Replikation DC fehlerhaft

[heuchler 17]

Hab selbes Phänomen auf zwei DCs-

Replikation läuft jedoch längere Zeit nicht mehr.

 

Meine Vorgehensweise bis jetzt:

 

DNS - okay.

WINS - okay

net share - anscheinend okay

NSLookup, Ping auf Namen & IP - okay

Netzwerkzugriff \\Server\Freigabe - nicht okay (Kontoname existiert nicht)

Netzwerkzugriff \\IPAdresse\Freigabe - okay!

 

Mein Problem bei FRSDiag:

 

Detecting this machine's domain role ... Could not check DomainRole, will just treat it like a Domain Controller. The exception message was: Der RPC-Server ist nicht verfügbar.

Gathering ntfrsutl sets output and gathering all Upstream Partners ...NTFRSUTL ERROR - Cannot RPC to computer, DC_01; 00000721 (1825)... Make sure you are logged on as a Domain Admin!

 

Lokal findet der Zugrif statt, spich RPC funktioniert lokal.

 

Nur leider habe ich schon nahezu alles berücksichtigt.. :-/

 

Vielleicht kann man ja zu Zweit suchen...

[olc 18]

@heuchler: Bei Dir sieht es auf den allersten Blick eher nach einem Kerberos Problem aus. Mach am besten einen neuen Thread auf und "kapere" nicht den alten. :)

 

Viele Grüße

olc

[XP-Fan 216]

Ich war mal so frei zu helfen.

[olc 18]

Hi,

 

danke XP-Fan. ;)

 

@heuchler: Zieh einmal einen Netzwerktrace auf einem betroffenen System, während Du den Fehler reproduzierst, und filtere nach "KerberosV5".

 

Siehst Du Fehlermeldungen?

 

Steht etwas im Ereignisprotokoll?

 

Viele Grüße

olc

[heuchler 17]

Wat für ein spannender Tag... nachdem der Server heute komplett Pause gemacht hat gab es erstmal keine Ambitionen nach dem Fehler zu suchen. Dieser ist jedoch wahrscheinlich der Ursprung einigen Übels, wie z.B. das ständige "Anhalten" des Netlogon Dienstes aufgrund fehlerhafter AD-Sync.

Hat hier jemand einen Tipp?

 

Aber hier erstmal ein paar Infos.

 

Übrigens hatte ich Kerberos auch schon in Verdacht da ich irgendwo ne Meldung gesehen habe.. Wie kann ich dieses diagnostizieren?

 

Vielen Dank, Daniel

 

Ereignis 1. DC, zeitlich nacheinander:

 

Ereignistyp:	Warnung
Ereignisquelle:	NtFrs
Ereigniskategorie:	Keine
Ereigniskennung:	13512
Datum:		10.08.2010
Zeit:		18:32:07
Benutzer:		Nicht zutreffend
Computer:	DC_01
Beschreibung:
Der Dateireplikationsdienst hat einen aktivierten Datenträgerschreibungs-Cache in dem Laufwerk mit dem Verzeichnis "c:\windows\ntfrs\jet" auf dem Computer "DC_01" ermittelt. Der Dateireplikationsdienst kann eventuell nicht wiederhergestellt werden, wenn die Stromzufuhr des Laufwerks unterbrochen wird und wichtige Aktualisierungen verloren gehen.

 

Ereignistyp:	Informationen
Ereignisquelle:	NtFrs
Ereigniskategorie:	Keine
Ereigniskennung:	13516
Datum:		10.08.2010
Zeit:		18:32:09
Benutzer:		Nicht zutreffend
Computer:	DC_01
Beschreibung:
Der Dateireplikationsdienst verhindert nicht mehr die Heraufstufung des Computers "DC_01" zum Domänencontroller. Der Systemdatenträger wurde erfolgreich initialisiert. Der Anmeldedienst wurde benachrichtigt, dass der Systemdatenträger jetzt als SYSVOL freigegeben werden kann. 

Geben Sie "net share" ein, um die SYSVOL-Freigabe zu überprüfen.

[heuchler 17]

Ereignistyp:	Fehler
Ereignisquelle:	NtFrs
Ereigniskategorie:	Keine
Ereigniskennung:	13568
Datum:		10.08.2010
Zeit:		18:32:10
Benutzer:		Nicht zutreffend
Computer:	DC_01
Beschreibung:
Der Dateireplikationsdienst hat ermittelt, dass sich der Replikatsatz "DOMAIN SYSTEM VOLUME (SYSVOL SHARE)" sich in JRNL_WRAP_ERROR befindet. 

