Domänen Controller "ersetzen"

[bubbel 10]

Hallo,

 

ich suche derzeit den besten Abaluf einen Domänen Controller zu ersetzen. Der aktuelle Domänen Controller läuft derzeit noch Physikalisch und soll virtualisiert werden. Da ich ungern den jetzigen einfach kovertieren will, wollte ich einen neuen virtuellen 2003er Server aufsetzen und diesen zunächst als zweiten Domänen Controller in die bestehende Domäne einbinden. Ich habe mir das ganze einmal in einer virtuellen Umgebung nach gestellt. Also 2 Domain Controller und mehrere Clients. Das replizieren der beiden Server läuft einwandfrei. Mir sind folgende Probleme aufgefallen:

 

- Wenn ich einen der beiden Server ausschalte, dann läuft z.B. die Konfiguration der AD sehr schleppend.

 

- Es soll zu einem späteren Zeitpunkt der Betriebsmaster getauscht werden, da nur der virtuelle Server in Betrieb sein soll. Wenn ich das mache, gibt es schon Probleme bei der Synchronisation.

 

- Ist es von MS so gedacht das der globale Katalog nur auf einem DC, also dem "ersten" zur Verfügung steht?

 

Vielleicht noch zur Information: Ich bin noch nicht sher lange in dem Unternehmen tätig und konnte in den ersten Wochen das Netzwerk kennenlernen und der DC ist sehr durcheinander. Wollte den virtuellen ersteinmal offline bereinigen und dann nach ausgibigen Tests wieder ins Netzwerk bringen. So könnte er den aktuellen DC mit der berinigten Konfig versehen und dann können weitere Schritte Folgen (Freigaben etc.) Nur um die Konfig dann übertragen zu können, muss der virtuelle DC doch ersteinmal der Betriebsmaster sein, bevor ich anfange offline zu konfigurieren?

 

Habt ihr vllt gute Links, Ideen oder Vorschläge das anders zu realisieren?

 

Vielen Dank

[phoenixcp 10]

Da sollte dieser Artikel unseres Experts DAIM genau das richtige für dich sein: Yusufs Directory Blog - Den einzigen Domänencontroller austauschen

[bubbel 10]

Vielen Dank erstmal. Werd es mir angucken, testen und dann wieder Meldung geben :)

[phoenixcp 10]

So wie ich die Artikel von DAIM kenne, sollte da als Feedback eigentlich nur ein "Danke,funktioniert" zurückkommen. ;)

[NilsK 2.938]

Moin,

 

- Wenn ich einen der beiden Server ausschalte, dann läuft z.B. die Konfiguration der AD sehr schleppend.

 

DNS? Global Catalog?

 

- da nur der virtuelle Server in Betrieb sein soll.

 

Schlechte Idee, es sei denn, das Netzwerk hat weniger als 15 User oder so. Zwei DCs sollten es schon sein-

 

- Ist es von MS so gedacht das der globale Katalog nur auf einem DC, also dem "ersten" zur Verfügung steht?

 

Nein. Jeder DC sollte GC sein.

 

Wollte den virtuellen ersteinmal offline bereinigen und dann nach ausgibigen Tests wieder ins Netzwerk bringen.

 

Auch eine ganz schlechte Idee. Damit tust du alles, um die Replikationsprobleme zu verschaffen.

 

Gruß, Nils

[Daim 12]

Salut,

 

- Ist es von MS so gedacht das der globale Katalog nur auf einem DC, also dem "ersten" zur Verfügung steht?

 

nein. Wenn der GC nicht so sehr im Unternehmen beansprucht wird, ist es empfehlenswert auf jedem DC den GC zu aktivieren.

 

Vielleicht noch zur Information: Ich bin noch nicht sher lange in dem Unternehmen tätig und konnte in den ersten Wochen das Netzwerk kennenlernen und der DC ist sehr durcheinander.

 

Dann überprüfe das Eventlog und installiere die Windows Support Tools. Anschließend führst du die beiden Tools DCDIAG sowie NetDIAG aus.

 

Nur um die Konfig dann übertragen zu können, muss der virtuelle DC doch ersteinmal der Betriebsmaster sein, bevor ich anfange offline zu konfigurieren?

 

Nein, muss er nicht. In einer AD-Umgebung existiert eine Multimasterreplikation.

