Ausfall BDC - keine Anmeldung möglich, Domain nicht erreichbar etc

[Holger T.]

Hallo,
in unserer kleinen Entwicklungsdomäne haben wir folgendes Problem:

der PDC - Win2003 ohne SP1 - ist gestern ausgefallen, scheinbar defekt. Nun
ist der BDC eingesprungen und hat übernommen, jedoch kann sich kein Client
anmelden, ping und nslookup geht ebenfalls nicht...im DNS werden die Daten
nicht aktualisiert, die alten Einträge der Hosts werden nicht erneuert

So sah es vorher aus:

DNS: in AD integriert, auf PDC und BDC
WINS: deaktiviert
NETBIOS: aktiviert
AD: beide als DC angezeigt
DHCP: auf beiden installiert
GlobalCatalog: sind beide gewesen, also auch beim BDC den Haken gesetzt

hab nun schon folgendes probiert:

- DNS neustarten etc
- Server/Client neustarten
- DHCP überprüft, alle Daten werden übergeben, zusätzlich hab ich den PDC
aus allen Einstellungen rausgenommen (siehe ipconfig), weil der noch nen paar
Tage braucht zum Reparieren
- WINS aktiviert

einmal ipconfig vom Server:

Ethernet-Adapter LAN-Verbindung:
Verbindungsspezifisches DNS-Suffix:
Beschreibung . . . . . . . . . . : HP NC7781 Gigabit Server Adapter
Physikalische Adresse . . . . . . : 00-0F-20-XX-XX-XX
DHCP aktiviert . . . . . . . . . : Nein
IP-Adresse. . . . . . . . . . . . : 192.168.100.12
Subnetzmaske . . . . . . . . . . : 255.255.255.0
Standardgateway . . . . . . . . . :
DNS-Server . . . . . . . . . . . : 192.168.100.12
Primärer WINS-Server . . . . . . : 192.168.100.12


ipconfig vom Client:

Ethernetadapter LAN-Verbindung:
Verbindungsspezifisches DNS-Suffix: netz1.test.de
Beschreibung. . . . . . . . . . . : Intel(R) PRO/100 VE Network
Connection
Physikalische Adresse . . . . . . : 00-02-E3-XX-XX-XX
DHCP aktiviert. . . . . . . . . . : Ja
Autokonfiguration aktiviert . . . : Ja
IP-Adresse. . . . . . . . . . . . : 192.168.100.199
Subnetzmaske. . . . . . . . . . . : 255.255.255.0
Standardgateway . . . . . . . . . : 192.168.100.12
DHCP-Server . . . . . . . . . . . : 192.168.100.12
DNS-Server. . . . . . . . . . . . : 192.168.100.12
Primärer WINS-Server. . . . . . . : 192.168.100.12
Lease erhalten. . . . . . . . . . : Dienstag, 15. November 2005
11:47:45
Lease läuft ab. . . . . . . . . . : Mittwoch, 23. November 2005
11:47:45


getestet am Client:

- ping auf hostname des Servers funktioniert, auch wenn die hosts- Datei
leer ist und WINS und NB deaktiviert ist (also scheint der DNS ja was zu
machen)
- ping auf Domänenname funktioniert nicht, meldet "kann nicht finden etc"
- ping auf andere Clients funktioniert, sowohl mit ping hostname als auch
mit ping auf IP
jetzt wirds interessant, die Einträge verweisen noch auf den alten Server !!
- nslookup sagt:

DNS request timed out.
timeout was 2 seconds.
*** Der Servername für die Adresse 192.168.100.11 konnte nicht gefunden
werden:
Timed out
*** Die Standardserver sind nicht verfügbar.
Standardserver: UnKnown
Address: 192.168.100.11

wenn ich den Server (BDC) direkt angebe sagt er das:
nslookup server serv2

Server: serv2.netz1.test.de
Address: 192.168.100.12

DNS request timed out.
timeout was 2 seconds.
*** Zeitüberschreitung bei Anforderung an serv2.netz1.test.de

ping am Server meint:

- ping auf Domäne funktioniert
- ping auf Clients ebenso, sowohl mit Name als auch mit IP
- nslookup am Server:

Standardserver: serv2.netz1.test.de
Address: 192.168.100.12

habt ihr noch Ahnung, mir gehen die Ideen aus...Firewall etc ist alles aus,
das Netz funktioniert eigentlich ohne Probleme, ich weiss nicht
weiter...danke schonmal im Voraus

[Joachim Conrad]

Hallo Holger,

Post by Holger T.
jetzt wirds interessant, die Einträge verweisen noch auf den alten

Eben, überprüfe nochmal die Clienteinstellungen. Die Clients sind
neugestartet oder dessen DNS-Cache ist geleert? Was sagt der DNS-Server
selber? Sind die Zonen vollständig?

