AD-Replikationsprobleme mit Windows2003 Server

[Schlauschiesser 10]

Hallo zusammen,

 

ich habe einen Windows2003 Server mit Problemen bei der AD-Replikation. Er findet zwar seinen Brigdeheadserver und möchte auch gerne von ihm neue Daten bekommen, bricht aber immer mit dieser Fehlermeldung ab:

 

not enough storage is available to complete this operation

 

Da reichlich Plattenplatz und RAM vorhanden ist tippe ich auf irgendeinen internen Puffer, der zu klein ist. Ein Neustart hat im übrigen nicht geholfen. Google gibt zwar reichlich Treffer zurück, aber die beziehen sich zu 99% auf SQL- und ähnliche Probleme.

 

Der File Replication Service hat nach dem Neustart übrigens auch nicht die Meldung gebracht, das der Server ein Domaincontroller ist. Sysvol ist aber freigegeben (ich weiß nicht, ob das in diesem Zusammenhang wichtig ist).

 

Ich wäre für jede Idee und/oder Erklärung dankbar.

 

Es grüßt

 

der Schlauschiesser

[grizzly999 11]

Hallo und willkommen im Board :)

 

Hast du uns etwas mehr Informationen (gleich für die Zukunft merken ;) )?

Eine Domäne, mehrere?

Mehrere Sites (vermutlich, da BH)? Wieviele DCs an den Sites?

Wo kommt/steht der Fehler (Eventlog,Replmon, Repadmin,etc)? Wie heißt die vollständige Meldung und Ereignis-ID (wenn im Ereignis-Log)?

Auf welchem Server erscheint die Fehlermeldung?

Weitere Fehlermeldungen?

Auf anderen Servern auch Fehlermeldungen?

usw.

 

 

grizzly999

[Daim 12]

Servus,

 

dieses Symptom kann auch auftreten, wenn z.B. eine Gruppe mit vielen Mitgliedern, in weiteren Gruppen verschachtelt ist bzw. ein Benutzer war in vielen Gruppen Mitglied, die wiederum in anderen Gruppen verschachtelt waren. Das Token konnte dabei von dem Benutzer nicht erstellt werden, da es die ganzen Gruppen nicht auswerten konnte.

 

Abhilfe könnte folgender Artikel schaffen:

New resolution for problems with Kerberos authentication when users belong to many groups

 

 

Falls das nicht zutrifft, wäre ein DCDIAG /v interessant.

[Schlauschiesser 10]

OK, hier kommen mehr Infos:

 

es handelt sich um eine Domäne mit ca. 400 Sites in zehn Ländern. Pro Site gibt es einen DC (der auch Global Catalog ist), der mit BHs in einer landeseigenen Zentralsite spricht. Die Landeszentralen wiederum sprechen mit der zentralen Zentralsite in Deutschland.

 

Folgende Fehler tauchen im Directory-Service-Eventlog auf: 1864 (Fehler beim replizieren von Directory-Partitions) und 2093 (Der remote computer, der die FSMO-Rollen hält ist nicht erreichbar).

 

DNS sagt, "The DNS server has encountered a critical error from the Active Directory." (ID 4015) und außerdem noch

 

404 (The DNS server could not bind a Transmission Control Protocol (TCP) socket to address 0.0.0.0. The event data is the error code. An IP address of 0.0.0.0 can indicate a valid "any address" configuration in which all configured IP addresses on the computer are available for use.

Restart the DNS server or reboot the computer.)

 

und 408 (Event Type: Error

Event Source: DNS

Event Category: None

Event ID: 408

Date: 9/20/2007

Time: 1:28:33 PM

User: N/A

Computer: xxxxxxx

Description:

The DNS server could not open socket for address 0.0.0.0.

Verify that this is a valid IP address for the server computer. If it is NOT valid use the Interfaces dialog under Server Properties in the DNS Manager to remove it from the list of IP interfaces. Then stop and restart the DNS server. (If this was the only IP interface on this machine and the DNS server may not have started as a result of this error. In that case remove the DNS\Parmeters\ ListenAddress value in the services section of the registry and restart.)

 

If this is a valid IP address for this machine, make sure that no other application (e.g. another DNS server) is running that would attempt to use the DNS port.

 

DNS ist so konfiguriert, das nur ein Forwarder eingetragen ist (die Landeszentrale), die Roothints sind gelöscht und der Server lauscht nur auf seiner eigenen IP-Adresse und nicht auf allen Verbindungen. DNS ist außerdem AD-integriert.

