Zugriff Verweigert Replikation zwischen Hauptdomäne und Untergeordneter Domäne

[duracel 10]

Hallo Leute,

 

habe folgendes Problem:

 

Zwei neue DC Installiert einen davon alle Masterfunktionen übertragen, danach die alten drei jeweils um einen Tag versetzt mit dcpromo zu Memberserver runtergestuft, zwischendurch Domänenfunktionsebene aud Windows 2000 pur umgestellt.

 

Domäne vorher:

 

Stammdomäne

DC 1 W2K Masterfunktionen - DC 2 W2K - DC 3 Win 2003

 

Untergeordnete Domäne

Unter - DC 1 Win 2003

 

Domäne jetzt:

 

Stammdomäne

DC Neu 1 Win 2003 Masterfunktionen - DC Neu 2 Win 2003 -

 

Untergeordnete Domäne (ist geblieben)

Unter - DC 1 Win 2003

 

Jetzt kann man sich allerdings nicht mehr mit dem Administrator Account der Stammdomäne in der Unterdomäne anmelden.(Andersrum geht)

Replikation zur Unterdomäne wird auch wegen Zugriff Verweigert abgebrochen, allerdings

auch nur von Stamm.- in Sub Domäne, aus der Sub Domäne herraus kann ich die Rep

anstoßen.

 

Danke im Voraus für eure Tipps!!

[grizzly999 11]

Hallo und willkommen im Board :)

 

hast duuns da die genaue Fehlermeldung (ich denke mal im Ereignislog) mit allem drum und dran?

 

 

grizzly999

[duracel 10]

Hallo,

leider taucht im Ereignislog auf keinem der Server eine Fehlermeldung auf. Ich bekomme nur folgende dürftige Hinweise über den REPLMON.

 

>> Direct Replication Partner Data <<

Server is current through Property Update USN: 2445830

Replication Failure: Changes have not been succesfully replicated from Hyde for 4396 attemps.

Replication Failure: The reason is: Zugriff verweigert

Replication Failure: The last replicaton attempt was: 8/3/2006:8:43:07 AM (local)

 

Versuche ich die Replication anzustossen bekomme ich die Fehlermeldung:

There was an error during queuing the synchronization. The error code was:

ERROR_REPLICA_SYNC_FAILED_ZUGRIFF_VERWEIGERT.

 

Auch anhalten KDC-Dienst, löschen des Ticketcache und anschliessendes Rücksetzen des Kontokennworts (netdom /resetpwd) bringt keine Besserung.

 

Gruss duracel

[grizzly999 11]

Das VerzeichnisdienstLog auf dem DC, der nicht replizieren kann zeigt keine keine Fehler?! Kann ich fast nicht glauben, Seltsam.

 

Hast du den Artikel schon geprüft?

"Replication Access was denied" error message when attempting to synchronize domain controllers

 

grizzly999

[duracel 10]

Hallo grizzly999,

 

ok du hast gewonnen hier ist ein Eintrag:

 

 

Quelle: NTDS KCC

Konsistenzprüfung

Ereigniskennung: 1926

 

 

 

Benutzer: NT-AUTORITÄT\ANONYMOUS-ANMELDUNG

 

 

 

Fehler beim Herstellen einer Replikationsverknüpfung mit einer schreibgeschützten Verzeichnispartition mit den folgenden Parametern.

 

Verzeichnispartition:

DC=subdomain,DC=SERVER,DC=domain,DC=de

Quelldomänencontroller:

CN=NTDS Settings,CN= subdomain,CN=Servers,CN=Standardname-des-ersten-Standorts,CN=Sites,CN=Configuration,DC=SERVER,DC=domain,DC=de

Adresse des Quelldomänencontrollers:

80b466d8-be1e-4af3-a226-e91e9951afc7._msdcs.SERVER.domain.de

Standortübergreifende Übertragung (falls vorhanden):

 

Zusätzliche Daten

Fehlerwert:

5 Zugriff verweigert

[grizzly999 11]

Aha. Das gibt's nämlich nicht, Replikationsfehler ohne Logeintrag.

Sieht nach dem hier aus:

 

How to use Netdom.exe to reset machine account passwords of a Windows Server 2003 domain controller

 

 

grizzly999

[duracel 10]

Hallo Cracks,

 

Sorry das ich mich hier jetzt erst noch mal melde.

Ist aber der Zeit im Frust untergegangen.

 

Danke für deine Unterstützung grizzly999!

 

Ich habe alles mögliche Probiert.

Nach einem Wochenenden haben sich die Server dann auf einmal wieder gesehen,

ich habe das Gefühl hier hat dann eine wundersame Microsoft Selbstheilung gewirkt.

 

Kann aber auch sein das eine meiner Versuche der Rettung einfach erst später gegriffen hat.

 

Ich denke das hat jeder schon mal erlebt.

 

Hier meine (vielleicht kann mal jemand etwas davon gebrauchen)

Lösungsversuche:

 

- KDC-Dienst stoppen, löschen des Ticketcache und anschließendes Rücksetzen des Kontokennworts (netdom /resetpwd) KDC Dienst starten

 

- DNS Server aufgeräumt (alte ungültige Einträge gelöscht)

 

- Lokale Sicherheitsrichtlinien Server\Admin im Sub Domain DC eingetragen Lokale Anmeldung erlaubt

 

- Mehrfach alle Server neu gestartet

 

- Dsquery (suche nach AD Objekten)

 

- netdom /query fsmo

 

- dcdiag alle Server (Fehler timeserver) netdiag Teilweise Fehler DNS

 

-

Active Directory Operations Guide: Appendix B - Procedures Reference /test:dsgetdc

 

- netdiag /test:dns

 

- dcdiag /test:replications

 

- repadmin /showrepl server (Zeigt fehler Zugriff)

 

- Zeit gleich gesetzt

 

- Microsoft Corporation

 

Alles so ausgeführt.

 

- Microsoft Corporation

 

- Microsoft Corporation

 

 

- Zeitserver von entfernt

 

 

- dcdiag /test:CheckSecurityError

 

 

- ProblemLösung W2003

 

Microsoft Corporation

 

Über das Wochenende erfuhren die Server eine wundersame Heilung, am Sonntag Abend ging auf einmal alles wieder, keine Ahnung warum.(Schlimm genug, aber ich werde damit fertig)

 

Gruß

 

Duracel