2x neue Domain Controller (AD+DNS) für Ablösung 4x bestehenden Domain

[nettteufel 0]

Guten Tag,

normalerweise lese ich hier die Beiträge, aber so komme ich nicht weiter. Ich habe nicht so viel Erfahrung mit Netzwerk und, ich glaube, genau da habe ich das Verständnisproblem.

Jetzt wird es kompliziert:
Firma hat momentan:
1x DC.local 192.16.20.20 (ja, nur einer),SBS11, Domäne: xx.local, SN: 255.255.255.0
1x Externe DC.extern 192.16.20.30(nur für Trainings),Domäne: xx.extern, SN: 255.255.254.0
1x AAD AD.azure (Kostenfrei Version, wird quasi nur für Office365 und Exchange benutzt und alle User werden manuell gepflegt) -kein Sync, Domäne: xx.com,
1x DC.com 89.168.100.50 (Wird nur als Anmeldedienst für gehostet Maschinen benutzt, wird auch beim externen Anbieter gehostet), GW: 89.168.100.30, SN: 255.255.255.254, Domäne: xx.com
Clientnetz befindet sich in der Zone 192.16.40.x
Alle Server außer DC.com haben gleichen GW: 192.16.20.1
DHCP ist ein eigener Server für alle DHCP.local mit IP’s: 192.16.20.19/24 und 192.16.20.21/23
Router IP: 192.16.20.1

Meine Aufgabe (ich bin erst sein 2 Monate bei dieser Firma):
Alles Mögliche ablösen und in eine AD es unterbringen (Forests?).
SBS11 funktioniert nicht mehr einwandfrei, soll so schnell wie möglich weg.

Ich habe 2x Server 2019 installiert, lizensiert und zu DC's hochgestuft:
AD01, Domäne: xx.com, IP: 192.16.20.80, GW: 192.16.20.1, SN: 255.255.254.0 (PDC) - DNS
AD02, Domäne: xx.com, IP: 192.16.20.90, GW: 192.16.20.1, SN: 255.255.254.0 - DNS
In DHCP sind die DC’s 01/02 im Bereich x.x20.x reserviert
Im Serveroptionen sind die beiden auch als DNS eingetragen
In der Zone x.x20.x sind die beiden DC’s 01/02 die IP-Adressen reserviert und auf dem Server auch fest eingetragen.
Lokale Firewall Regeln geprüft und sind, quasi, mit alten AD.local identisch.

Ich habe gerade bemerkt, dass DC.com und AD.azure + DC’s 01/02 haben die gleiche Domänenname, wird es zu Problemen führen? Oder da es extern gehostet wird, werde ich da nichts mitbekommen?
Evtl. werden AD.azure und DC’s 01/02 in der Zukunft synchronisiert und aus diesem Grund fand ich die Idee xx.com zu benennen sinnvoll.
Ich möchte neuen DC's separieren und nach und nach die User umziehen.
Danach die Forests für die restlichen „Standorte" erstellen, so dass es keine extra AD's benötigen werden.
DC.local /SBS11 und DC.extern können mit einander kommunizieren, aber die sind nicht redundant.
In AD SD stehen die beide.
Auf dem Firewall sind die beidem DC’s 01/02 auch eingetragen.
Auf dem DC01 in DNS lokal xx.com Zone als Primäre Zone verbunden, Lookupzone ist auch korrekt.
Lookupzone x.x.20.x als Primär – ich glaube es ist aber nicht richtig, da ich nur 2 Zeiger angezeigt bekomme; DC’s.
Lookupzone x.x.40.x als Sekundär - da sehe ich alle in x.x.40.x Bereich verbundene Clients.
Da fehlt mich an Verständnis, wie übernehme ich dann später DNS von AD.local als Primär?
DC02 habe ich als auch verbunden, soll ja auch redundant sein. Es steht in DNS auch als Primäre Zone verbunden (Ob das richtig ist?) und Lookupzone x.x.20.x hat sich nicht repliziert – musste ich manuell verbinden, werden aber auch nicht alle verbunden. Soll es nicht automatisch repliziert werden?
Momentan managt alles AD.local, wenn ich in DNS keine xx.com Zone einrichte, funktioniert, quasi, die xx.com nicht. Wenn ich Zone eintrage, funktionieren lokal paar Sachen, auf einmal, nicht mehr. Es ist auch klar, irgendwo wird auf xx.com umgeleitet als Namenauflösung (Alias), da unsere Internetseite auch so heißt. Also musste ich erst mal Zone rauslöschen.
Wenn ich überall AD.local eintrage, so dass die neuen DC’s von da aus alles lesen, werden ich wahrscheinlich alles funktional bekommen, aber was passiert, wenn ich später AD-local überall rauslösche? Wie übernehme ich alle Funktionen als ob AD.local nie gegeben hat?

dcdiag /test:dns
Ergebnis: Bestanden, außer zu den DNS Stammhinweisen-Serverdomänennamen.

dfsdiag /testdcs
Ergebnis: Die beiden DC’s sind einheitlich
DCDIAG /ReplSource:DC02
Ergebnis: Alles bestanden, außer

Starting test: DFSREvent
Für den Zeitraum der letzten 24 Stunden seit Freigabe des SYSVOL sind
Warnungen oder Fehlerereignisse vorhanden. Fehler bei der
SYSVOL-Replikation können Probleme mit der Gruppenrichtlinie zur Folge
haben.
......................... Der Test DFSREvent für DC02 ist
fehlgeschlagen.

