Win2k DC "mischt sich ein" in Datentransfer zwischen Clients?!?!

[Markus Butz 10]

Hallo zusmmen,

 

ich habe da ein Problem, mit dem ich nicht klarkomme und das ich seltsam finde.

 

Prinzipiell geht es um eine Client-Server-Anwendung, die bisher lief und nun nach dem Tausch des alten NT4-Servers gegen Win2k nicht mehr geht. Klingt bis hier noch logisch.

ABER: Der ausgetauschte Server ist gar nicht an der Funktion der Software beteiligt, er ist nur DC für den Client, der auf einen anderen Client zugreift.

 

So sieht das alles aus:

 

Standort A

------------

- Domäne A

- DC unter Win2k

- 1x Client der Domäne als Oracle Server für Clients von Standort A und B (Client "X")

- Clients der Domäne greifen auf Oracle-Server-Domänen-Client (Client X) zu

 

Standort B

------------

- Domäne B (andere Netz-Adresse)

- DC unter Win2k (<<<--- der war bisher NT 4 und alles war OK!)

- Clients der Domäne greifen auf den Oracle-Server-Domänen-Client von Standort A (Client X) zu (und zwar DIREKT per Name / IP!)

 

Der Datentransfer zwischen den Clients von Standort B passiert eigentlich also DIREKT zum Client X, OHNE dass die Server hier etwas von mitbekommen. (Sie lösen vielleicht für die Clients am Standort B den Namen des Clients X am Standort A auf, das ist aber auch alles! Und das klappt auf jeden Fall per Ping immer!)

 

Ich komme einfach nicht dahinter, warum der Tausch des Servers am Standort B die Funktion der Software stört.

Er ist doch mit keinem Stück beteiligt?!?

 

Habe so etwas schon einmal gehabt, da habe ich zwischen den beiden DCs eine Vertrauenstellung eingerichtet, dann ging es. Aber WARUM?

(Bekomme das mit der Vertrauensstellung irgendwie nicht hin... sagt immer, dass die Domäne nicht erreichbar wäre, der ich vertrauen möchte!)

 

Hat vielleicht jemand ein paar Tips für mich? Wäre sehr nett... Danke!

 

Gruß

Markus

[Markus Butz 10]

Hallo,

 

würde es helfen, wenn ich das noch detaillierter beschreibe oder hat niemand eine Idee?

 

Gruß

Markus

[Gulp 228]

Sicher funkt der DC dazwischen, ist ja auch logisch, denn die Clients sind Teil der Domäne. Egal, ob Du per Name oder IP des Clients auf Ressourcen (in Deinem Fall die DB) zugreifen möchtest.

 

Zunächst wird der Client versuchen den Zugriff zu authentisieren und genau da kommt der DC ins Spiel, da der Client Mitglied in der Domäne ist.

 

Du solltest die Vertrauensstellung der beiden DC's mal prüfen und gegebenfalls erneuern, dann dürfte das wieder funktionieren.

 

Grüsse

 

Gulp

[Markus Butz 10]

Hallo Gulp,

 

ja, mit einer funktionierenden Vertrauensstellung funktioniert das einwandfrei. Zum Glück!

Kannst Du mir trotzdem in ein paar Stichworten erläutern, inwieweit und wann sich die Server zwischen die Kommunikation der beiden Clients schalten??

Ich dachte wirklich, hier reden NUR ZWEI CLIENTS miteinandern...

WER übergibt da an WEN WELCHE Daten zur Überprüfung bzw. was passiert da?

 

Danke...!

 

Markus

[Gulp 228]

Is ganz einfach .... (jedenfalls eigentlich)

 

Das ist der Ausgangspunkt: Du hast eine Domäne A mit DC und mehreren Clients. Genauso eine Konstellation B. Client aus Domäne A soll auf Client aus Domäne B zugreifen.

 

Ganz vereinfacht gesagt:

 

Der Client aus Domäne A versucht mit seinem Computerkonto (in Domäne A ja vorhanden) auf Client aus Domäne B zuzugreifen. Da der Client keine Computerkonten verwaltet, fragt der seinen DC B, der guckt nach, ob er Domäne A kennt bzw ob er Domäne A vertraut. Kennt/vertraut der DC B der Domäne A nicht lehnt er den Zugriff ab.

 

Sonst könnte ja jeder auf beliebige Clients zugreifen.

 

Alternativ ist eine Verbindung auf lokaler Basis der Clients nicht ganz unmöglich, dazu muss man nur einen entsprechenden lokalen User des Clients verwenden. Leider muss man nach jedem Neustart die Session erneuern, also entweder neu verbinden oder das entsprechende Passwort eintippeln.

 

Eine Vertrauensstellung hast Du ja jetzt, die erübrigt das oben genannte.

 

Gruss

 

Gulp

[Markus Butz 10]

OK, soweit verstanden.

 

Was konkret bedeutet denn, "fragt nach"?

Teilt Rechnernamen mit, bekommt ein nein und verwirft dann alle Pakete oder wie sieht das eine Ebene tiefer aus?

 

Gruß

Markus

[Gulp 228]

Der Rechnername spielt da eine eher untergeordnete Rolle. Jedes Objekt im ADS (so auch Computerkonten) hat eine eindeutige SID (Security Identifier), die sich auch zwischen Domänen unterscheidet.

 

Da sich die Kombination von Computer SID und Domänen SID von Client A und Client B unterscheiden wird schon beim lokalen Authentifizierungsversuch gemerkt, dass hier was nicht stimmt und da ruft der Client den DC zur Hilfe, vereinfacht ausgedrückt.

 

Grüsse

 

Gulp