Zwei 2K-DC`s am Abgrund...

[Surfy 10]

Hallo zusammen

 

Eckdaten:

 

1 W2K PDC

1 W2K DC

ca 80 Clients WinXP

 

_____________________________________

Situation DC:

 

Ereignissprotokolleinträge unter Dateireplikation

"NTFRS" ID 13508 - Die Dateireplikation von PDC zu DC konnte nicht aktiviert werden

 

Ereignisprotokolleinträge unter "Directory Service"

"NTDS Replikation" ID 1586 - Der Prüfpunktvorgang konnte nicht ordnungsgemäss durchgeführt werden

 

Und weiter unten noch ein NTDS-KCC" ID 1308 - es wurde eine temporäre Verbindung hergestellt.

 

Ereignisprotokolleinträge unter "System" - ID 3034 - Der Redirectordienst konnte den Sicherheitskontext oder die Abfragekontextattribute nicht initialisieren

 

 

Wenn ich wie Netzwerkumgebung auf den PDC zugreifen will, kann ich keine Freigaben ansehen. Beim versuch ein Netzlaufwerk auf den PDC zu Mappen, kommt die Windows-Meldung "Der Zielkontoname ist ungültig"

 

_____________________________________

Situation PDC:

 

Ereignissprotokolleinträge unter Dateireplikation

"NTFRS" ID 13508 - Die Dateireplikation von PDC zu DC konnte nicht aktiviert werden

 

______________________________________

 

Phänomene:

 

# Wenn ich mit Replmon nachschaue, dann erhalte ich die Meldungen:

 

PDC: Replication failure: "Der Zielserver nimmt keine Repl-Anforderungen an"

DC: Replication failure: "Zugriff verweigert"

 

# Vom DC kann ich keine Netzwerkfreigaben ansehen "Beim versuch ein Netzlaufwerk auf den PDC zu Mappen, kommt die Windows-Meldung "Der Zielkontoname ist ungültig"

 

# 5 Clients mussten heute von hand wieder zu der Domain hinzugefügt werden

 

# Ein angelegter User existierte nur auf dem DC, obwohl der auf dem PDC angelegt wurde (vor einer Woche)

 

Gestern hatte ich noch schwerwiegendere Probleme mit dem Sysvol, NTDS (ID 1125 - Es konnte keine Verbindung mit dem globalen Katalog erstellt werden), und NTFRS, so dass sich nicht mal mehr User anmelden konnten (Der Anmeldedienst wurde "angehalten" aufgrund von AD-Wiederherstellungsversuchen)

 

___________________________________

 

Fazit: Der PDC läuft nun zufriedenstellend, der DC hingegen ist unsynchron.

 

Ich hoffe ihr wisst rat! Meine einzige Idee momentan ist, morgen zu versuchen den DC via dcpromo aus der AD / Domain rauszunehmen, und wieder neu zu integrieren. Aber vielleicht habt ihr eine bessere Idee!

 

Surfy

[djmaker 95]

Starte mack dcdiag und netdiag aus den Support Tools.

[NilsK 2.785]

Moin,

 

(Der Anmeldedienst wurde "angehalten" aufgrund von AD-Wiederherstellungsversuchen)

 

ist das eine Fehlermeldung oder eine Erläuterung zu einer Tätigkeit? Falls Fehlermeldung: wer sagt das wann mit exakt welchem Wortlaut und welcher Event-ID? Wurde da auf einem der Server ein Image wiederhergestellt? Falls Tätigkeit: Was genau habt ihr da gemacht?

 

Gruß, Nils

[Surfy 10]

DCdiag:

 

- Replications: inbound replication disabled

To correct run repadmin

 

- Replications: outbound replication disabled

To correct run repadmin

 

- frssysvol: There are errors after the Sysvol have been shared

 

 

Netdiag:

 

Alles auf passed, bis auf "Trust relationship" - hier stand skipped.

 

 

Ansonsten:

 

Leider habe ich den Eventlog gelöscht, als die ersten Probleme abgehakt waren - ziemlich dumm von mir. :rolleyes:

 

Laut Browserhistory bin ich den IDs nachgegangen.

 

1126

1308

1586

3034

5774

13508

 

 

Die beiden Server wurden vor 4 Wochen virtualisiert (VMware Server 2), mit damals schon leicht angeknackster AD, bzw Sysvol problemen. Diese wurden natürlich mit virtualisiert - aber es gab in absehbarer Zukunft anscheinend kein so grosses Zeitfenster (betriebsferien) - deswegen wurde das dann so gespusht..

 

Soviel zum Thema: DC`s sollte man nicht virtualisieren :suspect:

 

Danke für eure hilfe!

[gelöscht 0]

Hallo Surfy,

 

besteht die Möglichkeit dass die DCs mit einem P2V-Tool offline geimaged wurden und dann die physikalischen Maschinen nochmals eingeschaltet wurden?