Übertrage/prüfe auch mal alle FSMO-Rollen.

http://support.microsoft.com/kb/255504/DE/

Tschau
Joachim

[Frank Röder]

Holger T. schrieb:
Hast Du auf den Clients schon einmal ein "ipconfig /flushdns"
durchgeführt ? Clients mal rebootet?

BTW: Wenn Ihr zwei DNS Server in Betrieb habt warum haben die Clients
nur einen konfiguriert?

[Holger T.]

Post by Frank Röder
Hast Du auf den Clients schon einmal ein "ipconfig /flushdns"
durchgeführt ? Clients mal rebootet?
BTW: Wenn Ihr zwei DNS Server in Betrieb habt warum haben die Clients
nur einen konfiguriert?
--
Viele Grüße
Frank Röder

Danke fuer die Antwort !

flushdns hatte ich schonmal durchgeführt, ohne Erfolg (allerdings auch keine
Fehlermeldungen im Eventlog) - die Konfig stimmt allerdings, es wurde nichts
geaendert, ich wüsste echt nichts wo ich am Client noch drehen könnte...das
Einzige wäre noch ein Entfernen aus der Domaene und Versuch, den Rechner
wieder aufzunehmen...habt ihr da noch ne Idee ?!

die Rollen wollte ich nicht überspielen, weil ich morgen weitere
Rettungsversuche am ersten Server unternehmen wollte, oder mit nem Image
rangehen und ihn wiederherstellen wollte...die Prozedur, den Zweiten zum
Rolleninhaber zu machen, dann den Ersten wieder neu aufzusetzen, dann den
Ersten wieder zum Rolleninhaber 'heraufzustufen' möchte ich mir eigentlich
nicht antun...

[Holger T.]

Post by Frank Röder
Hast Du auf den Clients schon einmal ein "ipconfig /flushdns"
durchgeführt ? Clients mal rebootet?
BTW: Wenn Ihr zwei DNS Server in Betrieb habt warum haben die Clients
nur einen konfiguriert?
--
Viele Grüße
Frank Röder

Hallo,

Client wurde mehrfach neugestartet und flushdns auch durchgefuehrt...DNS
habe ich im Nachhinein geaendert, vor und kurz nach dem Crash waren noch
beide DNS- Server gefuehrt, der srv1 als erster und srv2 als zweiter DNS.
Habs dann nur im DHCP geaendert um es auf den BDC zu erzwingen und ganz
sicher zu sein dass er den ersten nicht mehr probiert...

[Frank Röder]

Holger T. schrieb:
Was sagen die Eventlogs auf den Clients und am Server?


Sind die SRV Records in der Zone "test.de" vorhanden?

[Holger T.]

Post by Frank Röder
Was sagen die Eventlogs auf den Clients und am Server?
Sind die SRV Records in der Zone "test.de" vorhanden?
--
Viele Grüße
Frank Röder

also, System-Log auf Client:

Netlogon Fehler ID: 5719
Es steht kein Domänencontroller zur Verfügung, kein Anmeldeserver verfügbar

Anwendungs-Log auf Client:

Userenv Fehler ID 1053
Der Benutzer oder der Computername kann nicht ermittelt werden. Die
angegebene Domäne ist nicht vorhanden oder es konnt keine Verbindung
hergestllt werden.

AutoEnrollment Fehler ID 15
die automatische Zertifizierungsregistrierung für lokaler Computer konnt
keine Verbindung zum AD herstellen. Die Domäne ist nicht vorhanden etc...


