Geänderte GPO greift auf dem DC nicht

[elleven 10]

Hallo zusammen,

 

ich hab ein merkwürdiges Problem mit der Anwendung der GPO auf dem Server selbst. Ich habe einen Win Server 2008 als DC im Stand-alone Betrieb laufen. Ich verwende die Default Domain Policy und darüber hinaus noch eine Default Domain Controller Policy.

 

Irgendwann habe ich festgestellt, daß die auf dem DC greifende Default Domain Policy auf einem alten Stand quasi hängen geblieben ist. Es wird eine uralte GPO angewendet und sämtliche Veränderungen an der selbigen greifen auf dem DC nicht. Auf den Clients in der Domäne funktioniert das aber alles tadellos.

 

Das eigentliche Problem ist eine fehlerhafte Deployed Printer Connection, die ich mal in der Default Domain Policy hatte und längst wieder herausgenommen habe.

 

So schaut's aus:

Mache ich eine Modellierung in der Gruppenrichtlinienverwaltung für den DC mit meinem Admin-Usernamen, dann greift dort anscheinend die neue Default Domain Policy. Zumindestens unter "Einstellungen" werden dort die aktuellen Einstellungen der GPO auch angezeigt. Komisch ist aber, daß unter "Zusammenfassung" ein Fehler angezeigt in der Rubrik Deployed Printer Connections angezeigt wird. Hab ich noch nicht wirklich verstanden!?!?

 

Schaue ich mir nun in der Gruppenrichtlinienverwaltung das Spiel unter "Gruppenrichtlinienergebnisse" an, dann scheint dort die veraltete Version der GPO zu greifen. Zumindestens taucht dort unter "Einstellungen" die alte Druckerverbindung auf mit der Default Domain Policy als Ursprung. Unter Zusammenfassung gibt's jetzt aber keine Fehlermeldung. Was ist denn das für ein quatsch!?!?

 

O.K., nun gibt's ja noch die RSOP.MSC und schauen wir uns das mal auf dem DC an. Ergebnis: Auch hier wird im Ergebnis die aktuelle Version der GPO ausgewertet.

 

Gut, dann versuchen wir doch mal gpresult /r. Hier bin ich mir jetzt nicht mehr sicher, was angewendet wird. Im Ereignisprotokoll wird die Anwendung der GPO dokumentiert, aber der mich eigentlich störende Fehler bzgl. der fehlerhaften Deployed Printer Connection der veralteten GPO taucht im Eventlog dabei nicht auf. Also neue Version der GPO angewendet? Komisch ist nebenbei noch, daß in der Konsole nach gpresult /r u.A. auch der Domänentyp Win2000 angezeigt wird. Eigentlich hatte ich die mittlerweile auf Win2008 heraufgestuft, was mir auch in der Domain-Managementkonsole angezeigt wird.

 

O.K., dann probieren wir eben noch eines aus: gpupdate /force. Auffällig ist, da die erste Rückmeldung in der Console nach dem Befehl etwa 10s...15s dauert. Kommt mir langsam vor, ist aber auch keine wirklich schnelle Maschine. Auch nach gpupdate /force taucht die Printer Fehlermeldung NICHT im Eventlog auf. Greift also tatsächlich die aktuelle Version der GPO!?!?

 

Tja, und wenn man sich nun vom Server abmeldet und anschließend wieder anmeldet, ist die Printer-Fehlermeldung wieder da - na toll, es wird immer noch die veraltete Richtlinie angezogen.

 

Kann mir einer erklären, was hier schief läuft? Eine Idee, wie ich das Problem beheben kann? Ansonsten ist das Eventlog eigentlich völlig frei von Fehlern oder Warnungen.

 

Vielen Dank im voraus,

Armin

bearbeitet 24. September 2009 von elleven

[Gadget 37]

Hi elleven,

 

was spricht den DCdiag über deinen DC? Mach mal nen verbose check und kontrolliere die einzelnen Steps obs ihm gut geht.

 

Im Härtefall kannst du auch die Gruppenrichtlinien zurücksetzen mittels dcgpofix.

