NTDS-Replikation ist deaktiviert.

[Robert Gerster]

Hallo.



Folgendes Szenario. Zwei Windwos 2000 Domaincontroller. Der eine
(Betriebsmaster) lässt keine Zugriffe auf seine Ressourcen mehr zu. Gesucht
und festgestellt das der Anmeldedienst angehalten ist. Starten geht zwar,
bringt aber nichts. AUsserdem ist er nach jedem Reboot wieder aus.



Einträge im Eventlog sagen das zwei Objekte im AD die gleiche SID haben und
entfernt wurden. Vergleich der beiden Maschinen zeigt das es auf dem einen
ein User gibt den es auf der anderen nicht gibt und umgekehrt.



Auf dem Betriebsmaster ist ausserdem der Eintrag: " Die ausgehende
Replikation ist nicht aktiviert." und " Die eingehende Replikation ist nicht
deaktiviert." Der Betriebsmaster ist vom anderen Domaincontroller nicht
erreichbar. Vielleicht ist das schon das Problem. Wie bekomme ich die
Replikation jetzt wieder zum laufen? So wie es ausschaut hat der zweite
Server und nicht der Betriebsmaster die aktuelle Userliste.



Ich hoffe jemand weiss etwas zu dem Problem, da ich über Google nichts
gefunden habe. Die Event-IDs: sind übrigens 1113 und 1115 falls es hilft.



Besten Dank. Gruss Robert

[Robert Gerster]

Hallo Yusuf..

Jaein. Der Server bekam neue Platten. Die Insalation wurde per Image
übertragen. Server wurde heruntergefahren. Platten geclont, server wieder
angefahren. War am 14.12..

Das von Dir verlinkte Dokument ist mir ein bisschen zu hoch. Was kann ich
jetzt tun?

Gruss Robert

[unknown]

Post by Robert Gerster
Das von Dir verlinkte Dokument ist mir ein bisschen zu hoch. Was kann
ich jetzt tun?

Du kommst um das herunter stufen (demoten) des DCs nicht herum.
http://www.faq-o-matic.net/content/view/269/44/

Du kannst es entweder über den Active Directory Assistenten
mit DCPROMO erledigen bzw. wenn dieser Probleme bereitet,
DCPROMO mit dem Schalter /FORCEREMOVAL ausführen
und anschließend das AD mit NTDSUTIL bereinigen.
http://support.microsoft.com/kb/216498/de

[Robert Gerster]

Danke. Ist ja nicht so schwer. Nur damit ich nichts falsch mache und
anschliesssend einen Trümmerhaufen habe.

Ersten Server (um den dreht es sich) herunterstufen. Die Rolelen die er
trägt, unter anderem den Betriebsmaster, gehen die automamatisch auf den
anderen über? Beides führen den Globalcatalog.

Post by unknown
und anschließend das AD mit NTDSUTIL bereinigen.
http://support.microsoft.com/kb/216498/de

Muss das sein? Mir ist schlecht.


Das AD auf dem zweiten Server sollte doch in Ordnung sein.

Gruss Robert

[unknown]

Post by Robert Gerster
Ersten Server (um den dreht es sich) herunterstufen. Die Rolelen die
er trägt, unter anderem den Betriebsmaster, gehen die automamatisch
auf den anderen über? Beides führen den Globalcatalog.

Übertrage die Rollen vorher.
Falls es nicht online (transfer) zu übertragen geht,
verschiebst Du diese "mit Gewalt" (seize).
http://blog.dikmenoglu.de/PermaLink,guid,b0641d19-fa8b-4aa2-8732-aea54cfd298d.aspx
http://support.microsoft.com/kb/324801/de

Denk noch an das EFS-Zertifikat bzw. was noch zu beachten ist,
entnimmst Du von diesem Artikel:
http://www.faq-o-matic.net/content/view/132/45/

Post by Robert Gerster
Muss das sein? Mir ist schlecht.

