DNS-Fehler: Namensauflösung nur über sekundären

[robotroonie 10]

Zur Zeit sitze ich an folgendem Problem - vielleicht kann mir jemand einen Tip geben?

 

Netz:

5 Server (4*2003, 1*2000), an 3 Standorten (Standort I mit 3 Servern ist mit Standort W-B über Funkstrecke gekoppelt; Standort B mit beiden über VPN-Tunnel per DSL.

 

Am Standort W-B sagt mir ntslookup, dass die Namensauflösung über den sekundären DNS erfolgt (vom Standort I). Vorangestellt die Meldung: DNS request timed out. timeout was 2 seconds. ***Der Servername für die Adresse 1.2.3.4 {IP Server W-B} konnte nicht gefunden werden."

Führe ich ntdsutil direkt auf dem Server W-B aus, löst er alle Namen über seinen eigenen DNS auf.

 

Gebe ich bei nslookup den Server W-B zur Auflösung vor, erhalte ich

 

***Der Servername für die Adresse 1.2.3.4 {IP Server W-B} konnte nicht gefunden werden:

Timed out

*** Zeitüberschreitung bei Anforderung an Unknown

 

DNS request timed out.

timeout was 2 seconds.

Server: UnKnown

Address: 1.2.3.4

DNS request timed out.

timeout was 2 seconds.

 

Auf dem Server selbst funktioniert dies.

IP-Kfg Clients ist natürlich korrekt.

 

Die IP und auch der Name des Servers W-B lassen sich vom Client erreichen (auch die beiden Aliase). Mit ping -a wird der Name zurückgegeben.

 

In den Reverse-Zonen sind die Einträge natürlich vorhanden. Zonen werden auch repliziert (SOA-Versionsnummern stimmen). Server W-B ist sowohl in Reverse- als auch in Forward-Zone als NS und SOA vorhanden (AD-integrierte Zonen).

 

Ereignisanzeige enthält Fehler 13508 bezüglich gescheiterter Replikation aller entspr. Server zum Server W-B.

 

Neustart DNS-Dienste und Dateireplikationsdienst auf Server W-B ohne Ergebnis.

 

FRSDiag bringt mir nur Fehler aus dem Event-Log (Fehler 1865, 1311, 1566 bis 30.09. An dem Tag wurde die Verbindung B zu W-B wiederhergestellt und der Eintrag tauchte nicht mehr auf > also kein Fehler

 

Dcdiag und ntfrsutil bringen mir auch keine Fehler (außer eventlog).

 

Bin etwas ratlos.

 

Zumal sich am Standort W-B im letzten Monat einige merkwürdige Fehler ereigneten:

- DHCP funktionierte nicht mehr (vergab keine Adressen mehr). Entfernen, Neuaufsetzen (sowohl mit Import als auch mit manuellem Erstellen der Attribute) wurde mehrfach durchgeführt ohne Veränderung. Provisorisch den Router zum DHCP gemacht; auf dem Server den DHCP de-autorisiert. Ncah etwa 5-6 Wochen Router-DHCP deaktiviert; Server-DHCP autorisiert: funktioniert wieder (ohne Veränderung in Kfg)

- VPN-Tunnel W-B nach B funktionierte nicht mehr. Auf beiden Routern gelöscht und identisch neu erstellt: funktioniert wieder

- dyndns-Aktualisierung vom Router aus funktioniert nicht mehr (Eintrag mehrfach neu geschrieben; 1:1 mit anderem Router (bei dem es funktioniert) verglichen; schließlich Tool auf Server installiert (zur Aktualisierung)

[Poison Nuke 10]

wie ist überhaupt der DNS Aufbau? Wo steht der primäre Server? Gibt es weitere sekundäre Server als nur den in W-B?

 

übernehmen die sekundären Server einfach eine komplette Kopie des primären oder sind Subdomänen und Weiterleitungen usw eingerichtet?

 

Gibt es Firewalls, ACLs, NAT ... ?

 

 

was ist bei den Clients konfiguriert bez. primärer und sek. DNS Adresse? Werden die über DHCP verteilt oder fest eingestellt?

[robotroonie 10]

Wie gesagt AD-integriertes DNS. Da gibts keinen primären/sekundären.

Der Ausdruck bezog sich auf den DNS-Eintrag der Clients (primär=lokaler DNS; sekundär=Remote-DNS).

Firewalls nach außen

Kein NAT, ACL, keine Subdomains usw.

IPs per DHCP verteilt (wie schon gesagt).

[Poison Nuke 10]

bei AD hast du dann halt ja deine primären und sekundären DCs is ja im Endeffekt nix anderes.

 

 

ich hatte das gleiche Problem sogar schonmal bei mir gehabt, aber jetzt fällt mir gerade nicht mehr die Lösung ein, verdammt. Das war so ein typisches Windowsproblem, alles scheint richtig und es hängt an irgendwas unscheinbarem.

