Migration von DC 2k3 auf 2k16 möglich?

[kaineanung 14]

vor 1 Minute schrieb Marco31:

Image von DC's wiederherstellen ist seltenst eine gute Idee.

 

Wenn der Tag X da ist, wird schon alles klappen. Im Noffall will ich aber zurückgehen können. Besser das als daß meine Domäne gar nicht mehr funktioniert.

Das wird an einem WE passieren und somit werden alle PCs abgeschaltet sein bis bei uns in der EDV. Und darum frage ich ja euch hier ob irgendwer weiß ob da noch was anders verändert wird bei diesem Vorgang und ob es unproblematisch ist das dann wieder zurück zu setzen?

 

[Marco31 31]

Mit einem DC-Recovery aus einem Image bei laufenden Systemen kannst du dir dein komplettes AD zerschießen. Lass die Finger davon...

[kaineanung 14]

vor 54 Minuten schrieb Marco31:

Mit einem DC-Recovery aus einem Image bei laufenden Systemen kannst du dir dein komplettes AD zerschießen. Lass die Finger davon...

 

Das ist ja meine Frage: was sind 'laufende Systeme'?

DNS ist mit im Image, also Zustand von vor der Migration.

Der einzige DC in der Domäne ist im Image.

Alle Client-PCs sind ausgeschaltet. Switche werden sicherlich nicht betroffen sein von jeglichen Änderungen.

Unsere Server im Netzwerk (ERP Aplikationsserver und ERP-DB-Server und sonstige Server) sind nicht implementiert in die Active Direcotry bis auf daß das diese Domänenmitglieder sind (und das war es schon).

 

Wenn ich sowas mache wie Domänen-Level hochstufen und einen weiteren DC hinzufüge und dann den alten demote, dann betrifft das ja sonst niemanden ausser den DNS und die DC-Server selber, RICHTIG oder FALSCH? (Hoffe RICHTIG denn bei FALSCH müsste ich sicherheitshalber auch andere Systeme imagen die nicht als VM laufen. Bei den VMs müsste ich nur Snapshots anlegen..

Ich gehe davon aus das es nicht notwendig sein wird zurück zu rudern. Nur für den Fall will ich vorsorgen und Image ist das Einzige was geht.

 

Daher nochmals: schreibt der DC ausser im DNS noch irgendwo was weg beim migrieren oder der Gleichen oder verbleiben die restlichen Systeme (Server, Clients, Switche, Router, NAS-Storage, usw. ) unangetastet?

[Gulp 226]

Laufende System sind laufende System, was gibt es da nicht zu verstehen? Wenn der DC läuft ...... no image!

 

Da macht man ein anständiges Backup mit einem Systemstate dazu, das hat man ja ohnehin in seiner Umgebung, wenn man von den IT Systemen abhängt und muss ich sich nicht solche Gedankenspiele mit Images machen.

 

Grüsse

 

Gulp

[kaineanung 14]

Hallo Leute,

 

ich habe es soeben geschafft 'erfolgreich' den DC von W2k3 -> W2K8 -> W2K16 zu migrieren.

Ich habe nebenbei auch das SYSVOL von FRS nach DFSR migriert und es scheint zu funktionieren.

 

Es scheint zu funktionieren weil:

 

1. der neue DC der einzige DC im Testnetz (virtuell) ist und ich mich als User authentifizieren konnte (Test-Client ebenfalls im gleichen Testnetz) jedoch mit folgender Besonderheit:

1.1 mit 'unverändertem' User anmelden geht. Kann aber auch die lokale Speicherung der Anmeldedaten gewesen sein

1.2 User-Passwort auf dem neuen DC geändert und versucht sich mit dem alten Passwort am Client anzumelden: das hat funktioniert (blöderweise)

1.3 mit neuem User-Passwort sich nochmals angemeldet -> hat auch funktioniert?!?

1.4 wieder mit altem User-Passwort anmelden -> hat nicht mehr funktioniert..... (endlich. warum nicht gleich so?)

