PDC offline - in Filiale kein Zugriff auf FileServer

[Martint 10]

Hallo Experten

 

ich kämpfe hier an einem Problem und brauche ein wenig gedankliche Unterstützung.

 

Die Situation ist wie folgt - knapp skizziert:

 

Hauptstandort mit Windows Server 2012 als PDC - Subnetz A

Filiale mit einem Windows Server 2012 als RODC und einem Windows Server 2016 als FileServer - Subnetz B

 

Alle befinden sich in einer Domäne, die Standorte sind mit VPN verbunden

 

Leider ist häufig mal die Internetverbindung gestört, wenn der Fall eintritt, sollen die Mitarbeiter in der Filiale sich zumindest anmelden können, das Internet nutzen und vor allem auf den FileServer in der Filiale noch zugreifen können. Aktuell ist es so, dass Anmeldung und Surfen dort funktionieren, aber der Zugriff auf den FileServer nicht. Beim Versuch auf eine Freigabe zuzugreifen kommt dann immer die Meldung:

 

"Auf \\XYZ kann nicht zugegriffen werden. Sie haben eventuell keine Berechtigung, diese Netzwerkressource zu verwenden. Wenden Sie sich an den Administrator des Servers, um herauszufinden, ob Sie über Berechtigungen verfügen. Die Vertrauensstellung zwischen der Arbeitsstation und der primären Domäne konnte nicht hergestellt werden"

 

Sobald die VPN Verbindung wieder steht, funktioniert das wieder. Hat jemand spontan eine Idee dazu??

 

Grüße

Martin

 

[Sunny61 807]

Sind die Standorte auch korrekt im AD unter Standorte und Dienste eingetragen? Subnetze ordentlich erstellt und den Standorten zugeordnet? Wer spielt in der Filiale DHCP? Was zeigt die Ausgabe von ipconfig /all von einem Client aus der Filiale und vom DC? Bitte jeweils hier als Text in einem Code Tag einfügen, keine Bilder!

[Martint 10]

Hallo

 

im Hauptstandort sind die Standorte angelegt, dort auch die Subnetze usw. In der Filiale macht der RODC das DHCP. Die Ausgabe von einer Station in der Filiale sieht so aus:

 

Windows-IP-Konfiguration

   Hostname  . . . . . . . . . . . . : XYZ
   Primäres DNS-Suffix . . . . . . . : Domain.local
   Knotentyp . . . . . . . . . . . . : Hybrid
   IP-Routing aktiviert  . . . . . . : Nein
   WINS-Proxy aktiviert  . . . . . . : Nein
   DNS-Suffixsuchliste . . . . . . . : Domain.local

Ethernet-Adapter Ethernet0:

   Verbindungsspezifisches DNS-Suffix:
   Beschreibung. . . . . . . . . . . : Intel(R) 82574L Gigabit Network Connection
   Physische Adresse . . . . . . . . : XXX
   DHCP aktiviert. . . . . . . . . . : Nein
   Autokonfiguration aktiviert . . . : Ja
   Verbindungslokale IPv6-Adresse  . : XXX
   IPv4-Adresse  . . . . . . . . . . : IP(Bevorzugt)
   Subnetzmaske  . . . . . . . . . . : 255.255.255.0
   Standardgateway . . . . . . . . . : Gateway
   DHCPv6-IAID . . . . . . . . . . . : XXX
   DHCPv6-Client-DUID. . . . . . . . : XXX
   DNS-Server  . . . . . . . . . . . : DNS-IP des RODC
                                       DNS-IP des PDC im Hauptstandort
   NetBIOS über TCP/IP . . . . . . . : Aktiviert

 

 

[NilsK 2.957]

Moin,

 

erstens gibt es im AD keinen PDC. Zweitens: Warum ein RODC?

Drittens: Sind die User des Standorts und deren Rechner in der RODC-Replikationsgruppe, damit sie sich auch tatsächlich an dem RODC anmelden können?

 

Gruß, Nils

 

[Martint 10]

der RODC wurde installiert, da in den Filialen niemand ist, der sich um die IT kümmern kann. Die Leute sollen nur die 3 beschriebenen Dinge machen können, wenn die Leitung ausfällt. Benutzeranlage etc. soll immer im Hauptstandort erfolgen.

 

In der Replikationsgruppe sind die User drin, und auch eine entsprechende Sicherheitsgruppe mit den Computerkonten. Die Anmeldung funktioniert auch. Aktuell eben der Zugriff auf Freigaben nicht....

[Sunny61 807]

Und wie sieht ipconfig /all vom RODC aus?

 

BTW: Wenn die IP-Adressen private sind, wäre es hilfreich sie zu posten, öffentliche IP-Adressen sollte man IMO aber auch nicht verwenden.

[NilsK 2.957]

Moin,

 

steht der RODC in der Niederlassung physisch gesichert, d.h. in einem abschließbaren Serverraum oder ähnlich? Dann wäre ggf. ein normaler DC vorzuziehen, weil der eben alle Funktionen bietet, die man von einem DC braucht.

 

Dass der Zugriff auf Freigaben nicht funktioniert, deutet auf abgelaufene Tokens bzw. Kerberos Tickets hin. Die Anmeldung an den PC funktioniert dann über Cached Credentials (wie bei einem Notebook auf Reisen), aber auf Netzwerkressourcen kann man dann nicht zugreifen. Daher die Vermutung, dass die RODC-Konfig an der Stelle nicht ausreicht. Die kann man natürlich noch mal en détail prüfen, aber wenn ein schreibbarer DC ausreichend sicher dort steht (was hoffentlich der Fall ist, denn auch einen Dateiserver möchte man ja nicht gestohlen bekommen), hat man damit evtl. weniger Aufwand. Schnellschuss: Ist der Dateiserver denn auch in der RODC-Replikationsgruppe enthalten?

 

Gruß, Nils