[IThome 10]

Nochmal zum besseren Verständnis:

Du hast einen Hauptstandort und 2 Nebenstandorte, in denen es jeweils mindestens einen DC gibt, auf dem auch der DNS-Serverdienst installiert ist. Es existieren 4 primäre Zonen, 1 Forwardlookupzone und 3 Reverse Lookup Zonen, die allesamt Active Directory integriert sind. Die Server und Clients des jeweiligen Nebenstandortes haben den lokalen DNS-Server als bevorzugten und den/die DNS-Server des Hauptstandortes als sekundären DNS-Server eingetragen. Im Hauptstandort existieren mehrere DCs (?), dessen DNS-Servereinträge über Kreuz eingetragen sind. Soweit richtig ?

Was ergibt die Ausgabe von NETDIAG auf den DCs ? Welche Optionen werden an die DHCP-Clients verteilt ? Sind tatsächlich alle SRV-Ressource Records aller DCs in den Zonen vorhanden (mit NETDIAG /FIX kann man sie erneut schreiben). Funktioniert die Replikation wieder, wenn alle DCs die DNS-Server der hauptstelle z.B. als bevorzugten DNS-Server eingetragen haben ? Hm, mehr fällt mir jetzt nicht ein :(

[robotroonie 10]

Szenario soweit korrekt.

Die 4 primären Zonen sind die 1 FW und 3 Reverse Zonen?

Clients am Hauptstandort haben als sekundären Server andere Server des gleichen Standortes.

DNS-Servereinträge über Kreuz? Auf jedem Server sind alle Server als DNS-Nameserver eingetragen.

 

Kann man auf einem AD-DC einen anderen Server als diesen selbst als primären DNS-Server eintragen? Noch nie probiert.

Den Rest teste ich morgen.

[IThome 10]

.Kann man auf einem AD-DC einen anderen Server als diesen selbst als primären DNS-Server eintragen? Noch nie probiert.

Sicher kann man das und das ist auch eine der empfohlenen Konfiguration, wenn man mehr als einen DC/DNS hat. Führe auf den DCs auch NETDIAG /FIX durch und prüfe dann auf jedem mit NETDIAG, ob die Einträge korrekt gesetzt wurden ...

[NorbertFe 2.089]

bei AD hast du dann halt ja deine primären und sekundären DCs is ja im Endeffekt nix anderes.

 

Off-Topic:

Nana ;) Also mal abgesehen, dass es auch keine primären und sekundären DCs im AD gibt, sind wie der TO schon schrub die DNS Server alle Master (deswegen auch Multimaster Replikation) ;)

 

Bye

Norbert

[robotroonie 10]

netdiag (auf DC W-B) selbst zeigt keinen Fehler (auch gestern schon mal probiert)

auf DC W-B jetzt den anderen Server vom Hauptstandort als primären DNS eingetragen

netdiag /fix ausgeführt

 

nslookup vom Client ist unverändert

 

wenn das einfach wäre, hätte ich die DNS-Funktion auf dem betroffenen DC ja schon mal erneuert.

dies geht aber doch nur nach dcpromo? ist mir zu riskant im laufenden Betrieb

[IThome 10]

Setze auf einem Client auch mal bitte den DNS-Server der Hauptstelle als bevorzugten DNS-Server, führe den Nslookup-Befehl aus und poste das Ergebnis. Und zum zweiten wieder den ursprünglichen DNS-Server eintragen und wieder die Nslookup-Ausgabe posten ...

[robotroonie 10]

Wie zu vermuten: ist der Server am Standort I eingetragen, funktioniert es korrekt (sonst läuft es ja auch über ihn, wobei er aber als sekundärer DNS zum Zug kommt).

Gibt man den DNS W-B bei nslookup vor, erscheint Fehlermeldung wie gehabt.

 

Also:

 

Server I als prim. DNS

 

nslookup ServerW-B

Server: I.local

Address: 1.1.1.1.

 

Name: ServerWB.local (alias-Name)

Address: 1.2.3.4

Aliases: ServerW-B.local

 

 

Nach Rückstellen der Kfg (Server W-B ist primärer DNS; Server I sekundärer):

 

nslookup ServerW-B

DNS request timed out.

timeout was 2 seconds.

***Der Servername für die Adresse 1.2.3.4 konnte nicht gefunden werden:

Timed out

~~~danach die Ausgabe wie oben (korrekte Auflösung über Server I)

[IThome 10]

Die Zoneninhalte können doch nicht gleich sein ?! Benutze NSLOOKUP mal mit dem FQDN. Funktioniert die Replikation eigentlich, wenn alle DCs den DNS im Hauptstandort eingetragen haben ?

[robotroonie 10]

Mit dem FQDN geht nslookup auch.

Zoneninhalte sind gleich - weichen maximal um eine Revisionsnummer voneinander ab.

Au dem DC W-B selbst funktioniert nslookup ja auch mit diesem selbst als DNS. Nur von keinem Client aus.

[IThome 10]

Poste bitte mal IPCONFIG /ALL eines Clients ...

Moment mal, was sehe ich denn da gerade, Du hast eine Domäne, die nur LOCAL heisst und der Hostname des Servers ist I, der FQDN also I.LOCAL ?

[robotroonie 10]

nö, war gekürzt.

server.abc-defg.local