Ja, sonst hast Du eine Leiche im Keller... AD meine ich ;-)

Post by Robert Gerster
Das AD auf dem zweiten Server sollte doch in Ordnung sein.

Normalerweise ja.
Aber kontrolliere sicherheitshalber das Eventlog des zweiten DCs
und wenn Du magst, installiere die Windows Support Tools und
führe auf dem DC2 DCDIAG sowie NetDIAG aus, um sicher
zu gehen.

Einen zusätzlichen DC in die Domäne hinzufügen
http://blog.dikmenoglu.de/PermaLink,guid,17ede6c6-8670-478e-8560-68a54432b13e.aspx

[Robert Gerster]

Danke für Deine Hilfe. Werde das jetzt gleich angehen. Melde mich dann.

Gruss Robert

[Robert Gerster]

Der RIP lässt sich nicht übertragen.

[unknown]

Post by Robert Gerster
Der RIP lässt sich nicht übertragen.

Du meinst die Rolle des RID-Masters.
Dann übertrage diesen "mit Gewalt".
NTDSUTIL ist Dein Freund
http://www.faq-o-matic.net/content/view/111/45/

[Robert Gerster]

Hat geklappt. Die Rolle des Betriebsmasters muss ich auch so übertragen. Mag
er anders auch nicht. Finde leider nicht den adequatenNamen dazu den
ntdsutil will. (seize rip-Master war es für den RIP)

[Robert Gerster]

Habs gefunden: domain naming master

[unknown]

Post by Robert Gerster
Hat geklappt. Die Rolle des Betriebsmasters muss ich auch so
übertragen. Mag er anders auch nicht.

Dann befindet sich der DC quasi offline,
so das keine Online-Übertragung stattfinden kann und
Du gezwungen bist, die Rollen offline zu seizen.

Post by Robert Gerster
Finde leider nicht den
adequatenNamen dazu den ntdsutil will. (seize rip-Master war es für
den RIP)

Du meinst immer noch den RID-Master und nicht RIP.
http://support.microsoft.com/kb/255504/en-us

[Robert Gerster]

Das Aufräumen mit ntdsutil klappt nicht.

C:\WINNT\system32\ntdsutil.exe: metadata cleanup
metadata cleanup: connections
server connections: connect to server srv-bdc
Bindung mit "srv-bdc" ...
Eine Verbindung mit "srv-bdc" wurde unter Verwendung der
Benutzerinformationen d
es lokal angemeldeten Benutzers wurde hergestellt.
server connections: quit
metadata cleanup: select operation target
select operation target: list domains
1 Domne(n) gefunden
0 - DC=agotrans,DC=local
select operation target: select domain 1
Auswahl liegt auerhalb des Bereichs.
select operation target: select domain 1
Auswahl liegt auerhalb des Bereichs.
select operation target: select domain 0
Kein aktueller Standort
Domne - DC=agotrans,DC=local
Kein aktueller Server
Kein aktueller Namenskontext
select operation target: list sites
1 Standort(e) gefunden
0 -
CN=Standardname-des-ersten-Standorts,CN=Sites,CN=Configuration,DC=agotrans,D
C=local
select operation target: select site 0
Standort -
CN=Standardname-des-ersten-Standorts,CN=Sites,CN=Configuration,DC=ago
trans,DC=local
Domne - DC=agotrans,DC=local
Kein aktueller Server
Kein aktueller Namenskontext
select operation target: quit
metadata cleanup: remove select server
Kein aktueller Server - verwenden Sie "Ziel auswhlen"

Was nun?

