Windows-Domäne mit zwei DCs erstellen

[NilsK 2.958]

Moin,

 

Wenn also darum geht, dann installiere den Server und gebean der Eingabeaufforderun dcprome! 

 

auch wenn es ein Tippfehler ist: Es heißt dcpromo, und unter Windows 2012/R2 geht das so nicht mehr. Es geht über den Server-Manager.

 

Gruß, Nils

[willy-goergen 0]

Sorry, wenn ich gestern ein bisschen stinkig war. Die Momente, bei denen einem als Admin der Puls vor Aufregung hochschießt, weil sich ständig jahrelange Versäuminsse bemerkbar machen, hatte ich die letzte Zeit viel viel zu oft. Das ging bereits am ersten Tag los, als mein Vorgänger weg war. Das war vor ca. eineinhalb Monaten.

 

Wollen wir auch mal was positives schreiben. Bestärkt durch eure Bekundungen die letzten Tage, ich würde die Sache alleine wahrscheinlich eh nicht auf die Reihe kriegen, bin ich heute früh mit dem Tagesziel zur Arbeit, die alte Win 2000 Server Domain direkt zu Win 2008 R2 zu migrieren.

 

Das hat auch geklappt.

 

War aber nicht ganz unproblematisch. Wie sich herausstellte, gab es in der Domain bereits einmal einen zweiten DC. Der wurde nicht demoted und die Replizierungsversuche liefen seit Ende November 2006. Daher kamen auch die seltsamen Warnmeldungen von Windows, es könnte sich nicht mit einem Server replizieren, den ich nicht kannte. Insgesamt waren das im Lauf der Zeit fast 70.000 Fehler, die auf diese Weise zustande kamen. Warum? Wieso? Ich lass es lieber... Nachdem das behoben war, konnte ich die Domäne mit adprep für den Umzug auf den 2008er Server vorbereiten.

Der 2008er Server war schnell zum weiteren DC in der bestehenden Domain promoted und hat auch sämtliche Benutzerdaten übernommen. Nach dem Neustart des neuen (Mit-)DC musste ich dann kurz nochmal ziemlich schwitzen. Die Datenbank unseres ERP-Systems ließ sich nicht mehr starten. Aber das war zum Glück relativ schnell behoben.

 

Aktuell will ich die beiden Server noch ein bisschen nebeneinander laufen lassen, um hoffentlich eine ordentliche Replizierung zwischen den beiden zu bekommen. Danach muss ich noch einige Rollen zum neuen DC hin übertragen und den alten Server demoten.

 

Ich hoffe mal, das hab ich einigermaßen hingebracht. :p

 

Getestet hab ich dann auch noch ein bisschen:

- Domänenbasierte Gruppenrichtlinen (endlich! mit dem alten DC ging es nicht)

- Hab unseren neuen WSUS (nach vorherigen Tests) für alle eingetragen. Wir hatten vorher gar keinen. Läuft...

- Anmeldung in der Domäne hat auch funktioniert

- neues Mitglied hinzufügen auch

- Standortname ändern auch; da stand noch "Name-des-Standorts" oder so ähnlich. Wurde korrekt vom anderen DC übernommen.

- das einzige, was nicht ganz zu meiner Zufriedenheit funkionierte, ist der DHCP-Server. Den hatte ich vor dem promo auf dem neuen DC eingerichtet. Danach waren meine Einstellungen weg. Wollte erst die Datenbank vom 2000er Server migrieren. Ging aber irgendwie nicht. Ist das normal, dass nach nem dcpromo die Einstellungen dann weg sind?

 

Was sollte ich vor dem demoten und Abschalten des alten DCs noch testen? Hättet ihr Anregungen?

 

EDIT:

Wo sind eigentlich jetzt die ganzen Kommentare dazu, dass ich es nicht selbst schaffe?

 

Darf ich das jetzt als Selbstbestätigung sehen?

bearbeitet 17. September 2014 von willy-goergen

[NeMiX 76]

Du erwartest nach 30 Minuten spät abends Kommentare? Und schreibst immer noch in einem teilweise unfreundlichen Unterton. Du hast gerade mal Schritt 2 von x vollzogen. Hast du dir einen Plan gemacht was du noch alles machen musst?