----


Anwendungs-Log Server:

Userenv Fehler 1030
Die Abfrage der Liste der Gruppenrichtlinienobjekte ist fehlgeschlagen.
Überprüfen Sie das Ereignisprotokoll...

Userinit Fehler 1058
Auf die Datei gpt.ini des Gruppenrichtlinienobjekts CN....... kann nicht
zugegriffen werden. Die Datei muss im Pfad ..... liegen. Verarbeitung wird
abgebrochen

^^ scheint aber nen alter Fehler zu sein, gpupdate klappt jetzt ohne
Probleme ^^

Im Verzeichnisdienst meckert die Replikation rum, denke das is aber normal
wenn der PDC nicht mehr online ist ;)

DNS- Log:

DNS Fehler ID 6702
dynamische Aktualisierung schlägt fehl etc...

DNS fehler ID 4004
DNS Server konnte die Aufzählung der Verzeichnisdienste der Zone
netz1.test.de nicht vollständig durchführen. Dieser DNS Server ist so
konfiguriert, dass er Verzeichnisdienstinformationen braucht, und kann diese
ohne diese Informationen nicht laden....

das selbe wie ^^ oben nur mit -> _msdcs.netz1.test.de <-

das selbe wie ^^ oben nur mit -> . <-

Im System- Log bringt der MrySmb die Event-ID 3019 - kann Verbindungstyp
nicht erkennen

----------------

Im DNS habe ich folgende Einträge:

Forward-Lookup-Zone

_msdcs.netz1.test.de
----+ dc
----+ domains
----+ gc
----+ pdc
netz1.test.de
----- _msdcs
----+ _sites
----- _tcp
----- _udp
----+ DomainDnsZones
----+ ForesDnsZones
----+ TAPI3Directory


Danke euch für die Hilfe !

[Frank Röder]

Holger T. schrieb:
Und was sagt der Server im Eventlog?

[Holger T.]

Post by Frank Röder
Und was sagt der Server im Eventlog?
--
Viele Grüße
Frank Röder

s.o.

Anwendungs-Log Server:

Userenv Fehler 1030
Die Abfrage der Liste der Gruppenrichtlinienobjekte ist fehlgeschlagen.
ueberpruefen Sie das Ereignisprotokoll...

Userinit Fehler 1058
Auf die Datei gpt.ini des Gruppenrichtlinienobjekts CN....... kann nicht
zugegriffen werden. Die Datei muss im Pfad ..... liegen. Verarbeitung wird
abgebrochen

^^ scheint aber nen alter Fehler zu sein, gpupdate klappt jetzt ohne
Probleme ^^

Im Verzeichnisdienst meckert die Replikation rum, denke das is aber normal
wenn der PDC nicht mehr online ist ;)

DNS- Log:

DNS Fehler ID 6702
dynamische Aktualisierung schlaegt fehl etc...

DNS fehler ID 4004
DNS Server konnte die Aufzaehlung der Verzeichnisdienste der Zone
netz1.test.de nicht vollstaendig durchfuehren. Dieser DNS Server ist so
konfiguriert, dass er Verzeichnisdienstinformationen braucht, und kann diese
ohne diese Informationen nicht laden....

das selbe wie ^^ oben nur mit _msdcs.netz1.test.de
das selbe wie ^^ oben nur mit .

Im System- Log bringt der MrySmb die Event-ID 3019 - kann Verbindungstyp
nicht erkennen

----------------

[Holger T.]

Ich habe fast eine Vermutung, und zwar gab es vor einiger Zeit Probleme beim
Anmelden der Clients, was sehr verzögert geschah. War damals nen einfaches
DNS- Problem, jedoch sagte mir mein Kollege, dass er den DNS-Server testweise
fest per GroupPolicy auf den Clients eingetragen hatte, und zwar auf den 11er
Server (also den Primary).

Wenn der nun weg ist, die Clients immer noch versuchen die GP zu befolgen,
den Server nicht finden, und sich somit auch kein GPupdate holen können,
sitzen die ja fest, seh ich das richtig ?! Ist nur die Frage, was mehr zieht,
der gesetzte DNS-Server Eintrag in der GroupPolicy oder die DNS-Server die
per DHCP mitgeteilt werden...

