456 (0x2108): Der Quellserver nimmt zurzeit keine Replikationsanforderungen entgegen. 241 aufeinander folgende Fehler. Letzte Erfolg um 2020-02-17 10:59:28. Default-First-Site\SERVERT2 über RPC DSA-Objekt-GUID: e468f7e5-85bb-43d6-8623-9b4e607ffff9 Letzter Versuch am 2020-02-27 10:18:30 war erfolgreich. Quelle: Default-First-Site\SRV-DC1 ******* 912 AUFEINANDERFOLGENDE FEHLER seit 2020-02-17 11:13:47 Letzter Fehler: 8456 (0x2108): Der Quellserver nimmt zurzeit keine Replikationsanforderungen entgegen. Wie kann ich die Versuche der Replication manuell ausführen damit ich mit "repadmin /showrepl" aktuelle Daten bekomme? Also das der Zeitstempel des letzten Versuchs sofort aufgeführt wird? Was kann ich noch tun? Scheint ja so das der srv-dc1 (gehe ich mal von aus) die Replikation ablehnt und es könnte doch sein das der Dienst angehalten wurde, oder? Kann ich den nicht einfach manuell starten und dann eine Replikation auslösen und dann mit "repadmin /showrepl" das Ergebnis anschauen? Welcher Dienst wäre das?

Naja, SO nervös bin ich dann auch wieder nicht... Ich habe ja noch die Hoffnung daß ein demoten und neuerliches Promoten alles lösen tut. Ich will das aber erst als letzte Möglichkeit nutzen weil ich dabei dann nichts gelernt hätte (habe im LEben noch nie dcdiag, repadmin u.ä. benutzt und das solltei ch eventuell ja auch frauf haben): Daher erst mal die richtigen Tools herausfinden und dann versuchen diese richtig anzuwenden. Wenn das schief geht dann demoten / promoten. Und wenn das schief geht dann lasse ich es mit dem Lernen mit dem Umgang mit AD und hole jemand Professionellen...

Hallo, da ich nervös bin das mein System gerade nur auf wackeligen Beinen steht und diverse Dinge ja auch gar nicht gehen (neue User als VPN-User anlegen), stellt sich für mich die Frage ob ein Workaround das Problem lösen würde indem ich einfach einen neuen DC hinzufüge, den alten demote und anschliessend das gleiche Spiel wieder umgekehrt mache (weil ich die Fortlaufende Nummer im Servernamen haben möchte). Oder gibt es ein einfacheren Weg mit repadmin o.ä.?

