Namensauflösung AD Domäne

[AFM_Adm 11]

Moin zusammen,

 

folgende Problemstellung habe ich (vereinfacht dargestellt):

2 Server-Netze (Standort A und B mit jeweils 1 x DC), 2 Client-Netze (Standort A und B). Die Server-Netze können untereinander kommunizieren, die Client-Netze nur mit dem Server-Netz am gleichen Standort.

 

Bei der Namens-Auflösung der Domäne beispiel.local im Client-Netz B, gibt der DC im Server-Netz B, beide DC's wieder (den von Standort A und von Standort B), kann den DC an Standort A aber nicht erreichen. AD Sites und Services ist konfiguriert und den entsprechenden Subnetzen der richtige Standort zugewiesen. Mit "nltest /dsgetsite" getestet wird auch der korrekte Standort angezeigt auf dem Client.

 

Die Clients am Standort B versuchen aber immer den DC am Standort A zu erreichen. Was für Lösungsmöglichkeiten gibt es hier?

 

bearbeitet 18. Oktober 2022 von AFM_Adm

[NilsK 2.934]

Moin,

 

ich habe das Problem jetzt nur halb durchdrungen, vermute aber, dass du das Automatic Site Link Bridging abschalten musst.

 

Gruß, Nils

 

[AFM_Adm 11]

vor 9 Minuten schrieb NilsK:

Moin,

 

ich habe das Problem jetzt nur halb durchdrungen, vermute aber, dass du das Automatic Site Link Bridging abschalten musst.

 

Gruß, Nils

 

Dies würde doch nur Sinn machen, wenn die DC's sind nicht direkt erreichen könnten bezgl. Replikation?

[teletubbieland 167]

Hast Du denn die Standorte im AD auch getrennt ?

 

[cj_berlin 1.315]

Moin,

 

DNS für den Domänennamen ist nicht site aware, sondern wird immer alle DCs für die Domäne zurückgeben. Der Auffindung eines DC für die Anmeldung oder GC-Lookup tut es aber keinen Abbruch, da der DC Locator Prozess sehr wohl site aware ist. Die Sites müssen dafür aber natürlich die physische Topologie abbilden.

 

Welches wirkliche Problem versucht Du denn zu lösen?

[daabm 1.354]

vor 3 Stunden schrieb AFM_Adm:

Die Clients am Standort B versuchen aber immer den DC am Standort A zu erreichen.

 

Was _genau_ versuchen sie zu erreichen? Also welcher Prozess auf dem Client versucht welchen Dienst auf dem DC zu erreichen?

Und wIe gesagt, AD ist nicht DNS. AD ist site aware, aber DNS nicht.

Zum DC Locator: https://techcommunity.microsoft.com/t5/ask-the-directory-services-team/domain-locator-across-a-forest-trust/ba-p/395689

Da steht zwar auch noch "across forest trust", aber die Grundlagen sind auch dabei.

[AFM_Adm 11]

vor 21 Stunden schrieb teletubbieland:

Hast Du denn die Standorte im AD auch getrennt ?

 

Wie meinst du das?

vor 19 Stunden schrieb daabm:

 

Was _genau_ versuchen sie zu erreichen? Also welcher Prozess auf dem Client versucht welchen Dienst auf dem DC zu erreichen?

Und wIe gesagt, AD ist nicht DNS. AD ist site aware, aber DNS nicht.

Zum DC Locator: https://techcommunity.microsoft.com/t5/ask-the-directory-services-team/domain-locator-across-a-forest-trust/ba-p/395689

Da steht zwar auch noch "across forest trust", aber die Grundlagen sind auch dabei.

Es geht um Zugriff auf ein Filesystem per DFS und muss daher die Domäne auflösen können.

[teletubbieland 167]

vor 20 Minuten schrieb AFM_Adm:

Wie meinst du das?

Es geht um Zugriff auf ein Filesystem per DFS und muss daher die Domäne auflösen können.

Naja, unter Active Directory Standorte und Dienste. Ob Du die IP Bereiche getrennt hast.

