Nach herabstufen des alten Servers (W2K3) keine Anmeldung mehr möglich

[szumbusch 10]

Hallo Miteinander,

 

ich habe eine Migration von W2K3-Server DC nach W2K8-Server DC durchgeführt. Es schien nach anfänglichen Problemen wegen Übertragung des GC Status auch alles OK.

 

Das lief eine Weile gut und deshalb wurde beschlossen, den alten Server zu recyclen.

 

Nach einem Backup des Systemstatus des alten Servers habe ich ein DCPROMO durchgeführt und ADS entfernt. DCPROMO meldete, alles erfolgreich übertragen und durchgeführt.

 

Aber: danach konnte sich kein user mehr anmelden.

 

Ein nltest /USER:<username> ergab:

SAM\SAM\Domains\Account\Users\Names\<username> kann nicht geöffnet werden: Status = 2 0x2 ERROR_FILE_NOT_FOUND

 

Die SRV-Einträge sind vorhanden, der W2K8-Server ist als GC eingetragen, in Active Directory: Computer und Benutzer sind alle Computer und Benutzer korrekt eingetragen und sichtbar.

 

Was kann das Problem sein?

 

Ich habe jetzt den alten Stand auf dem alten Server wieder hergestellt, aber er mag immer noch nicht....

 

Nach dem ich jetzt den ganzen Tag recherchiert habe, ohne etwas zu finden, muss ich wohl doch hier die Hosen 'runterlassen...

 

Hat jemand eine Idee?

 

:confused:

 

Sascha

[Necron 71]

Hi,

 

hast du das Ereignisprotokoll auf dem WS 08 DC überprüft. Kannst du ein ipconfig /all sowohl vom Client als auch vom Server einstellen?

[szumbusch 10]

Zuvor meinen Dank für die Mühe.

Hier drehen Sie frei, weil im Moment nichts geht...

 

Eventlog: Sagt, das kein Kontakt zum GC herstellbar ist.

(Das entsprechende Häkchen ist gesetzt, die Schemata wurden alle erfolgreich übertragen)

 

Hier die Daten. An der Client Config wurde nichts geändert.

 

 

(Server)

 

Microsoft Windows [Version 6.0.6002]

Copyright © 2006 Microsoft Corporation. Alle Rechte vorbehalten.

 

C:\Users\Administrator.NAUEN>ipconfig /all

 

Windows-IP-Konfiguration

 

Hostname . . . . . . . . . . . . : <Server>

Primäres DNS-Suffix . . . . . . . : <FQDN>

Knotentyp . . . . . . . . . . . . : Hybrid

IP-Routing aktiviert . . . . . . : Ja

WINS-Proxy aktiviert . . . . . . : Nein

DNS-Suffixsuchliste . . . . . . . : <FQDN>

<Domain Suffix>

 

Ethernet-Adapter Aussen:

 

Verbindungsspezifisches DNS-Suffix:

Beschreibung. . . . . . . . . . . : Broadcom BCM5716C NetXtreme II GigE (NDIS

VBD Client) #2

Physikalische Adresse . . . . . . : 60-EB-69-3E-B9-BF

DHCP aktiviert. . . . . . . . . . : Nein

Autokonfiguration aktiviert . . . : Ja

Verbindungslokale IPv6-Adresse . : fe80::69d3:b74b:9d1d:6558%12(Bevorzugt)

IPv4-Adresse . . . . . . . . . . : 192.168.0.97(Bevorzugt)

Subnetzmaske . . . . . . . . . . : 255.255.255.0

Standardgateway . . . . . . . . . : 192.168.0.5

DHCPv6-IAID . . . . . . . . . . . : 291564393

DHCPv6-Client-DUID. . . . . . . . : 00-01-00-01-14-80-31-5C-60-EB-69-3E-B9-BE

 

DNS-Server . . . . . . . . . . . : ::1

192.168.0.97

192.168.0.5

NetBIOS über TCP/IP . . . . . . . : Aktiviert

 

Ethernet-Adapter Innen:

 

Verbindungsspezifisches DNS-Suffix:

Beschreibung. . . . . . . . . . . : Broadcom BCM5716C NetXtreme II GigE (NDIS

VBD Client)

Physikalische Adresse . . . . . . : 60-EB-69-3E-B9-BE

DHCP aktiviert. . . . . . . . . . : Nein

Autokonfiguration aktiviert . . . : Ja

Verbindungslokale IPv6-Adresse . : fe80::7dfc:4925:3b78:136c%11(Bevorzugt)

IPv4-Adresse . . . . . . . . . . : 192.168.10.252(Bevorzugt)

Subnetzmaske . . . . . . . . . . : 255.255.255.0

Standardgateway . . . . . . . . . :