Hallo Leute, ich habe da mal ein mittelschweres Problem. Wir haben 2x DC (srv-dc0 und srv-dc1) in unserer Firmen-Domäne am laufen und 1x DC in einer Subdomäne (servert2). Bitte Fragt mich nicht wieso Subdomäne. Hat sich so vor 30 Jahren ergeben das die CAD-Abteilung ihr eigenes Ding durchziehen und ich bin erst seit 12 Jahren dabei). Bis vor kurzem hatten wir auch nur einen DC (server-dc) in der Firmendomäne der auf W2K3 lief und der mittlerweile demotet ist. (srv-dc0 und srv-dc1 sind erst seit Januar in Betrieb und laufen als W2K16 Server). Die FSMO-Rollen wurden alle vom alten server-dc auf den neuen srv-dc0 übertragen. Ein "netdom query fsmo" bestätigt auch das alles korrekt ist. Beide DCs werden auf unabhängigen VMWare-Servern betrieben. So, seit gestern haben wir Probleme das sich eine Kollegin nicht mehr von zu Hause per VPN einloggen kann (falsche Credentials. Aber andere gehen komischerweise nach wie vor?) und ich bin auf der Recherche auf ganz andere Fehler gestossen die höchstwahrscheinlich damit zusammenhängen. Alle folgenden Protokolle (EREIGNISANZEIGE (abgeschrieben), DCDIAG und REPADMIN) wurden auf dem srv-dc0 erstellt: Im Windows-Log des DC0 steht u.a. Ebene: Fehler Ereignis-ID: 1864 Aufgabenkategorie: Replikation Beschreibung: Verzeichnispartition: CN=Schema,CN=ConfigurationmDC=Firma,DC=local Dieser Verzeichnisserver hat in jüngster Zeit von einigen Verzeichnisservern keine Replikationsinformationen mehr erhalten. (Länger als eine Woche: 1). . Ebene: Fehler Ereignis-ID: 1864 Aufgabenkategorie: Replikation Beschreibung: Verzeichnispartition: CN=Schema,CN=ConfigurationmDC=Firma,DC=local Dieser Verzeichnisserver hat in jüngster Zeit von einigen Verzeichnisservern keine Replikationsinformationen mehr erhalten. (Länger als eine Woche: 1). ... Es gibt auch noch Warnungen die wie folgt aussehen: Ebene: Warnung Ereignis-ID: 2092 Aufgabenkategorie: Replikation Beschreibung: Dieser Server ist der Besitzer der folgenden FSMO-Rolle, die jedoch nicht als gültig eingestuft wird. Für die Partition, die das FSMO enthält, wurde dieser Server seit dem letzten Neustart nicht erfolgreich mit einem beliebigen Partner repliziert. Replikationsfehler verhindern die Verifizierung dieser Rolle. Vorgänge, die eine Kontaktaufnahme mit dem FSMO-Betriebsmaster erfordern, sind nicht erfolgreich, solange dieser Zustand nicht behoben wird. FSMO-Rolle: DC=FIRMA,DC=local .... DCDIAG hat dann folgendes ergeben: Verzeichnisserverdiagnose Anfangssetup wird ausgefhrt: Der Homeserver wird gesucht... Homeserver = srv-dc0 * Identifizierte AD-Gesamtstruktur. Sammeln der Ausgangsinformationen abgeschlossen. Erforderliche Anfangstests werden ausgefhrt. Server wird getestet: Default-First-Site\SRV-DC0 Starting test: Connectivity ......................... SRV-DC0 hat den Test Connectivity bestanden. Prim„rtests werden ausgefhrt. Server wird getestet: Default-First-Site\SRV-DC0 Starting test: Advertising ......................... SRV-DC0 hat den Test Advertising bestanden. Starting test: FrsEvent ......................... SRV-DC0 hat den Test FrsEvent bestanden. Starting test: DFSREvent ......................... SRV-DC0 hat den Test DFSREvent bestanden. Starting test: SysVolCheck ......................... SRV-DC0 hat den Test SysVolCheck bestanden. Starting test: KccEvent ......................... SRV-DC0 hat den Test KccEvent bestanden. Starting test: KnowsOfRoleHolders ......................... SRV-DC0 hat den Test KnowsOfRoleHolders bestanden. Starting test: MachineAccount ......................... SRV-DC0 hat den Test MachineAccount bestanden. Starting test: NCSecDesc ......................... SRV-DC0 hat den Test NCSecDesc bestanden. Starting test: NetLogons ......................... SRV-DC0 hat den Test NetLogons bestanden. Starting test: ObjectsReplicated ......................... SRV-DC0 hat den Test ObjectsReplicated bestanden. Starting test: Replications [Replications Check,SRV-DC0] Bei einer krzlich ausgefhrten Replikation ist ein Fehler aufgetreten: Von SRV-DC1 nach SRV-DC0 Namenskontext: DC=TBEDV,DC=FIRMA,DC=local Beim Replizieren ist ein Fehler aufgetreten (8456): Der Quellserver nimmt zurzeit keine Replikationsanforderungen entgegen. Auftreten des Fehlers: 2020-02-26 15:55:17. Letzter erfolgreicher Vorgang: 2020-02-17 10:59:28. Seit dem letzten erfolgreichen Vorgang sind 223 Fehler aufgetreten. Die Replikation wurde mithilfe der Serveroptionen deaktiviert. [Replications Check,SRV-DC0] Bei einer krzlich ausgefhrten Replikation ist ein Fehler aufgetreten: Von SRV-DC1 nach SRV-DC0 Namenskontext: CN=Schema,CN=Configuration,DC=FIRMA,DC=local Beim Replizieren ist ein Fehler aufgetreten (8456): Der Quellserver nimmt zurzeit keine Replikationsanforderungen entgegen. Auftreten des Fehlers: 2020-02-26 15:55:17. Letzter erfolgreicher Vorgang: 2020-02-17 10:59:28. Seit dem letzten erfolgreichen Vorgang sind 223 Fehler aufgetreten. Die Replikation wurde mithilfe der Serveroptionen deaktiviert. [Replications Check,SRV-DC0] Bei einer krzlich ausgefhrten Replikation ist ein Fehler aufgetreten: Von SRV-DC1 nach SRV-DC0 Namenskontext: CN=Configuration,DC=FIRMA,DC=local Beim Replizieren ist ein Fehler aufgetreten (8456): Der Quellserver nimmt zurzeit keine Replikationsanforderungen entgegen. Auftreten des Fehlers: 2020-02-26 15:55:17. Letzter erfolgreicher Vorgang: 2020-02-17 10:59:28. Seit dem letzten erfolgreichen Vorgang sind 226 Fehler aufgetreten. Die Replikation wurde