Wie kann ich das beheben, Entfernen aus der Domäne und wieder hinzufuegen?
Waere unguenstig, da das bei knapp 20 produktiven Clients getan werden
muesste, gibts ne Moeglichkeit, die DomainGroupPolicy ausser Kraft zu setzen?

[Frank Röder]

Post by Holger T.
Ich habe fast eine Vermutung, und zwar gab es vor einiger Zeit Probleme beim
Anmelden der Clients, was sehr verzögert geschah. War damals nen einfaches
DNS- Problem, jedoch sagte mir mein Kollege, dass er den DNS-Server testweise
fest per GroupPolicy auf den Clients eingetragen hatte, und zwar auf den 11er
Server (also den Primary).
Wenn der nun weg ist, die Clients immer noch versuchen die GP zu befolgen,
den Server nicht finden, und sich somit auch kein GPupdate holen können,
sitzen die ja fest, seh ich das richtig ?! Ist nur die Frage, was mehr zieht,
der gesetzte DNS-Server Eintrag in der GroupPolicy oder die DNS-Server die
per DHCP mitgeteilt werden...
Wie kann ich das beheben, Entfernen aus der Domäne und wieder hinzufuegen?
Waere unguenstig, da das bei knapp 20 produktiven Clients getan werden
muesste, gibts ne Moeglichkeit, die DomainGroupPolicy ausser Kraft zu setzen?

Die Einstellung in der GPO setzt die Einstellung des DHCP außer Kraft.

Mache es Dir doch nicht so schwer.....;-).
Gib dem zweiten Server die IP des Ausgefallenen, bereinige den DNS und
nehme dann diese Richtlinieneinstellung raus, denn die ist in deinem
Netz unnütz.

[Holger T.]

Post by Frank Röder
Mache es Dir doch nicht so schwer.....;-).
Gib dem zweiten Server die IP des Ausgefallenen, bereinige den DNS und
nehme dann diese Richtlinieneinstellung raus, denn die ist in deinem
Netz unnütz.

wäre ne Lösung, hab nur die Befürchtung, dass das leicht unsauber wäre, da
der erste Server (die .100.11) wiederkommen soll...ausserdem wird der Server
den gesamten Tag genutzt, ne Umschaltung im laufenden Betrieb wäre für manche
MA hier sehr unpraktisch...

habe jedoch neue Erkenntnisse:

Bei Aufruf von "gpresult" auf einem Client erhalte ich die Meldung, dass das
die GP das letzte Mal vor 5 Minuten, also bei Ausführen von gpupdate,
aktualisiert wurde, von "serv2.netz1.test.de" -> scheint also ja doch zu
funktionieren ??

Weiterhin hatte ich bisher vermutet, dass die Clients sich nur "lokal"
anmelden, also mit ihren lokalen Benutzerkonten, wenn ich mich jedoch mit
einem neuen Userkonto anmelde, dauert das zwar ~5mins aber es klappt! Also
ist die Domäne ja wohl doch nicht soo richtig weg, seh ich das richtig ?!
oder liegt das am WINS ?

Werd mich morgen mal um den PDC kümmern ob ich den wieder hinkriege, wär
jedoch schön wenn ich noch nen bissel Schützenhilfe kriege ;) Find ich
ziemlich klasse wie fix und kompetent das hier geht, war bisher nur Leser,
jetzt auch recht begeisterter Schreiber :>

[unknown]

Hallo,

bitte trenne Dich von den Begrifflichkeiten wie PDC und BDC das verwirrt nur einen.
Diese gab es NUR zu NT Zeiten und ab 2000 Gibt es nut noch DCs.
Da heißt es - erster DC, zweiter DC ... usw.

Post by Holger T.
Weiterhin hatte ich bisher vermutet, dass die Clients sich nur "lokal"
anmelden, also mit ihren lokalen Benutzerkonten, wenn ich mich jedoch mit
einem neuen Userkonto anmelde, dauert das zwar ~5mins aber es klappt! Also
ist die Domäne ja wohl doch nicht soo richtig weg, seh ich das richtig ?!
oder liegt das am WINS ?