 

Habt ihr vllt gute Links, Ideen oder Vorschläge das anders zu realisieren?

 

Verschaffe dir erst einmal in Ruhe ein genaues Bild deiner IST-Situation. Kontrolliere welche DCs in Ordnung sind und welche Probleme haben. Dann geht es einen Schritt nach dem anderen nach vorne. Überprüfe die Eventlogs und führe die beiden o.g. Tools aus.

 

Ein elementarer Bestandteil einer Active Directory-Umgebung ist das DNS. Das DNS sollte aus jedem DC installiert werden und die Forward Lookup Zone sollte AD-integriert gespeichert sein. Bei den dynamischen Updates sollte die Einstellung "Nur sichere" eingestellt sein. Denn bevor ein DC die Replikation durchführt, führt er vorher ein DNS-Lookup durch. Dabei stellt der DC zwei Dinge sicher:

 

1. Das die Namensauflösung funktioniert.

2. Das der Replikationspartner erreichbar ist.

 

 

@phoenixcp

 

So wie ich die Artikel von DAIM kenne, sollte da als Feedback eigentlich nur ein "Danke,funktioniert" zurückkommen.

 

Carsten... uiuiuii... wohin soll ich den (virtuellen natürlich ;) ) Kasten hinschicken? :D

[bubbel 10]

So wie ich die Artikel von DAIM kenne, sollte da als Feedback eigentlich nur ein "Danke,funktioniert" zurückkommen. ;)

 

Danke, funktioniert :)

 

Schlechte Idee, es sei denn, das Netzwerk hat weniger als 15 User oder so. Zwei DCs sollten es schon sein-[/QUoTE]

 

Es werden zwei ;) Am Anfang wird es nur ein virtueller und dann wird sofort aufgestockt.

 

Auch eine ganz schlechte Idee. Damit tust du alles, um die Replikationsprobleme zu verschaffen.

 

Ich würde auch lieber im Live Betrieb meine Änderungen vornehmen, aber damit stoße ich noch gegen einen Wand, das "alten" Admins ;) Vielleicht eine andere Idee, den alten DC ersteinmal außenvor zu lassen?

 

Verschaffe dir erst einmal in Ruhe ein genaues Bild deiner IST-Situation. Kontrolliere welche DCs in Ordnung sind und welche Probleme haben. Dann geht es einen Schritt nach dem anderen nach vorne. Überprüfe die Eventlogs und führe die beiden o.g. Tools aus.

 

Ein elementarer Bestandteil einer Active Directory-Umgebung ist das DNS. Das DNS sollte aus jedem DC installiert werden und die Forward Lookup Zone sollte AD-integriert gespeichert sein. Bei den dynamischen Updates sollte die Einstellung "Nur sichere" eingestellt sein. Denn bevor ein DC die Replikation durchführt, führt er vorher ein DNS-Lookup durch. Dabei stellt der DC zwei Dinge sicher:

 

1. Das die Namensauflösung funktioniert.

2. Das der Replikationspartner erreichbar ist.

 

Das Bild konnte ich mir schon einige Wochen machen. Das Problem ist, dass der DC hier bisher eigentlich völlig "überflüssig" ist. Die User melden sich alle mit lokalen Benutzeraccounts (und Adminrechten :( ) an den Computern an. DNS war das erste was ich hier gerade gezogen habe. Wie gesagt, es gibt eine Menge zu tun. Die Domänenstruktur ist der erste von vielen Schritten. Nur finde dich einmal zurecht in den ganzen Verzweigungen eines Netzwerkes, welches 20 Jahre gewachsen ist. Ich möchte nicht auf unvorhergesehene Probleme stoßen.

 

Wie gesagt, bisher konnte ich alles ohne Probleme nachstellen. Werde mich aber, denke ich, definitv weider melden, wenn es zu Problemen oder Fragen kommt.

 

Auf jeden Fall, ersteinmal vielen Dank für die bisherigen Antworten.

 

Gruß

 

Bubbel

[phoenixcp 10]

Carsten... uiuiuii... wohin soll ich den (virtuellen natürlich ) Kasten hinschicken?

@Yusuf: Brauchst du nicht. Ich glaube für deine Artikel und deinen Blog hast du dir ausgedrückte Anerkennung ehrlich verdient. Danke für die Arbeit die du da reinsteckst.