 

Als Tipp, das Thema DNS kann dir schnell auf die Füße fallen, wenn du den 1. Server ausschaltest und an den Clients nichts änderst...

 

Die DHCP DB kannst du bestimmt "irgendwie" migrieren, gibt dafür sogar fertige Anleitungen. Z.b. hier: http://blogs.technet.com/b/networking/archive/2009/11/09/how-to-migrate-a-dhcp-database-from-windows-2000-server-to-windows-server-2008-or-windows-server-2008-r2.aspx

 

Automatisch passiert da nämlich nix, aber du hast ja alle Zusammenhänge verstanden und bist keine "Pussy" wie dein Vorgänger". System State hast du vorher wahrscheinlich auch nicht gesichert, läuft ja alles...

[daabm 1.366]

DHCP ist unkritisch - meist steht da nix drin außer DNS und Gatway :) Und ansonsten: Willkommen in der realen Welt - ich weiß nicht, wie viele ADs unter Defekten leiden, aber gottseidank ist das Zeug  nahezu unendlich stabil - kaputt machen erfordert meist manuelle Eingriffe :D

[willy-goergen 0]

Ich sag nicht, dass ich alles verstanden hab. Mich nervt es etwas, dass man hier mir so wenig zugetraut hat. Aber gut... ich will mich mit niemandem streiten.

 

Erst mal bin ich froh, dass ich die Sache alleine so weit hinbekommen habe.

 

Der Plan sieht erst mal so aus, dass ich nach Fehlermeldungen in der Ereignisanzeige schaue, ggf. ein paar Dinge teste und mir dann überlege, was ich mache, bevor ich den alten DC vom Netz nehme.

Das Thema DNS könnte da sicher auch noch interessant werden. Momentan will ich aber erst mal beobachten, bevor ich dem neuen DC irgendwelche Rollen übergebe.

 

Der absolute Worst Case, bei dem das gesamte Firmennetz platt ist und sämtliche Rechner im Firmennetz in eine neue Domäne aufgenommen werden müssten, sollte jetzt glaub ich nicht mehr eintreten können.

 

Die DHCP-Datenbank zu migrieren schien mir nicht so wichtig. Gelesen hatte ich dafür einiges und mir auch ein Vorgehen zurechtgelegt. Aber "irgendwie" gings halt nicht. Und ich dachte mir dann, ich bin schneller, wenn ich die paar dort hinterlegten Daten vom alten Server im neuen Server eingetrage.

bearbeitet 18. September 2014 von willy-goergen

[NorbertFe 2.063]

Auf einmal ist es der worst Case? Das war am Anfang noch dein primärplan, soweit ich mich erinnere.

[lefg 276]

Moin,

 

Glückwünsch zum Erfolg.

 

Teste die Dc mit dcdiag, schau in die Ereignisprotollle, auch an den Clients!

 

Mit dcdiag /q werden nur die Fehler ausgegeben, in eine Datei mit dcdiag /q >> dcdiagresult.txt

 

Gegebenfalls kannst Du den Inhalt der Datei nachbearbeitet hier einstellen in Tags für Code oder Quote.

bearbeitet 18. September 2014 von lefg

[tesso 375]

Es geht hier nicht darum, ob wir dir das zutrauen oder nicht.

Wir wollen alle nur, daß du deinen Job behältst und dein Unternehmen weiter arbeitsfähig bleibt.

 

Ich finde es nach deinen Aussagen in den ersten Posts immernoch sehr hemdsärmelig, einfach einen weiteren DC ins Netz zu nehmen. Bei einem System was nach deinen Aussagen abstürzt, du nichts am DC siehts und etliche Produktivmaschinen dranhängen, macht man sollte Dinge nicht mal ebenso.

Du hast Glück gehabt. Ich hoffe für dich, das bleibt auch so.

Da mir der Ton hier missfällt, bin ich raus.

[willy-goergen 0]

...Wir wollen alle nur, daß du deinen Job behältst und dein Unternehmen weiter arbeitsfähig bleibt...

 

Ich will meinen Job auch behalten, weil ich wirklich Spaß dran habe - außer wir haben einen Totalausfall. Mir ist klar dass das halbe (oder auch ganze) Unternehmen unproduktiv ist und Geld kostet, wenn etwas (oder alles) in der IT nicht läuft. Was glaubst du, warum ich die letzte Zeit so dermaßen gestresst war? Seit gestern geht es, für mich zumindest, aufwärts und ich werde in der Hinsicht wieder entspannter.

