Kennwortänderung in Domain

[Steven OSeal 10]

Hallo Kollegen...

 

Wieder ein Rätsel der Firstlevel Arbeit liegt auf meinem Schreibtisch.

 

Wenn ein Anwender sich vom Client (egal ob XP oder 2000.. hab beide Fälle schon gehabt) an eine Domain auf einem Win2k3 Server anmeldet tritt folgendes Problem auf.

 

Die Kennwortrichtlinien sind komplex und das Kennwort hat alle 90 tage geändert zu werden. Wenn der Anwender nach erfolgreicher Anmeldung vom System dazu aufgefordert wird sein Kennwort zu ändern (da z.b. das alter 96 Tage beträgt ) und hier mit Enter bestätigt bekommt er die Meldung "Das kennwort konnte nicht geändert werden da die Domain xy nicht zur Verfügung steht."

 

Das eine Domain nicht zur Verfügung steht kann ich mir nur erklären als das der Rechner kein Netz hätte. Da jedoch die Anmeldung funktioniert hat (überprüfung des Kennwortalters) und andere Anwender sich normal anmelden können, fällt dies schonmal aus.

 

Bei meiner Suche mit google bin ich auf eine Seite gestolpert die angab das hier möglicherweise eine Firewall das problem sein könnte und deaktiviert werden müsste.

 

Bei normalen Arbeitsplatz PC in unserer Firma ist jedoch keine Firewall aktiv

 

Wäre nett wenn jemand hier eine Idee hat.

 

Ach ja.. für den Fall das es hilfreich ist... hier ist kein Active Directory aktiv.... Die Struktur des Netzwerkes stammt noch aus alten NT4 Zeiten und eine Migration ins Active Directory ist bei der größe des Netzwerks nicht machbar derzeit...

 

Gruß

 

Steven

[dmetzger 10]

Die Struktur des Netzwerkes stammt noch aus alten NT4 Zeiten und eine Migration ins Active Directory ist bei der größe des Netzwerks nicht machbar derzeit...

Was tut Ihr jetzt? Warten, bis das Netzwerk geschrumpft ist?

 

Genau die Komplexität von NT4-Strukturen ist ja ein glänzendes Argument für eine Migration hin zur einfacheren Verwaltung und erhöhten Leistungsfähigkeit von AD-Domänen.

[Steven OSeal 10]

@ dmetzger

 

Schön wäres es ja... hätten wir im First Level vielleicht auch etwas mehr Kompetenzen....

Aber der Konzern hat andere Richtlinien und ist extrem knauserig mit dem Geld... wir bekommen ja noch nichtmal ne anständige Knowledegbase...

 

Ach ja, was ich bei dem Problem evtl noch vergessen habe... der Anwender ist (weil die Kennwortänderung ja verweigert wurde und somit das starten des Rechners) an einen anderen Client PC gegangen und konnte sich dort sauber Anmelden und auch das Passwort ändern.

[lefg 276]

Das eine Domain nicht zur Verfügung steht kann ich mir nur erklären als das der Rechner kein Netz hätte.

Ich sehe das auch so.

Da jedoch die Anmeldung funktioniert hat (überprüfung des Kennwortalters) und andere Anwender sich normal anmelden können, fällt dies schonmal aus.

Hier würde ich erstmal annehmen, die Anmeldung erfolgt cached und überprüfen, ob der in dem Moment, in dem Fall der DC vom Client aus erreichbar ist.

 

Gibt es Meldungen in den Ereignisanzeigen?

[Necron 71]

Ach ja, was ich bei dem Problem evtl noch vergessen habe... der Anwender ist (weil die Kennwortänderung ja verweigert wurde und somit das starten des Rechners) an einen anderen Client PC gegangen und konnte sich dort sauber Anmelden und auch das Passwort ändern.

Schon mal geguckt ob die Netzwerkkarte bei dem Problemrechner in Ordnung ist oder das Netzwerkkabel?

[Steven OSeal 10]

Also der Client Rechner ist sauber erreichbar.... pingt sauber vorsich hin...

