Neuer DC in die Domäne aufnehmen und Umstufung

[Muelli 10]

Moin Daim,

 

Da du von Windows 2000 zu Windows Server 2003 migrierst, kannst du auch gleich "ADPREP /DOMAINPREP /GPPREP" ausführen,

damit die ACLs der GPOs die sich im SYSVOL-Verzeichnis befinden, gleich angepasst werden.

 

Ich habe ja nun ADPREP /DOMAINPREP schon auf dem 2000er ausgeführt. Sollte man jetzt ADPREP /DOMAINPREP /GPPREP nochmal auf dem 2000er starten?

 

Gruß

 

Jörg

[Daim 12]

Ich habe ja nun ADPREP /DOMAINPREP schon auf dem 2000er ausgeführt. Sollte man jetzt ADPREP /DOMAINPREP /GPPREP nochmal auf dem 2000er starten?

 

Na klar, dass kannst du ruhig machen. Dabei geht dir nichts "kaputt".

Der Assistent meldet dann im ersten Part das /DOMAINPREP bereits durchgeführt wurde und führt dann lediglich das /GPPREP aus.

 

Prinzipiell brauch man bei dem ADPREP keine Bedenken haben.

Denn egal bei welchem Parameter, wenn dieser bereits ausgeführt wurde, bringt lediglich der Assistent die Meldung, dass es bereits durchgeführt wurde.

Mehr passiert nicht. Daher brauch man auch bei einem mehrmaligen ausführen des Befehl keine großen Bedenken zu haben.

[Muelli 10]

Hallo Daim,

 

kleines Problem: seit der 2003er nun auch DC ist und alle FSMO Rollen übertragen worden, können die Clients die Netzwerkumgebung nicht mehr browsen. Es kommt immer die Meldung:

 

"Auf xxx kann nicht zugegriffen werden. Sie haben eventuell keine Berechtigung, diese Netzwerkressource zu verwenden. Wenden Sie sich an den Administrator des Servers, um herauszufinden, ob Sie über Berechtigungen verfügen.

Die Liste der Server in dieser Arbeitsgruppe ist zur Zeit nicht verfügbar."

 

Komischerweise verbinden sich aber alle Netzlaufwerke problemlos und ich kann darüber auch auf alle Netzwerkordner zugreifen. Anpingen geht auch.

Der 2003er Server selbst kann übrigens die Netzwerkumgebung browsen. Der alte 2000er aber auch nicht. Evtl. sind irgendwelche Berechtigungen beim Umzug im Zusammenhang mit dem Masterbrowser mit drauf gegangen?

 

Drucker bekomme ich übrigens auch nur eingerichtet, wenn ich sie über das Verzeichnis suche, normale Suche über Netzwerk findet keinen einzigen Drucker mehr. Der Verzeichnisdienst läuft also zumindest.

 

In der Ereignisanzeige habe ich z.Zt. nur einen dauerhaften Fehler: "Fehler im Wins: Verbindung wurde durch Remote WINS Dienst abgebrochen. Der WINS Dienst ist möglicherweise nicht für die Replikation mit diesem Server konfiguriert" Sonst sieht alles sauber aus.

 

Fällt Dir dazu was ein?

 

Gruß

 

Jörg

[XP-Fan 217]

Hallo,

 

schau mal am 2003er DC was unter dem Reg Wert:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Browser\Parameter

 

als Wert bei den Reg_SZ eingetragen ist. True oder False

IsDomainMasterBrowser

IsMasterBrowser

 

Stimmen die DNS Einstellungen an den Clients und am Server ?

[Muelli 10]

Hi XP Fan,

 

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Browser\Parameter

 

"IsDomainMasterBrowser" steht auf FALSE,

"IsMasterBrowser" existiert dort nicht.

Muss IsDomainMasterBrowser auf TRUE gesetzt werden? Wenn ja, warum macht das der DC nicht alleine, wenn ich die FSMO Rollen alle übertage?

 

IPs zum DNS sind ok. Die beiden DNS Server der beiden DCs referenzieren sich gegenseitig. Als Primärer ist jeweils der andere drin, als Sekundärer die eigene IP.

