Replikationsfehler...

[Detlef Buckatz]

Hallo Newsgroup,

ich habe ein Problem mit der AD-Replikation zwischen zwei Standorten mit je
zwei DC's...

Ursache ist der 'plötzliche Tod' eines DC's.
Diesen Server habe ich mit 'ntdsutil metadata cleanup' erfolgreich aus dem
AD entfernt.
Nach Mainboardwechsel habe ich den Server wieder promotet.
Es gibt jetzt also wieder zwei Standorte mit je zwei DC's.

Das Problem ist nun, dass ich auf einem DC in site2 eine 'NTDS
Replication'-Fehlermeldung erhalte, EventID 1988:
Quell-DC (transportspezifische Netzwerkadresse):
025de74d-bb92-46be-b89b-59f60fff491b._msdcs.dom.intern
Objekt:
DC=215\0ADEL:60de230d-cdff-45d0-a5b5-78cfd4e21082,CN=Deleted
Objects,DC=DomainDnsZones,DC=dom,DC=intern
Objektkennung:
60de230d-cdff-45d0-a5b5-78cfd4e21082

Auf dem anderen DC is site2 gibt es Fehlermeldungen vom KCC, das die
Replikationstopologie nicht erstellt werden kann (1566, 1311, 1865 für alle
Partitionen) - diese sind sicherlich die Folge der oberen Fehlermeldung.

Die Üerprüfung mit repadmin zeigt das auch an (nur der fehlerhafte Teil):
DC=DomainDnsZones,DC=dom,DC=intern
site2\DOM2002 via RPC
DC object GUID: 9b0db402-80e1-4fad-a101-d97df0240efc
Last attempt @ 2009-04-06 06:58:56 was successful.
site1\DOM1001 via RPC
DC object GUID: 025de74d-bb92-46be-b89b-59f60fff491b
Last attempt @ 2009-04-06 06:58:57 failed, result 8606 (0x219e):
Es wurden nicht genügend Attribute übergeben, um ein Objekt zu
erstellen. Das Objekt ist eventuell nicht vorhanden, da es gelöscht oder in
die Sammlung veralteter Objekte aufgenommen wurde.
94 consecutive failure(s).
Last success @ (never).
site1\DOM1002 via RPC
DC object GUID: ee54c6df-4cc0-4b1e-ac42-f8259d87dd0a
Last attempt @ 2009-04-06 06:58:57 failed, result 8606 (0x219e):
Es wurden nicht genügend Attribute übergeben, um ein Objekt zu
erstellen. Das Objekt ist eventuell nicht vorhanden, da es gelöscht oder in
die Sammlung veralteter Objekte aufgenommen wurde.
192 consecutive failure(s).
Last success @ (never).

Laut Hilfe und Recherche soll es das Kommando 'repadmin
/removelingeringobjects ...' richten - das Kommando findet aber keinerlei
alte Objekte!!??

Hat jemand eine Idee, Hinweise oder andere Tools, mit dem ich diesem Problem
beikommen kann?
Vielen Dank im Voraus
Detlef

[Yusuf Dikmenoglu [MVP]]

Salut,

Post by Detlef Buckatz
Diesen Server habe ich mit 'ntdsutil metadata cleanup' erfolgreich aus dem
AD entfernt.

hast du als letzten Schritt auch das DC-Objekt aus der
MMC "Active Directory-Standorte und -Dienste" entfernt?
Denn dieses muss, egal ob mit DCPROMO ein DC heruntergestuft
oder der gecrashte DC mit NTDSUTIL entfernt wurde, als letzter Schritt
ausgeführt werden.

Post by Detlef Buckatz
Das Problem ist nun, dass ich auf einem DC in site2 eine 'NTDS

Du bist also diesen Artikel bereits durchgegangen?

[Outdated Active Directory objects generate event ID 1988 in Windows Server
2003]
http://support.microsoft.com/kb/870695/en-us

Post by Detlef Buckatz
Auf dem anderen DC is site2 gibt es Fehlermeldungen vom KCC, das die
Replikationstopologie nicht erstellt werden kann (1566, 1311, 1865 für
alle Partitionen) - diese sind sicherlich die Folge der oberen
Fehlermeldung.

