Active Directory halb defekt?

[Quickstyler 10]

Ich glaube, ich dreh noch durch:

 

Nach einer Migration eines neuen Servers vor zwei Wochen habe ich den alten auch noch mitlaufen um ihn demnächst mit dcpromo zu entfernen. Jetzt plötzlich ist der Win2k-Server (Domänencontroller) unter seinem Namen nicht mehr ansprechbar (\\Server). Daher sind auch alle Netzlaufwerke der Clients und der Drucker am Server getrennt. Fehlermeldung: wahlweise "Der lokale Gerätename wird bereits verwendet." oder "Der Zielkontenname ist ungültig." Der lokale Gerätename wird aber NICHT bereits verwendet, 100mal überprüft.

 

Ok, das lässt sich umgehen, indem die Netzlaufwerke und der Drucker unter der IP-Adresse (192.168.0.1) verbunden werden. Nicht so leicht zu umgehen ist allerdings, dass gleichzeitig alle Funktionen des Active Directory (Benutzer, Domänen,Dienste) auch blockiert sind, Server-Meldung hier: "Der Ziel-Principal Name ist falsch."

 

Die Grundfunktionen tun's allerdings noch, Clients (fixe IPs) können sich anmelden, über IP-Adressierung kann gedruckt werden und das Hauptprogramm am Server (Datenbank unter Filemaker) tut's auch noch (Clients greifen problemlos zu).

 

Hab' schon so ziemlich alles kontrolliert, was noch zugänglich ist, insbes. DNS, Netzwerkanbindungen und klarerweise auch die Hardware.

 

Idee?

[Hirgelzwift 10]

hast du vor dem entfernen des alten DC die FSMO rollen auf den neuen server verschoben und wie sieht es mit dem DNS dienst aus?

[Quickstyler 10]

Ja, bei der Migration wurde alles korrekt durchgeführt, inkl. FSMO Überträgen. Einziges Problem war, dass die Zonen neu zugeteilt werden mussten, weil sie auf dem alten DC (W2k Update von NT4) nicht vollständig installiert waren. Der DNS Dienst ist wie er sein soll, DNS Client und Server Automatisch gestartet ohne Fehlermeldung. Die Forward-Lookupzonen und Reverse-Lookupzonen scheinen auch ganz korrekt.

 

Danke und LG aus Wien

[Hirgelzwift 10]

und tragen sich die clients auch korrekt ein?

[Quickstyler 10]

Ja, allerdings verstehe ich deine Frage nicht exakt. Auf alle Fälle bekommen sie ihre serverbasierten Profile und Rechte korrekt zugewiesen. Da ich keinen Zugriff auf AD habe, kann ich allerdings keine Änderungen oder Ergänzungen vornehmen.

 

Danke

[Hirgelzwift 10]

wenn du die DNS konsole aufmachst und in die zone reinschaust. sind da einträge oder nicht? ich würde mal ins blaue darauf tippen das die einträge für das AD und oder für die clients, server usw. usw. ganz oder teilweise im DNS fehlen.

 

trage mal dafür sorgen das alle clients, DC's und server einen zentralen DNS server benutzen auch wenn du mehrere DNS server hast. wenn das sichergestellt ist, fange beim betriebsmaster an dann boote am besten alle kisten durch, oder starte zumindest den netzwerkanmeldedienst. das sorgt für eine DNS registrierung.

 

dein DNS ist auch AD implementiert und läuft auf allen DC?

[IThome 10]

Du sagst, der alte W2K wurde von NT4 upgedated, wie ist der DNS-Domänenname ? Am besten mal IPCONFIG /ALL des alten Servers ...

[Quickstyler 10]

Danke für deine Unterstützung. Habe für heute das Handtuch geworfen und lass mich gerade volllaufen - nein, nein, hänge aber nicht mehr verzweifelt vor dem nichtfunktionierenden Server. Werde deinen Hinweisen morgen sofort nachgehen...

 

Bis dann!

[Quickstyler 10]

Ja, der alte W2K-Server wurde vor etwa fünf Jahren nicht neu installiert, sondern im Rahmen einer Hardwareerneuerung von einem NT4-Server upgedatet. Da wurden wohl die Zonen nicht genau ausgezählt, was aber fünf lange Jahre nichts gemacht hat. Jetzt bei der Migration auf neue Hardware ist das aber alles richtiggestellt worden, damit auch das Active Directory problemlos von alt auf neu übertragen werden kann.

 

Der Domännname ist korrekt eingegeben und wird auch korrekt angezeigt. Allerdings habe ich bisher alle Aktionen am neuen Server durchgeführt und den alten nur mitlaufen lassen (der steht inzwischen auch ein bisschen abseits). Aber ich werde mal am alten prüfen, ob es verdächtige Unterschiede in der Konfig gibt.

 

Danke!