 

Gruß

 

Jörg

[XP-Fan 217]

Hallo,

 

ändere mal IsDomainMasterBrowser von FALSE auf True, starte den Server neu.

[Muelli 10]

Hi XP-Fan,

 

habe den Schlüssel auf TRUE geändert, dann Neustart und dann auch noch mal 'ne halbe Stunde gewartet. Leider keine Änderung auf 'nem Client PC. Netzwerkumgebung kann nicht gebrowst werden. Die Domänengruppe wird noch angezeigt, aber weiter geht's nicht.

 

Gibt's nicht irgendeine Möglichkeit die Masterbrowserfunktion zu testen oder abzufragen?

 

Gruß

 

Jörg

[XP-Fan 217]

Hallo Jörg,

 

was hast du denn an Clients im Einsatz bei dir ?

Ist die einfache Dateifreigabe im Explorer auf den Clients aktiv ? -> Abschalten

 

Weiterhin kannst du mal die DLL neu registrieren auf den PC

regsvr32 netshell.dll

regsvr32 netcfgx.dll

regsvr32 netman.dll

 

Ist die SMB Signierung vielleicht ein Thema bei dir im Netzwerk ?

Gruppenrichtlinien - Übersicht, FAQ und Tutorials

 

Nachtrag:

Masterbrowser Herausfinden klappt mittels Batch:

@echo off
echo.

for /F "usebackq skip=1 tokens=3 delims=\" %%i in (`browstat dn`) do (
for /F "usebackq skip=2 tokens=1 delims=" %%j in (`browstat vw \Device\%%i`) do echo %%j
)
echo.

 

Achte bei der Ausgabe auf MBR.

 

Quelle:hier

[Muelli 10]

Moin XP-Fan,

 

hier noch mal 'ne kurze Zusammenfassung. Bisher hatten wir 'ne Windows 2000 Domäne mit 1 W2k SP4 DC auf dem der DNS Server eingerichtet war. In der Domäne gab es noch einen Memberserver und diverse XP und 2000 Clients sowie ein paar Netzwerkdrucker. DHCP Server ist der Hardwarerouter, welcher auch Internetgateway ist. Der DHCP verteilt dynamisch IPs beim Start der Clients. Nur die Server und die Drucker haben statische IPs. Als DNS gibt der DHCP die IP des DC raus. WINS wurde nie richtig eingerichtet - der WINS Server war aber auf dem DC mit aktiv.

Ereignisanzeige war immer sauber, keinerlei Netzwerkprobleme, browsen der Netzwerkumgebung ok. SMB Signierung wurde nie eingerichtet.

 

Nun ist ein neuer 2003er Server (Standard) hinzugekommen. Als DNS hatte er in seinen TCP/IP Einstellungen den alten DC drin. Entsprechend Daims Anleitung wurde jetzt auf dem alten 2000er ein Schemaupdate durchgeführt (auf Schema 31). Dann wurde der Neue 2003er zum DC hochgestuft. Dann wurden die FSMO Rollen (alle 5) auf den neuen 2003er übertragen und der Globale Katalog aktiviert. Jetzt wurde noch der DNS Server auf dem Neuen installiert und die Zonen vom alten rübergeholt. Danach wurden die TCP/IP Einstellungen so geändert, dass sich beide DNS gegenseitig referenzieren (primär immer den anderen, sekundär sich selbst). Am Schluss habe ich noch den WINS Server aktiviert.

Alle Aktionen sind ohne Fehlermeldungen durchgelaufen. Habe dann mal die Ereignisanzeige gelöscht und die Server auch mal nacheinander neu gestartet. Bis auf einen fehlenden externen Zeitserver, den ich noch nicht eingerichtet habe (Uhrzeit der Server stimmt aber überein) und ein paar Druckertreiberproblemen ist alles sauber.

 

Es funktioniert ja auch alles andere. Die Clients können sich anmelden, können die Netzlaufwerke, die beim Start automatisch zugewiesen werden, sehen, können drucken, können ins Internet, ...

Nur die Netzwerkumgebung browsen geht nicht mehr - und die damit verbundenen Funktionen. Wenn man z.B. einen neuen Drucker einbinden will, kann man den ja im Netzwerk suchen oder direkt im Verzeichnis. Über Verzeichnis bekomme ich alle angezeigt, über Netzwerksuche nicht.

