Zwei Domain-Controller austauschen

[roccomarcy 20]

Guten Morgen,

 

ich habe hier eine Umgebung mit einem physikalischen Domain-Controller, einem virtualisierten Domain-Controller sowie einem Exchange Server 2010.

Alle Systeme basieren auf Server 2008 R2. Der Austausch des Exchange Server 2010 steht zum Herbst diesen Jahres an.

 

Im Vorfeld wollen wir die beiden Domain-Controller austauschen, die im Netzwerk neben Ihren AD-Funktionalitäten für uns eine sehr zentrale Rolle spielen (Zeit, usw).

Daher würde ich gerne IP-Adressen beibehalten. Der virtualisierte Domain-Controller hält auch die FSMO-Rollen vor.

 

Die Kernfrage ist, ob ich nach folgendem Ablaufplan die Systeme austauschen kann.

 

- neuen physikalischen Domain-Controller aufnehmen und Replikation abwarten

- die IP-Adresse des vorherigen Domain-Controller ändern und DNS-Replikation abwarten

- dem neuen phys. Domain-Controller die IP-Adresse des alten geben und die DNS-Replikation abwarten

- den vorherigen physikalischen Domain-Controller aus der Domäne entfernen

 

Für den virtualisierten Domain-Controller würde ich die selben Schritte wie oben durchführen, jedoch vor der Änderung der IP-Adresse des vorhandenen Domain-Controllers

die FSMO-Rollen verschieben.

 

Ist dies ein gangbarer Weg?

[mba 133]

Auf welche Serverversion soll es gehen? 

 

[roccomarcy 20]

Moin,

 

auf Server 2016.

[mba 133]

Bitte beachten:

https://blogs.technet.microsoft.com/rmilne/2018/06/21/exchange-2010-support-for-windows-server-2016-domain-controllers/

 

[testperson 1.707]

Hi,

 

an dieser Stelle wäre es vermutlich einfacher, den ersten DC zu demoten, ggfs. im AD / DNS aufräumen und dann direkt den ersten neuen DC mit gleicher IP (und ggfs. Namen) zu installieren. Etwas später dann mit dem zweiten DC identisch verfahren.

 

Was machen die DCs denn noch neben "dem DC sein"? Evtl. solltet Ihr die Chance jetzt nutzen und diese Sachen bereinigen.

 

Gruß

Jan

[roccomarcy 20]

Gerade eben schrieb testperson:

Hi,

 

an dieser Stelle wäre es vermutlich einfacher, den ersten DC zu demoten, ggfs. im AD / DNS aufräumen und dann direkt den ersten neuen DC mit gleicher IP (und ggfs. Namen) zu installieren. Etwas später dann mit dem zweiten DC identisch verfahren.

 

Was machen die DCs denn noch neben "dem DC sein"? Evtl. solltet Ihr die Chance jetzt nutzen und diese Sachen bereinigen.

 

Gruß

Jan

Moin,

 

die machen nur Aufgaben, die ein DC zu erledigen hat.

Mein bzw. unser Problem ist nur, dass die IP-Adressen in div. Netzwerkkomponenten als Zeitserver eingetragen sind. Daher würde ich die IP-Adressen gerne beibehalten.

 

@mba:
Danke für den Tip, das hatte ich schon gelesen. Wir haben unseren Exchange 2010 auf dem aktuellen Stand, daher gehe ich davon aus, dass wir dort keine Probleme bekommen (sollten).

Gruß

[testperson 1.707]

Hi,

 

als Zeitserver eignet sich ggfs. der FQDN der Domäne. Alternativ könnte man noch darüber nachdenken, Dienste (NTP, DNS, (LDAPS), ...) für Netzwerkkomponenten per Loadbalancer bereitzustellen.

 

Gruß

Jan

[roccomarcy 20]

vor 1 Minute schrieb testperson:

Hi,

 

als Zeitserver eignet sich ggfs. der FQDN der Domäne. Alternativ könnte man noch darüber nachdenken, Dienste (NTP, DNS, (LDAPS), ...) für Netzwerkkomponenten per Loadbalancer bereitzustellen.

 

Gruß

Jan

Ja, über sowas habe ich auch schon nachgedacht.
Problem bei einigen Geräten ist aber, dass diese mich nur eine IP eingeben lassen. Aber das könnte man ja ggf. über den LB realisieren.

 

Sollte ich den Austausch der DCs in einem Wartungsfenster durchführen oder geht es auch im laufenden Betrieb?

