Fragensteller
AD Replikationsprobleme

Allgemeine Diskussion
-
Hallo,
ich habe aktuell Probleme mit unsere Domain. Im Fehlerlog wird angegeben das die Replication nicht vollständig sei.
This is the replication status for the following directory partition on this directory server.
Directory partition:
DC=ForestDnsZones,DC=xx,DC=xx
This directory server has not recently received replication information from a number of directory servers. The count of directory servers is shown, divided into the following intervals.
More than 24 hours:
1
More than a week:
1
More than one month:
1
More than two months:
1
More than a tombstone lifetime:
1
Tombstone lifetime (days):
180Wie weiter unten beschrieben soll ich dcdiag ausführen, allerdings ist die liste so lang das ich sie ungern komplett hier posten würde. Es gibt aber wohl mehrere Probleme aus der DNSForestZone..
1) RPC Server is unavaible (Server ist da, evtl. FW Problematik)
2) Warning: WARNING: KCC could not add this REPLICA LINK due to error. (Diese Fehlermeldung taucht relativ häufig auf)
Ich hoffe das mir hier jemand weiterhelfen kann.
Vielen Dank
Gruß Marcel
- Typ geändert Raul TalmaciuMicrosoft contingent staff Dienstag, 9. August 2011 05:59 Warten auf Feedback
Alle Antworten
-
Howdie!Am 02.08.2011 14:30, schrieb cypros:> Directory partition:> DC=ForestDnsZones,DC=xx,DC=xx>> This directory server has not recently received replication information> from a number of directory servers. The count of directory servers is> shown, divided into the following intervals.>[...]> More than a tombstone lifetime:> 1> Tombstone lifetime (days):> 180Uh-oh.> Wie weiter unten beschrieben soll ich dcdiag ausführen, allerdings ist> die liste so lang das ich sie ungern komplett hier posten würde. Es gibt> aber wohl mehrere Probleme aus der DNSForestZone..Was sagt denn DCDiag genau? Kannst du den Output nach Skydrive hochladen(nachdem du die Server- und Domänennamen entsprechend gesäubert hast)?Sind noch weitere NCs von dem Problem betroffen? Wie vieleDomänencontroller hast du denn?Florian
The views and opinions expressed in my postings do NOT necessarily correlate with the ones of my friends, family or my employer. -
Guten Morgen,
zu 1:
Was kann hier machen?
zu 2:
Microsoft Windows [Version 6.1.7601] Copyright (c) 2009 Microsoft Corporation. All rights reserved. C:\Users\administrator.AD>dcdiag Directory Server Diagnosis Performing initial setup: Trying to find home server... Home Server = SRV1 * Identified AD Forest. Done gathering initial info. Doing initial required tests Testing server: Systemzentrale\SRV1 Starting test: Connectivity ......................... SRV1 passed test Connectivity Doing primary tests Testing server: Systemzentrale\SRV1 Starting test: Advertising ......................... SRV1 passed test Advertising Starting test: FrsEvent ......................... SRV1 passed test FrsEvent Starting test: DFSREvent There are warning or error events within the last 24 hours after the SYSVOL has been shared. Failing SYSVOL replication problems may cause Group Policy problems. ......................... SRV1 passed test DFSREvent Starting test: SysVolCheck ......................... SRV1 passed test SysVolCheck Starting test: KccEvent ......................... SRV1 passed test KccEvent Starting test: KnowsOfRoleHolders ......................... SRV1 passed test KnowsOfRoleHolders Starting test: MachineAccount ......................... SRV1 passed test MachineAccount Starting test: NCSecDesc ......................... SRV1 passed test NCSecDesc Starting test: NetLogons ......................... SRV1 passed test NetLogons Starting test: ObjectsReplicated ......................... SRV1 passed test ObjectsReplicated Starting test: Replications REPLICATION-RECEIVED LATENCY WARNING SRV1: Current time is 2011-08-04 07:26:07. CN=Schema,CN=Configuration,DC=AD,DC=com Last replication received from SRV2 at 2011-01-28 10:12:18 WARNING: This latency is over the Tombstone Lifetime of 180 days! CN=Configuration,DC=AD,DC=com Last replication