AD mit zwei unterschiedlichen DC hat fehler beim ausrollen der GPO

[mex990 0]

Guten Morgen und einen schönen Sonntag,

 

Mir wurde vor einiger Zeit ein ActiveDirektory von einem Hotel anvertraut. Dieses lauft mit zwei DC und hat ein paar Kleinigkeiten wie Drucker und Netzwerklaufwerke mittels GPO ausgerollt. Kürzlich mussten wir wegen eines Defektes einen zentralen Multifunktionsdrucker austauschen und diesen natürlich auch auf den Clients aktualisieren. Zu beginn lief alles gut. Der alte Drucker wurde durch den neuen ersetzt (DL Gruppe, Druckerserver, GPO). Letzte Woche nahm das Unheil seinen Lauf und plötzlich wurden Drucker nicht mehr auf den Clients als installierter Drucker angezeigt. Manuell kann ich die Drucker hinzufügen und Drucken, also an den Rechten kann es mal nicht liegen. Aber inzwischen ist nicht nur der ersetzte Drucker betroffen sondern alle anderen Drucker auch. 

 

Ich habe auch schon versucht, die Drucker neu zu installieren und die GPO zu löschen, neu zu erstellen und mit den entsprechenden Containern zu verknüpfen. Leider ohne Erfolg. Ich weiß aktuell nicht mehr weiter. Deshalb bitte ich euch um Hilfe!

 

DC1 Windows Server 2008 R2 (Primärer DC)

DC2 Windows Server 2016 (Printerserver)

 

Hier noch das Ergebnis eines

dcdiag /a /q /v /c

 

 

dcdiag.txt

[lefg 276]

Moin und Willkommen am Board :)

 

Ob sich jemand die Meldungen über bestandene Tests von dcdiag durchlesen möchte? Ich empfehle mit dem Parameter /q nur die Fehler auszugeben, die so zu formatieren, dass sie gut lesbar sind.

 

Wenn sich unerwartet solche Probleme einstellen, vorher alles ohne Meldungen funktionierte, dann wurde meiner Erfahrung etwas verändert, entweder durch Administration oder Updates.

 

Meine Hauptverdächtige ist momentan die Namensauflösung per DNS, darauf deutet etwas in der Fehlerausgabe hin.

bearbeitet 6. Oktober 2019 von lefg

[Lian 2.436]

Die dcdiag Ausgabe ist nun in einer Textdatei.

 

Bitte auf persönliche Daten achten bei solchen Ausgaben. 

[Sunny61 807]

Zeig uns doch ein ipconfig /all von beiden DCs und von einem Client. Mit ipconfig /all | clip [ENTER] bekommst Du die Ausgabe in die Zwischenablage, hier dann per STRG + V in einen Code Block einfügen.

 

Wer oder was ist 192.168.0.1? Ein Router? Falls ja, dann hat er als DNS-Server nichts in den Eigenschaften einer NIC verloren, zumindest nicht innerhalb eines AD.

[Lian 2.436]

Je nach Länge wie gesagt gerne als Textdatei anhängen.

 

Danke für die Beachtung.

[mex990 0]

Hallo, Hier die ausgabe von ipconfig auf SRV-DC-01:

Windows-IP-Konfiguration

   Hostname  . . . . . . . . . . . . : SRV-DC-01
   Primäres DNS-Suffix . . . . . . . : hotel-abc.local
   Knotentyp . . . . . . . . . . . . : Hybrid
   IP-Routing aktiviert  . . . . . . : Nein
   WINS-Proxy aktiviert  . . . . . . : Nein
   DNS-Suffixsuchliste . . . . . . . : hotel-abc.local

Ethernet-Adapter LAN-Intern:

   Verbindungsspezifisches DNS-Suffix: 
   Beschreibung. . . . . . . . . . . : Intel(R) PRO/1000 MT Network Connection
   Physische Adresse . . . . . . . . : F6-BF-FF-64-BE-98
   DHCP aktiviert. . . . . . . . . . : Nein
   Autokonfiguration aktiviert . . . : Ja
   Verbindungslokale IPv6-Adresse  . : fe80::ed95:6b4f:d5b2:c141%3(Bevorzugt) 
   IPv4-Adresse  . . . . . . . . . . : 192.168.0.97(Bevorzugt) 
   Subnetzmaske  . . . . . . . . . . : 255.255.252.0
   Standardgateway . . . . . . . . . : fe80::4e9e:ffff:fe80:7bf0%3
                                       fe80::1e74:dff:feca:744a%3
                                       192.168.0.1
   DHCPv6-IAID . . . . . . . . . . . : 66502655
   DHCPv6-Client-DUID. . . . . . . . : 00-01-00-01-24-61-F9-1D-F6-BF-FF-64-BE-98
   DNS-Server  . . . . . . . . . . . : ::1
                                       192.168.0.100
   NetBIOS über TCP/IP . . . . . . . : Aktiviert

