Sysvol / Netlogon werden nach Desaster Recovery nicht repliziert

[Dopamin 10]

Nabend zusammen,

 

ich stehe derzeit ein wenig auf dem Schlauch was meine Testdomäne betrifft. Folgender Aufbau:

 

dc00 (Server 2k8r2 Standard SP1) physikalisch

dc01 (Server 2k8r2 Standard SP1) VM auf ESX Server

exch00 (Exchange Server 2010 SP1) VM auf ESX Server

 

Nun zum Problem:

Wir haben nach einer Testphase den DC01 von einem ESXi Server auf einen ESX Server verschoben und dabei auch die HDDs von Thick auf Thin konvertiert. Seit dieser Umstellung gab es Replikationsprobleme im AD, welche sich nicht beheben ließen. DCPROMO auf DC01 war nicht möglich und ließ sich nur mit dem Schalter /FORCEREMOVAL entfernen. Gemäß der Blog Anleitung von Daim habe ich ein Metadata Cleanup durchgeführt und das DNS bereinigt. Im Anschluss habe ich DC01 wieder als zweiten DC der Domäne hinzugefügt, was keine Besserung gebracht hatte. Woraufhin ich DC01 wieder gewaltsam entfernt habe und die Prozedur mit Metadata Cleanup, etc. durchgeführt habe.

 

Und jetzt wird es haarig :(:

Da sich der Fehler nicht beheben lies, wie in unzähligen Blogs und KB Artikeln erwähnt, habe ich den PDC mit einem VollBackup drei Tage zurückgesetzte und danach noch eine autoritative VZ-Wiederherstellung durchgeführt. Die DC01 VM habe ich derweil komplett neu installiert um sie nach dem Metadata Cleanup auf DC00 als neuen DC hinzuzufügen.

 

Der Exchange wurde zwischenzeitlich mal heruntergefahren, aber es wurde nichts verändert (kein Backup oder ähnliches).

 

Soweit so gut.... DC00 gibt keine Fehler aus, weder mit DCDIAG noch mit REPADMIN und NETDOM gibt mir auch DC00 als FSMO Inhaber aller 5 Rollen aus. Allerdings bekomme ich auf DC01 weder SYSVOL noch NETLOGON Freigaben repliziert.

 

DCDIAG sagt:

 

Starting test: Advertising

Achtung: Bei dem Versuch, DC01 zu erreichen, wurden von DsGetDcName

Informationen für \\dc00.internal.xc zurückgegeben.

DER SERVER REAGIERT NICHT oder GILT ALS UNGEEIGNET.

......................... DC01 hat den Test Advertising nicht

bestanden.

 

Starting test: DFSREvent

Für den Zeitraum der letzten 24 Stunden seit Freigabe des SYSVOL sind

Warnungen oder Fehlerereignisse vorhanden. Fehler bei der

SYSVOL-Replikation können Probleme mit der Gruppenrichtlinie zur Folge

haben.

......................... DC01 hat den Test DFSREvent nicht bestanden.

 

Starting test: NetLogons

Die Verbindung mit der NETLOGON-Freigabe kann nicht hergestellt werden.(\\DC01\netlogon)

[DC01] Bei einem Vorgang vom Typ "net use" oder "LsaPolicy" ist der

Fehler 67 aufgetreten, Der Netzwerkname wurde nicht gefunden..

......................... DC01 hat den Test NetLogons nicht bestanden.

 

Alle anderen Tests von DCDIAG laufen soweit fehlerfrei durch.

 

 

Bereits von mir getestet:

 

- Der KB316790 hilft mir nicht, da ich diese Einträge in der Registry nicht habe

- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\Netlogon\Parameters --> SysvolReady von 0 auf 1 brachte nur den SYSVOL Ordner auf DC01 aber nicht NETLOGON

- repadmin /syncall oder /showrepl sagen, dass alles erfolgreich ist

- Beide DCs erkennen korrekt den Besitzer der FSMO Rollen

- Beide DCs laufen synchron (gesetzter Zeitserver)

- DNS Einträge sind überprüft

- Anmeldung an den DCs und am Exchange funktionieren

- Email und was dazu gehört (OWA, etc.) geht auch

- DC01 komplett neuinstalliert und schon 3x in die Domäne aufgenommen und sauber wieder entfernt (normal über DCPROMO)

- Beides DCs sind auf gleichem Patchstand

- Firewalls zwischenzeitlich abgestellt

 

Ich sehe vor lauter Wald den zu fällenden Baum nicht mehr :confused:. Wo habe ich mir hier verrannt? Muss der Dienst ntfrs unter 2008 R2 eigentlich laufen?

 

 

 

Freue mich auf euer Feedback und vielen Dank im Vorraus. Vielleicht kann ich mich ja doch noch auf ein wenig Wochenende freuen, wenn das klappt bis dahin ;).

 

Gruß, Olli

[Dopamin 10]

Mir scheint es ist das Problem wir hier geschrieben:

 

"When you restore a domain controller from backup (or when you restore the System State), the FRS database is not restored because the most up-to-date state exists on a current replica instead of in the restored database. When FRS starts, it enters a "seeding" state and then tries to locate a replica with which it can synchronize. Until FRS completes replication, it cannot share Sysvol and Netlogon.

 

If you restore all of the domain controllers in the domain backup, all the domain controllers enter the seeding state for FRS and try to synchronize with an online replica. This replication does not occur because all of the domain controllers are in the same seeding state. Setting the primary domain controller FSMO role holder to be authoritative forces the domain controller to rebuild its database based on the current contents of the system volume. When that task is completed, the Sysvol and Netlogon shares are shared. All the other domain controllers can then start synchronizing from the online replica. "

 

Quelle: KB316790

 

 

Nur find ich für Server 2008 R2 keine Lösung.

bearbeitet 9. Juni 2011 von 0l2i
Quelle hinzugefügt

[dmetzger 10]

Hilft das hier?:

 

How to force an authoritative and non-authoritative synchronization for DFSR-replicated SYSVOL (like "D4/D2" for FRS)

[Dopamin 10]

Hilft das hier?:

 

How to force an authoritative and non-authoritative synchronization for DFSR-replicated SYSVOL (like "D4/D2" for FRS)

 

You made my day :D

 

Besagter KB Artikel behob sofort das Problem. Vielen Dank für deine Hilfe. Bei den ganzen Artikeln der letzten Tage scheint dieser einfach unbeachtet geblieben zu sein...