[Robert Gerster]

So hat jetzt doch geklappt:

C:\WINNT\system32\ntdsutil.exe: metadata cleanup
metadata cleanup: connections
server connections: connect to server srv-bdc
Bindung mit "srv-bdc" ...
Eine Verbindung mit "srv-bdc" wurde unter Verwendung der
Benutzerinformationen d
es lokal angemeldeten Benutzers wurde hergestellt.
server connections: quit
metadata cleanup: select operation target
select operation target: list domains
1 Domne(n) gefunden
0 - DC=agotrans,DC=local
select operation target: select domain 0
Kein aktueller Standort
Domne - DC=agotrans,DC=local
Kein aktueller Server
Kein aktueller Namenskontext
select operation target: list sites
1 Standort(e) gefunden
0 -
CN=Standardname-des-ersten-Standorts,CN=Sites,CN=Configuration,DC=agotrans,D
C=local
select operation target: select sites 0
Error 80070057 parsing input - illegal syntax?
select operation target: select site 0
Standort -
CN=Standardname-des-ersten-Standorts,CN=Sites,CN=Configuration,DC=ago
trans,DC=local
Domne - DC=agotrans,DC=local
Kein aktueller Server
Kein aktueller Namenskontext
select operation target: list servers in site
2 Server gefunden
0 -
CN=SRV-DC,CN=Servers,CN=Standardname-des-ersten-Standorts,CN=Sites,CN=Config
uration,DC=agotrans,DC=local
1 -
CN=SRV-BDC,CN=Servers,CN=Standardname-des-ersten-Standorts,CN=Sites,CN=Confi
guration,DC=agotrans,DC=local
select operation target: select server 0
Standort -
CN=Standardname-des-ersten-Standorts,CN=Sites,CN=Configuration,DC=ago
trans,DC=local
Domne - DC=agotrans,DC=local
Server -
CN=SRV-DC,CN=Servers,CN=Standardname-des-ersten-Standorts,CN=Sites,CN=C
onfiguration,DC=agotrans,DC=local
DSA-Objekt - CN=NTDS
Settings,CN=SRV-DC,CN=Servers,CN=Standardname-des-e
rsten-Standorts,CN=Sites,CN=Configuration,DC=agotrans,DC=local
DNS-Hostname - srv-dc.agotrans.local
Computerobjekt - CN=SRV-DC,OU=Domain
Controllers,DC=agotrans,DC=local
Kein aktueller Namenskontext
select operation target: quit
metadata cleanup: remove selected server
"CN=SRV-DC,CN=Servers,CN=Standardname-des-ersten-Standorts,CN=Sites,CN=Configura
tion,DC=agotrans,DC=local" wurde vom Server "srv-bdc" entfernt.
metadata cleanup: quit
C:\WINNT\system32\ntdsutil.exe:

Aber wenn man in die verschieden Verwaltungstools schaut, steht er überall
noch drin.

[unknown]

Post by Robert Gerster
Aber wenn man in die verschieden Verwaltungstools schaut, steht er
überall noch drin.

Dann lösche diese händisch.
Gehe auch das DNS durch, vorallem die FLZ _msdcs.FQDN
und entferne alle Einträge, die auf diesen DC verweisen.

[Robert Gerster]

Ich bin schon ein Stück weiter. Jetzt habe ich ihn nur noch im AD-Benutzer
und Computer. Hier läst er sich nicht löschen. "Das DSA-Opjekt kann nicht
gelöscht werden." Und Domänen und Vertrauensstellungen. HIer erschein er
immer noch in der Auswahlliste bei "Verbindung mit Domänencontroller
herstellen." Sonst scheint er jetzt überall raus.

[Norbert Fehlauer [MVP]]

Post by Robert Gerster
Ich bin schon ein Stück weiter.

Aha. Mal ne ganz kurze Frage. Meinst du es ist nicht einfacher bei
bestimmten Problemen einfach mal nen Blick in die MSKB zu werfen? ;)

Post by Robert Gerster
Jetzt habe ich ihn nur noch im
AD-Benutzer und Computer. Hier läst er sich nicht löschen. "Das
DSA-Opjekt kann nicht gelöscht werden."

http://support.microsoft.com/kb/328775/en-us

Bye
Norbert

[Robert Gerster]

Hallo Norbert.