DHCPv6-IAID . . . . . . . . . . . : 258009961

DHCPv6-Client-DUID. . . . . . . . : 00-01-00-01-14-80-31-5C-60-EB-69-3E-B9-BE

 

DNS-Server . . . . . . . . . . . : ::1

192.168.10.252

192.168.0.5

NetBIOS über TCP/IP . . . . . . . : Aktiviert

 

 

(Client)

 

C:\Dokumente und Einstellungen\Administrator>ipconfig /all

 

Windows-IP-Konfiguration

 

Hostname. . . . . . . . . . . . . : <Client-Name>

Primäres DNS-Suffix . . . . . . . : <FQDN>

Knotentyp . . . . . . . . . . . . : Hybrid

IP-Routing aktiviert. . . . . . . : Nein

WINS-Proxy aktiviert. . . . . . . : Nein

DNS-Suffixsuchliste . . . . . . . : <FQDN>

<Domain-Suffix>

 

Ethernetadapter LAN-Verbindung:

 

Verbindungsspezifisches DNS-Suffix:

Beschreibung. . . . . . . . . . . : Intel® 82566DM-2 Gigabit Network C

onnection

Physikalische Adresse . . . . . . : 00-1E-4F-B5-B6-5C

DHCP aktiviert. . . . . . . . . . : Nein

IP-Adresse. . . . . . . . . . . . : 192.168.10.23

Subnetzmaske. . . . . . . . . . . : 255.255.255.0

Standardgateway . . . . . . . . . : 192.168.10.252

DNS-Server. . . . . . . . . . . . : 192.168.10.252

[djmaker 95]

SuFu:

 

http://www.mcseboard.de/windows-server-forum-78/multihomed-dc-52413.html

[Necron 71]

Hi,

 

der Herr Kollege hat den Link schon dazu bereit gestellt. ;)

 

Aber wozu werden in dem DC zwei NICs benötigt?

[szumbusch 10]

Die Clients greifen auf den Server zu. Und werden dahinter zum Internet durchgeroutet.

 

Es gibt noch ein Netz mit eigener Domäne und eigenem DC. Selbe Grundconfig.

Die Clients der Domänen können sich nicht erreichen (und sollen es auch nicht).

 

Diese Konfiguration läuft seit 6 Jahren stabil. Mit Gruppenrichtlinien, Scripten, etc... Hinter den Servern lauert in einem Transitnetz eine Proxy-Appliance mit Viruschecker, Firewall, etc...)

 

Ich musste nur bei der einen Domäne den DC austauschen. Was ich (streng nach Yusuf) gemacht habe.

 

Sascha

bearbeitet 19. April 2011 von szumbusch

[djmaker 95]

Dann korrigiere die DNS-Registrierungen des DC (s. Link).

 

http://support.microsoft.com/default.aspx?scid=kb;de;272294

[szumbusch 10]

Danke für den Hinweis.

 

Das mit der Bindungsreihenfolge ist natürlich sehr klar, wenn man mit der Nase darauf gestoßen wird. Aber bis zu dem Zeitpunkt sieht man den Wald vor lauter Bäumen nicht!

 

Habe ich gemacht. Jetzt ist der alte Server nicht erreichbar....:mad:

Von Zuhause aus kann ich Ihn leider nicht treten......

 

Morgen früh gehts weiter....

 

Vielen Dank,

 

Ich melde mich.

 

Sascha

[djmaker 95]

Viel Erfolg. :)

[szumbusch 10]

Mal ein Zwischenbericht, der das Problem einzukreisen scheint.

 

Ich habe im Ereignisprotikoll des Verzeichnisdienstes einige Meldungen gefunden..

 

1.

 

Datum: 20.04.2011 08:39:36

Ereignis-ID: 1578

Aufgabenkategorie:Globaler Katalog

Ebene: Informationen

Schlüsselwörter:Klassisch

Benutzer: S-1-5-7

Computer: <Server>.<FQDN>

Beschreibung:

Das Heraufstufen dieses Domänencontrollers zu einem globalen Katalog wurde verzögert, da die Belegbedingungen der Verzeichnispartition nicht erfüllt sind. Die Belegbedingungsebene und die aktuelle Ebene des Domänencontroller sind wie folgt.

 

Belegbedingungsebene:

6

Ebene des Domänencontrollers:

0

 

Der folgende Registrierungsschlüsselwert definiert die Belegbedingungsebene für die Verzeichnispartition.

 

Registrierungsschlüsselwert:

HKeyLocalMachine\System\ CurrentControlSet\Services\NTDS\Parameters\Global Catalog Partition Occupancy

 

Höhere Belegbedingungsebenen enthalten die niedrigeren Ebenen. Die Ebenen sind folgendermaßen definiert:

 

(0) Keine Belegbedingung.