[AFM_Adm 11]

vor 32 Minuten schrieb teletubbieland:

Naja, unter Active Directory Standorte und Dienste. Ob Du die IP Bereiche getrennt hast.

Ja, es gibt zwei Standorte mit den entsprechenden Subnets.

[daabm 1.354]

vor 4 Stunden schrieb AFM_Adm:

Es geht um Zugriff auf ein Filesystem per DFS und muss daher die Domäne auflösen können.

 

Ich versuch's noch mal: Was _genau_ versuchen sie zu erreichen?

Domain based DFS? Beide DCs als Namespace-Server? Target-Shares in beiden Standorten vorhanden und verfügbar? Fragen über Fragen

Du hast Fragen, Du suchst Lösungen. Dann mußt Du auch Input liefern.

[AFM_Adm 11]

vor 17 Stunden schrieb daabm:

 

Ich versuch's noch mal: Was _genau_ versuchen sie zu erreichen?

Domain based DFS? Beide DCs als Namespace-Server? Target-Shares in beiden Standorten vorhanden und verfügbar? Fragen über Fragen

Du hast Fragen, Du suchst Lösungen. Dann mußt Du auch Input liefern.

Moin, Domain Based DFS - Ja. Beide DC's als Namespace-Server - Ja. Target-Shares - jeweils nur die Shares am eigenen Standort verfügbar.

[Squire 262]

Was spricht dagegen eine Policy auf Deinen Firewalls zu setzen, dass die Clients mit den DCs an Standort A und B wechselseitig reden dürfen?

Hätte doch auch den Vorteil, dass die Clients bei Ausfall des DCs am Standort immer noch mitspielen dürfen. Nebenbei (1 DC pro Standort finde ich etwas dünn - abhängig von der Anzahl der User ...)

 

Was mir noch einfällt ... ich denk mal Dein DC an Standort A hält die PDC Rolle ... manche Vorgänge am Client erfordern eine Verbindung zum PDC. Deshalb .. lass die Clients mit dem DC am Standort A reden

 

bearbeitet 21. Oktober 2022 von Squire

[cj_berlin 1.315]

vor 5 Stunden schrieb Squire:

manche Vorgänge am Client erfordern eine Verbindung zum PDC

Welche? Ich habe Umgebungen, wo Clients noch nie einen schreibbaren DC gesehen haben, vom PDCe ganz zu schweigen.

Was bei DFS-N sein kann, ist, dass es im "Consistency Mode" konfiguriert ist (Default-Einstellung). Du brauchst den "Scalability Mode".

[AFM_Adm 11]

Am 21.10.2022 um 12:57 schrieb Squire:

Was spricht dagegen eine Policy auf Deinen Firewalls zu setzen, dass die Clients mit den DCs an Standort A und B wechselseitig reden dürfen?

Hätte doch auch den Vorteil, dass die Clients bei Ausfall des DCs am Standort immer noch mitspielen dürfen. Nebenbei (1 DC pro Standort finde ich etwas dünn - abhängig von der Anzahl der User ...)

 

Was mir noch einfällt ... ich denk mal Dein DC an Standort A hält die PDC Rolle ... manche Vorgänge am Client erfordern eine Verbindung zum PDC. Deshalb .. lass die Clients mit dem DC am Standort A reden

 

Aus verschiedenen Gründen sollen nur die DC's am eigenen Standort verwendet werden.

 

Am 21.10.2022 um 18:35 schrieb cj_berlin:

Welche? Ich habe Umgebungen, wo Clients noch nie einen schreibbaren DC gesehen haben, vom PDCe ganz zu schweigen.

Was bei DFS-N sein kann, ist, dass es im "Consistency Mode" konfiguriert ist (Default-Einstellung). Du brauchst den "Scalability Mode".

Danke für den Tipp. Aber geht es bei dem "Scalability Mode" nich darum, dass die DFS-Stammserver den DC am gleichen Standort nutzen oder was hat dies mit den Clients zu tun?