 

lg Gadget

[elleven 10]

Hallo Gadget,

 

DCdiag bescheinigt mir eine tadellos funktionierende Domäne. Ich hab darauf hin die beiden Default Policies mit Deinem Tipp jetzt einfach mal platt gemacht und anschließend mit meinen Einstellungen komplett neu aufgesetzt.

 

Fazit: Das Ergebnis ist für mich noch verwirrender :-/ als vorher. Also es greift nun definitiv die neu aufgesetzte GPO, was schonmal prima ist. Bei der Modellierung als auch bei den Gruppenrichtlinienergebnissen steht jetzt beides das Gleiche und dort wird auch kein Fehler mehr bzgl. der Deployed Printer Connection ausgegeben. Soweit erstmal die gute Nachricht.

 

Was aber dann nach einem Reboot des Servers wieder aufläuft ist die bekloppte Meldung im Eventlog über die nicht funktionierende Deployed Printer Connection. Aber die habe ich nirgendwo eingestellt und weder gpresult noch rsop.msc noch gpmc.msc zeigen mir diese Deployed Printer Connection jetzt noch irgendwo an. Allerdings ist gpresult immer noch der Meinung, das es sich um eine Win2k Domäne handelt obwohl es eine 2k8 ist. Aber das wird auch auf meinen Clients angezeigt. Vielleicht ein Fehler von GPresult? Vor dem reboot hatte ich mich übrigens einmal ab- und wieder angemeldet. Danach gab es die Fehlermeldung noch nicht.

 

Hier jetzt auch mal die eigentliche Fehlermeldung im Eventlog. Also die muß doch von der GPO kommen. Ich hab nur drei GPOs im System, die beiden Defaults und eine weitere. Letztere greift aber nicht am DC, was auch verifiziert ist. Also wo kann diese Meldung denn jetzt noch verursacht werden:

 

Quelle:        Microsoft-Windows-SpoolerSpoolss
Ereignis-ID:   1037
Ebene:         Warnung
Beschreibung:
Die Gruppenrichtlinie konnte die Pro-Computerverbindung
"\\Stargate\hp_lj2100" nicht hinzufügen. Fehlercode:
0x8007007b. Dieses Problem kann auftreten, wenn der Name
der Druckerverbindung falsch ist oder die Druckwarteschlange
keine Verbindung mit dem Druckserver herstellen kann.

Bin für weitere Tipps dankbar!

 

Gruß,

Armin

[sschulz80 10]

ist deine dritte GPO auch mit der OU des DC´s verknüpft ?

evnt. mal den Druckerspooler Dienst neustarten

[elleven 10]

ist deine dritte GPO auch mit der OU des DC´s verknüpft ?

evnt. mal den Druckerspooler Dienst neustarten

 

Sorry, da hab ich mich evtl. mißverständlich ausgedrückt. Die dritte GPO soll auf dem DC auch gar nicht greifen. Da ging es um den Ausschluß, wo denn die Meldung verursacht wird.

 

Dienst neu starten? Ich hab den Bug seit 3 Monaten und den Server seit dem schon duzende Male neu gebootet. Ich denke, das wird nicht viel helfen einen Dienst jetzt neu zu starten.

 

Trotzdem danke für die Hinweise!

 

Gruß,

Armin

[pep 10]

Hallo elleven,

 

hast du damals eine Lösung für das Problem finden können?

[elleven 10]

Hallo,

 

das Problem habe ich mittlerweile nicht mehr. Ich kann jetzt aber nicht mehr sagen, was ich dafür noch alles gemacht hatte. Das einzige, woran ich mich noch erinnere ist, daß ich auf einem Rechner noch eine "schlumernde" Installation für einen BDC hatte. Das ist ein recht kleines Netzwerk, wo ich keine zwei DCs habe und für Probleme oder längere Wartungsarbeiten nutze ich einfach die zweite Installation, die dann hochgefahren wird. Da das aber an anderer Stelle zu Problemen führte, hatte ich den zweiten Server wieder aus der DC rausgenommen. Kann sein, daß das Problem damit weg war, aber das weiß ich wirklich nicht mehr so genau...

 

Auf jeden Fall war der wichtigste Schritt das Neuaufsetzen der Default GPOs, wie ganz am Anfang von Gadget geschrieben.

 

Gruß,

Armin