Sicherung eines 2K3 Servers für Totalausfall

[TruckerTom 10]

Also:

wenn Du einen zweiten DC in der Zentrale hast (was wirklich sehr sinnvoll ist), kannst Du den wenn der erste total ausfällt sehr einfach zum ersten machen.

Dann installierst Du in aller Ruhe einen neuen und machst diesen wieder zum Mitglied und/oder stufst den dann neuen wieder zum ersten hoch.

Für diese vorgehensweise gibt es genaue Anleitungen, es ist nicht trivial, aber mit ein bisschen Verständnis der Materie ist es zu schaffen.

Vor allem können sich durch den zweiten DC die Mitarbeiter in der Zentrale direkt und ohne Probleme anmelden, und Du hast keine Probleme beim sichern und zurücksichern des ActiveDirectory. Ausserdem werden ja sicherlich nur die AD-Standorte in die einzelnen Niederlassungen repiziert und nciht das ganze AD, oder?

[Daim 12]

Servus,

 

hier muss ich mal eingreifen.

 

wir haben 5 kleine Standorte, an denen jeweils ein Windows 2k3 Server steht.

 

demnach handelt es sich hier um einen Single-Domänen Forest (eine Gesamtstruktur mit nur einer Domäne).

 

 

Das Headquarter (HQ) ist der Hauptdomaincontroller

 

Du meinst sicherlich, dass dieser DC der Träger der FSMO-Rollen ist.

Einen Hauptdomänencontroller gibt es so seit Windows 2000 nicht mehr (wie zu Zeiten von NT).

 

 

an den einzelnen Standorten laufen auch DCs, allerdings replizieren diese nur die Domäne. (Entschuldigt meine evtl. falsche begriffliche Verwendung.)

 

Da sich das wirklich verquer anhört, formuliere ich das mal anders.

Auf einen DC - der egal in welcher Domäne steht - werden die folgenden Verzeichnispartitionen repliziert:

 

- Schemapartition

- Konfigurationspartition

- Globaler Katalog (falls ein DC ein GC sein sollte)

- ForestDNSZones

- Eigens erstellte Anwendungsverzeichnispartitionen

 

Die jeweilige Domänenpartition einer Domäne, wird natürlich nur innerhalb der eigenen Domäne repliziert. Ein GC erhält dabei alle Objekte aller Domänen einer Gesamtstruktur, aber mit nur den wichtigsten Attributen der anderen Domänen.

 

 

Das HQ ist außerdem auch DNS Server für alle Netze.

 

Da die Forward Lookup Zone (FLZ) AD-integriert gespeichert und somit auf jedem DC das DNS installiert sein sollte, sind alle DCs dieser Domäne die autoritativen DNS-Server eben dieser Domäne.

 

 

...wächst bei uns die Angst, dass der HQ Server einmal komplett ausfallen könnte.

 

Das ist nicht weiter tragisch, denn es bestehen doch noch weitere DCs dieser Domäne an den Standorten. Deine Domäne wäre also noch weiterhin vorhanden und voll funktionsfähig. Wenn das AD-Design stimmt, merken sogar die Clients - wenn es um die Authentifizierung geht - kaum etwas davon.

 

Denn wenn der einzige DC im HQ crashen sollte, nimmt sich ein Domänencontroller aus einem anderen Standort, der dem HQ am nächsten ist (anhand der Kosten der Standortverknüpfungen) dessen an und trägt sich im DNS als Domänencontroller für diesen Standort ein.

 

Dieses Verfahren nennt sich "Automatic Site Coverage".

Dabei ist eben das Design im Snap-In "Active Directory-Standorte und -Dienste" sowie das DNS elementar.

 

Yusuf`s Directory - Blog - Domänencontroller am Standort

 

 

Der Hinweis von blub hat trotzdem seine Richtigkeit.

 

 

Außerdem funktioniert bei einem Ausfall des HQ Servers ja auch DNS bei keinem der angeschlossenen Standorte mehr.

 

Wieso denn das? Falls die FLZ AD-integriert gespeichert ist, wird diese automatisch auf die anderen DCs repliziert. Somit befinden sich die DNS-Informationen auf den anderen DCs und die anderen DCs sind ebenfalls schreibberechtigt (autoritativ berechtigt) im DNS wie der DC im HQ.

 

 

1. Wie kann man den HQ Server so sichern, z.B. System State mit ntbackup, dass man im Falle eines Ausfalls die Kiste einfach auf neuer Hardware wieder "hochziehen" kann, wie verhalten sich dabei die einzelnen Standortserver?

 

Wenn der DC im HQ lediglich nur ein DC sein sollte, würde ich bei einem DC-Crash nichts weiter machen, als die FSMO-Rollen mit Gewalt auf einen anderen DC zu verschieben, den gecrashten DC aus dem AD zu entfernen (mit NTDSUTIL oder ADSIEdit) und dann im HQ einen neuen Server installieren und diesen einfach als zusätzlichen DC zur bereits bestehenden Domäne hinzufügen. Dabei haben die anderen DCs in den Standorten keine Probleme. Ausser das dann Replikationsprobleme im Eventlog protokolliert werden, solange die Leiche dann noch im AD existiert.

 

 

2. Kann man den DNS Server auch auf die Standorte replizieren,QUOTE]

 

Wie gesagt, wichtig wäre es auf jedem DC das DNS zu installieren (wegen der Redundanz) und das die FLZ im AD gespeichert wird. Dann erledigt die AD-Replikation für dich den Rest.

