WINS & Replizierung der Verzeichnispartition

[sZone 10]

Hallo zusammen,

 

vor drei Wochen wurde unser AD / WINS / DNS / DHCP von 2K3 auf 2K8R2 migriert.

 

Seit dem sind mir zwei Dinge aufgefallen.

 

1. In den Netzwerkumgebungen der Rechner und Server erscheint nur noch ein geringer Teil der Computer und Server.

 

Dies würde auch diverse Verbindungsprobleme einiger Workstations zu diversen Servern erklären, die ja über den NetBIOS Namen kommunizieren.

 

Ich habe die WINS-Server geprüft und dort schaut alles OK aus. Des Weiteren habe ich auf allen Serven und Workstations, mit fester IP, manuell die WINS-Server Adressen eingetragen. Anfangs lief auch alles vernünftig.

 

Vielleicht kann mir ja jemand einen Tipp geben.

 

2. Auf unserem DC2 scheint es Probleme bei der Replizierung der Verzeichnispartition zu geben. Ich bekomme täglich mehrmals folgende Meldung:

 

Protokollname: Directory Service

Quelle: Microsoft-Windows-ActiveDirectory_DomainService

Datum: 12.05.2011 13:09:44

Ereignis-ID: 1567

Aufgabenkategorie:Konsistenzprüfung

Ebene: Fehler

Schlüsselwörter:Klassisch

Benutzer: ANONYMOUS-ANMELDUNG

Computer: SRVDEDC2.XXXXX.DE

Beschreibung:

Bevorzugte Bridgeheadserver wurden ausgewählt, um die standortübergreifende Replikation mit dem folgenden Standort mithilfe des folgenden Transports zu unterstützen. Keiner dieser bevorzugten Bridgeheadserver kann jedoch die folgende Verzeichnispartition replizieren.

 

Standort:

CN=XXXXX-XXXXX,CN=Sites,CN=Configuration,DC=XXXXX,DC=DE

Transport:

CN=IP,CN=Inter-Site Transports,CN=Sites,CN=Configuration,DC=XXXXX,DC=DE

Verzeichnispartition:

DC=DEHH,DC=XXXXX,DC=DE

 

Benutzeraktion

 

- Konfigurieren Sie einen Verzeichnisserver, der die Replikation dieser Verzeichnispartition unterstützen kann, als bevorzugten Bridgeheadserver für diesen Transport.

- Überprüfen Sie, ob die entsprechenden Serverobjekte für diesen Transport über eine Netzwerkadresse verfügen. Beispielsweise müssen Verzeichnisserver, die mithilfe des SMTP-Transports replizieren, ein mailAddress-Attribut haben. Dieses Attribut wird normalerweise automatisch nach Abschluss der Installation des SMTP-Dienstes konfiguriert.

 

In der Zwischenzeit betrachtet die Konsistenzprüfung alle Verzeichnisserver an diesem Standort als mögliche Bridgeheadserver für diese Verzeichnispartition.

 

XXXXX=Domain-Name

XXXXX=Standort

 

Auch hier wäre ich für einen Hinweis zur Problemlösung dankbar.

 

Viele Grüße

 

sZone

[NilsK 2.785]

Moin,

 

bitte zu verschiedenen Problemen einzelne Threads öffnen.

 

1. In den Netzwerkumgebungen der Rechner und Server erscheint nur noch ein geringer Teil der Computer und Server.

 

ja und? Die Netzwerkumgebung hat schon immer Aussetzer gehabt. Ob ein Rechner dort auftaucht, hat nichts damit zu tun, ob er erreichbar ist oder nicht. Auch mit der NetBIOS-Namensauflösung hat das nicht zu tun, jedenfalls nicht direkt.

 

Da in den meisten Umgebungen, wo das Problem beobachtet wird, die Netzwerkumgebung real gar nicht benötigt wird, kann man das i.d.R. ignorieren.

 

Dies würde auch diverse Verbindungsprobleme einiger Workstations zu diversen Servern erklären, die ja über den NetBIOS Namen kommunizieren.