(1) Mindestens eine schreibgeschützte Verzeichnispartition am Standort wurde von der Konsistenzprüfung hinzugefügt.

(2) Mindestens eine Verzeichnispartition am Standort wurde vollständig synchronisiert.

(3) Alle schreibgeschützten Verzeichnispartitionen am Standort wurden von der Konsistenzprüfung hinzugefügt (mindestens eine wurde synchronisiert).

(4) Alle Verzeichnispartitionen am Standort wurden vollständig synchronisiert.

(5) Alle schreibgeschützten Verzeichnispartitionen in der Gesamtstruktur wurden von der Konsistenzprüfung hinzugefügt (mindestens eine wurde synchronisiert).

(6) Alle Verzeichnispartitionen in der Gesamtstruktur wurden vollständig synchronisiert.

 

 

Da diese Meldung als 'Information', ohne besondere Icons oder so deklariert ist, ist sie mir natürlich nicht aufgefallen.

 

Also war, entgegen meiner Meinung der DC nicht komplett, weil der GC gar nicht auf dem neuen Server aktiviert wurde.

 

Nun zu dem Grund, den ich nicht verstehe:

 

2.

 

Datum: 20.04.2011 08:39:36

Ereignis-ID: 1559

Aufgabenkategorie:Globaler Katalog

Ebene: Informationen

Schlüsselwörter:Klassisch

Benutzer: S-1-5-7

Computer: <Server>.<FQDN>

Beschreibung:

Der lokale Domänencontroller wurde als globaler Katalog ausgewählt. Der Domänencontroller ist allerdings nicht Host eines schreibgeschützten Replikats der folgenden Verzeichnispartition.

 

Verzeichnispartition:

DC=<eine andere Domäne>,DC=<diese Domäne>,DC=<allgem. Domain>,DC=de

 

Eine Vorbedingung für die Heraufstufung zum globalen Katalog ist, dass der Domänencontroller Host eines schreibgeschützten Replikats aller Verzeichnispartitionen in der Gesamtstruktur sein muss. Dieses Ereignis ist ggf. deshalb aufgetreten, weil ein Task der Konsistenzprüfung nicht fertig gestellt wurde oder weil der Domänencontroller ein Replikat der Verzeichnispartition wegen nicht verfügbarer Quelldomänencontroller nicht hinzufügen konnte.

 

Nach dem nächsten Konsistenzprüfungsintervall wird erneut erneut versucht, das Replikat hinzuzufügen.

Ereignis-XML:

 

3.

 

Datum: 20.04.2011 09:09:36

Ereignis-ID: 1809

Aufgabenkategorie:Globaler Katalog

Ebene: Informationen

Schlüsselwörter:Klassisch

Benutzer: S-1-5-7

Computer: <Server>.<FQDN>

Beschreibung:

Der globale Katalog verfügt über keine Quellen innerhalb von Standorten für mindestens eine Partition. Die Replikation in den globalen Katalog ist auf geplante Replikationen von Quellen innerhalb von Standorten beschränkt.

 

 

Zum einen weiß ich nicht, wie das da hinkommt, die genannte Domäne hat mit diesem Netz eigentlich nichts zu tun (Und mit mir auch nicht...).

 

Zum anderen stellt sich die Frage, wie ich das beseitigen kann.

 

Auch diese Meldung war wieder nur als 'Information' ohne besondere Kennzeichen 'versteckt'.

:confused:

 

Sascha

[szumbusch 10]

Korrektur:

 

Ich hatte geschrieben:

 

Verzeichnispartition:

DC=<eine andere Domäne>,DC=<diese Domäne>,DC=<allgem. Domain>,DC=de

 

<eine andere Domäne> ist keine Domäne. Es ist ein Eintrag oder Name, den ich nirgendwo finden kann.

Wie kommt das under die <FQDN>? Und wie bekomme ich das wieder weg? Ich kann das nirgendwo finden...

 

Sascha

[szumbusch 10]

Hallo Miteinander!

 

Da es immer 'verfilzter' auszusehen schien, habe ich gestern die Reißleine gezogen und die Domäne komplett plattgemacht (/forceremoval) und eine neue aufgesetzt.

Lieber ein Ende mit Schrecken, als ein Schrecken ohne Ende.

 

Da in dieser Domäne nicht so viele USER und Ressourcen verwaltet wurden, war das dann doch einfacher. Muss jetzt nur noch 64bit Treiber für die Drucker finden. Ostern scheint gerettet.

 

Ausdrücklich bedanken möchte ich mich für die Unterstützung!

Habe auch wieder etwas dazugelernt (wie immer....).

 

Frohe Ostern,

 

Sascha

[djmaker 95]

Wenn man hier regelmäßig mitliest erfährt man auch das an nicht mehr benötigte DCs für 2 Wochen ausschalten kann und damit einen kleinen Test hat. :-)