Der KCC läuft auf jedem Domänencontroller alle 15 Minuten
und ist für die standortinterne (Intra-Forest) sowie standortübergreifende
(Inter-Forest) Replikationstopologie zuständig. Für die
standortübergreifende
Replikationstopologie ist genauer der ISTG zuständig, der Bestandteil des
KCC ist.
Die Verbindungsobjekte erstellt der KCC dann automatisch, wenn die
Replikationstopologie errechnet wurde.

Die genannten Fehlermeldungen können auch im laufenden Betrieb,
ohne eigens durchgeführte Veränderungen auftauchen. Die Ursachen
könnten sein, dass das Routing nicht mehr in Ordnung ist, die Latenz zu
einem Standort zu hoch ist, ein DC der nicht mehr existiert noch als
ISTG eingetragen ist etc.

Im einzelnen bedeuten die Fehlermeldungen:
- ID 1311 bedeutet, dass der KCC nicht alle Standorte erreichen konnte.
- ID 1566 bedeutet, dass der DC sich nicht mit jedem DC aus dem angegebenen
Standort replizieren konnte.
- Die EventID 1865 ist lediglich eine weitere Information über das nicht
erreichen aller Standorte. Hier wird angegeben, welcher Standort nicht
erreichbar
war von dem Standort aus, wo der KCC die Fehler protokolliert hat.

Führe als erstes diesen Befehl aus "Repadmin /istg" um zu überprüfen,
welcher DC an welchem Standort für die standortübergreifende
Replikationstopologie zuständig ist. Stelle des weiteren sicher,
dass jeder DC der als ISTG angezeigt wird auch online und erreichbar ist.

Ansonsten gehe noch den Punkten aus diesem Artikel durch:
[Ask the Directory Services Team : Troubleshooting KCC Event Log Errors]
http://blogs.technet.com/askds/archive/2008/10/31/troubleshooting-kcc-event-log-errors.aspx

[Detlef Buckatz]

Hallo Yusuf,

erstmal vielen Dank für deine Antwort.
Aus der MMC habe ich den gecrashten Server nicht gelöscht. (Allerdings wird
das im KB216498 auch nicht explizit gefordert.)
Den Artikel KB870695 bin ich durchgegangen - es werden keine veralteten
Objekte angezeigt.
Zur besseren Erklärung: site1 -> dc11, dc12; site2 -> dc21, dc22
Ich glaube irgendwelche Konnektivitätsprobleme ausschließen zu können, weil
ja beim 'repadmin /showrepl' nur die Replikation der
'DC=ForestDnsZones,DC=dom,DC=intern' angemeckert wird und zwar nur auf dem
dc21 - alles andere repliziert fehlerfrei. Ich kann z.B. auch Benutzer
anlegen, die nach der Replikation auf allen DC's sichtbar sind.
Die auftretenden Events nochmal kurz zusammengefasst:
- dc11 & dc12 ist alles sauber
- dc21 tritt ca. stündlich die 1988 auf
- dc22 treten die 1566, 1311, 1865 alle 15min auf
Ich denke ja, dass die Ursache dieses eine Objekt ist (im ersten Post). Die
Frage wäre also, ob man das Objekt irgendwie identifizieren und aus dem AD
entfernen kann...

Wäre denn nach deiner Meinung das demoten von dc21 und dc22 UND mmc
'Standorte und Dienste' ;-) eine praktikable Vorgehensweise?

Danke schonmal im Voraus...
Detlef

[Yusuf Dikmenoglu [MVP]]

Post by Detlef Buckatz
Aus der MMC habe ich den gecrashten Server nicht gelöscht. (Allerdings
wird das im KB216498 auch nicht explizit gefordert.)

Daher habe ich dich ja darauf hingewiesen.

Post by Detlef Buckatz
- dc21 tritt ca. stündlich die 1988 auf

Ich frage nochmals nach, du bist *exakt* nach dem
KB-Artikel 870695 vorgegangen? Gehe diesen ggf. erneut
penibel durch.

Post by Detlef Buckatz
- dc22 treten die 1566, 1311, 1865 alle 15min auf

Du hast weder Repadmin /istg durchgeführt, noch hast
du dir den weiterführenden Link angeschaut?

Post by Detlef Buckatz
Ich denke ja, dass die Ursache dieses eine Objekt ist (im ersten Post).
Die Frage wäre also, ob man das Objekt irgendwie identifizieren und aus
dem AD entfernen kann...