 

Nein, erklärt es nicht. Siehe oben. Eher umgekehrt: Wenn es tatsächlich Kommunikationsprobleme gibt, sind die wahrscheinlich auch die Ursache für die Lücken in der Netzwerkumgebung.

 

Welche Probleme treten bei den Clients konkret auf?

 

2. Auf unserem DC2 scheint es Probleme bei der Replizierung der Verzeichnispartition zu geben. Ich bekomme täglich mehrmals folgende Meldung:

 

Laut der Meldung hast du einen bevorzugten Bridgehead eingetragen. Wozu das?

 

Wie ist die Standort- und Subnetstruktur? Was sagt dcdiag?

 

Gruß, Nils

[zahni 521]

Für die Netwerkumgebung: Auf dem PDC Emulator (!) prüfen, ob der Computersuchdienst aktiviert und gestartet wurde. Ohne ihn gibt keinen Domain Master Browser.

Der wird seit 2008 und Vista nicht mehr automatisch gestartet. Ansonsten kann man Nils zustimmen.

[sZone 10]

Hallo zahni, hallo NilsK,

 

erst mal Danke für die Antworten.

 

@ zahni

Meinst Du mit dem Computersuchdienst "Computerbrowsing"!

 

@NilsK

Antwort 1:

Vor dem Wechsel auf W2K8R2SP1 wurden alle Workstations und Server in der Netzwerkumgebung gefunden.

 

Wir arbeiten oft mit der Netzwerkumgebung um auf Freigaben zuzugreifen. Jede WS (ca. 100) hat bei uns einen freigegebenen Ordner.

 

Merkwürdig ist halt, dass mal alle Geräte und mal nur ein geringer Teil angezeigt wird.

 

Antwort 2:

Unsere globalen Standorte arbeiten mit einem Java-Applet und greifen direkt (ODBC), über eine VPN-Verbindung, auf unseren Warenwirtschaft zu. Hier kommt es immer wieder zu erheblichen Verzögerungen bzw. Abbrüche der Verbindungen. Aber erst nach dem Wechsel auf W2K8R2SP1.

 

Antwort 3:

Was den bevorzugten Bridgehead angeht..., wir haben diese Arbeiten von einer externen Firma durchführen lassen. Leider ist der Support im Nachhinein eher schleppend. Deswegen hänge ich ja nun damit an... :nene:

 

Von daher kann ich nicht genau sagen warum es einen bevorzugten Bridgehead gibt. Ich habe lediglich diese Ereignisanzeige gesehen.

 

Hier noch mal die "Nicht bestandenen" dcdiag Tests (NCSecDesc):

Starting test: NCSecDesc
   Fehler: NT-AUTORITÄT\DOMÄNENCONTROLLER DER ORGANISATION besitzt keine
      Replicating Directory Changes In Filtered Set
   Zugriffsrechte für den Namenskontext:
   DC=ForestDnsZones,DC=[color="Red"]XXXXX[/color],DC=DE
   Fehler: NT-AUTORITÄT\DOMÄNENCONTROLLER DER ORGANISATION besitzt keine
      Replicating Directory Changes In Filtered Set
   Zugriffsrechte für den Namenskontext:
   DC=DomainDnsZones,DC=[color="Red"]XXXXX[/color],DC=DE
   ......................... SRVDEDC1 hat den Test NCSecDesc nicht
   bestanden.

 

VG, sZone

[zahni 521]

Ja, den meine ich.

 

Bei dem Rest empfehle ich Dir dringend, einen Profi einzuladen, der Dir das richtet. Ich glaube, Deine Probleme lassen sich hier so nicht lösen.

[Daim 12]

Servus,

 

was den Bridgeheadserver (BHS) angeht, sollte man in den meisten Fällen keinen DC *manuell*als BHS auswählen und stattdessen die Wahl des BHS dem AD überlassen. Dazu empfehle ich:

 

LDAP://Yusufs.Directory.Blog/ - Die Auswahl eines Bridgeheadserver

 

 

Was die DCDIAG Meldung anbetrifft, die ist nicht schlimm. Siehe dazu:

 

LDAP://Yusufs.Directory.Blog/ - DCDIAG: NCSecDesc Fehler

[sZone 10]

Der "Profi" war ja vor Ort.