 

Im Ereignisprotokoll hab ich unter "Anwendung" nur dies gefunden was zu dem zeitpunkt passt... Dieser Fehler erfolgt viermal hintereinander... aber mehr nicht. :

 

Ereignistyp: Fehler

Ereignisquelle: McLogEvent

Ereigniskategorie: Keine

Ereigniskennung: 1006

Datum: 22.08.2005

Zeit: 08:13:24

Benutzer: Nicht zutreffend

Computer: <Clientname>

Beschreibung:

Task Manager : Dienst-Fehler : MID Configuration Applicator: Das Anwenden der VirusScan-Einstellungen ist fehlgeschlagen. (0005)

 

------------------

Unter System und Sicherheit sind keine nennenswerten fehler zum Zeitpunkt der Anmeldung vorhanden. Die Fehler die da sind, kann ich dem spätere anmelden (nach Kennwortänderung an anderem Rechner) und den durchlauf des Loginscripts zuordnen.

Aber auch der o.a. Fehler sollte nicht ursache des Problems sein...

 

 

@lefg

 

"die Anmeldung erfolgt cached" wie darf ich das verstehen ???

[Velius 10]

Hi

 

Mach mal ein Start -> Ausführen -> cmd, und tippe set ein.

 

Dort solltest du etwas wie LOGONSERVER=\\einer der Domänen Controller oder der Clientrechner selbst finden. Was steht da? Name des DC's oder des Rechners?

 

 

 

Gruss

Velius

[Wildi 10]

Ach ja.. für den Fall das es hilfreich ist... hier ist kein Active Directory aktiv.... Die Struktur des Netzwerkes stammt noch aus alten NT4 Zeiten und eine Migration ins Active Directory ist bei der größe des Netzwerks nicht machbar derzeit...

 

Wenn ich das richtig verstehe hattet Ihr scheinbar mal ne Domäne. Der Domänencontroller ist aber nicht mehr da, daher melden sich die Rechner jetzt 'cached' an der Domäne an. Soll heißen, der Client hängt eigentlich an einer Domäne, der Domänencontroller ist nicht da, daher meldet sich der Client aber trotzdem an, weil er die Domänenanmeldung 'gecached' lokal besitzt.

 

Und wenn dem so ist, ist Dein Fehler dem fehlenden Domänencontroller zuzurechnen.

 

Abhilfe:

Wenn kein Domänencontroller verfügbar ist und in absehbarer Zeit keiner dazukommt, würde ich die Clients in einer Arbeitsgruppe laufen lassen.

Das gecache funktioniert ne Weile ganz gut. Aber irgendwann, wenn der DC zu lange nicht da ist kommt es halt zu Problemen. DIese Funktion ist ja eigentlich nur dazu gedacht, wenn mal zufällig die Domäne nicht erreichbar ist und sollte nicht die Regel sein

[Steven OSeal 10]

@ Velius

 

hab mit die komplette Ausgabe des Set Befehls vom Anwender mal geben lassen...

Unter LOGONSERVER ist der gleiche DC hinterleg wie an meinem Arbeitsplatz.

Das müsste dann ja passen.

 

@ Wildi

 

Die DCs sind vorhanden...

Die Hauptdomain unseres Standorts lief ne ganze Zeit auf NT4 und später dann auf Win2k Servern. Vor ca. drei Monaten oder so wurde über ein WE lang die kompletten Alten Server vom Netz genommen und gegen neue W2k3 Server ersetzt die in einem Mischmodus zu laufen scheinen. Da Sie mit anderen Systemen und Konzernstandorten laufen sollen.

Und dies .. alter Server aus - neuer Server an... hat auch sauber funktioniert...

[foigas 10]

schon geschaut ob der wins richtig eingetragen ist???

[Johannes80 10]

pff, wer denkt sich denn so ein kranke Netzwerstruktur aus.

 

von NT 4.0 auf W2k Umstellen ist garnicht sooo ein riesen aufwand (also das tatsächliche Umstellen) Klar das ganze muss sauber geplant sein.

 

In meinem Konzern sind wir auch grad dabei und es läuft eigentlich ganz fein.

 

Einfach die alte NT 4.0 Domain behlaten, eine neue W2k3 Domain aufmachen. Wenn die neue sauber läuft und fertig konfigiuriert ist (Dienste, User, Daten,...) dann eine Vertrauenstellung erzweugen, dann zu einem definierten Datum alle Dienste der neuen Domain verwenden und schön gemütlich einen Benutzer/PC nach dem anderen in die neue Domain übernehmen, fertig (gut das war jetzt die kurze kurzfassung *gg*). Und das beste daran du hälts keinen beim arbeiten auf.

 

lg. Joe