2. Die Netlogon.bat und diverse andere Scripte sind in der SysVol enthalten und zwari m originalen Zustand wie auf dem ursprünglichem Server (W2K3) -> das hat ebenfalls funktioniert

 

Was nicht funktioniert ist:

Auf dem alten W2K3-DC war auch der Fileserver untergebracht. Dieser läuft auch weiterhin als Fileserver ohne DC da dieser ja auf W2K16 migriert wurde.

Leider sind die ganzen Berechtigungen uznd Freigaben unnutz geworden weil der Server keine User mehr erkennt sondern nur noch SID mit einem Fragezeichen anzeigt wenn man sich die Sicherheitseinstellungen / Berechtigungen anschaut?

 

Wie ist das passiert und wie kann ich das verhindern?

[kamikatze 84]

vor 29 Minuten schrieb kaineanung:

Hallo Leute,

 

ich habe es soeben geschafft 'erfolgreich' den DC von W2k3 -> W2K8 -> W2K16 zu migrieren.

Ich habe nebenbei auch das SYSVOL von FRS nach DFSR migriert und es scheint zu funktionieren.

Bist du sicher dass es funktioniert? Hört sich nicht so an

 

[kaineanung 14]

vor 15 Minuten schrieb kamikatze:

Bist du sicher dass es funktioniert? Hört sich nicht so an

Nun ja, was den DC und die User- und Computerverwaltung angeht hat es ja geklappt. Auch die SYSVOL ist migriert worden.

Ich kann mich am Client anmelden und somit -> erfolgreich.

 

So, der Fileserver und die Berechtigungen darauf -> blöderweise nicht erfolgreich!

 

Wenn ich das noch mit dem Fileserver hinbekommen würde, dann wäre ja alles perfekt... WENN ich es hinbekomme...

 

Ich habe mir die Schritte aber aufgeschrieben und werde zurückspringen auf 'vor Migration'-Status (dank VMWare & Snapshots) und werde das alles jetzt noch genauer und ohne Umschweife 'durchspielen'. Vielleicht fällt mir ja dabei was auf?

Vielleicht weiß ja jemand hier an was es liegen könnte weil er selber dies so bereits erlebt hat und die Lösung gefunden hat?

[mba 133]

Der 2003er ist noch Domainmember?

[Marco31 31]

vor 12 Minuten schrieb kaineanung:

Ich habe mir die Schritte aber aufgeschrieben und werde zurückspringen auf 'vor Migration'-Status (dank VMWare & Snapshots) und werde das alles jetzt noch genauer und ohne Umschweife 'durchspielen'. Vielleicht fällt mir ja dabei was auf?

Vielleicht weiß ja jemand hier an was es liegen könnte weil er selber dies so bereits erlebt hat und die Lösung gefunden hat?

Ich hoffe nur in deinem Testlab? In der produktiven Umgebung ist das Harakiri...

[kaineanung 14]

vor 8 Minuten schrieb Marco31:

Ich hoffe nur in deinem Testlab? In der produktiven Umgebung ist das Harakiri...

Ja natürlich in meinem Testnetzwerk abgeschottet von dem produktiven Netz in einer virtuellen Umgebung.

Dort habe ich 1x Win7-Client, 1x Ubuntu DNS und DHCP-Server welcher während der Migration 'abgeschafft' wird, 1x W2K3-DC mit Fileserver und 1x W2K16 auf welchen AD migriert werden soll. Alles zusammen in einem virtuellen Netzwerk welches keine Kommunikation in das produktive Netz ermöglicht.

Von allen habe ich den Stand VOR der MIGRATION ein Snapshot damit ich das Szenario mehrere male durchspielen kann ohne alles neu aufsetzen zu müssen...

 

 

Aber dennoch interessiert mich ganz dringend die Antwort auf meine Frage: wo zum Teufel wird noch was verändert wenn ich einen DC migriere? Auf unseren HP-Switchen sicherlich nicht. An der FW auch nicht. Den Client-PCs sollte es egal sein gegen wen sie sich authentifizieren müssen und das bestimmt doch nur der DNS-Server mit den Netzdienst-Auflösungen. Ich sehe keine weitere 'Baustellen' die betroffen sein könnten die verhindertn könnten das ein 'zurückspringen' auf einen früheren Zeitpunkt gefährlich machen könnten (ob Snapshot oder Image-Recover ist dann auch egal)?