[daabm 1.366]

Geht im laufenden Betrieb - da authentifiziert sich ja  i.d.R. nur selten jemand, und die morgens bei der Anmeldung ausgestellten Kerberos-Tickets gelten per Default 8 Stunden. Machst Du das am späten Vormittag, sollte niemand etwas bemerken, wenn es nicht grandios in die Hose geht

[NorbertFe 2.061]

vor 28 Minuten schrieb daabm:

wenn es nicht grandios in die Hose geht

Pferd, Apotheke & Murphy treffen sich häufiger als man denkt. Vor allem, wenn man sich nicht auskennt.

[daabm 1.366]

Jetzt pack den Tiger wieder in den Tank und mach ihm keine Angst - das passiert seltener, als man denkt. Mitbekommen tust ja immer nur, wenn es NICHT klappt...

[NorbertFe 2.061]

Ich mache keine Angst, sondern hab nur schon genug "schiefe" Migrationen wieder gradeziehen dürfen. Ja das ist alles keine Magie. Man muß es eben nur verstehen.

[roccomarcy 20]

Guten Morgen,

ich muss das Thema noch einmal aufgreifen,
da ich zum Wochenende die Umstellung wahrscheinlich angehen werde.

Mein Plan wäre jetzt wie folgt:

Heute
- neuen Server promoten
Morgen
- FSMO-Rollen verschieben
- Replikation abwarten
Am Wochenende (Wartungsfenster)
- IP-Adresse des alten Servers ändern auf eine neue, andere
- DNS-Records aktualisieren lassen und DNS-Replikation abwarten
- dem neuen Server die alte Adresse des alten Servers geben
- DNS-Records aktualisieren lassen und DNS-Replikation abwarten

Meine Fragen dazu wären,

- Ich hätte doch schon gerne den Hostnamen des alten DCs auf den neuen, wie vorgehen?
- Wann den alten DC demoten? Direkt zum "Ende" des Wartungsfensters?

Gruß

[NilsK 2.957]

Moin,

 

da sich deine DCs ja alle am selben Standort befinden, brauchst du nicht so lange Wartezeiten. Man kann das alles in einem Rutsch machen und zwischendurch halt Kaffeepausen einplanen (wenn überhaupt). Ein Tag für alles würde dicke ausreichen. 

 

Was den Namen anbelangt: Wenn du das wirklich willst (ich halte nichts davon, weil es ungünstige Abhängigkeiten festschreibt), dann kannst du zum Ende deiner Liste den Namen des DCs ändern, wenn du vorher den alten entfernt (oder ebenfalls umbenannt) hast. Wann du das wiederum tust, ist praktisch ausschließlich eine organisatorische Frage.

 

Ich lese jetzt aber nur noch von einem DC, wolltest du nicht zwei tauschen?

 

Gruß, Nils

 

[roccomarcy 20]

vor 6 Minuten schrieb NilsK:

Moin,

 

da sich deine DCs ja alle am selben Standort befinden, brauchst du nicht so lange Wartezeiten. Man kann das alles in einem Rutsch machen und zwischendurch halt Kaffeepausen einplanen (wenn überhaupt). Ein Tag für alles würde dicke ausreichen. 

 

Was den Namen anbelangt: Wenn du das wirklich willst (ich halte nichts davon, weil es ungünstige Abhängigkeiten festschreibt), dann kannst du zum Ende deiner Liste den Namen des DCs ändern, wenn du vorher den alten entfernt (oder ebenfalls umbenannt) hast. Wann du das wiederum tust, ist praktisch ausschließlich eine organisatorische Frage.

 

Ich lese jetzt aber nur noch von einem DC, wolltest du nicht zwei tauschen?

 

Gruß, Nils

 

Moin,

 

danke für die schnelle Rückmeldung. Einleitend habe ich leider nicht erwähnt, dass es in der Organisation noch zwei Domänen-Controller gibt, die an einem anderen Standort stehen (VPN).
Daher das "Herauszögern" über mehrere Tage.

 

Bzgl. des Namens bin ich auf deiner Seite, ich weiß allerdings, dass in irgendwelchen Anwendungen oder Skripten dieser bestimmt fest hinterlegt ist. Daher der Gedanke, auch den Namen zu übernehmen. Wobei ich jetzt schon darüber nachdenke, dass ich nur die IP-Adresse des alten DC's übernehme, den Namen aber "auslaufen" lasse.

D.h. ich lasse den alten DC parallel noch ein paar Wochen am Laufen und versuche die Skripte / Anwendungen zu finden, wo dieser Name noch eingetragen sein könnte?

 

Ja, zwei DCs sind betroffen.

Der zweite ist aber mMn nicht so kritisch, da dieser ja nicht die FSMO-Rollen usw. beinhaltet.