Tunneladapter isatap.{D8990DE8-2F76-442E-BD01-0DE5A95F5E61}:

   Medienstatus. . . . . . . . . . . : Medium getrennt
   Verbindungsspezifisches DNS-Suffix: 
   Beschreibung. . . . . . . . . . . : Microsoft ISATAP Adapter #2
   Physische Adresse . . . . . . . . : 00-00-00-00-00-00-00-E0
   DHCP aktiviert. . . . . . . . . . : Nein
   Autokonfiguration aktiviert . . . : Ja

 

und von WIN-PPO17D536VG:

Windows-IP-Konfiguration

   Hostname  . . . . . . . . . . . . : WIN-PPO17D536VG
   Primäres DNS-Suffix . . . . . . . : hotel-abc.local
   Knotentyp . . . . . . . . . . . . : Hybrid
   IP-Routing aktiviert  . . . . . . : Nein
   WINS-Proxy aktiviert  . . . . . . : Nein
   DNS-Suffixsuchliste . . . . . . . : hotel-abc.local

Ethernet-Adapter Hotel ABC:

   Verbindungsspezifisches DNS-Suffix: 
   Beschreibung. . . . . . . . . . . : HP NC326i PCIe Dual Port Gigabit Server Adapter
   Physikalische Adresse . . . . . . : 44-1E-A1-58-F4-D8
   DHCP aktiviert. . . . . . . . . . : Nein
   Autokonfiguration aktiviert . . . : Ja
   IPv4-Adresse  . . . . . . . . . . : 192.168.0.100(Bevorzugt) 
   Subnetzmaske  . . . . . . . . . . : 255.255.252.0
   Standardgateway . . . . . . . . . : 192.168.0.1
   DNS-Server  . . . . . . . . . . . : 192.168.0.100
   NetBIOS über TCP/IP . . . . . . . : Aktiviert

Tunneladapter isatap.{0A14DC26-8471-443F-9488-6B173733AC4D}:

   Medienstatus. . . . . . . . . . . : Medium getrennt
   Verbindungsspezifisches DNS-Suffix: 
   Beschreibung. . . . . . . . . . . : Microsoft-ISATAP-Adapter
   Physikalische Adresse . . . . . . : 00-00-00-00-00-00-00-E0
   DHCP aktiviert. . . . . . . . . . : Nein
   Autokonfiguration aktiviert . . . : Ja

Tunneladapter Teredo Tunneling Pseudo-Interface:

   Medienstatus. . . . . . . . . . . : Medium getrennt
   Verbindungsspezifisches DNS-Suffix: 
   Beschreibung. . . . . . . . . . . : Teredo Tunneling Pseudo-Interface
   Physikalische Adresse . . . . . . : 00-00-00-00-00-00-00-E0
   DHCP aktiviert. . . . . . . . . . : Nein
   Autokonfiguration aktiviert . . . : Ja

 

und hier nochmal die Ausgabe von dcdiag /q auf SRV-DC-01

         Für den Zeitraum der letzten 24 Stunden seit Freigabe des SYSVOL sind Warnungen oder Fehlerereignisse
         vorhanden. Fehler bei der SYSVOL-Replikation können Probleme mit der Gruppenrichtlinie zur Folge haben.
         ......................... Der Test DFSREvent für SRV-DC-01 ist fehlgeschlagen.

 

dcdiag /q von WIN-PPO17D536VG blieb ohne Ausgabe.

 

bearbeitet 6. Oktober 2019 von mex990

[XP-Fan 217]

Hallo,

 

haben die Server nur 1 Netzwerkkarte?