mithilfe der Serveroptionen deaktiviert. [Replications Check,SRV-DC0] Bei einer krzlich ausgefhrten Replikation ist ein Fehler aufgetreten: Von SRV-DC1 nach SRV-DC0 Namenskontext: DC=FIRMA,DC=local Beim Replizieren ist ein Fehler aufgetreten (8456): Der Quellserver nimmt zurzeit keine Replikationsanforderungen entgegen. Auftreten des Fehlers: 2020-02-26 15:55:17. Letzter erfolgreicher Vorgang: 2020-02-17 11:13:47. Seit dem letzten erfolgreichen Vorgang sind 886 Fehler aufgetreten. Die Replikation wurde mithilfe der Serveroptionen deaktiviert. ......................... Der Test Replications fr SRV-DC0 ist fehlgeschlagen. Starting test: RidManager ......................... SRV-DC0 hat den Test RidManager bestanden. Starting test: Services ......................... SRV-DC0 hat den Test Services bestanden. Starting test: SystemLog ......................... SRV-DC0 hat den Test SystemLog bestanden. Starting test: VerifyReferences ......................... SRV-DC0 hat den Test VerifyReferences bestanden. Partitionstests werden ausgefhrt auf: Schema Starting test: CheckSDRefDom ......................... Schema hat den Test CheckSDRefDom bestanden. Starting test: CrossRefValidation ......................... Schema hat den Test CrossRefValidation bestanden. Partitionstests werden ausgefhrt auf: Configuration Starting test: CheckSDRefDom ......................... Configuration hat den Test CheckSDRefDom bestanden. Starting test: CrossRefValidation ......................... Configuration hat den Test CrossRefValidation bestanden. Partitionstests werden ausgefhrt auf: FIRMA Starting test: CheckSDRefDom ......................... FIRMA hat den Test CheckSDRefDom bestanden. Starting test: CrossRefValidation ......................... FIRMA hat den Test CrossRefValidation bestanden. Unternehmenstests werden ausgefhrt auf: FIRMA.local Starting test: LocatorCheck ......................... FIRMA.local hat den Test LocatorCheck bestanden. Starting test: Intersite ......................... FIRMA.local hat den Test Intersite bestanden. Und "repadmin /showrepl" folgendes: Repadmin: Befehl "/showrepl" wird fr den vollst„ndigen DC "localhost" ausgefhrt Default-First-Site\SRV-DC0 DSA-Optionen: IS_GC Standortoptionen: (none) DSA-Objekt-GUID: 9a72a47f-9560-47e1-8b42-68fc26d19e82 DSA-Aufrufkennung: dfa43ab7-2061-4eea-8ee3-a22625c7f3f0 ==== EINGEHENDE NACHBARN===================================== DC=FIRMA,DC=local Default-First-Site\SRV-DC1 ber RPC DSA-Objekt-GUID: bb958d04-42c5-485d-bc9c-d42843ee44b7 Letzter Versuch am 2020-02-26 15:55:17 ist fehlgeschlagen, Ergebnis 8456 (0x2108): Der Quellserver nimmt zurzeit keine Replikationsanforderungen entgegen. 886 aufeinander folgende Fehler. Letzte Erfolg um 2020-02-17 11:13:47. CN=Configuration,DC=FIRMA,DC=local Default-First-Site\SERVERT2 ber RPC DSA-Objekt-GUID: e468f7e5-85bb-43d6-8623-9b4e607ffff9 Letzter Versuch am 2020-02-26 15:55:17 war erfolgreich. Default-First-Site\SRV-DC1 ber RPC DSA-Objekt-GUID: bb958d04-42c5-485d-bc9c-d42843ee44b7 Letzter Versuch am 2020-02-26 15:55:17 ist fehlgeschlagen, Ergebnis 8456 (0x2108): Der Quellserver nimmt zurzeit keine Replikationsanforderungen entgegen. 226 aufeinander folgende Fehler. Letzte Erfolg um 2020-02-17 10:59:28. CN=Schema,CN=Configuration,DC=FIRMA,DC=local Default-First-Site\SERVERT2 ber RPC DSA-Objekt-GUID: e468f7e5-85bb-43d6-8623-9b4e607ffff9 Letzter Versuch am 2020-02-26 15:55:17 war erfolgreich. Default-First-Site\SRV-DC1 ber RPC DSA-Objekt-GUID: bb958d04-42c5-485d-bc9c-d42843ee44b7 Letzter Versuch am 2020-02-26 15:55:17 ist fehlgeschlagen, Ergebnis 8456 (0x2108): Der Quellserver nimmt zurzeit keine Replikationsanforderungen entgegen. 223 aufeinander folgende Fehler. Letzte Erfolg um 2020-02-17 10:59:28. DC=TBEDV,DC=FIRMA,DC=local Default-First-Site\SRV-DC1 ber RPC DSA-Objekt-GUID: bb958d04-42c5-485d-bc9c-d42843ee44b7 Letzter Versuch am 2020-02-26 15:55:17 ist fehlgeschlagen, Ergebnis 8456 (0x2108): Der Quellserver nimmt zurzeit keine Replikationsanforderungen entgegen. 223 aufeinander folgende Fehler. Letzte Erfolg um 2020-02-17 10:59:28. Default-First-Site\SERVERT2 ber RPC DSA-Objekt-GUID: e468f7e5-85bb-43d6-8623-9b4e607ffff9 Letzter Versuch am 2020-02-26 16:42:16 war erfolgreich. Quelle: Default-First-Site\SRV-DC1 ******* 886 AUFEINANDERFOLGENDE FEHLER seit 2020-02-17 11:13:47 Letzter Fehler: 8456 (0x2108): Der Quellserver nimmt zurzeit keine Replikationsanforderungen entgegen. Nach kurzer Recherche habe ich herausgefunden daß es vielleicht mit einem USN-Rollback zu tun haben könnte. Das Problem kenne ich (von euch hier im Forum gehört als ich mich für die Migration vorbereitet hatte) und habe daher niemals die DCs von einem Snapshot (VMware) restored. Ich habe sicherheitshalber zwar Snapshots erstellt vor dem einen oder anderen Schritt, auch zu Letzt wieder vor einem Windows-Update. Aber ich musste niemals zurückspringen und habe deshalb immer brav die Snapshots gelöscht (ich hatte diese nur für das WORST CASE wenn USN-Rollback das kleinere Übel gewesen wäre weil z.B. den Verlust der FSMO-Rollen (meiner Meinung nach) schlimmer gewesen wäre. So, die Frage ist: was kann ich jetzt tun damit ich das Problem wieder beheben kann? Vielleicht demoten und anschliessend wieder promoten? Ich traue mich aber nicht da ich Angst habe das dies im jetzigen Zustand schief gehen könnte und ich alels dadurch nur noch schlimmer machen würde. Bietet da repadmin oder der Gleichen irgendwas an?

