DomainController-Synchronisation nach Recovery

[S.R. 14]

Hallo,

 

ich habe hier ein Netzwerk mit zwei W2K3-Domain-Controllern. Ich hatte folgendes Problem und bin nun auf der Suche nach einer BestPraciseLösung, um aus dem Schlamassel wieder rauszukommen.

 

1) eine Festplatte aus Raid1 von dc1 (Domain Controller 1) ausgefallen

2) dc1 heruntergefahren, Backup von dc1 durchgeführt, dc1 neu gestartet

3) dc1 hat sich wieder synchronisiert mit dc2

4) neue Festplatte bestellt und bevor diese angekommen ist, ist auch die zweite Festplatte defekt. Noch mal eine Festplatte bestellt

5) beide neuen Festplatten wieder eingebaut, Raid erstellt, Backup wieder aufgespielt, dc1 fährt problemlos wieder hoch

 

Nun kann sich dc1 aber nicht mehr mit dc2 synchronisieren; aus meiner Sicht deshalb, weil das eingespielte Backup älter ist, als der Stans nach Schritt 3), den dc2 aber noch irgendwie gespeichert hat - richtig?

 

Jetzt müsste man doch dc2 sagen, dass er der "Domain-Master" ist und dc1 musst man dazu zwingen, alle Informationen zu vergessen und sich alles neu von dc2 zu holen.

 

Hat hier jemand gute Tipps, wie am besten vorzugehen ist? Bin für jeden Ansatz dankbar, um das Problem in den Griff zu bekommen.

 

Dankend

 

Stefan

[Sunny61 773]

Hat hier jemand gute Tipps, wie am besten vorzugehen ist? Bin für jeden Ansatz dankbar, um das Problem in den Griff zu bekommen.

 

Gibts denn exakte Fehlermeldungen aus dem Eventlog? Wenn ja, dann poste sie doch gleich mit. Die Glaskugeln liegen vermutlich noch im Winterschlaf. ;)

[Daim 12]

Servus,

 

wenn es sich um reine DCs handelt, warum hast du überhaupt den DC rückgesichert?

In den meisten Fällen ist es für die Administratoren einfacher in so einem Fall den gecrashten DC aus den Metadaten des ADs zu entfernen, den DC zu reparieren und neu zu installieren und anschließend ganz normal wieder als zusätzlichen DC zur Domäne hinzuzufügen.

 

Einen "Master" gibt es so auch nicht, denn seit der Einführung des Active Directory mit Windows 2000 gibt es nur noch DCs. In einer AD-Umgebung hat, im Gegensatz zu einer NT-Umgebung wo lediglich der PDC das Schreibrecht in die Security Account Manager (kurz SAM) Datanbank hatte, jeder DC das Schreibrecht. Da diese Konstellationen auch zu Problemen führen kann (wenn z.B. zwei DCs gleichzeitig das AD-Schema ändern) dürfen eben manche Änderungen nur von bestimmten DCs durchgeführt werden. Diese DCs sind die Träger der fünf FSMO-Rollen.

 

LDAP://Yusufs.Directory.Blog/ - Die FSMO-Rollen verschieben

 

 

Wie alt ist denn die Sicherung die verwendet wurde? Und ja, die DCs kennen den Replikationsstand ihrer Replikationspartner.

[S.R. 14]

Hi,

 

hab das Problem erst per Telefon berichtet bekommen - war noch nicht vor Ort und hab daher auch keine genaue Fehlerbeschreibung aus dem Windows-Log...

 

Der dc1 wird leider nicht ausschließlich als Domain-Controller verwendet - darauf laufen noch ein paar andere Dienste. Somit wäre dies mit enorm viel Aufwand verbunden, alles neu einzurichten - dafür gibt es ja das Backup :-)

 

Das Backup ist knapp eine Woche alt - bis auf den AD-Stand aber komplett und aktuell...

 

Was wäre, wenn wir den dc1 einfach komplett aus der Domain nehmen und dann neu einbinden - sollte das nicht reichen?

 

Gruß

 

Stefan

[GuentherH 61]

Hallo.

 

Das Backup ist knapp eine Woche alt

 

Wie, und mit welchem Programm wurde den das Backup durchgeführt?

 

LG Günther

[Daim 12]

Das Backup ist knapp eine Woche alt - bis auf den AD-Stand aber komplett und aktuell...

 

OK, dann ist zumindest das Alter des Backups nicht das Problem. Die Frage jedoch noch, wie die Sicherung erstellt wurde? Ich hoffe nicht durch ein Image?

 

Was wäre, wenn wir den dc1 einfach komplett aus der Domain nehmen und dann neu einbinden - sollte das nicht reichen?

 

Das reicht für die Funktion des DCs. Ob das die Dienste auf dem DC "verkraften", hängt von den Diensten ab. ;)

 

Da sich die DCs nicht mehr replizieren, müsstest du mit DCPROMO /Forceremoval die AD Daten lokal vom DC entfernen. Ein einfaches DCPROMO zum herunterstufen des DCs funktioniert nicht, wenn sich die DCs nicht replizieren können. Daher gewaltsam mit /Forceremoval. Danach müssen aber noch zwingend die Metadaten des AD bereinigt werden.

 

LDAP://Yusufs.Directory.Blog/ - Das Active Directory gewaltsam vom DC entfernen

LDAP://Yusufs.Directory.Blog/ - Die Metadaten des Active Directory unter Windows Server 2008 bereinigen