Name des Replikatsatzes    : "DOMAIN SYSTEM VOLUME (SYSVOL SHARE)" 
Replikatstammpfad           : "c:\windows\sysvol\domain" 
Replikatstammvolume         : "\\.\C:" n%
Ein Replikatsatz stößt auf JRNL_WRAP_ERROR, wenn der Eintrag, von dem gelesen werden soll, nicht vom NTFS-USN-Journal gefunden wird. Mögliche Ursachen hierfür sind: n%

[1] Volume "\\.\C:" wurde formatiert. 
[2] Das NTFS-USN-Journal auf Volume "\\.\C:" wurde gelöscht. 
[3] Das NTFS-USN-Journal auf Volume "\\.\C:" wurde abgeschnitten. Chkdsk kann das Journal abschneiden, falls es beschädigte Einträge am Ende des Journals vorfindet. 
[4] Der Dateireplikationsdienst wurde seit längerer Zeit auf diesem Computer nicht mehr ausgeführt. 
[5] Die Rate der Laufwerks-E/A-Aktivität auf "\\.\C:" war zu schnell für den Dateireplikationsdienst. 
Das Festlegen des Registrierungsparameters "Enable Journal Wrap Automatic Restore" auf 1 führt dazu, dass folgende Maßnahmen zum automatischen Beheben des Fehlerzustands vorgenommen werden. 

[2] Beim auf die Löschung folgenden Poll wird der Computer erneut zum Replikatsatz hinzugefügt. Durch das erneute Hinzufügen wird eine vollständige Struktursynchronisierung für den Replikatsatz ausgelöst. 

WARNUNG: Während des Wiederherstellungsvorgangs sind Daten in der Replikatstruktur möglicherweise nicht verfügbar. Sie sollten den oben beschriebenen Registrierungsparameter auf 0 festlegen, um eine unerwartete Nichtverfügbarkeit von Daten durch die automatische Wiederherstellung zu verhindern, wenn dieser Fehlerzustand erneut auftritt.  

 

Ergebnis repadmin /syncall 1. DC:

 

CALLBACK MESSAGE: The following replication is in progress:
   From: 8dc83bcc-2632-4836-b964-de24d84c1f00._msdcs.cb.de
   To  : 63d746ed-61bb-4e2b-a60c-44dd9d76588c._msdcs.cb.de
CALLBACK MESSAGE: Error issuing replication: 8451 (0x2103):
   Der Replikationsvorgang ist auf einen Datenbankfehler gestoßen.
   From: 8dc83bcc-2632-4836-b964-de24d84c1f00._msdcs.cb.de
   To  : 63d746ed-61bb-4e2b-a60c-44dd9d76588c._msdcs.cb.de
CALLBACK MESSAGE: SyncAll Finished.

SyncAll reported the following errors:
Error issuing replication: 8451 (0x2103):
   Der Replikationsvorgang ist auf einen Datenbankfehler gestoßen.
   From: 8dc83bcc-2632-4836-b964-de24d84c1f00._msdcs.cb.de
   To  : 63d746ed-61bb-4e2b-a60c-44dd9d76588c._msdcs.cb.de

 

Ereignis Dateireplikation 2. DC:

Der Dateireplikationsdienst konnte die Replikation von DECB03 nach DECB07 für c:\windows\sysvol\domain mit DNS-Namen decb03.cb.de nicht aktivieren. Es wird ein neuer Versuch gestartet. 
Mögliche Ursachen für diese Warnung sind: 

[1] Der DNS-Name DC_01.Domain.local von diesem Computer konnte nicht ausgewertet werden. 
[2] Der Dateireplikationsdienst wird auf DC_01.domain.local nicht ausgeführt. 
[3] Die Topologieinformationen im Active Directory dieses Replikats wurden noch nicht auf allen Domänencontrollern repliziert. 

 

Repadmin /syncall auf dem 2. DC sagt:

CALLBACK MESSAGE: Error contacting server 63d746ed-61bb-4e2b-a60c-44dd9d76588c._
msdcs.cb.de (network error): -2146893022 (0x80090322):
   Der Zielprinzipalname ist falsch.
CALLBACK MESSAGE: SyncAll Finished.

SyncAll reported the following errors:
Error contacting server 63d746ed-61bb-4e2b-a60c-44dd9d76588c._msdcs.cb.de (netwo
rk error): -2146893022 (0x80090322):
   Der Zielprinzipalname ist falsch.

