DFS - Domänen- (Gesamtstruktur)- Übergreifender Zugriff auf Namespace - Aber WIE?

[UsualSuspect 10]

Hi,

 

vorweg habe ich hier schon einen ähnlichen Artikel gefunden, dieser blieb aber leider unbeantwortet - also versuche ich es erneut!

Da mir dieses Board schon einige male Hilfreich war, habe ich mich nun dazu durchgerungen mich auch einmal anzumelden ;)

 

Mein Problem:

Beim Zugriff auf einen Namespace der Domäne A von Domäne B aus erhalte ich den Fehler:

Die Datei "\\A.local.\Storage" wurde nicht gefunden. Überprüfen Sie die Schreibweise und wiederholen Sie den Vorgang, oder suchen Sie die DAtei, indem......

 

 

Ich habe in der Domäne A.local einen Namespace angelegt "Storage" dieser Namespace beinhaltet den Ordner "Folder" welcher über zwei Rechner per DFS-Rep. repliziert wird.

Innerhalb der Domäne A klappt ein Zugriff auf den Namespace \\A.local.\Storage und \\A.local.\Storage\Folder einwandfrei!

 

Nun gibt es noch Domäne B

Im DNS der Domäne B gibt es eine Sekundäre DNS-Zone für Domäne A (Namensauflösung von A.local. klappt auch ohne Probleme)

 

 

Die Fakten sind:

Direkter Zugriff auf die "direkte Freigabe der DFS-Server" klappt über Name und Berechtigungen: \\Rechner1.A.local.\Folder und \\Rechner2.A.local.\Folder einwandfrei.

Eine bidirektionale Vertrauensstellung (extern da unterschiedliche GS) ist eingerichtet und hält der Überprüfung stand.

 

bisherige Diagnose:

Auf einem client der Domäne B "dfsutil /spcinfo":

 

[*][DC.B.local]

[*]

[*][b.local]

[-][A.local]

[+][b.local]

[+DC1.A.local]

[-DC2.A.bvg.local]

[+][A]

[+DC1]

[-DC2]

[-]

 

-> scheint für mich i.O. zu sein!

 

net view des Domaincontollers der Domäne A zeigt Freigaben ABER nicht den Namespace

-> seltsam

 

net view der REchner die den Namespace hosten zeigen den Freigegebnen Ordner "Folder" wie auch den Namespace an

-> schein für mich i.O. zu sein!

 

dfsutil /pktinfo auf Client aud Domäne B:

 

--mup.sys--

2 entries...

Entry: \B.local\sysvol

ShortEntry: \B.local\sysvol

Expires in 180 seconds

UseCount: 0 Type:0x1 ( DFS )

0:[\DC-1.B.local\sysvol] State:0x131 ( ACTIVE TARGETSET )

1:[\DC-2.B.local\sysvol] State:0x121 ( TARGETSET )

 

Entry: \A.local.\storage

ShortEntry: \A.local.\storage

Expires in 0 seconds

UseCount: 0 Type:0x81 ( REFERRAL_SVC DFS )

0:[\NT-NAS01\Storage] State:0x109 ( TARGETSET )

1:[\NT-NAS02\Storage] State:0x09 ( )

 

 

DfsUtil command completed successfully.

 

-> hier liegt in meinen Augen das Problem... die Beiden Storageserver werden auf Anfrage des DFS-Namespaces korrekt zurück gegeben, allerdings hat der "Primäre" nicht den Status "ACTIVE" (wie z.B. innerhalb der Domäne A oder der SYSVOL freigabe)

 

und jetzt kommt Ihr ins Spiel... Was habe ich übersehen / wo liegt mein Fehler?

 

Vielen Dank im Voraus schon einmal!

 

so long...

[UsualSuspect 10]

so, ich bin ein kleines Stück weiter gekommen....

 

Mir ist nun aufgefallen dass das Problem auftritt sobald ich einen Namespace erstelle der NICHT auf einem Domaincontroller "gehostet" wird. Sobald der Namespace auf einem anderen Rechner gehostet wird gibt es Zugriffsprobleme!

 

Das Selbe gilt übrigens für Ordner. Wird ein Ordner auf einem anderen Rechner als dem DC freigegeben, kann nicht drauf zugegriffen werden.

 

Also:

 

Namespace auf DC - OK

Namespace auf DC und Ordnerfreigabe auf DC - OK

Namespace auf DC und Ordnerfreigabe auf RechnerX - Bis zum Namespace OK, bei Freigabezugriff FEHLER

Namespace auf RechnerX - FEHLER

Namespace auf REchnerX und Ordnerfreigabe auf RechnerX - FEHLER

 

Warum? - Ich habe keinen blassen schimmer!

 

P.S.

es ist immer ein domänenbasierter Namespace!

[olc 18]

Hi UsualSuspect und willkommen an Board, :)

 

wie sehen denn die Berechtigungen auf dem Namespace Share aus? Sind die Authentifizierten Benutzer berechtigt (Share als auch NTFS)?

 

Was passiert, wenn Du aus Domäne B auf \\A.local zugreifst - bekommst Du dann eine Anzeige der möglichen Ziele (ggf. nur das SYSVOL) oder scheitert dieser Zugriff schon?

 

Viele Grüße

olc

[UsualSuspect 10]

Hi OLC,

 

danke erstmal für die Antwort. Da ich befürchtet habe, mir ist vielleicht irgendwo ein Fehler unterlaufen, habe ich noch einmal von vorne angefangen!

 

1. bin auf Rechner1.A.local (WSS2k8ENT) -> DFS-Verwatlung -> neuen Namespace!