@Dukel Ich frage deshalb weil es mir missfällt ständig unseren FW-Dienstleister zu bitten diesen oder jenen Port zu öffnen und diesen und jenen Port wieder zu schliessen. ABER; wenn ihr sagt daß man den PDC auch als Zeitgeber für Nicht-Domänen-Clients nutzen kann, dann habe ich tatsächlich keine Argumente dies nicht nur auf den PDC zu stellen. Das Einzige was mir noch einfallen würde, und was der Grund ist daß wir auf Linux-DNS und DHCP gewechselt sind: benötigt man CALs für den Zeitserver? Wenn ja: das ist der Grund warum ich dann doch auf diesem bestehenden Zeitserver im LAN setzen würde. Meinst du die der VM-Ware-Server / Hosts? Wie ich bereits gesagt habe sind beide DCs auf verschiedenen WMWare-Maschinen virtualisiert. 1.DC (mit den FSMO Rollen) ist auf einem ESX-Verbund an einer SAN mit VMWare-Essentials-Kit virtualisiert und dort bezieht sich der ESX-Server die Zeit von unserem internen NTP-Server. Der 2. DC ist auf einer 'normalen' (kostenfreien) Maschine virtualisiert (ESXi vSphere 6.7.0) und auch dieser ist auf den NTP-Server angebunden. Somit haben beide VMWare-Server diesen einen NTP-Server im LAN als Zeitgeber.