 

Ich habe gerade zwei Stunden mit einem anderen "Profi" telefoniert. Der hatte zum Glück Ahnung und hat auch gleich diverse Dinge gefunden. Es waren noch DC's im AD eingetragen die es gar nicht mehr gibt usw.

 

Man muss es sich mal vorstellen, da kommt ein "Profi" (130 EUR / Std) und richtet alles ein. Anschließend meldet er den Status fertig und hat scheinbar nichts weiter getestet. 10 mal auf weiter klicken hätte ich auch hinbekommen...

 

Und unterm Strich verbringe ich selber stundenlang mit der Problemsuche obwohl ich gerade das vermeiden wollte! Und dann ist auch noch Fr. der 13.. :mad:

 

Aber noch mal Danke für eure Unterstützung.

 

VG, sZone

[NorbertFe 1.805]

Der "Profi" war ja vor Ort.

 

Ich habe gerade zwei Stunden mit einem anderen "Profi" telefoniert. Der hatte zum Glück Ahnung und hat auch gleich diverse Dinge gefunden. Es waren noch DC's im AD eingetragen die es gar nicht mehr gibt usw.

 

Man muss es sich mal vorstellen, da kommt ein "Profi" (130 EUR / Std) und richtet alles ein. Anschließend meldet er den Status fertig und hat scheinbar nichts weiter getestet. 10 mal auf weiter klicken hätte ich auch hinbekommen...

 

Und unterm Strich verbringe ich selber stundenlang mit der Problemsuche obwohl ich gerade das vermeiden wollte! Und dann ist auch noch Fr. der 13.. :mad:

 

Aber noch mal Danke für eure Unterstützung.

 

VG, sZone

 

Was genau hat dich gehindert den ersten Profi ranzuzitieren und ihm zu verstehen zu geben, dass "Status fertig" eher nicht zutreffend für seine Arbeit ist? ;)

 

Bye

Norbert

[sZone 10]

Ich habe den ersten "Profi" nicht heranziehen können. Aber Sein Kollege "Profi 2" ist eingesprungen.

Die Einstellung einiger Dienstleister ist schon traurig. Aber vielleicht lag es ja auch nur an dieser einen Person.

[NorbertFe 1.805]

Sowas solls geben. ;) So oder so, dürfte das beim selben Dienstleister dann rechnungstechnisch aber halbwegs vernünftig zu lösen sein, oder?

 

Bye

Norbert

[sZone 10]

@NorbertFe

Ich habe den Vertriebler bzgl. der kostenfreien Nachbesserung schon angerufen. Er meinte "Das bekommen wir schon irgendwie hin"..., ich bin gespannt! Denn es wird noch zu einem neuen Vor-Ort-Termin kommen.

 

@Daim

Kommt die DCDIAG-Fehlermeldung ggf. zustande weil die Domänenfunktionsebene/Gesamtstrukturfunktionsebene noch auf W2K3/W2K0 ist!

Die neuen Server sind ja W2K8R2. Oder habe ich den Artikel falsch gedeutet!

[Daim 12]

@Daim

Kommt die DCDIAG-Fehlermeldung ggf. zustande weil die Domänenfunktionsebene/Gesamtstrukturfunktionsebene noch auf W2K3/W2K0 ist!

Die neuen Server sind ja W2K8R2. Oder habe ich den Artikel falsch gedeutet!

 

Ja, hast du. Ich hebe den entscheidenden Satz aus meinem Artikel hervor:

 

Das DCDIAG ab Windows Server 2008 bringt bei dem NCSecDesc Test einen Fehler, wenn der Befehl ADPREP /RODCPREP nicht ausgeführt wurde.

[sZone 10]

Ah ok, danke!