Genau das habe ich vorhin schon mal probiert. Ging aber nicht.
Zwischenzeitlich habe ich es geschafft. Jetzt ist er überall raus.

[unknown]

"Das DSA-Opjekt kann nicht gelöscht werden."

Dann installiere Dir die Windows Support Tools von der
Windows Server 2003 CD im Verzeichnis Support/Tools
und führe das was in dem Artikel steht, mit ADSIEdit durch:
http://support.microsoft.com/kb/318698/de

[Robert Gerster]

So scheint alles geklappt zu haben. Cleints können sich anmelden. Auf die
Resourcen kann wird azugriffen werden. Hoffe da kommt nicht noch etwas nach.

Danke für Deine (Euro) Hilfe.

Gruss Robert

[unknown]

Post by Robert Gerster
So scheint alles geklappt zu haben. Cleints können sich anmelden. Auf
die Resourcen kann wird azugriffen werden. Hoffe da kommt nicht noch
etwas nach.

Du kannst ja morgen mit DCPROMO und NetDIAG
den DC überprüfen.

Post by Robert Gerster
Danke für Deine (Euro) Hilfe.

Büddee

[Alexander]

Hallo,
ich finde es sehr interressant, wie hier mit den Problemen umgegangen wird.
Meint Ihr nicht das man das Problem von Robert haette auch anders loesen
koennen?

1. Der Anmeldedienst war gestoppt. Warum? Weil mit grosser
Wahrscheinlichkeit das Sysvol nicht geshared war. Warum war das nicht
geshared? Weil die Replikation nicht lief.
2. Durch das Imagen ist der Server mit der gleichen SID wieder ins Netz
gekommen und zwar zum zweiten Mal. Um diesen zu unterbinden waere es wichtig
gewesen das das Image mittels Sysprep bearbeitet wird.
3. Die Replikation wurde wahrscheinlich haendisch gestoppt, das sagen
zumindest die Events 113 und 1115 aus.

Robert hat zwar eine Loesung bekommen, aber ich wuerde doch mal vorschlagen,
das ein wenig mehr auf die Fehlermeldung eingegangen wird. Denn mit ein
wenig Analyse kann man die Fehler eigentlich auch anders loesen. Es ist doch
wichtig das Robert auch ein wenig die Zusammenhaenge versteht, damit er sich
beim naechsten Mal eventuell selbst helfen kann.

Ich denke das DCPROMO einer der letzten Wege ist, denn was macht Ihr wenn
dieser DC der letzte in der Domaene gewesen waere? Auch DCPROMO, ich glaube
kaum.
--
Mit freundlichen Gruessen
Alexander

Post by Robert Gerster
Hallo.
Folgendes Szenario. Zwei Windwos 2000 Domaincontroller. Der eine
(Betriebsmaster) lässt keine Zugriffe auf seine Ressourcen mehr zu.
Gesucht und festgestellt das der Anmeldedienst angehalten ist. Starten
geht zwar, bringt aber nichts. AUsserdem ist er nach jedem Reboot wieder
aus.
Einträge im Eventlog sagen das zwei Objekte im AD die gleiche SID haben
und entfernt wurden. Vergleich der beiden Maschinen zeigt das es auf dem
einen ein User gibt den es auf der anderen nicht gibt und umgekehrt.
Auf dem Betriebsmaster ist ausserdem der Eintrag: " Die ausgehende
Replikation ist nicht aktiviert." und " Die eingehende Replikation ist
nicht deaktiviert." Der Betriebsmaster ist vom anderen Domaincontroller
nicht erreichbar. Vielleicht ist das schon das Problem. Wie bekomme ich
die Replikation jetzt wieder zum laufen? So wie es ausschaut hat der
zweite Server und nicht der Betriebsmaster die aktuelle Userliste.
Ich hoffe jemand weiss etwas zu dem Problem, da ich über Google nichts
gefunden habe. Die Event-IDs: sind übrigens 1113 und 1115 falls es hilft.
Besten Dank. Gruss Robert

[Norbert Fehlauer [MVP]]

Alexander wrote:
Hi,

waere es wichtig gewesen das das Image mittels Sysprep bearbeitet
wird.