 

Dein Script habe ich mal ausgeführt. Die cmd Box verschwindet aber danach so schnell wieder, dass ich das Ergebnis nicht ablesen kann. Habe aber alternativ nbtstat -n auf dem 2003er Server und nbtstat -a auf einem remote Rechner ausgeführt. Beide zeigten, dass der 2003er der Masterbrowser ist.

 

Ich glaube ja so langsam, dass es ein Rechteproblem ist. Vielleicht bringt der 2003er neue GPOs mit, die der 2000er vorher nicht hatte.

Vielleicht liegt es ja aber auch am WINS. Die Netzwerkumgebung läuft doch über netBios Namen. Solange WINS abgeschaltet ist, macht er doch netBios over TCP/IP. Wenn ich aber jetzt den WINS Server aktiviert habe, der DHCP aber gar keine WINS Server IP verteilt, läuft das vielleicht nicht. Da habe ich nicht so die Ahnung. Es existieren aber auch keine Fehlermeldungen in dieser Richtung.

Als letztes ist vielleicht noch von Bedeutung, dass der 2003er zwei Netzwerkkarten hat. Hängen aber beide im gleichen Subnetz mit fortlaufender IP Adresse. Eine von beiden ist als IP des DNS Servers im DHCP hinterlegt. Dienen beide zum Lastenausgleich. Ist 'ne Standardinstallation von DELL. Beide IPs sind ordentlich im DNS registriert und da der Rest einschließlich Verzeichnisdienst ja funktioniert, kann es eigentlich nicht daran liegen.

 

Gruß

Jörg

 

was ich noch vergessen habe: Der 2003er selbst kann übrigens seine Netzwerkumgebung browsen.

[XP-Fan 217]

Mahlzeit Muelli,

 

hast du das script bezgl. Masterbrowser in einer cmd Datei gespeichert gehabt und

direkt in der cmd ausgeführt ? Notfalls am Ende unter echo. mal eine pause einfügen.

Bei mir funktioniert es einwandfrei.

 

Das einzigste was sich entscheindend ändert bei W2k -> W2k3 , der 2003 hat eine

Firewall an Board. Diese hast du aber bestimmt schon mal testweise in den Diensten

auf dem W2k3 abgeschaltet.

[Sunny61 806]

Bei mir geht das Browsen in der Netzwerkumgebung auf jedem Client. Auf einem DC pro Standort ist der der Computerbrowserdienst gestartet, auf allen anderen Clients + Servern ist dieser Dienst per GPO deaktiviert. WINS ist auf dem DC installiert + repliziert sich mit einem anderen DC in den anderen Standorten. Dort ist die gleiche Konstellation mit den Diensten. Ebenfalls hab ich das Beispiel 8 von hier Weiter unten mal einige Sample´s und Codebeispiele: umgesetzt per GPO auf den Clients.

 

Lass doch den DC den DHCP-Dienst im Netz machen, Du hast hier bestimmt viel mehr Möglichkeiten, Optionen mitzugeben.

[Muelli 10]

Hi XP-Fan,

 

Habe jetzt noch mal die batch aus einer cmd Box heraus aufgerufen. Damit bleibt ja die Bildschirmausgabe stehen. Leider kommt nur:

 

"Der Befehl browstat ist entweder falsch geschrieben oder konnte nicht gefunden werden"

 

Gehört dieser Befehl zu irgendwelchen Zusatztools?

 

Die Firewall ist übrigens standardmäßig beim DC deaktiviert.

 

Gruß

 

Jörg

[Muelli 10]

Habe gerade mal hier:

http://www.mcseboard.de/windows-forum-ms-backoffice-31/browsing-probleme-netzwerkumgebung-55978.html

ein wenig gelesen. Vielleicht hängt es ja doch mit dem WINS zusammen? Der [1Bh] Eintrag zeigt dort auf unsere Domäne. Allerdings steht als __MSBROWSE__ noch die IP des alten DC drin.

