W2K8-Server in W2K3-Domäne

[SDVADM 10]

Hallo zusammen,

wir wollen uns in nächster Zeit verstärkt mit 64-bit Betriebssystemen befassen - derzeit haben wir nur 32-bit-Systeme in der W2K3-AD-Domäne. Da aber langsam 64-bit für einige Anwendungen nötig wird müssen wir handeln und ein Konzept für ein 64-bit-Betriebssystem erstellen.

 

Wir haben nun folgende Möglichkeiten:

• Windows Server 2003 x64 (Englisch + MUI Deutsch)
  
• Windows Server 2003 R2 x64 (Deutsch)
  
• Windows Server 2008 x64 (Deutsch)
  

 

Da wir eine deutsche Domäne haben werden wir wohl vom "normalen" Windows 2003 Abstand nehmen - wir hatten schon mal Probleme mit einem englischen Betriebssystem in unserer deutschen Domäne.

 

Bleiben also nur der R2 von 2003 und 2008 zur Auswahl. Prinzipiell würden wir es begrüßen wenn es mit 2008 klappen würde, da wir damit dann direkt das Neueste Betriebssystem hätten.

Wir haben nun also einmal einen Standard-2008-Server installiert und diesen in unsere 2003-Domäne eingebunden. Leider scheint es dabei Probleme mit dem ziehen der GPOs zu geben, so wurde z.B. unser Hinweisfenster vor der eigentlichen Anmeldung nicht angezeigt, der WSUS wurde nicht angezeigt und auch die Gruppen waren nicht so gefüllt wie eigentlich in den GPOs vorgegeben. Wir befürchten nun also, dass an der Domäne weitere Anpassungen nötig sind, damit der W2K8-Server die W2K3-Policies richtig interpretiert. Oder gibt es evtl. einen Switch auf dem W2K8-Server um ihm zu sagen, dass er sich in einer 2003er-Domäne befindet und somit die GPOs korrekt anwendet?

 

Was würdert Ihr machen? Die Anpassungen (Konzept, Domäne, etc.) für W2K8 in Kauf nehmen oder lieber weniger Anpassungen und damit dann den R2 von W2K3 einsetzen?

 

Vielen Dank für Eure Unterstützung bereits im Voraus.

 

MfG

SDVADM

[LukasB 10]

Eigentlich nicht, wahrscheinlich hast du nur ein Problem mit SMB-Signing, das dazu führt das die GPOs nicht richtig heruntergeladen werden können. Detaillierte Fehlermeldungen dazu sollten sich im Eventlog finden lassen, wenn du diese hier postest kann man dir auch bestätigen ob dies das Problem sein kann.

 

Das Problem ist u.a. hier beschrieben:

 

Server Message Block communication between a client-side SMB component and a server-side SMB component is not completed if the SMB signing settings are mismatched in Group Policy or in the registry

[SDVADM 10]

Hallo,

vielen Dank für Deine Antwort.

 

Folgendes erscheint beim Aufruf von "gpupdate /force"

 

C:\>gpupdate /force
Die Richtlinie wird aktualisiert...

Die Aktualisierung der Benutzerrichtlinie wurde abgeschlossen.
Die Computerrichtlinie konnte nicht erfolgreich aktualisiert werden. Folgende Probleme sind aufgetreten:

Fehler bei der Verarbeitung der Gruppenrichtlinie. Die Authentifizierung von Windows war für den Active Directory-Dienst
auf einem Domänencontroller nicht möglich. (Fehler beim Aufruf der Funktion zur LDAP-Bindung). Den Fehlercode und eine
Beschreibung finden Sie auf der Registerkarte "Details".
Fehler bei der Verarbeitung der Gruppenrichtlinie. Die Authentifizierung von Windows war für den Active Directory-Dienst
auf einem Domänencontroller nicht möglich. (Fehler beim Aufruf der Funktion zur LDAP-Bindung). Den Fehlercode und eine
Beschreibung finden Sie auf der Registerkarte "Details".

Lesen Sie zur Fehlerdiagnose das Ereignisprotokoll, oder rufen Sie "gpmc.msc" auf, um auf Informationen über Gruppenrich
tlinienergebnisse zuzugreifen.

 

Hier der Eintrag im Eventlog dazu:

Protokollname: System
Quelle:        Microsoft-Windows-GroupPolicy
Datum:         01.09.2008 13:07:43
Ereignis-ID:   1006
Aufgabenkategorie:Keine
Ebene:         Fehler
Schlüsselwörter:
Benutzer:      SYSTEM
Computer:      computer.domaene.de
Beschreibung:
Fehler bei der Verarbeitung der Gruppenrichtlinie. Die Authentifizierung von Windows war für den Active Directory-Dienst auf einem Domänencontroller nicht möglich. (Fehler beim Aufruf der Funktion zur LDAP-Bindung). Den Fehlercode und eine Beschreibung finden Sie auf der Registerkarte "Details".
Ereignis-XML:
<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
 <System>
   <Provider Name="Microsoft-Windows-GroupPolicy" Guid="{aea1b4fa-97d1-45f2-a64c-4d69fffd92c9}" />
   <EventID>1006</EventID>
   <Version>0</Version>
   <Level>2</Level>
   <Task>0</Task>
   <Opcode>1</Opcode>
   <Keywords>0x8000000000000000</Keywords>
   <TimeCreated SystemTime="2008-09-01T11:07:43.877Z" />
   <EventRecordID>995</EventRecordID>
   <Correlation ActivityID="{0C6D7C4C-EF7C-48C6-9F1A-48D4AC352F8C}" />
   <Execution ProcessID="1004" ThreadID="2136" />
   <Channel>System</Channel>
   <Computer>computer.domaene.de</Computer>
   <Security UserID="S-1-5-18" />
 </System>
 <EventData>
   <Data Name="SupportInfo1">1</Data>
   <Data Name="SupportInfo2">4934</Data>
   <Data Name="ProcessingMode">0</Data>
   <Data Name="ProcessingTimeInMilliseconds">4047</Data>
   <Data Name="ErrorCode">82</Data>
   <Data Name="ErrorDescription">Lokaler Fehler</Data>
   <Data Name="DCName">
   </Data>
 </EventData>
</Event>

