Zweiter 2003 DC einbinden, schlägt fehl

[CoolBlue 10]

Hi,

 

hoffe ihr könnt mir weiterhelfen. Ich kriegs nich gebacken.

 

Hab nen neuen Windows 2003 Server aufgesetzt der nun als Backup ins Active Directory geholt werden soll. Das klappt aber nich.

 

Bekomme immer die Fehlermeldung "Dieser Computer konnte kein Mitglied in der Domäne xxx.local werden"

"Anmeldung fehlgeschlagen: Der Zielkontoname ist ungültig"

 

gleichzeitig entsteht im Systemlog enie Kerberos Fehlermeldung.

 

Der Kerberos-Client hat einen KRB_AP_ERR_MODIFIED-Fehler von Server "host/aw1.xxx.local" empfangen. Der verwendete Zielname war cifs/AW1. Dies deutet darauf hin, dass das Kennwort, das zum Verschlüsseln des Kerberos-Diensttickets verwendet wurde, anders als das Kennwort auf dem Zielserver ist. Häufige Ursache hierfür sind identische Computerkontonamen im Zielbereich (XXX.LOCAL) und dem Clientbereich. Wenden Sie sich an den Systemadministrator.

 

XXX = unsere domäne

 

ich raffs nich.

PDC = AW1

neuer BDC = AW2

 

aw2 war früher ein normaler windows 2000 server pc, der als computer in der domäne registriert war (aber kein AD server war)

 

nurn wurd dieser formatiert, ein frischen windows 2003 sp1 aufgespielt und im AD hab ich alle verweise auf AW2 gelöscht. Trotzdem will der Server kein AD Backup mitglied werden, egal wie ich es anstelle.

 

Gruß

Jan

[il_principe 11]

hi,

 

nur mal zur probe. Benenn AW2 mal in AW3 um (falls es den noch nicht gibt). Neustart - und dann nochmal probieren.

 

IP, DNS, Fixe IP usw... nehme ich an passen?

 

lg

il_principe

[CoolBlue 10]

schööön, wird ja immer besser

 

umbenannt in aw3 funktioniert es auch nicht. Selbe meldung.

Einen aw3 gab es bissher auch nirgends in unserem netz (nur als info)

 

wodran könnte es noch liegen?

 

Was ich merkwürdig finde ist das ich auch kein remote desktop auf den neuen server machen kann. Dann kommt nämlich die Fehlermeldung: "Die Sitzung wird beendet wegen einem Fehler in der Datenverschlüsselung"

 

merkwürdig...

[il_principe 11]

stimmt.....

 

hast du zusätzlich irgendeine verschlüsselung, zertifikate oä aktiviert?

 

lg

[CoolBlue 10]

hmm

auf dem neuen aw2 hab ich noch nix gemacht, der ist absolut nackt.

windows 2003 Server cd mit ingetriertem sp1

 

auf dem aw1 (der eigentlich auch noch recht frisch ist) läuft exchange 2003

dort hab ich mal mit usb-token's experimentiert. nein nich direkt, experimenterit hab ich auf einem anderen rechner und auf dem aw1 hab ich nur im AD entsprechende optionen geändert. Allerdings auch nur für enien testnutzer und nicht unter dem administrator account.

 

aber kann mir nich vorstellen das es daran liegt

jeder stink normale xp rechner hier im haus, kann sich an die domnäne anmelden

 

Eine normale domänen mitgleidschaft (arbietsplatz > eigenschaften > computername....) funzt am aw2/aw3 auch nich. Selber fehler, selber log-eintrag

 

sp1 einproblem??

 

auf dem aw1 ist das noch nich drauf.

 

laut microsoft website steht aber nix davon das ein sp1 server nicht mit einem server ohne service pack zusammenarbeiten kann.

[Gadget 37]

Hi CoolBlue

 

auf dem aw1 (der eigentlich auch noch recht frisch ist) läuft exchange 2003 dort hab ich mal mit usb-token's experimentiert. nein nich direkt, experimenterit hab ich auf einem anderen rechner und auf dem aw1 hab ich nur im AD entsprechende optionen geändert. Allerdings auch nur für enien testnutzer und nicht unter dem administrator account.

 

Was für Optionen hast du geändert?

 

Sicherheitseinstellungen in der Default Domain Controllers Policy / Default Domain Policy?

 

Was sagt denn dcdiag u. netdiag?

 

=> http://support.microsoft.com/?scid=kb%3Bde%3B265706&x=19&y=16

 

EDIT: Solltest aber die aktuellen 2k3 Versionen verwenden die auf der CD dabei sind:

 

http://www.windowsnetworking.com/articles_tutorials/Windows_2003_Support_Tools.html

 

LG Gadget

[CoolBlue 10]

dcdiag und netdiag funzen einwandfrei

die infos auf der ms seite (dein link) bin ich auch grade durchgegangen und das ergebnis lautet das der aw2 bereit ist als replica dc zu arbeiten.

 

ich hab bei einem nutzer in den eigeschnaften eingesxchaltet "anmelden über smartcard erforderlich"

desweiteren haben ich den zertifizierungsserver installiert und unter zertifikatsvorlagen smartcard-benutzer hinzugefügt. damit nen windows logon-funktioniert (also das zertifikat dafür ausgestellt werden kann)

bin aber nich sehr weit gekommen, bzw hab da sonst nix mehr gemacht mit.

[Gadget 37]

Würde den Memberserver mal aus der Domäne entfernen und dann nochmal hinzufügen...scheint ja ein Problem mit dem Computerkonto zu sein.

 

LG Gadget

[CoolBlue 10]

der witz is ja der will gar nich erst in die domäne rein

 

der läuft nur auf arbeitsgruppe

weil eine domänen mitgliedschaft oder ein ad replica dc mitgliedschaft nicht funktioniert :-(

[CoolBlue 10]

ich glaub ich mach die kiste normal neu, nur diesmal ohne sp1

[CoolBlue 10]

sonst noch einer eine idee?

[CoolBlue 10]

hi,

 

problem gelößt.

 

Service Pack 1 war schuld.

Neuinstallation ohne SP1, und integration ins AD funzte einwandfrei...

 

danach hab ich SP1 installiert und die Kiste läuft immer noch.

 

Gruß

Jan