[goscho 11]

Morgen Yusuf,

deine Ausführungen sind Extraklasse, aber eine Info des TOs macht mich sehr stutzig:

Mitlerweile sind die Standorte aber mit dem HQ per VPN verbunden, daher...

Das sind alles Small Business Systeme, allerdings sind AD und DNS manuell installiert.

Wie soll eine AD-Gesamtstruktur denn bitte mit mehreren SBS funktionieren?:confused:

Egal ob AD und DNS manuell installiert wurden, erlaubt ein SBS keinen zweiten in seiner Domäne und Trusts mag er per Design auch nicht.

Oder ist dies einfach nur eine Verwechslung und es gibt überhaupt keine SBS sondern es handelt sich um W2K3-Standard?

[Daim 12]

Morgen Yusuf,

 

Moin.

 

 

Wie soll eine AD-Gesamtstruktur denn bitte mit mehreren SBS funktionieren?:confused:

 

Garnicht.

 

 

Egal ob AD und DNS manuell installiert wurden, erlaubt ein SBS keinen zweiten in seiner Domäne und Trusts mag er per Design auch nicht.

 

Exakto Mundo.

 

 

Oder ist dies einfach nur eine Verwechslung und es gibt überhaupt keine SBS sondern es handelt sich um W2K3-Standard?

 

Davon war ich ausgegangen. Das es mit mehreren SBS nicht funktionieren würde, wurde bereits erwähnt. Ich habe meine Antworten explizit auf das OP bezogen und dort war nirgends die Rede von mehreren SBS. Weiterhin wollte ich Unklarheiten des OPs klar stellen (das Verständnis bezgl. der Replikation usw.). Falls tatsächlich die Standorte ebenfalls einen SBS betreiben (sollen), dann kann man das Konstrukt vergessen.

 

Siehe auch:

Yusuf`s Directory - Blog - Die Besonderheiten eines Small Business Server`s (SBS)

[jensz 10]

Hallo zusammen,

 

es handelt sich leider um SBS Versionen. Bei der Installation der Domäne kam es bei der automatischen Installation des Systems zu einer Fehlermeldung, dass die Systempartition nicht mit NTFS installiert sei. Das liegt an den Treibern des RAID Controllers, das Windows das dann nicht richtig erkennt. Da Microsoft den Fehler kennt, und keine Lösung in sicht war, haben wir einfach per "dcpromo" das AD von Hand installiert. Das hat auch wunderbar funktioniert. Die einzelnen Standorte sind (aufgrund der gleichen HW) genauso aufgesetzt worden.

 

Es handelt sich wirklich nur um eine einzige Domäne.

 

Die DNS Replikation über die verschiedenen Standorte werde ich jetzt auch mal einstellen.

[jensz 10]

Vielen Dank für die vielen Antworten, das hilft mir auf jeden Fall weiter.

 

Es handelt sich leider um SBS Versionen. Bei der Installation der Domäne kam es bei der automatischen Installation des Systems zu einer Fehlermeldung, dass die Systempartition nicht mit NTFS installiert sei. Das liegt an den Treibern des RAID Controllers, das Windows das dann nicht richtig erkennt. Da Microsoft den Fehler kennt, und keine Lösung in sicht war, haben wir einfach per "dcpromo" das AD von Hand installiert. Das hat auch wunderbar funktioniert. Die einzelnen Standorte sind (aufgrund der gleichen HW) genauso aufgesetzt worden.

 

Es handelt sich wirklich nur um eine einzige Domäne.

 

Die DNS Replikation über die verschiedenen Standorte werde ich jetzt auch mal einstellen. Die Installation eines zweiten DC im HQ werde ich auch einmal anregen...

[goscho 11]

Vielen Dank für die vielen Antworten, das hilft mir auf jeden Fall weiter.

 

Es handelt sich leider um SBS Versionen.

Das ist sehr schade und ausgesprochenes Pech für dich, denn so kriegst du keine normale Replikation des AD hin.

Bei der Installation der Domäne kam es bei der automatischen Installation des Systems zu einer Fehlermeldung, dass die Systempartition nicht mit NTFS installiert sei. Das liegt an den Treibern des RAID Controllers, das Windows das dann nicht richtig erkennt.

Das hat aber nichts mit der Replikation von DCs zu tun.

Da Microsoft den Fehler kennt, und keine Lösung in sicht war, haben wir einfach per "dcpromo" das AD von Hand installiert. Das hat auch wunderbar funktioniert. Die einzelnen Standorte sind (aufgrund der gleichen HW) genauso aufgesetzt worden.

Das Installieren und Einrichten der Domänen an und für sich klappt so auch, aber du kannst keinen zusätzlichen Domänencontroller in ein Netz SBS-Netz einbinden, welcher ebenfalls ein SBS ist.

Daher vermute ich, dass ihr überall die selbe (gleichlautende) Domäne habt, aber keine Replikation zwischen den DCs stattfindet.

Was steht unter AD Standorte und Dienste, hast du dort mehrere DCs eingetragen? Was passiert, wenn du einen beliebigen "replizierenden" DC vom Netz nimmst? Können sich die Clients dieses Standortes denn dann weiterhin anmelden oder bekommen sie eine Fehlermeldung, dass kein Anmeldeserver da sei.

Es handelt sich wirklich nur um eine einzige Domäne.

Das kann ich eben nicht glauben.