 

Ich möchte, dass jeder ein gut laufendes System hat.

 

 

Ich finde es nach deinen Aussagen in den ersten Posts immernoch sehr hemdsärmelig, einfach einen weiteren DC ins Netz zu nehmen. Bei einem System was nach deinen Aussagen abstürzt, du nichts am DC siehts und etliche Produktivmaschinen dranhängen, macht man sollte Dinge nicht mal ebenso.

 

Irgendwo haben wir uns dann wohl nicht ganz verstanden. Ich weiß sehr wohl, warum der alte DC gecrasht ist. Hab ich das nicht geschrieben? Wenn nicht, wollte ich nicht wirklich jedes Detail hier mit reinziehen.

Im alten DC ist ein RAID 5, das ursprünglich mal mit vier Festplatten lief. Meinem ausgeschiedenen Kollegen ist vor ewigen Zeiten schon mal eine der Platten kaputt gegangen. Er hat die defekte Platte einfach entfernt, ohne sie zu ersetzen.

Seitdem läuft das RAID 5 im "Interim Recovery Mode".

Letztens hat nun eine weitere Platte, glücklicherweise nur kurzzeitig, mal gezuckt. Daher der Crash. Was der Defekt einer weiteren Platte heißt, brauch ich wohl nicht zu schreiben...

Um das Ganze noch etwas spaßiger zu machen: Ich konnte auch sehen, dass das schon öfters passiert ist. Die Fehler traten im letzten halben Jahr bereits drei oder vier mal auf, davor nicht. Also noch bevor ich überhaupt in der Firma war...

 

Diverse Kommentare meine Kollegen bestätigen das. Einige kommen morgens schon auf die Arbeit und haben Angst, dass der Krempel nicht mehr läuft. Eben weil das schon öfters vorgekommen ist. Maximale Ausfalldauer der IT, was ich bisher so mitbekommen hab: 1 Tag.

Während dieses Tages war das ganze Unternehmen lahmgelegt.

 

Interessant wäre es dennoch für mich, was einer der Platten denn genau fehlt. Leider kann man auf so eine SCSI-Platte nicht ohne weiteres Smartmontools o.ä. loslassen. (das Tool sollte dann auch auf dem Win 2000 Server SP4 laufen)

Eventuell wäre das mal eine Sache für ruhigere Tage.

 

Unter diesen Umständen hab ich drauf verzichtet irgendwas neues längerfristig zu testen. Warum?

Siehe dein letztes Zitat von mir.

Ich weiß nicht, wie du in der Situation entschieden hättest. Ich erspar mir da irgendwelche zynischen Kommentare dazu.

 

Da mir der Ton hier missfällt, bin ich raus.

 

Schön. Wirklich geholfen hast du mir auch nicht. Von daher kann ich den Verlust wohl irgendwie ertragen.

 

---

 

Zurück zum aktuellen Stand. Ich habe heute doch ein bisschen getestet. Etwas Sicherheit wollte ich vor dem Abschalten des alten DCs haben. Das (Fehlermeldungen der Ereignisanzeige, diverse Ausgaben im cmd) dann aber im nächsten Beitrag, der dann noch kommt. Sonst wird's glaub ich etwas viel.

 

Einen Plan das zu beheben, habe ich. Mal sehen, was ihr dazu sagt.

bearbeitet 18. September 2014 von willy-goergen

[NeMiX 76]

Diverse Kommentare meine Kollegen bestätigen das. Einige kommen morgens schon auf die Arbeit und haben Angst, dass der Krempel nicht mehr läuft. Eben weil das schon öfters vorgekommen ist. Maximale Ausfalldauer der IT, was ich bisher so mitbekommen hab: 1 Tag.

Während dieses Tages war das ganze Unternehmen lahmgelegt.

 

 

Dann wäre es mal Zeit für ein richtiges IT Budget und keine Bastel IT (den Eindruck vermittelst du derzeit etwas).

Habt Ihr ein vernünftiges Backup&Recovery Konzept? Werden regelmäßig Rücksicherungen getestet. Wie sieht es aus mit Supportverträgen für die Hardware. Gibt es eine vernünftige Doku? Nur mal so ein paar Punkte die mir einfallen. Da aber noch nicht mal eine defekte HDD getauscht wird, mangelt es vermutlich an allem bei euch.