Du schreibst *neuen Userkonto* der also an diesem PC noch nie angemeldet war,
so das wir *cashed Credentials* ausschließen können.
~5 mins ist "das berühmte" DNS Problem - soll heißen DNS läuft noch nicht *rund*.
Ob die Domäne "nicht richtig" weg ist, erkennst Du doch auch daran ob auf Deinem DC z.B. ob
die Userkonten alle dort auftauchen oder Login-Skripts existieren usw.

[Frank Röder]

Post by unknown
so das wir *cashed Credentials* ausschließen können.

Ich möchte auch mal "cashed" Credentials haben ;-)

[unknown]

Post by Frank Röder
Ich möchte auch mal "cashed" Credentials haben ;-)

MMuuhhaaa =)
Dann komm doch zu mir (in den Westen ;-Þ) und Du bekommst Dein Taschengeld von mir ;-)


Viele Grüße
Yusuf Dikmenoglu

[Holger T.]

Post by Holger T.
Hallo,
bitte trenne Dich von den Begrifflichkeiten wie PDC und BDC das verwirrt nur einen.
Diese gab es NUR zu NT Zeiten und ab 2000 Gibt es nut noch DCs.
Da heißt es - erster DC, zweiter DC ... usw.

Post by Holger T.
Weiterhin hatte ich bisher vermutet, dass die Clients sich nur "lokal"
anmelden, also mit ihren lokalen Benutzerkonten, wenn ich mich jedoch mit
einem neuen Userkonto anmelde, dauert das zwar ~5mins aber es klappt! Also
ist die Domäne ja wohl doch nicht soo richtig weg, seh ich das richtig ?!
oder liegt das am WINS ?

Du schreibst *neuen Userkonto* der also an diesem PC noch nie angemeldet war,
so das wir *cashed Credentials* ausschließen können.
~5 mins ist "das berühmte" DNS Problem - soll heißen DNS läuft noch nicht *rund*.
Ob die Domäne "nicht richtig" weg ist, erkennst Du doch auch daran ob auf Deinem DC z.B. ob
die Userkonten alle dort auftauchen oder Login-Skripts existieren usw.
--
Viele Grüße aus Rhein - Main
Yusuf Dikmenoglu
One World - One Community
http://www.unterwegs-im.net

gut, wäre dann ja mein Anfangsverdacht...der liebe DNS...weiß jedoch auch
nicht wirklich was da los ist, die Reversed-LookUp Zones hat er fleissig
aufgebaut, die normale Forward wird jedoch weder geupdated noch überhaupt
aufgebaut (was die Hosts betrifft)..Dynamische Updates sind aktiviert, auch
für "unsichere" Quellen

was kann man da machen, ausser den DNS runterzuschmeissen und neu
aufzusetzen? noch irgendwelche feinen Tipps aus dem Westen ?! ;)

[Frank Röder]

Post by Holger T.
gut, wäre dann ja mein Anfangsverdacht...der liebe DNS...weiß jedoch auch
nicht wirklich was da los ist, die Reversed-LookUp Zones hat er fleissig
aufgebaut, die normale Forward wird jedoch weder geupdated noch überhaupt
aufgebaut (was die Hosts betrifft)..Dynamische Updates sind aktiviert, auch
für "unsichere" Quellen
was kann man da machen, ausser den DNS runterzuschmeissen und neu
aufzusetzen? noch irgendwelche feinen Tipps aus dem Westen ?! ;)

Lösche doch einfach mal die Zone und lege die neu an ;-).

[unknown]

Post by Holger T.
was kann man da machen, ausser den DNS runterzuschmeissen und neu
aufzusetzen? noch irgendwelche feinen Tipps aus dem Westen ?! ;)

Existieren denn unter Deiner Forward-Zone die Unterordner z.B. _msdcs, _tcp, _upd, _sites ?

Eine Neuinstallation Deines DNS wäre evtl. die schnellste Variante.
http://support.microsoft.com/kb/237675/de

[Walter Steinsdorfer [MVP]]

Hallo Holger,


wenn ich mir den Thread so durchlese dann solltest du dir für die
Wiederherstellung des DC lieber jemanden holen, der sowas schon einmal
gemacht hat. Ein Image ist übrigens keine supportete Sicherungsmethode von
MS, insofern würde ich mich nach einer Systemstatussicherung umsehen, die
nicht älter als 60 Tage ist. Das Problem mit dem DNS sollte sich ( wenn
sonst alles funktioniert ) eigentlich relativ rasch beheben lassen. Die 2x
gestellte Frage nach den SRV - Records ist leider unbeantwortet geblieben
:-(.