Der Namespace wird gehostet auf DC.A.local und nennt sich "Storage" dort unter "Einstellungen bearbeiten" lokaler Pfad (bleibt default auf DC.A.local) und Berechtigungen " Alle Benutzer haben nur Leseberechtigungen!

Der Typ des Namespaces wird "Domänenbasierter Namespace"

 

=> Namespace erstellt

Zugriff auf Namespace klappt vom DC.A.local (Namespace ist sichtbar)

Zugriff auf Namespace klappt von DC.B.local (Namespace ist sichtbar)

Zugirff auf Namespace klappt von X.A.local (Namespace ist sichtbar)

Zugriff klappt NICHT von X.B.local (Namespace ist sichtbar)

"Auf A.local\Storage kann nicht zugegriffen werden. Sie haben eventuell keine Berechtigung, diese Netzwerkressource zu verwenden. Wenden Sie sich an den.....

.... Die Konfiguration konnte vom Domänencontroller nicht gelesen werden. Mit dem Computer kann keine Verbindung hergestellt werden, oder der Zugriff wurde verweigert."

 

 

wie sehen denn die Berechtigungen auf dem Namespace Share aus? Sind die Authentifizierten Benutzer berechtigt (Share als auch NTFS)?

Freigabeberechtigung der Freigabe "Storage" ("C:\DFSRoots\Storage") auf DC.A.local :

"Jeder" darf Lesen

NTFS Berechtigunge auf DC.A.local "C:\DFSRoots\Storage":

"Jeder" darf Lesen, Ausführen; Ordnerinhalt auflisten; Lesen

 

Was das SYSVOL von A.local angeht:

Zugriff auf SYSVOL klappt vom DC.A.local

Zugriff auf SYSVOL klappt von DC.B.local

Zugirff auf SYSVOL klappt von X.A.local

Zugriff auf SYSVOLk lappt von X.B.local

 

Was passiert, wenn Du aus Domäne B auf \\A.local zugreifst - bekommst Du dann eine Anzeige der möglichen Ziele (ggf. nur das SYSVOL) oder scheitert dieser Zugriff schon?

Wenn ich von B auf \\A.local zugreife sehe ich alles, sowohl die normalen Freigaben, das SYSVOL wie auch die "Namespacefreigabe" wobei ich nicht weiß ob er da den Namespace sieht, oder nur die dazugehörige Freigabe!

 

//edit: is scheint der Namespace zu sein, da ich bei dem Ornder "Storage" den reiter DFS habe, bei den normalen Freigaben nicht! Dort steht übrigens als Status "Aktiv = nein" was zu der dfsutil /pktinfo Ausgabe:

 

Entry: \A.local\Storage

ShortEntry: \A.local\Storage

Expires in 300 seconds

UseCount: 0 Type:0x81 ( REFERRAL_SVC DFS )

0:[\DC\Storage] State:0x109 ( TARGETSET )

 

passt... dort fehlt mir auch das "(ACTIVE TARGETSET)"

 

 

merci soweit

[UsualSuspect 10]

sorry für doppelpost, aber vielleicht helfen infos weiter:

 

Erstelle ich eine stink normale Freigabe auf DC.A.local passiert folgendes:

 

Mit Rechner X.B.local komme ich auf die Freigabe wenn ich sie über \\DC.A.local\Freigabe anspreche. Ich komme aber NICHT auf die Freigabe wenn ich Sie über \\A.local\Freigabe anspreche. In beiden fällen ist die Freigabe jedoch sichtbar!

[olc 18]

Hi,

 

wenn Du nur direkt über den Servernamen drauf kommst, nicht aber über den Namespace, dann vermute ich, daß Du die Berechtigungen (entweder auf Freigabeebene oder auf NTFS Ebene) des Links nicht korrekt gesetzt hast.

 

Überprüfe die Berechtigungen auf Namespace Ebene noch einmal.

 

Viele Grüße

olc

[UsualSuspect 10]

Hey,

 

damit wir uns hier richtig verstehen und nicht aneinander vorbei reden:

 

Freigabeberechtigung:

DFS-Verwaltung -> Namespace -> \\A.local\Storage -> Reiter Namespaceserver -> \\DC\Storage -> Eigenschaften -> Freigabeberechtigungen:

Dort hat "jeder" Leserechte, zusätzlich habe ich nun noch "Administrator" aus der Domäne B.local leserechte gegeben.

 

Das sind dann die selben Berechtigungen die auch direkt auf dem Freigegebenen Ordern auf dem DC liegen C:\DFSRoot\Storage

 

NTFS:

C:\DFSRoot\Storage -> Sicherheit, dort darf auch "Jeder" lesen. Zusätzlich haben ich noch dem Administrator aus der Domäne "B.local" leserechte gegeben.

 

Innherlb von Rechner X.B.local melde ich mich als Domänenadministrator an.

 

Selbes Phänomen, keine Änderung :(

 

wenn du von

Überprüfe die Berechtigungen auf Namespace Ebene noch einmal.

redest, ist mir nicht ganz klar wo ich direkt auf dem Namespace und nicht auf dem Namespace-Server die Berechtigungen vergeben kann.

 

Ist damit vielleicht in der MMC "Active Direcotry-Benutzer und - Computer" das Objekt "A.local/System/Dfs-Configuration/Storage" gemeint?

bei diesem Objekt steht allerdings unter "Sicherheit" auch der Administrator der Domäne B mit den Rechten "Vollzugriff, Lesen und Schreiben" drinnen.

[UsualSuspect 10]

*bump* weil noch keine Lösung gefunden!