[olc 18]

Hi Daniel,

 

kann es sein, daß da irgendwas mit Images oder alten Backups gelaufen ist in der Vergangenheit?

Und das mit dem write cache sieht auch nicht wirklich vertrauenerweckend aus, siehe auch die Fehlermeldung:

CALLBACK MESSAGE: Error issuing replication: 8451 (0x2103):

Der Replikationsvorgang ist auf einen Datenbankfehler gestoßen.

 

Einen Journal Wrap hast Du zusätzlich auch noch. Hängt sicherlich alles zusammen.

 

Mal anders gefragt: Was spricht dagegen, nach Backup der DCs den zweiten DC zu demoten und danach neu zu promoten? Würde sicher die Probleme schneller beheben, als jetzt alles einzeln anzugehen.

 

Viele Grüße

olc

[heuchler 17]

Das Problem ist, dass alles zusammenhängt.. :(

 

Fummeln wir an DC1 rum, ist der Fileserver offline (somit auch die Außenstellen).

Fummeln wir am D2 rum, ist der Exchange offline.

 

Zum Backup:

 

Richtig, heute mussten wir die Systempartition des DC1 wiederherstellen da dieser garnicht mehr lief da aus irgendwelchen Gründen der RPC Server als LOKALER Dienst gestartet wurde, und nicht als Netzwerkdienst.

 

Was kann man gegen das Journal Wrap tun?

Gab es da nicht was mit Registry-Key (1) setzen?

 

Besten Dank,

 

Daniel

[zahni 550]

Siehst, daruam lässt man DC's alleine laufen, ohne andere Dienste.

 

Zum Problem: Das hört sich doch alles stark nach Hardware-Fehler an. Ich hoffe doch, es handelt sich um Markenserver mit ECC-Speicher. Sonst mal Memtest86+ - Advanced Memory Diagnostic Tool ausführen.

 

-Zahni

[heuchler 17]

Heyho...

 

Den Tipp der einzelnen Serverrollen musst Du mir nicht geben ;-) Das war das erste was der neue Admin erwähnt hat, jedoch weißt Du doch sicher wie es ist, oder?

Wenn etwas läuft und dabei nur 10 Nächte im Jahr draufgehen ist es nicht kritisch...

 

Wir sind nur Dienstleister in einem Unternehmen dessen Admin sich z. Zt. im Urlaub befindet und er diese auch so übernommen hat. Somit hat der Ex-Ex-Administrator diese klasse Aufgabe erledigt...

 

Sei es drum, weiter im Text.

 

Was mich extrem wundert:

 

Von gestern Abend bis heute Früh funktionierte alles, dann, wie von Geisterhand nicht mehr.

NSlookup meldet keine Fehler.

 

Dennoch ist auf den DC1 kein Zugriff per \\[netbiosname] sondern nur über \\[iP Adresse] möglich.

 

Folglich, was noch erschwerend hinzu kommt, funktionieren natürlich die Drucker auch nicht mehr da diese auch auf dem DC_01 gemappt sind.

 

kerberos: da erwähnst Du was:

 

Ereignistyp:	Fehler
Ereignisquelle:	Kerberos
Ereigniskategorie:	Keine
Ereigniskennung:	4
Datum:		11.08.2010
Zeit:		12:08:19
Benutzer:		Nicht zutreffend
Computer:	DC_02
Beschreibung:
Der Kerberos-Client hat einen KRB_AP_ERR_MODIFIED-Fehler von Server "host/DC_01.cb.de" empfangen. Der verwendete Zielname war DNS/DC_01.cb.de. Dies deutet darauf hin, dass das Kennwort, das zum Verschlüsseln des Kerberos-Diensttickets verwendet wurde, anders als das Kennwort auf dem Zielserver ist. Häufige Ursache hierfür sind identische Computerkontonamen im Zielbereich (DOMAIN.LOKAL) und dem Clientbereich. Wenden Sie sich an den Systemadministrator.

 

"Was tun?", sprach Zeus, die Götter sind besoffen und der Olymp ist vollge****t.. :(

[heuchler 17]

Andere Frage: wenn man den Kerberos Dienst auf DC1 und DC2 deaktiviert, hat dies Auswirkungen auf die restlichen Systeme (TS?)?

 

Ich habe gerade mal netdom resetpswdd ausprobiert, ohne Erfolg...

 

Zuerst Dienste deaktiviert auf beiden Servern, dann den 2. DC neugestartet, dann auf dem 2. DC das netdom cmd ausgeführt, dann Neustart beider Systeme, dann Dienste aktiviert...

 

Ist doch zum Brechen :(