netlogon fehler nach inplace migration

[nepomuk 10]

hallo,

das elend plagt mich in form von nt4 :(

nach der erfolgreichen migration eines nt4 pdc auf windows 2003-interim AD lief alles ungefähr einen tag gut. die eventlogs auf allen BDCs zeigten an, dass sie sich synchronisieren können, die anwendungen liefen.

 

seit heute mittag geht auf keinem nt4-bdc der netlogon dienst mehr - er lässt sich nicht starten. die event-id ist 3210, der text lautet:

Echtheitsbestätigung des Windows NT-Domänen-Controllers \\DCMIG der Domäne <domänenname> fehlgeschlagen

. quelle ist NETLOGON.

 

mir wird ganz anders ... wie bekomme ich die bdcs wieder dazu, sich mit dem "interim-PDC" zu synchronisieren???

ich bin für jede hilfe dankbar!!!

 

es wurden auf dem interim-dc (also der w2k3 dc mit pdc-emulator) windows updaters durchgeführt ... ja, das war vielleicht eine dumme idee, aber es ist bereits passiert ...

 

nepomuk :cry:

[NilsK 2.785]

Moin,

 

solange du in der Domäne noch NT-BDCs hast, sollte es zumindest möglich sein, den 2003-DC mit der PDC-Rolle abzuschalten und einen der BDCs zum PDC hochzustufen. Damit ist das Problem zwar noch nicht behoben, aber die Auswirkungen.

 

Dies hier hast du schon durch?

 

http://www.eventid.net/display.asp?eventid=3210&eventno=1115&source=NETLOGON&phase=1

 

Ansonsten tippe ich mal auf Sicherheits-, Verschlüsselungs- oder Signatureinstellungen auf dem 2003. Schau z.B. mal hier:

 

Zugriff von DOS, 9x oder Linux auf einen Windows 2003 Server

 

Wenn es das nicht ist, gehe auf dem 2003-DC die diversen Einstellungen der Gruppenrichtlinien durch.

 

Gruß, Nils

[nepomuk 10]

hallo nils,

ja, eventid.net ist eigentlich immer meine erste anlaufstelle. die paar euro haben sich schon oft gelohnt. aber diesmal habe ich keine lösung gefunden. ich habe auch keine wirklich schlüssigen fehlermeldungen auf dem dc gefunden - ausser dass die synchronisation fehl schlug :wink2:

aber wenn eben kein fehler zu finden ist, muss man die dinge erneut von null angehen, die man geändert hat: habe den dns-server komplett neu aufgesetzt, habe den wins-server, neu konfiguriert (läuft ja nur wegen eventueller baustellen mit den nt4-servern). danach habe ich alle dcs neu gestartet. seither läuft es - schreibcache hatte ich noch entfernt ... aber der wird's wohl nicht gewesen sein?! scheinbar war der fehler ursächlich in der dns-konfiguratiion und/oder im immer noch angezogenen wins-dienst.

 

aber ehrlich - ich weiss es nicht, bin nur froh, dass es jetzt läuft!

 

gruss, nepo

[NilsK 2.785]

Moin,

 

okay, gut, dass es jetzt läuft. DNS ist bei sowas immer ein heißer Kandidat.

 

faq-o-matic.net DNS fr Active Directory: Empfehlungen “von der Quelle”

 

Gruß, Nils

[nepomuk 10]

hallo nils & natürlich auch alle anderen, :)

 

zum artikel (es war übrigens ein verwaltungskonflikt in der zonenkonfiguration) habe ich fragen.

1. warum immer noch wins? ich war bis eben fest überzeugt davon, dass aber auch gar keinen grund mehr für wins in einer ad-umgebung geben sollte?
2. der englische artikel sagt: 3.When referencing a DNS server on itself, a DNS client should always use a loopback address and not a real IP address. - in eurem eigenen artikel sagt ihr das gegenteil. ich persönlich bin der meinung, dass das irrelevant ist. aber ... wie begründet sich nun die präferenz von real ip oder loopback address???

danke für infos dazu & gruss

nepomuk

[NilsK 2.785]

Moin,

 

faq-o-matic.net Brauche ich noch WINS, wenn ich ein AD betreibe?