Ja, mit "Repadmin /removelingeringobjects....". ;-)

Post by Detlef Buckatz
Wäre denn nach deiner Meinung das demoten von dc21 und dc22 UND mmc
'Standorte und Dienste' ;-) eine praktikable Vorgehensweise?

Nein, keineswegs.

[Frank Röder [MVP]]

Hallo,

poste doch mal die komplette Kommandozeile von "repadmin
/removelingeringobjects" die Du eingesetzt hast. Vielleicht hat sich ja dort
noch ein Fehler eingeschlichen.

[Detlef Buckatz]

Vielen Dank für eure Antworten...

Die Artikel und Links bin ich nach bestem Wissen und Gewissen ;-)
durchgegangen - hier die Ergebnisse...

Das folgende Kommando ergibt von allen DC's dieses Ergebnis:
C:\Programme\Support Tools>repadmin /istg dc??
Gathering topology from site site1 (dc12.dom.intern):
Site ISTG
================== =================
site1 DC12
site2 DC22

Das folgende Kommando habe ich vom dc22 abgesetzt:
C:\Programme\Support Tools>repadmin /failcache site:site2

repadmin running command /failcache against server
9b0db402-80e1-4fad-a101-d97df0240efc._msdcs.dom.intern

==== KCC CONNECTION FAILURES ============================
(none)

==== KCC LINK FAILURES ==================================
site1\dc11
DC object GUID: 025de74d-bb92-46be-b89b-59f60fff491b
143 consecutive failures since (never).
Last error: 8606 (0x219e):
Es wurden nicht genügend Attribute übergeben, um ein Objekt zu
erstellen. Das Objekt ist eventuell nicht vorhande...
site1\dc12
DC object GUID: ee54c6df-4cc0-4b1e-ac42-f8259d87dd0a
290 consecutive failures since (never).
Last error: 8606 (0x219e):
Es wurden nicht genügend Attribute übergeben, um ein Objekt zu
erstellen. Das Objekt ist eventuell nicht vorhande...

repadmin running command /failcache against server
b538722a-5d00-4f2b-b8e0-1ab1b258fcc2._msdcs.dom.intern

==== KCC CONNECTION FAILURES ============================
(none)

==== KCC LINK FAILURES ==================================
site1\dc11
DC object GUID: 025de74d-bb92-46be-b89b-59f60fff491b
143 consecutive failures since (never).
Last error: 8606 (0x219e):
Es wurden nicht genügend Attribute übergeben, um ein Objekt zu
erstellen. Das Objekt ist eventuell nicht vorhande...
site1\dc12
DC object GUID: ee54c6df-4cc0-4b1e-ac42-f8259d87dd0a
290 consecutive failures since (never).
Last error: 8606 (0x219e):
Es wurden nicht genügend Attribute übergeben, um ein Objekt zu
erstellen. Das Objekt ist eventuell nicht vorhande...

Den folgenden Befehl habe ich von jedem DC zu jeder GUID abgesetzt, da ich
nicht weiß, wo das Problem besteht:
C:\Programme\Support Tools>repadmin /removelingeringobjects dc??.dom.intern
GUID DC=DomainDnsZones,DC=dom,DC=intern /advisory_mode
RemoveLingeringObjects sucessfull on dc??.dom.intern.
Das Ergebnis ist immer dasselbe. Ich habe das auch für alle Partitionen
abgesetzt, obwohl ja lediglich in 'DC=DomainDnsZones,DC=dom,DC=intern' ein
Replikationsfehler auftritt.

Es gibt keine Probleme mit der Namensauflösung (_msdcs, GUID's ...), es gibt
keine weiteren Fehler in den Eventlogs.
Ich habe auch nochmal die Replikation mit Testnutzerkonten getestet:
- neuen Nutzer angelegt: innerhalb kürzester Zeit ist der auf allen DC's
sichtbar
- Nutzer gelöscht: innerhalb der Site gleich gelöscht, in der anderen Site

Vielleich habt ihr ja noch ein paar Hinweise für mich...
Danke im Voraus
Detlef

[Detlef Buckatz]

Hallo Yusuf, Hallo Frank,

keine Idee mehr?
Das läuft jetzt seit Anfang April so, ohne irgendwelche 'fühlbaren'
Probleme.
Die Fehlermeldungen nerven mich aber doch ziemlich.
Ich könnte eventuell ein Ticket bei MS öffnen...

Detlef