AD Replikation Fehler, Zielprinzipalname

[igwadmin 0]

Hallo

 

bin neu um Forum und wende mich an euch weil ich ein Problem habe und nicht mehr ganz weiter weis.

 

Wir haben in unserer Firma mehrere Server über VM auf mehreren Hosts laufen, jetzt habe ich einen Server die VM (DC win 2008R2 mit allen Rollen) heruntergefahren

und auf einen anderen Host kopiert. Dort die Maschine wieder gestartet und die alte gelöscht ( die Maschine war also während der Kopieraktion aus , USN Rollback usw....).

Nun nachdem das ganze lief musste ich feststellen das auf einmal die Uhrzeit und Datum des DC auf Mai 15 stand, es war ja aber Februar 16.

Natürlich hagelte as Anmeldefehler der Clients beim Anmelden an der Domäne aber nicht bei allen (ich vermute nur die welche diesen DC als anmelde Server hatten),

die anderen DCs hatten noch Februar und die korrekte Uhrzeit. Also habe ich den Problem DC abgeschaltet und gesehen dass die Zeit des ESXI falsch war

nachdem ich es korrigiert hatte, den DC wieder gestartet und Zeit war wieder korrekt (der DC Synct mit der Bios Zeit und die wird vom Physischen ESXI genommen).

 

Jetzt habe ich gemerkt das beim Anmelden der Clients Laufwerk Mapping zu freigeben des DC nicht mehr funktionieren (Zielprinzipalname falsch, über IP funktioniert es aber).

Nachdem ich auf besagten Controller einmal dcdiag als auch adprep laufen lassen habe wäre alles OK keine Fehler. Das Ganze aber auf einen der beiden

anderen DC ausgeführt bringt Fehler in der Replikation Zielprinzipialname falsch usw.

 

Komischerweise funktioniert aber die DNS Replikation wenn ich auf dem einen DC einen Eintrag anlege ist dieser kurze Zeit später auf dem Problem DC.

 

 

Meine Fragen wären jetzt

 

 

Was ist hier eigentlich das genaue Problem (kerberos SPN)???

 

Thema Tompstone Lifetime, wie erkenne ich das diese eingetreten, abgelaufen ist?

 

Warum funktioniert das Mapping über FQDN Name zum DC nicht, was ist da der Grund?

 

Warum geht die DNS Replikation aber der Rest nicht?

 

Wieso zeigt der Problem DC keine Fehler mit repadmin und Dcdiag an aber die anderen ja?

 

 

ich hoffe ihr könnt mir helfen, das Problem ist das auf dem Problem DC, Autocad und und der Plancal Projektserver laufen für unsere Zeichner.

 

ich weis das auf einen DC keine anderen Produktiven Dinge laufen sollen, dass wird auch unverzüglich behoben wenn es wieder läuft. 

 

Danke schon mal an alle :-)

 

[daabm 1.366]

Du hast einen DC, der in der Zukunft war? Dann bist Du jetzt wohl im USN Rollback Problem -  Time Travel... :(

 

Dass es per IP geht und per FQDN nicht: IP verwendet immer NTLM, kein Kerberos.

 

BTW: Wenn man produktive Domänen virtualisiert, schaltet man die Zeitsynchronisation mit dem Hostrechner ab - Zeitquelle einer Domäne ist IMMER und NUR der PDC-Emulator, und der holt sich seine Zeit idealerweise von einer externen NTP-Quelle. ym2c...

[igwadmin 0]

Hi,

 

wie erkenne ich den ein USN Rollback? ich dachte ehre an Tompstone Lifetime usw. es wurde je der Server so gestartet wie er

abgeschaltet wurde also alle USN sollten ja so geblieben sein. der Server wurde ja nicht von einer früheren Sicherung wiederhergestellt, lediglich

das Datum nach dem Start war in der Zukunft. Der DC hat alle FSMO Rollen und die Zeit war mit Bios Sync in w32tm hinterlegt.

Nur der ESXI host synct die Bios Zeit der VM mit der Physischen Hardware, ich habe die Zeit natürlich auf dem ESXI host korregiert.

Die Zeit sync des DC (alle FSMO) habe ich auf Internet abgeändert.

 

warum geht aber die DNS Replikation und der Rest nicht bzw. warum zeigen die anderen DC einen Fehler mit repadmin aber der betroffene DC es sei alles OK?

[daabm 1.366]

Der DC war in der Zukunft, und Du hast die Zeit dann in die Vergangenheit zurückgedreht...

 

http://blogs.technet.com/b/askpfeplat/archive/2012/11/23/fixing-when-your-domain-traveled-back-in-time-the-great-system-time-rollback-to-the-year-2000.aspx