 

Vielen Dank schon mal für Deine Hilfe.

 

Gruß,

SDVADM

[SDVADM 10]

Hallo,

ich wollte das Thema nochmal nach oben holen.

 

Woanders habe ich gelesen, dass man die Domäne evtl. mit ADPREP vom 2008er Server "vorbereiten" muss. Wäre das evtl. die Lösung für das Problem?

 

Vielen Dank bereits im Voraus.

 

Gruß,

SDVADM

[phoenixcp 10]

Das wäre nur der Fall, wenn du den W2k8 als DC ins Netz bringen willst. Dann musst du natürlich erstmal das bestehende AD-Schema auf die aktuelle Version "aufbohren".

[SDVADM 10]

Das wäre nur der Fall, wenn du den W2k8 als DC ins Netz bringen willst. Dann musst du natürlich erstmal das bestehende AD-Schema auf die aktuelle Version "aufbohren".

 

Das habe ich mir auch gedacht - haben wir in unserem Fall ja aber nicht vor. Wir wollen ja nur nen normalen Memberserver - der aber zieht sich die Policies nicht...

[olc 18]

Hi,

 

kannst Du den 2008er Memberserver einmal neu in die Domäne joinen? Falls ja, teste das einmal.

 

Viele Grüße

olc

[giffy 10]

Hi

 

hab hier vielleicht was Grundsätzliches gefunden

 

sorry passt doch nicht

[SDVADM 10]

Hi,

 

kannst Du den 2008er Memberserver einmal neu in die Domäne joinen? Falls ja, teste das einmal.

 

Viele Grüße

olc

 

Wir haben sogar einen komplett neuen Server aufgesetzt - aber auch der will sich keine Policies ziehen... Leider!

[zahni 521]

Schau mal in Ereignisprotokoll (auch Security). Was steht da denn so ?

 

Eventuell der Sicherheitsprotokollierung auf DC und den neuen Server akivieren.

 

-Zahni

–

Ich hab's eben mal mit unseren uralt W2K DC's probiert:

 

ein virtueller W2K8 geht ohne Probleme in die Domäne. Auch wird die Default Domain Policy ohne Probleme verarbeitet.

 

-Zahni

[SDVADM 10]

Schau mal in Ereignisprotokoll (auch Security). Was steht da denn so ?

 

Eventuell der Sicherheitsprotokollierung auf DC und den neuen Server akivieren.

 

-Zahni

–

Ich hab's eben mal mit unseren uralt W2K DC's probiert:

 

ein virtueller W2K8 geht ohne Probleme in die Domäne. Auch wird die Default Domain Policy ohne Probleme verarbeitet.

 

-Zahni

 

Den Eventlog-Eintrag des W2K8-Servers habe ich hier bereits gepostet.

 

Auf dem W2K3-DC muss ich dann mal schaun...

[zahni 521]

Hat der Server zufällig mehr als NIC ?

 

PS: ich meinte auch Einträge aus dem Security-Protokoll.

 

Wenn irgendwo Acces Denied kommt, wird, bei richtiger Einstellung, dort eigentlich geloggt.

 

-Zahni

[olc 18]

..ergänzend zu zahni: Hast Du den Hinweis von LukasB gegengeprüft?

 

Viele Grüße

olc

[SDVADM 10]

Hat der Server zufällig mehr als NIC ?

 

PS: ich meinte auch Einträge aus dem Security-Protokoll.

 

Wenn irgendwo Acces Denied kommt, wird, bei richtiger Einstellung, dort eigentlich geloggt.

 

-Zahni

 

Der Server hat mehrere NICs, ja. Allerdings sind alle bis auf eine deaktiviert - sollte also eigentlich keine Rolle spielen.

 

Einträge im Security-Eventlog habe ich weder auf dem W2K8-Server noch auf dem W2K3-DC - zumindest negative, alles scheint in Bester Ordnung.

 

Das mit dem SMB-Signing von LukasB muss ich mir mal noch genau anschauen.

 

Vielen Dank Euch.

 

Gruß,

SDVADM

[RaHo 10]

Leider scheint es dabei Probleme mit dem ziehen der GPOs zu geben

Ja, nicht nur scheinen. Also mal ganz locker auf Windows2008R2 warten, das dauert nimmer lang.