Ja würde das statt mit dem Internet direkt mit dem bereits bestehenden NTP-Server im Netzwerk funktionieren? Und wie mache ich das? Gibt es da irgendwo eine schrittweise Anleitung? Meinst du anderen Clients ausserhalb der Domäne? Weil die Clients innerhalb der Domäne sind, wenn ich mich nciht täusche, bereits angebunden? Ich habe in der CMD w32tm /query /source benutzt und bekomme, auf den 3-4 Clients auf denen ich das getestet habe, immer den PDC-Server als Quelle. Somit muss ich bei den Domänen-Clients ja nichts mehr machen, richtig? Was mich aber wundert ist: Der 2. DC meldet mir ebenfalls das seine Zeitquelle der 1.DC ist (mit der PDC-Rolle). Wie kann es sein das im Ereignisprotokoll steht das es Zeitabweichungen zwischen DC1 und DC2 gab? Ich habe 2 Warnungen im Ereiignisprotokoll: 1. Meldung: Der Zeitdienst wird nicht mehr als Zeitquelle angekündigt, da die lokale Systemuhr nicht synchronisiert ist. Ereignis-ID: 142 Quelle: Time-Service 2. Meldung: Der Zeitdienst hat eine Zeitdifferenz von mehr als 5000 ms auf 900 Sekunden festgestellt. Die Zeitdifferenz wurde möglicherweise durch die Synchronisation mit einer ungenauen Zeitquelle oder durch schlechte Netzwerkbedingungen verursacht. Von nun an wird der Zeitdienst nicht mehr synchronisiert, die Zeit keinem weiteren Client mehr zur Verfügung gestellt und die Systemuhr nicht mehr synchronisiert. Sobald ein gültiger Zeitstempel von einem Zeitdienstanbieter empfangen wird, wird der Zeitdienst sich selbst korrigieren. Ereignis-ID: 50 Quelle: Time-Service Das war der eigentliche Grund um sich nun Gedanken zu machen beide Server an eine Zeitquelle zu binden. Da aber DC2 an DC1 angebunden zu sein scheint frage ich mich: was läuft dann schief? Dennoch würde ich Grundsätzlich gerne Sicherstellen das DC1 sich irgendwo die korrekte Zeit holt. Da wir bereits einen Port in der FW öffnen liessen, würde ich gerne diesen bereits eingerichteten Server als Zeitquelle für DC1 nehmen... (DC2 wäre mir auch lieb aber ob das geht bin ich mir nicht sicher). Ok, das ist das was ich mit w32tm /query /source geprüft hatte und es scheint so zu stimmen. Nur warum ich dann die o.g. Meldung im Ereignisprotokoll bekommen habe kann ich mir nicht erklären? Zeitunterschied zwischen DC1 und DC2 obwohl DC2 an DC1 angebunden ist was die Zeit angeht / synchronisiert. Nachtrag: ich bin nun ein paar Stunden zurück gegangen im Ereignisprotokoll des 2. DCs und habe was komisches gefunden von heute Nacht was erstmalig aufgetreten ist: >>Der Kerberos-Client hat einen KRB_AP_ERR_MODIFIED-Fehler von Server "srv-dc1$" empfangen. Der verwendete Zielname war HTTP/srv-dc1.FIRMA.local. Dies deutet darauf hin, dass der Zielserver das vom Client bereitgestellte Token nicht entschlüsseln konnte. Dies kann auftreten, wenn der Ziel-Serverprinzipalname (SPN) nicht bei dem Konto registriert ist, das der Zieldienst verwendet. Stellen Sie sicher, dass der Ziel-SPN nur bei dem Konto registriert ist, das vom Server verwendet wird. Dieser Fehler kann auch auftreten, wenn das Kennwort für das Zieldienstkonto nicht mit dem Kennwort übereinstimmt, das im Kerberos-KDC (Key Distribution Center) für den Zieldienst konfiguriert ist. Stellen Sie sicher, dass der Dienst auf dem Server und im KDC beide für die Verwendung des gleichen Kennworts konfiguriert sind. Wenn der Servername nicht vollqualifiziert ist und sich die Zieldomäne (FIRMA.LOCAL) von der Clientdomäne (FIRMA.LOCAL) unterscheidet, prüfen Sie, ob sich in diesen beiden Domänen Serverkonten mit gleichem Namen befinden, oder verwenden Sie den vollqualifizierten Namen, um den Server zu identifizieren.<< Ob das mit meinem Fehler von heute Morgen zusammenhängt? Die o.g. Warnungen sind gegen 8 Uhr aufgetreten. Diese Fehlermeldung hier aber bereits um 3:14 Uhr.

