Zwei SYSVOL Ordner im System

[atctv 10]

Hallo Forengemeinde!

 

Ich habe im Eventlog die IDs 1058 + 1030 mit dem Hinweis, das die Abfrage der GPO Fehlgeschlagen ist und weiterhin, das der Zugriff verweigert wurde.

 

Wie alles begann:

 

Aus einem bis dato unerklärlichen Grund, war eines Morgens die Netlogon-Scripts aus dem SYSVOL Ordner verschwunden. Daraufhin wollte ich diese von einem Backup wiederherstellen und als ich den Pfad für die Wiederhergestellten Daten auswählen wollte, bemerkte ich, das auf einer anderen Partition auf dem PDC im Verzeichnis F:\Temp\ der gesamte SYSVOL-Ordner samt Unterstruktur zu finden war. Daraufhin habe ich die Scripts in das Ursprüngliche Verzeichnis verschoben und alles war gut - dachte ich. Ich habe allerdings den SYSVOL Ordner nicht gelöscht, weil ich noch unsicher war, wie der dahin gekommen ist.

 

Jetzt stelle ich aufgrund der oben genannten Eventlogs und der Fehleranalyse fest, das sich die GPO sowohl mit dem "normalen" SYSVOL-Ordner als auch mit dem unter F:\Temp synchronisieren und daher vielleicht die Logs generieren.

 

Die Richtlinien der GPO werden korrekt an die Clients weitergegeben.

Der Pfad der GPO-ID, welche im Evntlog steht, ist der Richtige und es wird nichts von F:\Temp erwähnt.

Bis dato wurde immer nur ein und die selbe GPO-ID im Event 1058 benannt. Diese habe ich ausfindig gemacht, habe sie versucht zu ändern, das funktionierte und habe sie anschließend gelöscht und neu erstellt. Jetzt erscheinet sowohl diese neue GPO als auch eine andere GPO-ID, welche sonst nie erwähnt wurde im Eventlog.

 

Den gPCFileSysPath habe ich bereits mit adsiedit.msc geprüft.

 

Für Anregungen und Lösungsvorschläge schonmal vielen Dank im Voraus!

 

Gruß,

atctv

 

Ich denke mal nicht, das ich den SYSVOL Ordner unter F:\ Temp einfach löschen kann.

[olc 18]

Hi,

 

kann es sein, daß unter F:\TEMP nur der Junction Point auf das SYSVOL verweist?

 

Schau Dir einmal die Struktur unter F:\TEMP mittels "dir.exe" auf der Kommandozeile an: Wird dort vielleicht nur ein "JUNCTION" angezeigt?

 

Der Rest ist normales Troubleshooting - etwa, ob das SYSVOL überhaupt freigegeben ist auf dem DC (net share) usw.

 

Viele Grüße

olc

[atctv 10]

Hi,

 

ja, du hast Recht, es wird als Verbindung angezeigt. Heißt also, wenn ich den Ordner lösche, dann ist aber auch der Original-Ordner unter C:\Windows\ weg, oder - erinnere ich mich da falsch?

 

 

F:\Temp\WINDOWS\SYSVOL\sysvol>dir

Datenträger in Laufwerk F: ist Data

Volumeseriennummer: 78B9-7BB8

 

Verzeichnis von F:\Temp\WINDOWS\SYSVOL\sysvol

 

07.02.2011 08:30 <DIR> .

07.02.2011 08:30 <DIR> ..

07.12.2005 11:56 <VERBINDUNG> Domäne.local

0 Datei(en), 0 Bytes

3 Verzeichnis(se), 94.128.513.024 Bytes frei

 

F:\Temp\WINDOWS\SYSVOL\sysvol>

 

 

Der SYSVOL Ordner ist ordnungsgemäß freigeben auf dem DC.

 

Was kann ich noch prüfen?

 

Gruß,

atctv

[olc 18]

Hi,

 

das Löschen des Junction Points zieht nicht das Löschen des SYSVOLs nach sich.

Du darfst nur auf keinen Fall die Inhalte des Junction Points löschen, das wäre das originale SYSVOL.

 

Lösch den Junction Point nach einem Backup von mindestens 2 DCs (!) erst einmal und prüfe, wie es in Bezug auf die Fehler danach aussieht.

 

Viele Grüße

olc