Die beiden Dc’s werden garantiert synchronisiert. Wenn ich was in \\192.16.20.80\sysvol eintragen, erscheint es sofort auf dem \\192.16.20.90\sysvol und auch \\xx.com\sysvol funktioniert die Auflösung auch.
Aber wenn ich versuche von DC01 auf Verzeichnis von \\192.16.20.90\sysvol wird Zugriff verweigert.

dcdiag -v
Ergenis: alles gut, außer
Starting test: DFSREvent
The DFS Replication Event Log.
Fr den Zeitraum der letzten 24 Stunden seit Freigabe des SYSVOL sind
Warnungen oder Fehlerereignisse vorhanden. Fehler bei der
SYSVOL-Replikation k”nnen Probleme mit der Gruppenrichtlinie zur Folge
haben.
Warnung. Ereignis-ID: 0x80001396
Erstellungszeitpunkt: 10/29/2021 08:59:24
Ereigniszeichenfolge:
Der DFS-Replikationsdienst beendet die Kommunikation mit Partner DC02 fr Replikationsgruppe Domain System Volume aufgr
und eines Fehlers. Der Dienst wird regelm„áig versuchen, die Verbindung wiederherzustellen.
Weitere Informationen:
Fehler: 1723 (Der RPC-Server ist fr diesen Vorgang zu stark ausgelastet.)
Verbindungs-ID: 6EC9EE57-CAA7-4FF8-
Replikationsgruppen-ID: 96877CBE-D344-40D6-
Fehler. Ereignis-ID: 0xC00004B2
Erstellungszeitpunkt: 10/29/2021 10:59:45
Ereigniszeichenfolge:
Der DFS-Replikationsdienst konnte keine Verbindung mit dem Dom„nencontroller "" zum Zugriff auf die Konfigurationsinformationen
herstellen. Die Replikation wurde beendet. Der Dienst wiederholt den Vorgang beim n„chsten Konfigurationsabfragezyklus, der in 60 Minuten ei
ntritt. Dieses Ereignis kann durch TCP/IP-Verbindungs-, Firewall-, Active Directory-Dom„nendienste- oder DNS-Probleme verursacht werden.
Weitere Informationen:
Fehler: 160 (Ein oder mehrere Argumente sind ungltig.)
......................... Der Test DFSREvent fr DC01 ist
fehlgeschlagen.

Die beiden DC's dürfen aber mit einander, irgendwie nicht kommunizieren *brainf*ck*

Was mache ich falsch, oh bitte sagt nicht – alles

[tesso 375]

Ich verstehe euer Konstrukt nicht und deine Umbauten ebensowenig.

Was ist das Ziel? Soll die SBS Domäne abgelöst oder umgezogen? Was macht das Konstrukt der gehosteten Domäne?

[nettteufel 0]

vor 1 Minute schrieb tesso:

Ich verstehe euer Konstrukt nicht und deine Umbauten ebensowenig.

Was ist das Ziel? Soll die SBS Domäne abgelöst oder umgezogen? Was macht das Konstrukt der gehosteten Domäne?

Ich verstehe auch nicht warum es so gemacht wurde, aber es ist so wie es ist.

Ich muss als 1. SBS11 ablösen. Nicht migrieren, weil es schon tot konfiguriert wurde. Gibt zu viele unnötige GPO's und Servereinstellungen.

Mein ziel, eine neue Domäne aufzubauen und nach und nach die User und Maschinen umziehen.

 

Hosting extern, diese Domäne wird NUR für drauf gehosteten Maschinen benutzt (Cloud)

Als nächste, möchte ich dafür keine extra Domäne irgendwo haben, sondern nur ein Forest in der neue Domäne pflegen. Das ist doch möglich, oder?

[tesso 375]

vor 1 Minute schrieb nettteufel:

ch muss als 1. SBS11 ablösen. Nicht migrieren, weil es schon tot konfiguriert wurde. Gibt zu viele unnötige GPO's und Servereinstellungen.

Mein ziel, eine neue Domäne aufzubauen und nach und nach die User und Maschinen umziehen.