Der DC ist selber aber an keinen externen Zeitserver angebunden und daher dient nur der lokale Zeitgeber als die einzig wahre Zeit. Die muss ja nicht unbedingt stimmen... Ausserdem: DC2 hatte eine Abweichung weshalb er sein Dienst eingestellt hatte?! Also muss ich die irgendwie dazu bringen die exakt gleiche Zeit zu haben. Am besten aber unabhängig voneinander da wenn einer Ausfällt der Andere trotzdem die korrekte Zeit inne hat. Das verstehe ich leider nicht? Übrigens: was ich vergessen hatte zu erwähnen: beide DCs sind unter VMWare-Server auf (unterschiedlicher Hardware) virtualisiert.

Hallo Leute, ich habe hier mal wieder ein kleines Problemchen. Wir haben jetzt eine nagelneue Domäne (migriert von 2003 auf 2016), NETLOGON-Batch abgeschafft (alles auf GPO) und sogar einen 2. DC in der Domäne (davor Jahrelang nur 1 DC als physikalische Maschine betrieben). Jetzt ist alles besser und es wird noch besser... ;) Jetzt hatten wir ein kleines Problem mit folgender Geschichte: Einige User bekamen plötzlich keine Netzlaufwerke die wir per GPO erstellen. Ein Kollege (ich war noch nicht im Hause heute morgen) hat sich versucht auf den 2. DC-Server anzumelden und das wurde ebenfalls verweigert. Nach dem Neustart des 1.DC haben die User nach einem gpupdate jedoch wieder Netzlaufwerke bekommen und somit war alles erst mal gut bis zu meiner Ankunft um sich des Problems genauer anzunehmen. Nach ein wenig hin und her habe ich herausgefunden das sich der Anmeldedienst abgeschaltet hatte auf dem 2. DC mit der Begründung das es eine Zeitabweichung von mehr als 5000 ms zum 1. DC gab?!? Warum jedoch alles wieder ging nachdem der 1. DC neu gestartet wurde kann ich nicht sagen. Aber darum geht es hier jetzt gar nicht sondern das Problem mit dem Zeitunterschied. Wir haben ein NTP-Server in unserem Netzwerk stehen welcher mit einem Zeit-Serverpool im Internet verbunden ist. Z.B. nutzen wir ein 3rd-Party-Tool 'Nettime' um bei bestimmten Clients die Zeit mit diesem NTP-Server zu synchronisieren. Manche sind Domänen-Clients, manche nicht und daher brauchen wir diesen NTP-server auch weiterhin. Jetzt würde ich gerne meine beiden DCs an diesen Server anbinden damit ich kein weiteren Nettime-Port in der FW öffnen lassen muss. Daher habe ich dazu 3 Fragen: 1. Wie binde ich die beiden DCs an den NTP-Server (der übrigens unter UBUNTU läuft)? 2. Werden sich die Domänen-Clients automatisch mit den DCs synchronisieren? Wenn nein: was muss ich tun? Wenn ja: Kann ich das irgendwo prüfen? 3. Alternativ kann ich auch den DC direkt mit dem Serverpool im Internet synchronisieren. Das würde mir zwar widerstreben aber wenn es begründet besser ist kann ich das hier ja mal anstossen. Dabei ist aber die Frage: warum ist es besser und binde ich dann beide DCs direkt an diese Zeitserver an oder nur einen und der andere wird an den ersteren angebunden was den Zeitserver angeht? Also entweder DC1 -> Internet-Zeitpool & DC2 -> Internet-Zeitpool ODER DC1 -> Internet-Zeitpool & DC2 -> DC1 ? Im Moment ist ja so angedacht: DC1 -> srv-ntp -> Internet-Zeitpool & DC2 -> srv-ntp -> Internet-Zeitpool Ich danke euch shcon einmal im Voraus für eure Hilfe bzw. zumindest für das Lesen bis hierhin.