 

Ich kann verstehen das du das akute Problem mit dem DC erst mal lösen willst, aber wie ich schon oben schrieb du hast gerade Schritt 2 von x vollzogen. Ein dcpromo abfeuern (bzw. den Servermanager anklicken) kann jeder. Ich würde fast wetten, dass du vor dem Problem stehst das beim abschalten des DCs kein Client sich anmelden kann weil du ein paar Grundlegende Dinge wie z.b. DNS gar nicht auf dem Schirm hast.

[willy-goergen 0]

Du sprichst eigentlich schon alles das an, was mir auch unter den Nägeln brennt.

 

Habt Ihr ein vernünftiges Backup&Recovery Konzept? 

 

Mittlerweile: Jain. Als ich die EDV übernommen habe, gab es auf zwei wichtigen Servern (Email, ERP-System) gar kein Backup. Mein Kollege war aber so nett mir "Symantec Backup Exec 2012 (mit ohne R2)" auf den Tisch zu legen, bevor er gegangen ist. Ich hatte es mal getestet. Das Programm ist der absolute Müll, meiner Meinung nach. Die Bedienung war das Eine. Die andere Sache war, dass es BE 2012 nicht wie sein Vorgänger geschafft hat, eine volle Sicherung im vorgegebenen Zeitfenster zu machen, geschweige denn überhaupt eine vollständige Sicherung zu erstellen. Ich habe mir dann für's erste mit BE2010 abgeholfen. Damit habe ich wenigstens eine Dateisicherung. Ein komplettes Image für eine "bare metal recovery" hab ich damit leider nicht. Die nächste Zeit will ich dafür eine anständige Software haben. 

 

Backup & Recovery von Dateien funktioniert fehlerfrei. Das hab ich mit BE2010 getestet.

 

Die Backupstrategie, jeden Tag ein Vollbackup zu erstellen, hab ich für's Erste so von meinem Vorgänger übernommen. Dass das der Weisheit letzter Schluss ist, glaube ich nicht.

 

Was sich der ausgeschiedene Kollege bei den beschafften RDX-Modulen gedacht hat, weiß ich auch nicht. Er wollte wohl scheinbar 500 GB Serverkapazität ohne Komprimierung auf ein 320 GB RDX-Modul bringen. Noch geht das aber, da die Server (noch lange) nicht voll ausgelastet sind. Steigt die Auslastung weiter, hab ich zwei komplette Sätze Backup-Module, die eventuell nicht mehr so richtig zu gebrauchen sind.

 

 

Wie sieht es aus mit Supportverträgen für die Hardware.

 

Gibt's nicht. Das stört mich auch ganz gewaltig. Die aktuell (verbleibenden) Server sind alle recht neu. Ein oder zwei Jährchen sollten die schon noch laufen. Dafür Supportvertrag zu bekommen, scheint mir ziemlich unmöglich.

Die Leute, die sowas anbieten und mit denen ich bisher drüber gesprochen habe, wollen dann durch die Bank ihre eigene Hardware dazu verkaufen. Kurz bis mittelfristig will ich sowas aber haben.

 

 

Gibt es eine vernünftige Doku?

 

...Da aber noch nicht mal eine defekte HDD getauscht wird, mangelt es vermutlich an allem bei euch...

 

Doku? Was ist das denn?!? Braucht das jemand?  :D

Leider nein. Ich hab nichts in die Hand bekommen. Das wäre eine weitere Aufgabe, die ich angehen muss.

Falls du aber mit "Doku" ein wildes Sammelsurium von Zetteln meinst, auf denen zusätzlich irgendwelche handschriftlichen Anmerkungen in Kurzform vorhanden sind, die aber kein Mensch versteht. So was hab ich! *yipeee*

 

Du triffst den Nagel auf den Kopf. Da zwickt es sich an einigen Ecken. Der Chef ist dabei kein Problem. Wenn ich sage, ich brauche das, dann kriege ich das auch. Er weiß wohl, leider aus Erfahrung, dass es günstiger ist, Notfalls mal etwas zu investieren, bevor alle Leute in der Firma rumstehen, weil sie nichts arbeiten können. Mein Kollege hätte das auch bekommen. Wie ich letztens schon mit ziemlich abwertendem Zusatz geschrieben habe, hatte er schlicht "Angst" an die IT ranzulangen. Also ein Admin, der Angst vor seinen eigenen Rechnern hat.