Das ist schon der erste Punkt den ich anzweifle. Ich habe schon viele Domänen gesehen und auch die Aussage das alles kaputt konfiguriert ist. 

Der Aufwand eines Umzuges ist viel höher als das geradeziehen der Umgebung. In 99,9% der Fälle ist es viel einfacher NICHT in eine neue Domäne zu migieren.

 

Warum willst du deine gehostete Domäne in deine Prouktivdomäne integrieren, wenn die doch nichts miteinander zu tun haben?

[NorbertFe 2.045]

vor 4 Minuten schrieb nettteufel:

Ich verstehe auch nicht warum es so gemacht wurde, aber es ist so wie es ist.

 

Na super. Beste Voraussetzungen für so eine Planung. Wie soll man dir denn helfen, wenn solche Fragen dann damit abgefrühstückt werden?

 

vor 4 Minuten schrieb nettteufel:

Ich muss als 1. SBS11 ablösen. Nicht migrieren, weil es schon tot konfiguriert wurde. Gibt zu viele unnötige GPO's und Servereinstellungen.

 

Das ist in den allermeisten Fällen vollkommener BS und nur ne Ausrede von dem der migrieren soll. ;)

In welcher Domain stehen denn die Userkonten und die PCs mit denen so normal gearbeitet wird?

Soll am Ende Azure AD mit der neuen AD Struktur verdrahtet werden oder nicht? Was soll am Ende eigentlich rauskommen bzw. übrigbleiben? :)

 

Bye

Norbert

[MurdocX 952]

Hallo,

 

vor einer Stunde schrieb nettteufel:

1x DC.local 192.16.20.20 (ja, nur einer),SBS11, Domäne: xx.local, SN: 255.255.255.0
1x Externe DC.extern 192.16.20.30(nur für Trainings),Domäne: xx.extern, SN: 255.255.254.0

vor 1 Stunde schrieb nettteufel:

Lookupzone x.x.20.x als Primär – ich glaube es ist aber nicht richtig, da ich nur 2 Zeiger angezeigt bekomme; DC’s.
Lookupzone x.x.40.x als Sekundär - da sehe ich alle in x.x.40.x Bereich verbundene Clients.

 

diese vielen Informationen die ich im ersten Thread machen es mir und auch vielen Anderen unheimlich schwer zu verstehen, um was es hier geht und welche Informationen relevant sind. Lieber weniger aber dafür gezieltere Informationen. Die zitierten IPs & Subnetze werfen bei mir auch schon Fragen auf. Im ersten Schritt sollten meiner Meinung nach die Basics gerade gezogen werden.

[NilsK 2.939]

Moin,

 

Wie du schon richtig sagst - vermutlich ist das Problem, dass dir die nötigen Kenntnisse fehlen. Das ist erst mal völlig okay - aber auf der Basis ist die Aufgabe, vor der du stehst, anscheinend viel zu groß. Daher als ernst gemeinter Rat: hol dir Beratung dazu von jemandem, der die Technik beherrscht. Erst mal, um gemeinsam zu planen, wie man vorgehen kann - und evtl. auch erst mal zu klären, was überhaupt das Ziel ist.

 

Du hast jetzt ein paar Dinge angefangen, die vermutlich nicht in eine brauchbare Richtung gehen. Das Netzwerk, von den du berichtest, scheint tatsächlich sehr komplex zu sein. Da braucht es im ersten Schritt Planung mit ausreichender technischer Sachkenntnis. Dann kann man weiter sehen.

 

Gruß, Nils

[djmaker 95]

Auch auf die Gefahr hin das ich Nils Aussagen nur wiederhole:

 

Nimm einen Dienstleister mit entsprechender Sachkenntnis dazu, dann kannst Du deine Kenntnisse der Interna der Firma und die Dl seine Sachkunde einbringen. 

 

Ihr könnt dann gemeinsam ein auf die Zukunft ausgerichtetes Zielszenario entwerfen welches Du letztendlich auch eigenverantwortlich administrieren kannst. Im Rahmen der Migration kannst Du nebenbei dein Kenntnisse erweitern. 

Und schlussendlich muss auch die Thema Sicherheit, Backup / Restore und Redundanzen betrachtet werden. Ich gehe davon aus dass diese diese Themen nicht ausreichend tief umsetzen kannst.

 

By the way.

 

Ich würde persönlich diese Themen auch nicht allein starten, die Gefahr das Fehler passieren auf Grund einer fehlenden Prüfinstanz ist einfach zu groß (Stichwort: Review). Ich wünsche dir bei dieser Aufgabe viel Erfolg und möglichst wenig Probleme.

 

Viellicht kannst Du kurz posten aus welchem PLZ-Bereich ihr kommt, vielleicht findet sich im Forum Jemand der euch vor Ort unterstützen kann und will.