Mir ist das jetzt schon klar. Aber das war ein kleiner Versuch von vor 10 Jahren mit der GPO irgendwas anzustellen. Und ich habe auch nur 3-4 Einstellungen gemacht bevor wir uns damals dazu entschieden hatten doch noch mit der Logon.bat zu verwalten. Und ich habe es zugegebenermaßen vergessen zu entfernen...... die 'Default Domain Policy' wird bei uns nur noch für die Kennwortrichtlinien verwendet. Alles andere wird auf die entsprechenden selbst erstellten GPOs verteilt. Aber zum Thema nochmals: Kann ich mit deiner Vorgehensweise irgendwas kaputt machen? Würde ich die Default Domain Policy neu erstellen können wenn diese kaputt gehen würde?

Ok, habe ich verstanden und umgesetzt. Und jetzt kommt ein Mysterium: Ich habe Zugriff auf ''Default Domain Policy -> Benutzerkonfiguration -> Richtlinien -> Windows-Einstellungen -> Internet Explorer-Wartung-> Verbindung -> Automatische Browserkonfiguration'. Aber die im Bericht angezeigten Einstellungen sind gar nicht gesetzt und hier im Editor sind die leer! Es sind 2 Hacken zu setzen und wenn man den unteren Haken setzt, muss man noch 3 Felder befüllen. In meinem Bericht steht: Automatische Ermittlung von Konfigurationseinstellungen -> Deaktiviert Automatische Browserkonfiguration -> Nicht konfiguriert Im Editor sind beide Haken nicht gesetzt. Somit erwarte ich nun das diese auch komplett rausfliegen. Dies tun sie aber nicht... Was kann ich machen das dieser Eintrag ganz aus meiner GPO verschwindet, es also nicht im Bericht / Einstellungen angezeigt wird. Es ist auch so das diese GPO Eben Computer UND Benutzereinstellungen beinhaltet. Das soll und darf man ja nicht machen wie ich das mit den Gruppenrichtlinien verstanden habe. Und wenn es auch macht was es soll, sieht es nicht gut aus. Daher würde ich schon wollen das nicht auf immer und ewig mitschleppen zu müssen sondern sauber zu entfernen. Würde mir in diesem Falle der Post von @daabm weiterhelfen auf der vorherigen Seite? Geht es denn nicht im GPO-Editor doch irgendwie?

Wie meinst du das? Ich habe hier ein Server 2016 am laufen. Zwei sogar. Wie soll ich den 2008R2 nehmen? Soll ich einen Installieren? Der dürfte da doch gar nicht gehen da die Domänenstruktur auf 2016 angehoben wurde... oder? Ich habe eine Installations-ISO von 2008R2 rumliegen, also daran sollte es nicht scheitern. Ich kann das ja auch noch in der Testperiode ausführen. Aber das dürfte doch nicht gehen wegen der Domänenstruktur welche auf 2016 gesetzt wurde.

@zahni Verstehe dein Post irgendwie gar nicht? Wir benutzen hier nahezu kein Windows 7 mehr. Und auf den Rechnern auf denen es noch vorhanden ist, wird bald auf Win 10 aktualisiert... ABER: der Eingangpost beschreibt einen Fehler den man wohl nur durch das Editieren der GPO 'Default Group Policy' von einem Windows 7-Client bereinigen kann. Das habe ich nun versucht und habe Windows 7 64-Bit installiert und wollte mir die RSAT-Tools installieren damit ich eben diese GPO editieren kann und die Einträge wegbekommen kann. Wäre das irgendeine GPO würde ich es lassen, eine neue erstellen und eben nur den Fehler rauslassen. Aber es handelt sich blöderweise um die 'Default Group Policy' und da traue ich mich nicht einfach so ran weil die Angst da ist diese zu verlieren. Und neu erstellen ist da wahrscheinlich auch nicht möglich oder nur schwer oder was-weiß-ich.

