DC Replikationsfehler

[Netscape 11]

Hi,

 

folgendes Problem:

 

Wir wollten unseren DC/FileServer auf unseren ESX Clusten packen. Also hat der Techniker folgendes gemacht bzw. uns gesagt, was wir machen sollen.

 

Ich hab einen virtuellen DC auf dem ESX angelegt und alle FSMO Rollen von dem zu migrierenden DC/FileServer auf diesen verschoben. Zwei Stunden später haben wir den DC/FileServer runtergefahren und mit der VM Converter CD virtualisiert.

 

So weit so gut. Nun hat der Techniker den virtualisierten DC/FileServer gestartet. Problem war dabei aber auch noch, dass die direkten LUN-Mappings von der SAN nicht in der VM angezeigt wurden.

 

Also hat der Techniker den virtualisierten DC/FileServer wieder runtergefahren und mir gesagt, ich solle den alten (physischen) DC/FileServer wieder einschalten.

 

Da ja aber in der Zwischenzeit der virtualisierte DC/FileServer wieder am Netz war, hat der sich wohl auch wieder repliziert.

 

Jedenfalls habe ich nun das Problem, dass der physische DC/FileServer sich nicht mehr mit den anderen DC´s repliziert.

 

INBOUND/Outbound Replikation ist abgeschaltet.

 

Ich hoffe ihr könnt mir helfen. Der Exchange 2007 leidet schon unter diesen Fehlern. Hat teilweise keine Verbindung zum AD.

 

Wir haben gesamt 4 DC´s. Den Abschnitt unten mit Repadmin musste ich etwas kürzen.

 

DCDIAG:

Starting test: Replications
        [Replications Check,DC/FileServer] Inbound replication is disabled.
        To correct, run "repadmin /options DEINSERVER -DISABLE_INBOUND_REPL"
        [Replications Check,DC/FileServer] Outbound replication is disabled.
        To correct, run "repadmin /options DEINSERVER -DISABLE_OUTBOUND_REPL"
        ......................... DC/FileServer failed test Replications


Starting test: Services
           w32time Service is stopped on [DC/FileServer]
           NETLOGON Service is paused on [DC/FileServer]


tarting test: Advertising
        Warning: DsGetDcName returned information for \\dc-01.domain.local, when we were trying to reach DC/FileServer.
        Server is not responding or is not considered suitable.
        Warning: DC/FileServer is not advertising as a global catalog.
        Check that server finished GC promotion.
        Check the event log on server that enough source replicas for the GC are available.
        ......................... DC/FileServer failed test Advertising

 

NETDIAG:

DNS test . . . . . . . . . . . . . : Passed
         [WARNING] Cannot find a primary authoritative DNS server for the name
           'DC/FileServer.domain.local.'. [ERROR_TIMEOUT]
           The name 'DC/FileServer.domain.local.' may not be registered in DNS

 

REPADMIN/SHOWREPS zeigt folgendes.

local\DEINSERVER

DC Options: IS_GC DISABLE_INBOUND_REPL DISABLE_OUTBOUND_REPL 

Site Options: (none)

DC object GUID: e2d934f9-43fd-4bd6-8460-4bd38a80d7ba

DC invocationID: bca3634d-fcd0-42f9-91e9-753a261a1968



==== INBOUND NEIGHBORS ======================================



DC=domain,DC=de

   local\DC-02 via RPC

       DC object GUID: 53c042f8-ad4a-4bf3-965c-71f768d41e42

       Last attempt @ 2010-12-18 17:06:21 failed, result 8457 (0x2109):

           Der Zielserver nimmt zurzeit keine Replikationsanforderungen entgegen.

       31 consecutive failure(s).

       Last success @ 2010-12-17 18:25:50.

   local\DC-01 via RPC

       DC object GUID: 94a34aad-b8a5-46f5-89ed-c0115208d6b5

       Last attempt @ 2010-12-18 17:33:33 failed, result 8457 (0x2109):

           Der Zielserver nimmt zurzeit keine Replikationsanforderungen entgegen.

       56 consecutive failure(s).

       Last success @ 2010-12-17 18:39:10.

bearbeitet 18. Dezember 2010 von Netscape
erweitert

[olc 18]

Hi,

 

Du hast einen USN Rollback: How to detect and recover from a USN rollback in Windows Server 2003

 

Viele Grüße

olc

[Daim 12]

Servus,

 

ist dieser Techniker ein Dienstleister? Falls ja, such dir einen neuen und diesmal einen, der sein Handwerk versteht!

[Netscape 11]

Das heißt, ich muss den DC herunterstufen und einen Metadata cleanup machen, wie im Artikel beschrieben.

 

Muss ich dann auch wieder eine Wiederherstellung des SystemState machen? Der Server muss nicht zwingend wieder DC sein. Wir haben 3 weitere DC´s.

 

Und Ja, das war ein Dienstleister.