 

ASR

[Daim 12]

Salve,

 

DCdiag:

 

- Replications: inbound replication disabled

To correct run repadmin

 

hier meckert das DCDIAG an, dass die eingehende AD-Replikation deaktiviert sei. Installiere dir die Windows Support Tools von der Server -CD und führe folgenden Repadmin-Befehl aus, um die eingehende AD-Replikation wieder zu aktivieren:

 

REPADMIN /Options -DISABLE_INBOUND_REPL

 

 

- Replications: outbound replication disabled

To correct run repadmin[]

 

Hier das gleiche wie oben, nur das hier die ausgehende Replikation deaktiviert ist. Zum aktivieren führst du diesen Befehl aus:

 

REPADMIN /Options -DISABLE_OUTBOUND_REPL

 

- frssysvol: There are errors after the Sysvol have been shared

 

Kommt die ID 13508 öfters und alleine, also ohne die EventID 13509?

Denn schau dazu hier:

 

Troubleshooting File Replication Service

 

 

 

Laut Browserhistory bin ich den IDs nachgegangen.

 

Eins nach dem anderen. Aktiviere erstmal die AD-Replikation und gib dann dem ganzen etwas Zeit. Danach schaust du, was noch übrig bleibt von den Fehlern. Denn wenn die AD-Replikation nicht läuft, steht quasi alles auf dem DC. Daher können auch die vielen Fehlermeldungen kommen.

 

 

Die beiden Server wurden vor 4 Wochen virtualisiert (VMware Server 2), mit damals schon leicht angeknackster AD, bzw Sysvol problemen.

 

Die Fehler hätte man natürlich vorher beseitigen sollen.

 

DC`s sollte man nicht virtualisieren :suspect:

 

Ich persönlich bin zwar ein Freund davon, die Infrastrukturdienste direkt auf der Maschine zu installieren, jedoch können DCs sehr wohl virtualisiert werden. Zumal der Trend ohnehin in diese Richtung geht. Aber natürlich gilt es die Randbedingungen zu kennen.

 

Siehe diesen und die dort weiterführenden Links:

 

Running Domain Controllers in Hyper-V

 

Oder:

Considerations when hosting Active Directory domain controller in virtual hosting environments

[Surfy 10]

Ich denke mal dass im nachhinein nochmals Physische Server angeschaltet wurden, kann ich ausschliessen.

 

Hab den VM Converter überall auf dem Desktop gesehen, nehme an die wurden im laufenden Betrieb converted - kann gut sein dass dabei einer der Server nach dem erfolgreichen erstellen noch eine runde lief ;)

 

Das ganze wurde aber auch abgenommen, dh auch eventlogs durchstöbert - so argh hats da sicher nicht ausgesehen.

 

So richtig tiefrot wurde es dann erst vor einer Woche. Alles etwas vaage :(

 

 

_______________________________________

 

 

Vielen Dank @ Daim!

 

Die Replikation wurde nun wieder aktiviert, jetzt bleibt nur noch das gespannte abwarten.

 

Eigentlich wollte ich die Images vorher noch wegsichern :o - um erneut einen Anlauf nehmen zu können.. Aber bis jetzt war es ja noch nichts schlimmes an aktionen...

 

Die ID 13508 kommt öfters und alleine! Ich warte jetzt mal ab, was der PDC zu der Aktivierung der Replikation meldet, jetzt nach 10 min sind die Logfiles noch leer - schaue heut Nacht nochmal auf die Server. Und dann schaue ich mal, ob ich den 13508er beheben kann :wink2:

 

Und danke für die Info zur virtualisierung von DCs!

[Daim 12]

Ich denke mal dass im nachhinein nochmals Physische Server angeschaltet wurden, kann ich ausschliessen.

 

Hab den VM Converter überall auf dem Desktop gesehen, nehme an die wurden im laufenden Betrieb converted - kann gut sein dass dabei einer der Server nach dem erfolgreichen erstellen noch eine runde lief ;)

 

Ohhaa... das sind alles Vermutungen und keiner weiß es genau.

Nun bin ich etwas vorsichtig, da die Replikation deaktiviert war. Überprüfe sicherheitshalber ob nicht doch ein USN-Rollback vorliegt, was leider sein könnte. Die deaktivierte AD-Replikation wäre ein Indiz dafür, denn ich denke nicht das ein Admin das verstellt hat.

 

Siehe:

 

How to detect and recover from a USN rollback in Windows 2000 Server

[Surfy 10]

Hallo Daim

 

Inzwischen hat sich doch bisschen was ergeben:

 

 

Status DC

 

Dateireplikation:

-ID 13565 Der Dateireplikationsdienst initialisiert das Systemvolume mit Daten eines anderen Domänencontrollers.

 

-ID 13508 Der Dateireplikationsdienst konnte die Replikation von PDC nach DC für c:\winnt\sysvol\domain mit DNS-Namen pdc.domain.ADS nicht aktivieren

 

Directory Service:

- ID 1586 Der Prüfpunktvorgang mit dem primären Domänencontroller wurde nicht einwandfrei durchgeführt. Der Prüfpunktvorgang wird in vier Stunden erneut durchgeführt.