 

Noch was? Ach ja: Die dsa.msc läßt sich nicht öffnen, die Fehlermeldung lautet "Naming information cannot be located for the following reason: The server is not operational."

 

Die ursprüngliche Fehlermeldung mit dem "not enough storage" habe ich zuerst im replmon gesehen.

 

Ich hoffe, das hilft erst mal weiter... wenn noch was fehlt beschaffe ich die Info gerne.

 

Vielen Dank im voraus

 

vom Schlauschiesser

[Daim 12]

Dein Hauptproblem ist das DNS. Dieses gilt es erstmal in den Griff zubekommen.

Da das DNS ein elementarer Bestandteil einer Active Directory Domäne ist, kann es nicht ordnungsgemäßer Funktion zu Fehlern kommen, die nicht gleich auf ein DNS-Problem hinweisen (z.B. das öffnen von dsa.msc).

 

Wenn das DNS Problem gelöst wird, werden dadurch auch andere Nachfolge-Fehler gelöst.

Da der Fehler sehr vielseitig ist, musst du dich leider durch diese Artikel/Hinweise durcharbeiten :( .

 

Problems with Many Domain Controllers with Active Directory Integrated DNS Zones

EventID.Net

 

Generell kannst du die Fehler IDs bei EventID.Net nachgehen.

 

Wurde der DC in letzter Zeit zurückgesichert/geimaget?

[Schlauschiesser 10]

Der Versuch, die DNS Probleme zu bereinigen scheitert es immer wieder an dieser Fehlermeldung "not enough storage is available to complete this operation".

 

Wir versuchen, per repadmin /removelingeringobjects das DNS wieder konsistent zu bekommen, scheitern aber leider an dieser Fehlermeldung.

Was will sie uns eigentlich sagen?

 

Grüße vom

 

Schlauschiesser

[Daim 12]

Der Versuch, die DNS Probleme zu bereinigen scheitert es immer wieder an dieser Fehlermeldung "not enough storage is available to complete this operation".

 

Dabei gilt es die DNS-Konsole zu kontrollieren (existieren alle Unterordner und die SRV-Records). Zeigt das DNS-Log etwas an usw.

Auch gezielte DNS-Tests mit DCDIAG sind hilfreich.

 

Wir versuchen, per repadmin /removelingeringobjects das DNS wieder konsistent zu bekommen, scheitern aber leider an dieser Fehlermeldung.

 

Warum denn das? Der Parameter /removelingeringobjects entfernt Objekte die älter als die Tombstone Lifetime (TSL) sind. Ist das denn bei euch der Fall, dass der DC sich länger als die TSL nicht repliziert hat oder warum kommt ihr auf den Gedanken, dass anzuwenden ?

 

Yusuf`s Directory - Blog - Lingering Objects (veraltete Objekte)

 

 

Was will sie uns eigentlich sagen?

 

Na soviel englisch wirst du wohl auch können, um die Meldung zumindest Wort-wörtlich zu übersetzen.

Leider sagt diese Meldung nicht aus, wo genau das Problem liegt. Also gilt es hier Troubleshooting zu betreiben oder wenn man keine Zeit/Lust/Nerven dazu hat, den Microsoft Produkt Support Service (MS-PSS) anzurufen. Den kann man aber auch dann anrufen, wenn man selbst alles mögliche versucht hat ;) .

[grizzly999 11]

Haben die denn die (oder der) Site-DC die DNS-Zonen überhaupt repliziert?

Die DNS-Auflösung ist noch etwas unklar:

DNS ist so konfiguriert, das nur ein Forwarder eingetragen ist (die Landeszentrale),

Was forwardet der genau?

Kannst du mit der jetzigen Einrichtung FQDNs und SRV-Records in der Domäne auf dem Problemserver auflösen?

 

 

grizzly999

[Schlauschiesser 10]

Da kommt man natürlich als erstes drauf:

 

die Agenten von unserer Monitoringsoftware HP-OVO sind für dieses Verhalten verantwortlich. Kaum hat man sie deaktiviert, läuft der Server wie ein Uhrwerk.

 

GAAAHHHH! Sechs Stunden Streß und Adrenalin für Nüsse.

 

Unzufrieden

 

der Schlauschiesser

[Daim 12]

die Agenten von unserer Monitoringsoftware HP-OVO sind für dieses Verhalten verantwortlich. Kaum hat man sie deaktiviert, läuft der Server wie ein Uhrwerk.

 

Das ist dann aber wirklich ein sehr merkwürdiges Verhalten.

Das solltest du direkt mit dem Hersteller mal besprechen.