[Holger T.]

Post by Joachim Conrad
Hallo Holger,
wenn ich mir den Thread so durchlese dann solltest du dir für die
Wiederherstellung des DC lieber jemanden holen, der sowas schon einmal
gemacht hat. Ein Image ist übrigens keine supportete Sicherungsmethode von
MS, insofern würde ich mich nach einer Systemstatussicherung umsehen, die
nicht älter als 60 Tage ist. Das Problem mit dem DNS sollte sich ( wenn
sonst alles funktioniert ) eigentlich relativ rasch beheben lassen. Die 2x
gestellte Frage nach den SRV - Records ist leider unbeantwortet geblieben
:-(.
--
Viele Grüsse aus dem Münchner Süden
Walter Steinsdorfer
MVP Exchange Server
www.faq-o-matic.net

Das Problem der Wiederherstellung des DC ist keine Softwaresache, sondern in
erster Linie ein Hardwareproblem...die Frage nach den DNS-Records habe ich
meiner Erachtens bereits beantwortet, will ja auch nich alles doppelt
schreiben...Das kein Backup existiert ist leider nicht mein Fehler, sondern
einfach ne Kostenfrage, mit der ich wenig zu tun hab...

trotzdem danke für die Hilfe

[unknown]

Hallo,

Post by Holger T.
Das kein Backup existiert ist leider nicht mein Fehler, sondern
einfach ne Kostenfrage, mit der ich wenig zu tun hab...

na na naa ... und wenn "man" zumindest EINMAL das System State per NTBACKUP
gesichert und auf einen USB-Stick oder CD gezogen hätte, wärst Du jetzt
sicherlich besser dran.
Erstmal an die eigene Nase fassen.

[Michael]

lang lang ist der thread...

also ich würde die fsmo's auf den anderen dc übertragen per ntds util.
allerdings solltest du vorher dns und wenn du hast dhcp testen, das muss
schon als basis anständig klappen sonst harperts auch nach der
rollenübertragung.
wins Dienste solltest du ruhig aktivieren;) auch wenns was älteres ist.
danach gucken dass der defekte dc wieder hardwareseitig läuft und den als
neuen dc in die domäne integrieren, IP und Hostname sollte dann nicht mehr
den alten Werten entsprechen!

allerdings solltest du die übertragung der fsmo's überlegt angehen, die
entsprechende anleitung gibts bei MS, vielleicht solltest du dir noch jemand
externen dazu holen, der das ganze schon mal gemacht hat. sites etc anpassen,
dann hören auch die komischen replikationsfehler auf. im dhcp solltest du
dann entsprechend die bereichsoptionen anpassen, damit die clients auch die
richtigen einstellungen bekommen (dns server etc.)

danach 1x client reboot tut jut, und man sollte wieder arbeiten können.

unter uns; gar kein backup des systemstates gibt abzüge in der B-note. die
software bringt dein OS mit (ntbackup) und einen cd-brenner mit nem rohling
sollte dem unternehmen auch nicht gleich den ruin bringen. den backup
brauchst du ja nicht jeden tag machen, er darf nur beim restore nicht älter
als 60tage sein!

wenn du dir das ganze sparen willst, dann kannst du eigenlich nur deine
struktur neu auf setzen. allerdings sind dann alle gesetzten ntfs
berechtigungen, computerkonten etc. futsch.
kommt drauf an wieviele clients / user du hast.

Grüße aus Aachen,
Michael

[Holger T.]

eins fällt mir grad noch ein, hab ich grade nochmal überprüft:

Wenn ich auf dem (BDC) Server (.100.12) einen ping zur Domäne
(netz1.test.de) absetze, krieg ich nun wieder den 192.168.100.11 als Antwort,
bzw kriege keine Antwort weil er den ersten erreichen will

Wie ist das zu erklären, mal nimmt er sich selber, also den BDC, mal wieder
den ersten (ausgefallenen) Server, den PDC ?!

Bei solchen Sachen beginne ich langsam zu verzweifeln