Server 2003 R2 DC - nach Updates keine Anmeldung mehr möglich

[Schnaplo 10]

Hallo zusammen! Ich habe heute ein wenig im Rack rumsortiert, ein paar Server rausgepflückt und en passant einem unserer DCs ein paar überfällige Windows Updates spendiert.

Diese liefen auch alle ohne Fehler durch, es handelte sich ausschließlich um Sicherheitsupdates für Server 2003. Nach dem Neustart nun das Phänomen, dass ich mich nicht mehr als Domain-Admin an dem DC anmelden kann: falscher Benutzername oder falsches Kennwort usw. Wenn ich mir die Dienste remote anschaue, so sieht alles in Ordnung aus. In der Ereignisanzeige gibt es nun natürlich allerhand Einträge:

AD Webdienste:

ID 1202

 

Auf diesem Computer wird nun die angegebene Verzeichnisinstanz gehostet, doch konnte diese von Active Directory-Webdiensten nicht bedient werden. Von Active Directory-Webdiensten wird in regelmäßigen Abständen erneut versucht, den Vorgang auszuführen. Verzeichnisinstanz: NTDS LDAP-Port der Verzeichnisinstanz: 389 SSL-Port der Verzeichnisinstanz: 636

 

Verzeichnisdienst: Unter anderem wohl der wichtigste:

ID 1126

 

Active Directory konnte keine Verbindung mit dem globalen Katalog herstellen. Zusätzliche Daten Fehlerwert: 1355 Die angegebene Domäne ist nicht vorhanden, oder es konnte keine Verbindung hergestellt werden. Interne Kennung: 3200cf3

 

Und daher auch unter DNS-Server:

ID 4000

 

Der DNS-Server konnte Active Directory nicht öffnen. Dieser DNS-Server ist für die Verwendung von Informationen vom Verzeichnis für diese Zone konfiguriert und kann die Zone ohne es nicht laden. Stellen Sie sicher, dass das Active Directory ordnungsgemäß funktioniert, und laden Sie die Zone neu. Die Ereignisdaten enthalten den Fehlercode.

 

Eckdaten zum Server: Windows Server 2003 R2 (sollte in Kürze eh abgelöst werden durch aktuelle Hardware und Server 2012).

Alle FSMO-Rollen

Globaler Katalogserver

 

Ich hab mich heut schon durch allerhand Technet-Artikel durchgesucht, aber es ist mir noch nicht ganz klar:

1.: was eigentlich hier die Fehlerursache ist

2.: wie diese am geschicktesten zu lösen ist

 

Hat jemand ein solches Szenario schonmal gehabt und einen Hinweis für mich, wie hier am besten vorzugehen sei? In die Verzeichnisdienstwiederherstellung kann ich booten, aber bei dcdiag behauptet das tool, der Server sei kein DC. Wtf?

 

Da ich ein wenig im dunklen tappe bin ich über alle Tipps zutiefst dankbar! :)

bearbeitet 17. Januar 2015 von Schnaplo

[XP-Fan 216]

Hallo,

 

kamen über die Updates auch Treiberaktuallisierungen mit ?

Prüfe einmal die Netzwerkkarte explizit. Passen da Treiber und Konfiguration ?

Stimmt die Uhrzeit am Server ?

Gibt es weitere DC in der Domain ?

[Schnaplo 10]

Hey!

Nein, keine Treiberupdates.

Im abgesicherten (Verzeichniswiederherstellungs-)modus habe ich die Netzwerkeinstellungen überprüft: alle unverändert, ich kann fröhlich auch alles anpingen.

Uhrzeit sieht korrekt aus.

Ja, es gibt am hiesigen Standort zwei weitere DCs.

[daabm 1.348]

 

Active Directory konnte keine Verbindung mit dem globalen Katalog herstellen. Zusätzliche Daten Fehlerwert: 1355 Die angegebene Domäne ist nicht vorhanden, oder es konnte keine Verbindung hergestellt werden. Interne Kennung: 3200cf3

 

 

Da sollte es aber noch vorhergehende Events geben... Und was steht im Eventlog "Verzeichnisdienst"?