Echt b***d das MS den Support für Windows 7 vor 2 Tagen eingestellt hat! Ich finde nirgends das RSAT-W2K16-Installationspaket für Windows 7 Clients! Das für Windows 10 will sich nicht installieren (falsche Betriebssystemversion wird korrekterweise gemeldet), das Win7-Tool RSAT welches ich irgendwo bei MS doch zum download gefunden habe (KB958830), besagt das es nur bis Server 2008 R2 gültig ist... Nach dem 'update' finde ich nur einen Hilfe-Eintrag unter 'Alle Programme'->'Verwaltung' welcher die Systemanforderungen anzeigt und das mit Server 2008 R2 besagt.... Kann mir jemand sagen wo ich das Tool noch finden kann? Was ich brauche ist also RSAT für W2K16 welches für Windows 7 gedacht ist. Ich würde gerne diesen Weg einschlagen um das Problem aus dem Eingangspost zu lösen da mir dieser einfacher erscheint als irgendwelche 'IEM-CSE aus den gPCUserExtensions'.. (sorry @daabm, lieber erstmal den einfacheren Weg wenn möglich. Sonst mache ich noch hier in der Domäne was kaputt...)

Das wäre ja prima wenn das so gehen würde. Ich installiere eine Windows 7 VM, nehme sie in die Domäne auf, installiere RSAT-Tools, öffne auf dieser Maschine die 'Default Domain Policy' und ich finde da den entsprechenden Eintrag dann um ihn dann raus nehmen zu können (-> Nicht konfiguriert')? Habe ich das so richtig verstanden? Windows 7 kommt defaultmäßig mit IE9, oder? Also wenn ich Windows 7 nicht aktualisiere oder von Hand IE > 9 installiere dann sollte das so klappen?

Ja, das dachte ich mir bereits so. Die Frage aller Frage ist aber: wie bekomme ich das wieder los? Die 'Default Domain Policy' hat bei uns lediglich die Sicherheitseinstellungen ('Kontorichlinien/Kennwortrichtlinien', 'Kontorichtlinien/Kerberos-Richtlinie', 'Lokale Richtlinien/Zuweisen von Benutzerrechten' und 'Lokale Richtlinien/Sicherheitsoptionen') und eben diese blöden 2 Einträge 'am laufen'. Alles andere ist in diverse GPOs aufgeteilt. Kann ich die 'Default Domain Policy' löschen und leer neu anlegen (so wird es empfohlen bei dem Problem mit dem Wegfall von Einstellungen in den GPOs wie ich gerade lese) und dann meien Kennwortrichtlinien einfügen? Gibt es denn keine Möglichkeit irgendwo mit einem Editor die 2 Einträge zu entfernen? Das ganze aber sicher und sauber?

Hallo Leute, ich habe hier ein kleines Problemchen: Wir sind von einer W2K3 auf eine W2K16 Domäne migriert und ich implementiere einige GPOs und checke ob ich alte GPOs und GPPs nun nicht mehr brauche und diese dann lösche. Ich lasse mir alle gesetzten Einträge in der 'Gruppenrichtlinienverwaltung -> Default Domain Policy -> Reiter 'Einstellungen' auflisten und öffne dann den Gruppenrichtlinienverwaltungs-Editor um Einstellungen zu ändern. Ich habe in der 'Default Domain Policy' (welche ja so 1:1 vom W2K3-DC übernommen wurde) 2 Einträge die ich so nicht mehr brauche und wollte diese dannauf 'Nicht konfiguriert' setzen. Das Problem dabei ist aber: in den Eisntellungen der Gruppenrichtlinienverwaltung stehen 2 Einträge die im Editor so bzw. gar nicht nicht vorzufinden sind! Wie kann das sein? Es geht konkret um 2 Einträge die unter dem Pfad "Benutzerkonfiguration / Richtlinien / Windows-Einstellungen / Internet Explorer-Wartung / Verbindung/Automatische Browserkonfiguration" vorzufinden sind und wie folgt aussehen: Automatische Ermittlung von Konfigurationseinstellungen -> Deaktiviert Automatische Browserkonfiguration -> Nicht konfiguriert Diese finde ich jedoch überhaupt nicht im Editor. Schon der Knotenpunkt 'Internet Explorer-Wartung' fehlt. a) wieso ist das so? b) was kann ich machen um die 2 Einträge wegzubekommen? Fragt mich bitte nicht wieso das da drinnen überhaupt aktiviert wurde. Der W2K3-Server ist noch von vor meiner Zeit hier in der Firma und wer weiß schon wer das warum damals so aktiviert hat? Ich jedenfalls nicht und will diese nur deaktivieren....