Aha. Warum nochmal? ;) Und vor allem, hast du sysprep schonmal auf einem DC
gestartet? Nein? Dann würde ich dir empfehlen den von Yusuf und Robert
erarbeiteten Weg zu nutzen wenn du mal so ein Problem hast.

Ich denke das DCPROMO einer der letzten Wege ist, denn was macht Ihr
wenn dieser DC der letzte in der Domaene gewesen waere? Auch DCPROMO,
ich glaube kaum.

Dann wäre ein anderer Weg erarbeitet worden, wobei die Wahrscheinlichkeit
gering ist, dass das Problem bei einem DC auftreten würde. ;)

Bye
Norbert

[Alexander]

Hallo und Moin Moin,
ich moechte Euch bezueglich Clonen von DCs auf zwei Microsoft Articel
hinweisen, wo explizit drin steht, das geclonte Systeme generell vom
Microsoft Support ausgeschlossen sind, ausser es wird sysprep benutzt.

http://support.microsoft.com/kb/875495/en-us

Operations that are not supported include the following: . Starting an
Active Directory domain controller whose operating system was restored to a
hard disk by using an imaging program such as Norton Ghost


http://support.microsoft.com/kb/314828/en-us

Microsoft policy statement
Microsoft does not provide support for computers on which Windows XP is
installed by duplication of fully installed copies of Windows XP. Microsoft
does support computers on which Windows XP is installed by use of
disk-duplication software and the System Preparation tool (Sysprep.exe).

Microsoft supports the following Microsoft operating systems if they are
imaged by use of the Sysprep.exe utility: . Windows NT Workstation 4.0
. Windows NT Server 4.0 (stand-alone server, not primary domain
controllers or backup domain controllers)
. Windows 2000 Professional
. Windows 2000 Server (must be imaged before you run DCPromo)
. Windows 2000 Advanced Server
. Windows XP Home Edition
. Windows XP Professional
. Windows Server 2003, Standard Edition
. Windows Server 2003, Datacenter Edition
. Windows Server 2003, Enterprise Edition
. Windows Server 2003, Web Edition
Microsoft does not provide support for computers that are set up by use of
SID-duplicating tools other than the System Preparation tool. If an image
was created without the use of sysprep, Microsoft does not support the
running of Sysprep after the image is deployed as a way to bring the
computer back into compliance.

Es mag ja sein das es zu einer Loesung gekommen ist, sollte es nur so sein
das in der naechsten Zeit zu weiteren unerklaerlichen Fehlerbildern auf dem
Server kommt, ist damit Robert aus dem Support raus.
--
Mit freundlichen Gruessen
Alexander

Post by Norbert Fehlauer [MVP]
Hi,

waere es wichtig gewesen das das Image mittels Sysprep bearbeitet
wird.

Aha. Warum nochmal? ;) Und vor allem, hast du sysprep schonmal auf einem
DC gestartet? Nein? Dann würde ich dir empfehlen den von Yusuf und Robert
erarbeiteten Weg zu nutzen wenn du mal so ein Problem hast.

Ich denke das DCPROMO einer der letzten Wege ist, denn was macht Ihr
wenn dieser DC der letzte in der Domaene gewesen waere? Auch DCPROMO,
ich glaube kaum.

Dann wäre ein anderer Weg erarbeitet worden, wobei die Wahrscheinlichkeit
gering ist, dass das Problem bei einem DC auftreten würde. ;)
Bye
Norbert

[Norbert Fehlauer [MVP]]

Alexander wrote:
Hi,

Post by Alexander
ich moechte Euch bezueglich Clonen von DCs auf zwei Microsoft Articel
hinweisen, wo explizit drin steht, das geclonte Systeme generell vom
Microsoft Support ausgeschlossen sind, ausser es wird sysprep benutzt.
http://support.microsoft.com/kb/875495/en-us

Ja und? Hast DU schonmal Sysprep auf einem DC ausgeführt?