 

_________________________________________

 

 

Status PDC

 

Dateireplikation:

 

- ID 15316 Der Dateireplikationsdienst verhindert nicht mehr die Heraufstufung des Computers "PDC" zum Domänencontroller.

 

- -ID 13508 Der Dateireplikationsdienst konnte die Replikation von DC nach PDC für c:\winnt\sysvol\domain mit DNS-Namen pdc.domain.ADS nicht aktivieren

 

Directory Service:

 

ID 1401 Der lokale Verzeichnisdienst hat die Verantwortung für das Generieren und die Aufrechterhaltung der domänenübergreifenden Replikationstopologie dieses Standorts übernommen.

 

Irgendwie befürchte ich, dass Du mit dem rollback recht behalten könntest

 

Noch eine idee auf basis der Logeinträge? Ansonsten ackere ich morgen früh mal deinen Link durch. Vielen Dank für deinen Input!

 

Surfy

[Surfy 10]

DCDIAg vom DC aus

 

Starting test: Replications

[Replications Check,DC] A recent replication attempt failed:

From PDC to DC

Naming Context: CN=Schema,CN=Configuration,DC=domain,DC=ADS

The replication generated an error (5):

Zugriff verweigert

The failure occurred at 2009-01-16 22:54.54.

The last success occurred at 2008-12-07 22:45.20.

979 failures have occurred since the last success.

[PDC] DsBind() failed with error -2146893022,

Der Ziel-Principal Name ist falsch..

[Replications Check,DC] A recent replication attempt failed:

From PDC to DC

Naming Context: CN=Configuration,DC=domain,DC=ADS

The replication generated an error (5):

Zugriff verweigert

The failure occurred at 2009-01-16 23:10.05.

The last success occurred at 2008-12-07 23:33.32.

8641 failures have occurred since the last success.

[Replications Check,DC] A recent replication attempt failed:

From PDC to DC

Naming Context: DC=domain,DC=ADS

The replication generated an error (5):

Zugriff verweigert

The failure occurred at 2009-01-16 23:02.34.

The last success occurred at 2008-12-07 23:32.34.

2800 failures have occurred since the last success.

......................... DC passed test Replications

Starting test: NCSecDesc

......................... DC passed test NCSecDesc

Starting test: NetLogons

......................... DC passed test NetLogons

Starting test: Advertising

Warning: DsGetDcName returned information for \\PDC.domain.ADS, when we were trying to reach DC.

Server is not responding or is not considered suitable.

......................... DC failed test Advertising

Starting test: KnowsOfRoleHolders

Warning: PDC is the Schema Owner, but is not responding to DS RPC Bind.

[PDC] LDAP bind failed with error 31,

Ein an das System angeschlossenes Gerät funktioniert nicht..

Warning: PDC is the Schema Owner, but is not responding to LDAP Bind.

Warning: PDC is the Domain Owner, but is not responding to DS RPC Bind.

Warning: PDC is the Domain Owner, but is not responding to LDAP Bind.

Warning: PDC is the PDC Owner, but is not responding to DS RPC Bind.

Warning: PDC is the PDC Owner, but is not responding to LDAP Bind.

Warning: PDC is the Rid Owner, but is not responding to DS RPC Bind.

Warning: PDC is the Rid Owner, but is not responding to LDAP Bind.

Warning: PDC is the Infrastructure Update Owner, but is not responding to DS RPC Bind.

Warning: PDC is the Infrastructure Update Owner, but is not responding to LDAP Bind.

......................... DC failed test KnowsOfRoleHolders

Starting test: RidManager

[DC] DsBindWithCred() failed with error -2146893022. Der Ziel-Principal Name ist falsch.

......................... DC failed test RidManager

Starting test: MachineAccount

......................... DC passed test MachineAccount

Starting test: Services

......................... DC passed test Services

Starting test: ObjectsReplicated

......................... DC passed test ObjectsReplicated

[Surfy 10]

Fortsetzung

 

Starting test: frssysvol

Error: No record of File Replication System, SYSVOL started.

The Active Directory may be prevented from starting.

There are errors after the SYSVOL has been shared.

The SYSVOL can prevent the AD from starting.ääähn mehr als heute

......................... DC passed test frssysvol

Starting test: kccevent

......................... DC passed test kccevent

Starting test: systemlog

......................... DC passed test systemlog

 

Running enterprise tests on : domain.ADS

Starting test: Intersite

......................... domain.ADS passed test Intersite

Starting test: FsmoCheck

......................... domain.ADS passed test FsmoCheck

 

Ich hoffe, das Logfile sagt mir morgen mehr als heute,.,,

[Surfy 10]

Dann starten ich gleich mal dcpromo, und versuche den DC aus der Domain zu entfernen.. Drückt mir die Daumen!

 

Surfy

–

Ohhje, das Acticedirectory lässt sich mit DCpromo nicht deinstallieren:

 

Keine gültige Domain gefunden :mad:

 

Habt ihr eine Idee dazu?