Weiterhin weiß ich nicht, ob es Schwierigkeiten gibt, wenn die IP des WINS Servers auf die zweite IP des 2003er zeigt, sprich nicht identisch mit der des DNS ist.

 

Gruß

 

Jörg

[Scorp1337 10]

Also Fellows...

[erstens: hey Muelli... ich komm übrigends aus rostock! ...vor nem halben jahr daheim ausgezogen^^]

und jetzt zum Thema! Zur Sicherheit haben wir das heute (samstag) durchgeführt, und Ablauftechnisch ist alles super gelaufen!

Die Schema- / Infrastrukturmasterupdates gingen relativ zügig (ca. 6 Minuten).

 

Alles andere ging auch genau nach Anleitung ohne Probleme! ...ich hab mir eine Worddatei erstellt mit "unserem Ablaufplan" in Kurzfassung:

1.	SystemBackup vom pdc machen
2.	Schemamaster updaten/vorbereiten:  ADPREP [x] (cd:\CMPNENTS\R2\ADPREP\)  von der Windows Server 2003 R2 CD2 auf dem pdc mit dem Parameter /FORESTPREP
3.	Infrastrukturmaster updaten: das gleich mit /DOMAINPREP /GPPREP
4.	neuen DC aufnehmen: dc01 mit DCPROMO zum „zusätzlichen Domänencontroller für eine bestehende Domäne“ machen
a.	Den pdc beim dc01 als prim. DNS eintragen
5.	DNS nur installieren: Konfiguration abbrechen um Replikation einzuleiten
6.	Replikation abwarten [x]
7.	FSMO Rollen tauschen: 
a.	Start - Ausführen - NTDSUTIL
b.	ROLES
c.	In der „FSMO-Maintenance“ Ebene gibt man „connections“ ein
d.	Nun „connect to server <Servername>“ (mit Servername ist der DC gemeint, der die Rollen übertragen bekommen soll) 
e.	In der „server connections“ Ebene dann ein „q“ eingeben, damit man erneut in die „FSMO-Maintenance“ Ebene gelangt 
f.	Mit „transfer <Funktion>“ können nun die Rollen verschoben werden. Z.B. zum verschieben des PDC-Emulators heißt die Syntax „transfer pdc“ oder „transfer rid master“ zum verschieben des RID-Master`s usw. 
g.	Nach dem verschieben gilt es mit „q“ (zweimal), die NTDSUTIL -Kommandozeile zu verlassen
8.	Dc01 zum Globalen Katalog deklarieren (AD Standorte- und Dienste > Servers > dc01 > NTDS Settings Eigenschaften > Haken bei Globaler Katalog

(pdc = der alte 2000er und dc01 = der neue 2003er)

 

Die DNS-Replikation hat uns ziemlich "verwirrt", da nichts angezeigt wird und damit nicht klar ist, ob bereits repliziert wurde oder nicht. Sicherheitshalber haben wir dann 5 Minuten gewartet, allerdings hat sich an den Einträgen (im dc01) nichts geändert ==> Das heißt, dass die DNS Replikation sehr schnell ging.

 

Nach einigen Einstellungen die noch gemacht werden mussten haben wir den pdc runtergefahren - siehe da: Alles läuft noch einwandfrei!

 

Danke vorallem an Daim / Yusuf für die Hilfe, Kommentare und Erklärungen!

 

Letztendlich haben wir etwa 4 Stunden gebraucht (mit Treiber-CD-Suche, Essen, Kaffee, Recherche über kleine Unklarheiten), aber die Anleitung hat 90% der Arbeit angegeben!

 

Gruß Scorpion

 

PS: Jetzt muss allerdings noch ein 2. DHCP Server (parallel zum dc01) laufen - als Backup.

[Muelli 10]

Hallo Jungs,

 

hab's gefunden. Es ist die zweite Netzwerkkarte, die mir Dell als Super-Lastenausgleich beschrieben hat. Habe sie einfach mal abgeschaltet und schon konnte ich auf 'nem Client das Netzwerk browsen.

 

Kann mir das jemand erklären, damit ich's verstehe? Die beiden Karten haben doch ihre eigenen IPs und sind einzeln sauber im DNS und WINS registriert.

 

Gruß

 

Jörg