RAS haut mir das AD weg

[DerRossi 10]

Hallo!

 

Ich bin habe ein kleines Problem mit den RAS Diensten auf einem 2008er DC. Folgende Situation: Die Server (2 DCs, 1x phys., 1x virtuell) wurden irgendwann 2010 (vor meiner Zeit) installiert. Dem Routing und RAS wurde damals keine Beachtung geschenkt und nicht als Rolle hinzugefügt. Die wenigen VPN-verbindungen (für die Chefs und den alten Admin) wurden in der Netzwerkumgebung als "Eingehende Verbindungen" angelegt. Hat auch bis vor kurzem wunderbar funktioniert. Nur seit dem wir eine Niederlassung in Bayern haben, von wo per VPN mit 6 Clients (einen Server gibt es dort noch nicht. Der kommt übernächste Woche) in unser Netz eingewählt werden soll, wird jetzt täglich "Reise nach Jerusalem" gespielt. Einer bleibt draußen, weil die Option anscheinend nur 5 gleichzeitige Verbindungen erlaubt.

 

Ich habe gestern die Option Eingehende Verbindungen entfernt und RRAS als Rolle auf dem 1. DC hinzugefügt, konfiguriert und den RAS Dienst gestartet. Nach dem Start des Dienstes konnte ich von diesem DC nicht mehr aufs AD zugreifen, RDP-Verbindungen waren nicht mehr möglich und ins Internet kam der Server auch nicht mehr. Die Fehler waren alle wieder weg, nachdem ich den RAS Dienst komplett deaktiviert und den Server neugestartet habe.

 

Folgende Fehler sind in den Protokollen aufgetreten:

 

System ID 20106

 

Die Schnittstelle "{0E050CE2-EE00-42F8-AF88-70AB2A774FA0}" kann nicht zu dem Router-Manager für das Protokoll IPV6 hinzugefügt werden. Fehler: Die Funktion kann nicht abgeschlossen werden.

 

Verzeichnisdienst ID 2087 Active Directory DomainService

Die Active Directory-Domänendienste konnten den folgenden DNS-Hostnamen des Quelldomänencontrollers nicht in eine IP-Adresse auflösen. Dieser Fehler verhindert die Replizierung von Hinzufüge- bzw. Löschvorgängen oder Änderungen in den Active Directory-Domänendiensten zwischen einen oder mehreren Domänencontrollern in der Gesamtstruktur. Sicherheitsgruppen, die Gruppenrichtlinie, Benutzer und Computer und deren Kennwörter werden dadurch inkonsistent zwischen den Domänencontrollern, solange dieser Fehler nicht behoben wird. Eventuell wird auch die Anmeldungsauthentifizierung bzw. der Zugriff auf Netzwerkressourcen, beeinflusst.

 

Anmerkung hierzu: DNS hat vorher problemlos funktioniert. Der Fehler trat auch erst im Zusammenhang mit dem RAS Dienst auf.

 

Beim Aufrufen von Active Directory Benutzer und Computer erschien eine Fehlermeldung, die sinngemäß wiedergegeben folgendes aussagte:

 

Der Active Directory Verzeichnisdienst ist nicht installiert oder nicht verfügbar. Bitte überprüfen Sie, ob Active Diretory auf diesem Computer installiert ist.

 

Ich habe dann vor Schreck erst mal alles wieder rückgängig gemacht und gebetet, dass alles nach dem Rollback wieder funktioniert. Zum Glück war das auch so.

 

Ich brauche RAS unbedingt auf dem Server. Wie kriege ich das vernünftig zum Laufen?

[IThome 10]

Werden beim Konfigurieren des RRAS Filter gesetzt, die nur noch VPN-Verkehr zulassen ? Woher bekommen die VPN-Clients ihre Adressen, vom DHCP ? Oder aus einem statischen Pool, der sich in dem internen Bereich befindet ? Oder aus einem Pool, der sich nicht im internen Bereich befindet ?

Filter und DHCP-Adressen bzw. Pool-Adressen aus dem internen Bereich verursachen solche Probleme, wenn auf dem RRAS auch ein WINS/DNS läuft (liegt an der IP-Adresse der RAS-Schnittstelle) ...

Name resolution and connectivity issues on a Routing and Remote Access Server that also runs DNS or WINS

Es ist (um es mal vorsichtig auszudrücken) extrem suboptimal, einen RRAS auf einem DC zu installieren ...

[DerRossi 10]

Die VPN Clients sollen ihre IP Adressen aus dem internen DHCP-Pool bekommen. Bis auf die Windows Benutzerauthentifikation sind keinerlei weitere Richtlinien konfiguriert. Sozusagen "out-of-the-box". DNS und WINS laufen auf dem DC.

 

Ich habe hier neben einem Exchange und einem Datenbankserver (auf denen ich mit Sicherheit kein RAS installieren werde) noch einen 2008er mit Apache FTP als Member laufen. Der dient eigentlich nur zum "Spielen". Ich denke, ich gebe dem mal testweise den RAS.