Post by Alexander
Operations that are not supported include the following: . Starting an
Active Directory domain controller whose operating system was
restored to a hard disk by using an imaging program such as Norton
Ghost

Damit muß Robert leben,denn die Diskussion zum Thema Image gibts hier
häufiger.

Bye
Norbert

PS: Ich bin ja ähnlicher Meinung wie du, aber das hätte in dem Fall von
Robert jetzt keinen Unterschied gemacht. ;)

[Nils Kaczenski [MVP]]

Moin,

Post by Alexander
1. Der Anmeldedienst war gestoppt. Warum? Weil mit grosser
Wahrscheinlichkeit das Sysvol nicht geshared war. Warum war das nicht
geshared? Weil die Replikation nicht lief.

aha. Gut, dass du das aus den wenigen Informationen so zweifelsfrei
rausliest. Ich hätte mit meinen wenigen Jahren Erfahrung glatt noch
andere Dinge in Betracht gezogen.

Post by Alexander
2. Durch das Imagen ist der Server mit der gleichen SID wieder ins Netz
gekommen und zwar zum zweiten Mal. Um diesen zu unterbinden waere es wichtig
gewesen das das Image mittels Sysprep bearbeitet wird.

Wie Robert geschildert hat, kann er eigentlich kein SID-Problem haben.
Abgesehen davon, ist dein Vorschlag unsinnig: Sysprep geht auf DCs
nicht. Und jetzt kommst du.

Post by Alexander
Es ist doch
wichtig das Robert auch ein wenig die Zusammenhaenge versteht, damit er sich
beim naechsten Mal eventuell selbst helfen kann.

Sicher. Nur ist deine Ferndiagnose auch nicht eben über jeden Zweifel
erhaben.

Post by Alexander
Ich denke das DCPROMO einer der letzten Wege ist, denn was macht Ihr wenn
dieser DC der letzte in der Domaene gewesen waere?

Wie sollte er in dem Fall Replikationsprobleme gehabt haben?


Schöne Grüße, Nils

[Mark Heitbrink [MVP]]

Hi,
Auja, ich will auch noch mal draufschlagen :-)

Post by Alexander
2. Durch das Imagen ist der Server mit der gleichen SID wieder ins Netz
gekommen und zwar zum zweiten Mal. Um diesen zu unterbinden waere es wichtig
gewesen das das Image mittels Sysprep bearbeitet wird.

1. ist sysprep auch bei Workstation nur eine funktionelle Methode, wenn
sie keine Domain Member sind.
Lösung: Rechner vorbereiten aus dem AD entfernen und als Workgroup
Member Sysprep drüberjagen und das Image erstellen
Warum? Wegen der SID, GUID und des Computernamens,
Dadurch wieder Möglichkeit zur Unattended Inst, PnP Erkennung etc.

2. Wie entferne ich einen DC aus der Domäne?
Richtig: dcpromo + demote
Geht das nicht mehr? per Hand und ntdsutil, adsiedit und DNS Console

Bei einer Workstation würdest du auch ohne Probleme das Computerkonto
aus dem AD löschen, wenn der Rechner aus welchen Gründen auch immer
nicht mehr existiert.

Das gleiche machst du mit einem toten DC, nur das da das SnapIn
"Benutzer und Computer" leider nicht ausreicht, da der DC nicht nur an
dieser Stelle eingetragen ist.

Vielleicht hätte man es auch anders umgehen können, aber solange
noch ein DC existiert, sehe ich das als die einfachste aller
Lösungen an. Genau wie bei ner Workstation.

Rechner zickt? Erste Idee, raus aus dem AD, wieder rein ins AD.

Ein DC ist auch nicht anders zu behandeln, wenn es weitere gibt ... ;-)

Tschö
Mark