[IThome 10]

Ich wollte nur wissen, wie der DNS-Domänenname ist (ob Single Label oder nicht) :)

edit: heisst sie "irgendwas.de" oder "irgendwas.local" ... oder nur "irgendwas" ?

[Quickstyler 10]

Der Server heißt "SERVER.ABC3".

Der alte Server heißt "ABC3SERVER.ABC3".

Beide Server und auch alle Clients befinden sich in der gleichen Domäne.

 

Als Ergänzung zum Obigen:

Alle Clients und der alte ABC3SERVER können mit Namen auf alles zugreifen nur nicht auf den neuen SERVER (und die daranhängenden Drucker). Dieser wiederum kann nur auf sich selbst zugreifen und auf alle anderen nur per IP. Scheint also recht isoliert dazustehen...

[Hirgelzwift 10]

ich hatte das schon öfter bei W2K. ich konnte das mit der zentralen DNS konfiguration, wie ich schon erwähnte, lösen. wahrscheinlich fehlen die AD einträge des einen DC im anderen DC und umgekehrt obwohl alle clients da sind und alles sehen. ich würde mal in der richtung suchen.

[IThome 10]

Also eine Single Label DNS Domäne. Führe folgende Schritte erstmal auf beiden DCs durch , starte deren Anmeldedienste neu, danach sicherheitshalber beide neu starten, dann solten sie sich wieder registrieren ...

http://support.microsoft.com/kb/300684/en-us

Beide Einträge setzen

UpdateTopLevelDomainZones

AllowSingleLabelDnsDomain

achte darauf, dass sich der Eintrag UpdateTopLevelDomainZones bei 2003 an einer anderen Stelle befindet als bei 2000 SP4

[Quickstyler 10]

Eins nach dem anderen:

 

@IThome & ipconfig

ipconfig /all ergibt am alten und auch am neuen Server korrekte Einträge. DNS-Suffix ist richtig, eigene IP-Adresse ist richtig, beide verweisen auf die richtigen DNS- und prim. WINS-Server (192.168.0.1).

 

@Hirgelzwift & DNS-Konsole

Neuer Server:

In der Forward-Lookupzone scheint alles ok, Autoritätsursprung und Namenserver korrekt, dann kommt ein mir unbekannter Host 192.168.70.1, der aber vielleicht mit einer VPN-Anwendung im Zusammenhang stehen könnte, vernachlässige ich vorerst. Abschließend kommt noch die korrekte Zuordnung von altem und neuem Server auf ihre IP-Adressen.

Gleiches gilt für die Reverse-LZ, nur ist da der 192.168.70.1 nicht vorhanden, ansonsten identisch.

 

Interessant wird's am alten Server, dort gibt es keine Forward-LZ, aber in der Reverse sind Merkwürdigkeiten:

Autoritätsursprung verweist auf sich selbst, hat also den alten Server als primären Server eingetragen. Ebenso verweist der Namenserver auf sich selbst. In beiden Fällen ist eine Zonenübertragung gestattet. Leider habe ich kaum Erfahrung mit multiplen Servern, sodass ich nicht bewerten kann, ob das in Ordnung ist oder nicht und ob ich das einfach korrigieren sollte.

Auch die beiden abschließenden Einträge verwundern mich: die Server-IP 192.168.0.1 verweist auf den Namen des alten Servers und die eigene IP 192.168.0.2 verweist dafür auf den neuen Server. Also genau umgekehrt wie es eigentlich ist, und wenn nichts dagegen spricht, korrigiere ich das Ganze einfach manuell.

 

Nicht genug damit, hat sich ein mir völlig unbekannter Server eingeschlichen, am neuen Server (server.abc3) war ein zusätzlicher Server (server.abc33) eingetragen, den ich kurzerhand gelöscht habe. Seither habe ich wenigstens wieder Zugriff auf die AD-Funktionen, was vorher nicht möglich war.

 

Die Namen werden leider noch immer nicht korrekt aufgelöst und beim Booten des neuen Servers benötigt er bei "Netzwerkverbindungen werden vorbereitet" fast 10 Minuten.

[IThome 10]

Die Server tragen sich aufrund der Single Label DNS-Domäne nicht richtig ein, Deine DNS-Konfiguration ist nicht korrekt (ab 2000 SP4 tragen sich WIndows-Rechner nicht mehr in Toplevel-Domänen ein und ABC3. ist eine Toplevel-Domäne), mit den Anweisungen in dem Artikel funktionieren die dynamischen Registrierungen der SRV-Ressource Records wieder. Lade Dir die Supporttools für 2000 und 2003 und prüfe mit NETDIAG , ob der DNS-Test ordnungsgemäss durchläuft. Ich denke, das tut er nicht und das ist Dein Problem ...

Bezüglich der falschen, eingetragenen Adresse: läuft auf einem der Server ein RRAS und wenn ja, auf welchem ?

Ich konfiguriere es bei mehreren Servern so, dass beide Server beide Server eingetragen haben, sich selbst als bevorzugten.