[Netscape 11]

Außerdem habe ich noch dieses Problem mit dem Server:

 

http://www.mcseboard.de/windows-server-forum-78/festplatte-fehlend-angezeigt-172880.html

 

Eine Festplatte die vom SAN direkt auf den Server gemapped wurde, wird nicht mehr angezeigt.

[Daim 12]

Das heißt, ich muss den DC herunterstufen und einen Metadata cleanup machen, wie im Artikel beschrieben.

 

Genau, aber ein normales herunterstufen mit dem einfachen Ausführen von DCPROMO funktioniert nicht, da die Replikationspartner die AD-Reoplikation mit dem "veralteten" DC verweigern. Du kannst DCPRMO /Forceremoval ausführen, um die AD-Informationen lokal vom DC zu entfernen. Möchtest du allerdings den DC neu installieren (was ich empfehlen würde), kannst du dir das DCPRMO /Forceremoval sparen. Die Metadaten des AD musst du ohnehin bereinigen.

 

LDAP://Yusufs.Directory.Blog/ - Die Metadaten des Active Directory unter Windows Server 2008 bereinigen

 

Muss ich dann auch wieder eine Wiederherstellung des SystemState machen?

 

Nein, es existieren in deiner Umgebung ja mehrere DCs.

 

Der Server muss nicht zwingend wieder DC sein. Wir haben 3 weitere DC´s.

 

Dann ist das Rücksichern des System States ohnehin nicht notwendig.

 

Und Ja, das war ein Dienstleister.

 

Dann solltest du dir wirklich einen anderen suchen. Wer so als Dienstleister arbeitet, gehört "geteert und gefedert".

[Netscape 11]

Ok, danke euch schonmal für die schnelle Hilfe.

 

Kann ich theoretisch auch von einem SystemState eine Rücksicherung machen und die Daten von den Anderen DC´s replizieren?

 

Ich hatte gestern Abend noch mit ntbackup eine Sicherung des Systemstate gemacht.

 

Herabstufung:

Der DC ist auch DNS/DHCP Server. Muss ich den vorher deinstallieren, wenn ich ihn doch herabstufe und mit metadata cleanup säubere?

 

Muss ich dabei sonst noch auf etwas achten? Der Server ist wie gesagt auch Fileserver und es läuft eine DATEV Instanz drauf für 4 User.

 

Noch eins:

Der Exchange spinnt auch. Der kann das AD nicht mehr abfragen. Im Event log steht:

Could not find any available Global Catalog in forest domain.local.

 

Aber Zeitweise funktioniert er.

 

PS: Der defekte Server war auch GC. Habe aber gestern einen zweiten GC angelegt auf dem Server, dem ich die FSMO Rollen zugewiesen habe.

bearbeitet 18. Dezember 2010 von Netscape

[Netscape 11]

Hab noch eine Frage.

 

Hab nach dem KB Artikel von Microsoft den DC auf USN-Rollback geprüft. Normalerweise sollte der defekte DC ja eine niedrigere USN haben als auf den Anderen DC´s. Ist hier aber nicht der Fall.

 

repadmin /showutdvec auf dem fehlerhaften DC01:

location\DC01                 @ USN   6664437 @ Time 2010-12-19 12:11:25

 

repadmin /showutdvec auf DC02:

location\DC01                 @ USN   6656115 @ Time 2010-12-18 13:17:15

[Netscape 11]

Habe jetzt den DC/Fileserver mit dcpromo und metadata cleanup aus der Domäne entfernt.

 

Nun is der Fileserver ja nich mehr in der Domäne. Ich muss ihn aber wieder aufnehmen, da ja Daten darauf liegen. Der Hostname muss aber der gleiche sein wie bisher. Kann ich den einfach wieder aufnehmen oder muss ich vorher die SID ändern?

 

Und der Exchange Server will auch nicht mehr starten. Er kann diverse Exchange Dienste (Informationsspeicher, Transportserver,..) nicht mehr starten. Kommt immer die Fehlermeldung, dass der Dienst nicht reagiert.

[RanCyyD 10]

Den Fileserver kannst Du mit gleichem Namen wieder reinnehmen, beim Exchange poste doch die Ereignislogs.

[Netscape 11]

So, die gröbsten Probleme sind behoben.

 

Habe den DC runtergestuft und ein Metadata Cleanup gemacht. DCdiag und Netdiag zeigen nun keine Fehler mehr. Den Server hab ich dann wieder als Memberserver aufgenommen. Bisher keine Probleme.

 

Das Exchange Problem hat sich auch gelöst.

 

Es hat wohl bei dem USN Rollback auch ein paar Berechtigungen für den Exchange im AD zerschossen.

 

Auf dem Exchange in der Console ergab der policytest (policytest in der cmd ausführen) das die Berechtigungen in der Default Domain Controllers policy nicht stimmen.

 

Nachzulesen hier.