Vielleicht kann man etwas verstehen, wenn ich sage, man sollte jemand gewissem so tief in den ars*** treten, dass der Schuh drin stecken bleibt.

 

Das was ich die letzte Zeit betrieben habe, kommt der fast kompletten Modernisierung der EDV gleich. Wenn der alte DC weg ist, hab ich drei alte steinalte Server (Win 2000 Server, Win XP auf nem Server, Win 2003 Server) ausrangiert. Die Dinger kann man ja nicht einfach abschalten, ohne die Zusammenhänge zu kennen. Sie wurden aber, obwohl bereits neue Hardware da war, trotzdem weiter betrieben.

Ich hab wirklich viel gemacht. Ich kann leider nicht alles innerhalb von 1,5 Monaten umstellen. Andere Aufgaben in der Firma hab ich ja auch noch.

Für mich ist erst mal noch ein bisschen Schadensbegrenzung angesagt, bevor ich die anderen Dinge angehe.

 

Ich kann verstehen das du das akute Problem mit dem DC erst mal lösen willst, aber wie ich schon oben schrieb du hast gerade Schritt 2 von x vollzogen. Ein dcpromo abfeuern (bzw. den Servermanager anklicken) kann jeder. Ich würde fast wetten, dass du vor dem Problem stehst das beim abschalten des DCs kein Client sich anmelden kann weil du ein paar Grundlegende Dinge wie z.b. DNS gar nicht auf dem Schirm hast.

 

Richtig. Das muss ich mir noch anschauen. Gefallen tut mir das aber nicht, weil ich kein sehr gutes Gefühl mehr bei dem alten DC habe. Da schwingt jeden Tag etwas die Angst mit, dass er sich total verabschieden könnte. Die Zeit muss ich mir aber noch nehmen.

Ich bin gestern leider nicht mehr dazu gekommen, hier noch was zu den Fehlern, die mir aufgefallen sind, zu schreiben. Bin, wie immer die letzte Zeit, recht bald einfach tot umgefallen.

bearbeitet 19. September 2014 von willy-goergen

[willy-goergen 0]

Irgendwie hat sich die Situation mit den beiden DCs etwas festgefahren und ich muss mir überlegen, was ich mache.

 

Unseren zweiten 2008er Standard als Backup DC kann ich knicken, denke ich. Auf dem Server läuft eine Software für die Produktion, die es erfordert, dass ein lokaler, vom Softwarehersteller vorgegebener Nutzer, einige (viele) Dienste startet. Mit der Aufwertung zum DC hätte ich mir dort ziemlich ins Knie geschossen. Und ob sich an der Vorgabe was ändern lässt und ob das überhaupt ohne Probleme ginge, ist fraglich.

 

Der andere 2012er Essentials ist für die Domäne nicht geeignet. Alleine schon wegen der Beschränkung der Useranzahl. Das wäre ein weiterer Schuss in den Ofen gewesen, glaube ich.

 

Jetzt muss ich mir was überlegen, um die Domäne abzusichern.

Eine Möglichkeit wäre den 2012er Essentials auf Standard upzugraden. Wobei ich mir da nicht ganz sicher bin, ob das so einfach geht. Der 2012er ist mit ohne R2.

 

Die Andere wäre den Backup DC ggf. zu virtualisieren, wobei ich den dann ja auch Lizensieren müsste, so wie ich das verstanden hab.

 

Was würdet ihr machen? (außer das mit der professionellen Hilfe :p)

 

Der erste 2008er DC arbeitet bisher einwandfrei. Hab gestern Abend (bzw. Nacht) mal gestestet was passiert, wenn man beim 2000er DC einfach mal das Netzwerkkabel zieht. Getraut das Ding auszuschalten, hab ich mich nicht. Nicht dass er gar nicht mehr auf die Beine kommt. (da bin ich dann die Pussy :p)

Klingen tut das Ding mittlerweile (gefühlt) richtig sc***e. Grade so, als ob eine der Platten im RAID wirklich gleich gar ganz versagt. Das ganze ist einige Minuten sehr stark aufgefallen. Danach war das "Geräusch" wieder weg. Weiß nicht, ob ich da heute nicht nochmal in die Firma sollte, um dem neuen DC die FSMO-Rollen zu übergeben...