 

Zu der Loopback-Adresse: Es kann sein, dass unsere Empfehlung, die Loopback-Adresse durch die "echte" zu ersetzen, mittlerweile obsolet ist. Vor mehreren Jahren hatte ich Probleme mit DNS festgestellt, die verschwanden, als keine Loopback-Adresse mehr eingetragen war. Da ich die genauen Umstände nicht mehr weiß, kann ich aber auch nichts Näheres mehr dazu sagen. Ich werde das in dem Artikel mal ändern.

 

Gruß, Nils

Übrigens wäre es nett, wenn du die Shift-Taste benutzt. Deine Tastatur hat extra zwei davon.

[NorbertFe 1.799]

1. warum immer noch wins? ich war bis eben fest überzeugt davon, dass aber auch gar keinen grund mehr für wins in einer ad-umgebung geben sollte?

 

AD braucht auch keinen WINS. Aber deine ganzen Anwendungen/Anwender sicher ;)

faq-o-matic.net Brauche ich noch WINS, wenn ich ein AD betreibe?

 

Bye

Norbert

[Daim 12]

Hola,

 

Vor mehreren Jahren hatte ich Probleme mit DNS festgestellt, die verschwanden, als keine Loopback-Adresse mehr eingetragen war.

 

das ist *ein* Grund:

 

RAS Clients Receive 127.0.0.1 for DNS Server Address

[NorbertFe 1.799]

Off-Topic:
Das ist doch kein Problem. ;) Kennen deine User etwa nicht die IP Adressen der wichtigen Server auswändig? ;)

Bye
Norbert

[nepomuk 10]

RAS Clients Receive 127.0.0.1 for DNS Server Address

aha, DAS ist ein begründeter ansatz. :wink2:

heisst aber für mich (lassen wir jetzt mal w2k aussen vor und reden nur von 2k3 und 2k8 sowie xp und w7), dass die lösung primärer dns = ein anderer dc secondary = loopback in ordnung wäre, oder?!

 

... ansonsten bin ich noch schwer am lesen der vielen infos von nils und norbert

[NilsK 2.785]

Moin,

 

... ansonsten bin ich noch schwer am lesen

 

ja, schwer am Lesen bin ich bei deinen Beiträgen auch. Durch Groß- und Kleinschreibung kannst es du denen, die dir helfen sollen, deutlich einfacher machen.

 

const Zaunpfahl = off;

 

Gruß, Nils

[nepomuk 10]

Off-Topic:
Die Botschaft war angekommen. Nur die Umsetzung ist für mich gewöhnungsbedürftig. Entschuldige, ich geb mir jetzt Mühe... (Aber auf die EssZetts verzichte ich dennoch, denn Sütterlin habe ich nicht erlernt ;) )

[Daim 12]

dass die lösung primärer dns = ein anderer dc secondary = loopback in ordnung wäre, oder?!

 

Ja, das ist in Ordnung. Wobei ich weiterhin empfehle, die echte IP-Adresse einzutragen und nicht die Loopback.

[NilsK 2.785]

Moin,

 

ok. :)

Ich habe den "Reloaded"-Artikel jetzt übrigens in der Loopback-Frage angepasst.

 

Gruß, Nils

[nepomuk 10]

Guten Abend,

die Lektüre zu WINS war höchst aufschlussreich! Kein Witz. Ich glaube, einige Baustellen aus unserem sehr stark segmentierten und heterogenen Netzwerk wieder erkannt zu haben, in dem trotz diverser ADs nur BIND wirklich regiert ...

Und als Hommage an den "Mario/Daniel-Diskurs" verabschiede ich mich mit

Jeder nur ein Kreuz

:p nepomuk