 

Mich irritiert die Ausgabe oben im DCDIAG :

 

Adapter [00000000] Intel(R) PRO/1000 MT Network Connection:
                     MAC address is F6:BF:FF:64:BE:98
                     IP-Adresse ist statisch.
                     IP address: 192.168.2.100, fe80::ed95:6b4f:d5b2:c141

[mex990 0]

Ja ich habe euch tatsächlich etwas unterschlagen,

 

Nach der Antwort von lefg habe ich mir die DNS Einträge in der Reverse Lookupzone angesehen und festgestellt, dass der zweite DC (SRV-DC-01) nicht auftaucht.

einen Zeiger darauf konnte ich auch nicht anlegen. Ich habe die Vermutung, dass sich die Netzmaske nicht mehr die gleiche ist wie zu dem Zeitpunkt als der DNS installiert wurde. Deshalb konnte ich auch keinen Zeiger anlegen. Ich hab dann den zweiten DC auf eine Adresse verlegt welche in einem klassischen C Netz noch frei wäre (192.168.0.97).

Danach bei beiden DC's ein ipconfig /flushdns und versucht mit nslookup aufzulösen. Das hat alles geklappt.

 

Mittlerweile habe ich auch die Drucker nochmals neu Installiert und diesmal die PCL V3 Treiber verwendet. Diesmal hat alles geklappt. Nur bei manchen Clients werden mir jetzt noch alte Drucker angezeigt welche ich eigentlich mit der GPO zu löschen versucht hätte.

[MurdocX 953]

Hallo Mex990,

 

ich habe ein paar Fragen zu dieser Konfiguration:

- Werden die IP-Adressen via DHCP verteilt?

- Warum wurde nur 1 DNS (.100) und nicht auch der 2 DNS (.97) bei beiden DCs eingetragen?

- Sind beide DNS-Server auch in der Konfiguration der Clients vorhanden?

 

Schöne Grüße

Jan

[mex990 0]

Hallo MurdoX,

 

- IP Adressen werden nur für Geräte im WLAN per DHCP verteilt, Server und Stationäre Clients haben statische IP's

- Gute Frage, das werde ich noch nachholen. Ein Grund dafür ist mir nicht bekannt.

- Bei den Clients ist auch nur ein DNS hinterlegt. (.100)

[MurdocX 953]

 

vor 2 Stunden schrieb mex990:

- Bei den Clients ist auch nur ein DNS hinterlegt. (.100)

Ohne den zweiten DC bei den Clients eingetragen, hat der Kunde einen Single-Point-Of-Failure.

[lefg 276]

vor 2 Stunden schrieb mex990:

- Bei den Clients ist auch nur ein DNS hinterlegt. (.100)

 

Es ist üblich, beide DNS an den Clients einzutragen, bzw per DHCP zuzuweisen. Ob dass aber das Problem ist? Denn es funktionierte ja schon mal so?

bearbeitet 6. Oktober 2019 von lefg

[mex990 0]

Guten Morgen,
also ich habe heute beim DCHP Server, welchen der Router Stellt, die Einstellung überprüft. Da war auch nur der erste DNS Server eingetragen.
Hab ich nun ausgebessert.

Auch bei den Clients habe ich überall die zwei DC's eingetragen und ein ipconfig /flushdns durchgeführt.

Ich hab dann in weiterer Folge noch die Drucker mit dem PCL-V3 Treiber installiert und die Drucker mit dem V3 Treiber wurden dann auch problemlos ausgerollt.

Meint Ihr, dass das am Teriber liegen könnte? Die betroffenen Clients sind alle Windows 10 Pro auf dem akteullsten Stand.

[MurdocX 953]

vor 15 Stunden schrieb lefg:

Ob dass aber das Problem ist? Denn es funktionierte ja schon mal so?

Bei so etwas offensichtlichem fühle ich mich verpflichtet darauf hinzuweisen  

 

Wenn du vom Client aus einen Drucker vom Printserver mappst, musst du dann die Admin-Berechtigungen am Client eingeben? Bevorzugt auf einem probieren auf dem der Drucker nicht funktioniert.

[mex990 0]

Am 7.10.2019 um 18:20 schrieb MurdocX:

Wenn du vom Client aus einen Drucker vom Printserver mappst, musst du dann die Admin-Berechtigungen am Client eingeben? Bevorzugt auf einem probieren auf dem der Drucker nicht funktioniert.

nein die werden nicht abgefragt. Die Drucker Treiber werden installiert und dann ist der Drucker verfügbar.

bearbeitet 8. Oktober 2019 von mex990