Über VPN ist mir das etwas zu heiß.

 

Passiert ist gestern erst mal gar nichts nach dem Abziehen des LAN-Kabels... Hab auch mal den DNS-Cache einem Client geleert, um etwas sicherer zu sein. Alles lief einwandfrei. Namensauflösung, Anmeldung in der Domäne, etc. Hab das Kabel dann nach ner halben Stunde wieder ran.

bearbeitet 20. September 2014 von willy-goergen

[testperson 1.708]

Hi,

 

vielleicht lag der Dienstleister gar nicht so falsch mit dem Punkt neue Hardware anzuschaffen. Ob das dann erstmal nur ein Blech für einen (weiteren) DC wird oder man vllt. direkt versucht alles grade zu rücken, dass hängt dann vom Rest der Umgebung ab. Aber da bist du ja weiterhin sehr sparsam mit Informationen..

 

Den Plan aufzustellen, einen Produktiv-Server mit einer laufenden Anwendung zu promoten, lässt weiterhin drauf schließen, dass externe Hilfe wohl die sinnvollste Lösung ist.

 

Gruß

Jan

[willy-goergen 0]

Es war eine Überlegung mit dem zweiten 2008er gewesen, die sich dann zerstreut hat.

Die Mühe, sich die ganze Sache überhaupt mal anzusehen, hat sich neben mir noch keiner gemacht. Auch nicht der tolle "Dienstleister".

 

Ich bin mal gespannt, wie weit der Dienstleister mit seinem Vorgehen, ohne weiteres Hintergrundwissen, eine neue Domäne mit 2012er Gesamtstruktur einzurichten, gekommen wäre. Die "paar" teils alten Maschinen mit angepassten Versionen von WIN NT, die wir in der Produktion (und im Netz) haben, sind eigentlich nur da, damit es nicht ganz so leer da unten aussieht. Wenn ich einen Dienstleister dafür engagiere, erwarte ich eigentlich, dass er dahingehend gezielt fragen stellt.

Das hätte richtig Probleme gegeben, meine ich. Gut, das ist nichts, was man mit Geld nicht richten kann. Aus der Sicht des Dienstleisters ist das sicher sinnvoll.

 

Zusätzliche Hardware ist da. Aber die will ich glaub ich nicht mehr nehmen. Ein von mir ausrangierter Server könnte dafür gehen. Der ist erst knapp zwei Jahre alt. Allerdings mit Win XP als OS und ohne RAID. Den müsste ich erst mal auf den neuen Einsatz vorbereiten.

Eigentlich will ich aber Server mit Hardwaresupportverträgen. Von daher... muss mir das mal durch den Kopf gehen lassen. :)

 

EDIT: Ich denke, ich weiß, was ich erst mal mache. Den ausrangierten alten 2003er Server werde ich wieder reaktivieren und als Backup-DC einsetzen. Bei dem ist das relativ unkritisch, weil nichts wichtiges mehr drauf läuft.

Im nächsten Jahr, zum Supportende vom Server 2003 hin, muss ich mich dann nach Ersatz umsehen. Könnte klappen. :)

 

Mein ursprüngliches Ziel, die Anzahl der laufenden Server auf drei zu begrenzen, ist damit zwar nicht erreicht, aber einen Tod muss ich bei der Sache wohl erst mal sterben.

bearbeitet 20. September 2014 von willy-goergen

[Daniel -MSFT- 129]

Hast Du mal darüber nachgedacht, eine Inventur zu machen und den Ist-Stand sauber zu dokumentieren? Danach kannst Du die Anforderungen definieren und herausarbeiten, welche Änderungen notwendig sind. Also weg vom Adhocismus hin zu einer planvollen Vorgehensweise. Eine strikte Trennung von Produktion und Verwaltung wäre z.B. dringend geraten, wenn ihr noch NT auf Produktionsmaschinen betreibt.

 

Bei XP als Server und Essentials ausserhalb der Domäne wegen Überschreiten des Benutzerlimits wäre ich auch nicht überrascht, wenn dabei herauskommt, dass ihr gnadenlos fehllizenziert seid.