[Schnaplo 10]

Die ID 1126 is ja aus dem Verzeichnisdienst. Außer dieser tauchen dort noch folgende auf, und zwar jetzt mal so in Reihenfolge nachdem ich den DC nach Installation der Updates neu gestartet habe:

 

1.: Warnung
 

NTDS General

ID 1079

 

Internes Ereignis: Active Directory konnte nicht genügend Arbeitsspeicher für die Durchführung von Replikationstasks reservieren. Dies kann Auswirkungen auf die Replikation haben, bis mehr Arbeitsspeicher zur Verfügung steht. 

 

Benutzeraktion 

Vergrößern Sie den verfügbaren realen Speicher oder den virtuellen Speicher, und starten Sie diesen Domänencontroller neu.

 

2.: Fehler

 

NTDS Replication

ID 2087
 

Active Directory konnte den folgenden DNS-Hostnamen des Quelldomänencontrollers nicht zu einer IP-Adresse auflösen. Dieser Fehler verhindert die Replizierung von  von Hinzufüge- bzw. Löschvorgängen oder Änderungen im Active Directory zwischen einen oder mehreren Domänencontrollern in der Gesamtstruktur. Sicherheitsgruppen, die Gruppenrichtlinie, Benutzer und Computer und deren Kennwörter werden dadurch inkonsistent zwischen den Domänencontrollern, solange dieser Fehler nicht behoben wird. Eventuell wird auch die Anmeldungsauthentifizierung bzw. der Zugriff auf Netzwerkressourcen, beeinflusst. 

 

Quelldomänencontroller: 

 weiterer DC an unserem Standort 

Fehlgeschlagener DNS-Hostname: 

 b2d27dff-708a-4393-b1c7-5f29882d69ad._msdcs.unserdomänenname.local 

 

Anmerkung: Standardmäßig werden nur maximal 10 DNS-Fehler innerhalb eines Zeitraums von 12 Stunden angezeigt, auch wenn mehr als 10 Fehler aufgetreten sind. Setzen Sie den folgenden Registrierungswert auf 1, um alle individuellen Fehlerereignisse zu protokollieren: 

 

Registrierungspfad: 

HKLM\System\CurrentControlSet\Services\NTDS\Diagnostics\22 DS RPC Client 

 

Benutzeraktion: 

 

 1) Wenn der Quelldomänencontroller nicht mehr funktioniert bzw. dessen Betriebssystem unter einem anderen Computernamen oder NTDSDSA-Objekt-GUID neu installiert wurde, entfernen Sie die Metadaten des Quelldomänencontrollers mit dem Programm NTDSUTIL.EXE entsprechend der im MSKB-Artikel 216498 dargelegten Schritte. 

 

 2) Bestätigen Sie, dass auf dem Quelldomänencontroller Active Directory ausgeführt wird, und dass auf diesen über das Netzwerk zugegriffen werden kann, indem Sie "NET VIEW \\<Quell-DC-Name>" oder "PING <Quell-DC-Name>" eingeben. 

 

 3) Stellen Sie sicher, dass der Quelldomänencontroller einen gültigen DNS-Server für die DNS-Dienste verwendet, und dass der Host- bzw. CNAME-Eintrag des Quelldomänencontrollers richtig registriert ist, indem Sie die für den DNS erweiterte Version von DCDIAG.EXE, verfügbar unter http://www.microsoft.com/dns, ausführen. 

 

  dcdiag /test:dns 

 

 4) Stellen Sie sicher, dass dieser Zieldomänencontroller einen gültigen DNS-Server für die DNS-Dienste verwendet, indem Sie die für den DNS erweiterte Version des Befehls DCDIAG.EXE folgendermaßen auf der Konsole ausführen: 

 

  dcdiag /test:dns 

 

 5) Weitere Informationen zur Analyse von DNS-Fehlern erhalten Sie unter KB 824449: 

   http://support.microsoft.com/?kbid=824449 

 

Zusätzliche Daten 

Fehlerwert: 

 11004 Der angeforderte Name ist gültig, es wurden jedoch keine Daten des angeforderten Typs gefunden. 

 

Danach bleibt es dann bei der ID 1126 im Verzeichnisdienstprotokoll.

Vielen Dank schonmal so weit für die Antworten!

[daabm 1.348]

netdom resetpwd könnte helfen...