Ich werde es nicht in meiner produktiven Umgebung machen. Ich werde sicherheitshalber dennoch ein Image des DCs machen VOR der Migration. Dann habe ich wenigstens etwas in der Hinterhand....

 

@mba

Mist, ich habe die Snapshots widerhergestellt und kann das nicht mehr genau prüfen. Ich gehe mal davon aus der Server war kein Domänenmitglied mehr da ich beim migrieren mein Augenmerk auf die DCs gehabt habe und nicht auf den Fileserver und den nur im Nachhinein geschwind testen wollte. Jetzt wo du es erwähnst bin ich mir ziemlich sicher daß dieser kein Domänenmitglied mehr war.

Ich bin ein wenig verwirrt heute... ;)

 

 

[Marco31 31]

Google einfach mal nach den Stichworten DC, Recovery und Snapshot. USN Rollback sagt dir was?

[lefg 276]

vor 28 Minuten schrieb kaineanung:

Aber dennoch interessiert mich ganz dringend die Antwort auf meine Frage: wo zum Teufel wird noch was verändert wenn ich einen DC migriere?

 

Nirgendwo. Wo sollte das auch sein und welchen Sinn sollte das machen?

[kaineanung 14]

vor 2 Minuten schrieb lefg:

Nirgendwo. Wo sollte das auch sein und welchen Sinn sollte das machen?

Dann verstehe ich nicht was das Problem sein sollte ein Image des einzigen DCs in der Domäne zu machen für das Worst-Case-Szenario um wieder zurückzugehen?

Marco31 rät ja DRINGEND davon ab. Aber er hat im letzten Post ja Stichwörter genannt die ich mal kurz ergoogeln werde...

 

Aber dennoch einmal vorab: wenn sich alles auf diesem einen Server abspielt, dann sollte ich zurückspringen können auf das zuvor erstellte Image da die Änderungen sonst nichts anderes mit einbezogen haben und das Netzwerk und die 'Domäne' dann einfach so weiterlaufen sollten wie vor dem fehlgeschlagenen Versuch der Migration.

[lefg 276]

Da frage bitte Marco31. Der muss seine Empfehlung ja wohl begründen können. Ich möchte nicht in Spekulation abgleiten.

 

 

 

 

bearbeitet 11. September 2018 von lefg

[kaineanung 14]

vor 29 Minuten schrieb Marco31:

USN Rollback sagt dir was?

DAS IST mir schon klar und deutlich!

HÄTTE ich einen weiteren DC in der Domäne, dann wäre dies selbstverständlich ein Problem mit dem USN-Rollback.

Ausser VIELLEICHT ich würde zum gleichen Zeitpunkt auch von diesem anderen Server ein Image machen oder diesen zuvor demoten oder was auch immer.

Das Problem stellt sich mir momentan nicht da ich blöderweise momentan NUR EINEN DC in der Domäne habe. Wenn ich diesen Image und im Worst Case zurückgehen will, kann ich problemlos das Image recovern und habe mein Stand von vor der Migration bzw. dessen Fehlversuch.

 

Also, stimmst du mir bei dieser Theorie somit zu?

 

Übrigens:

Ich will ja nicht irgendwas behaupten da ihr euch viel besser damit auskennt. Ich will aber sicherstellen das wir vom Gleichen reden und erst dann eine gesicherte Antwort erhalte wo ich weiß und verstehe das dies so geht oder nicht geht.

Und bei einem DC, welcher verändert wird, kann ich die Änderung rückgängig machen wenn ich das Image von davor recovere? Dieses Heraufstufen der Domänen- und Gesamtstrukturfunktionsebene spielt sich ausschliesslich auf diesem einen DC ab da kein weitere vorhanden ist und sonst auf keinem anderen Netzwerk-Mitglied irgendwas verändert wird?

Auch das promoten und all das Andere verändert sonst nichtsi m Netzwerk ausser am DC selber?

 

Wenn all das so zutrifft: dann ist ein Image machen und im Notfall recovern ja nicht sooo problematisch, oder?