received from SRV2 at 2011-01-28 10:12:18 WARNING: This latency is over the Tombstone Lifetime of 180 days! DC=AD,DC=com Last replication received from SRV2 at 2011-01-28 10:12:18 WARNING: This latency is over the Tombstone Lifetime of 180 days! DC=ForestDnsZones,DC=AD,DC=com Last replication received from SRV2 at 2011-01-28 10:12:18 WARNING: This latency is over the Tombstone Lifetime of 180 days! DC=DomainDnsZones,DC=AD,DC=com Last replication received from SRV2 at 2011-01-28 10:12:18 WARNING: This latency is over the Tombstone Lifetime of 180 days! ......................... SRV1 passed test Replications Starting test: RidManager ......................... SRV1 passed test RidManager Starting test: Services ......................... SRV1 passed test Services Starting test: SystemLog A warning event occurred. EventID: 0x000016AF Time Generated: 08/04/2011 07:08:16 Event String: During the past 4.25 hours there have been 40 connections to this Do main Controller from client machines whose IP addresses don't map to any of the existing sites in the enterprise. Those clients, therefore, have undefined sites and may connect to any Domain Controller including those that are in far distan t locations from the clients. A client's site is determined by the mapping of it s subnet to one of the existing sites. To move the above clients to one of the s ites, please consider creating subnet object(s) covering the above IP addresses with mapping to one of the existing sites. The names and IP addresses of the cl ients in question have been logged on this computer in the following log file '% SystemRoot%\debug\netlogon.log' and, potentially, in the log file '%SystemRoot%\ debug\netlogon.bak' created if the former log becomes full. The log(s) may conta in additional unrelated debugging information. To filter out the needed informat ion, please search for lines which contain text 'NO_CLIENT_SITE:'. The first wor d after this string is the client name and the second word is the client IP addr ess. The maximum size of the log(s) is controlled by the following registry DWOR D value 'HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameter s\LogFileMaxSize'; the default is 20000000 bytes. The current maximum size is 2 0000000 bytes. To set a different maximum size, create the above registry value and set the desired maximum size in bytes. An error event occurred. EventID: 0x00000457 Time Generated: 08/04/2011 07:25:57 Event String: Driver NRG DSc332 PCL5c required for printer !!SRV1!PRT3 32 is unknown. Contact the administrator to install the driver before you log in again. An error event occurred. EventID: 0x00000457 Time Generated: 08/04/2011 07:26:00 Event String: Driver Send To Microsoft OneNote 2010 Driver required for printer An OneNote 2010 senden is unknown. Contact the administrator to install the driver before you log in again. ......................... SRV1 failed test SystemLog Starting test: VerifyReferences ......................... SRV1 passed test VerifyReferences Running partition tests on : ForestDnsZones Starting test: CheckSDRefDom ......................... ForestDnsZones passed test CheckSDRefDom Starting test: CrossRefValidation ......................... ForestDnsZones passed test CrossRefValidation Running partition tests on : DomainDnsZones Starting test: CheckSDRefDom ......................... DomainDnsZones passed test CheckSDRefDom Starting test: CrossRefValidation ......................... DomainDnsZones passed test CrossRefValidation Running partition tests on : Schema Starting test: CheckSDRefDom ......................... Schema passed test CheckSDRefDom Starting test: CrossRefValidation ......................... Schema passed test CrossRefValidation Running partition tests on : Configuration Starting test: CheckSDRefDom ......................... Configuration passed test CheckSDRefDom Starting test: CrossRefValidation ......................... Configuration passed test CrossRefValidation Running partition tests on : AD Starting test: CheckSDRefDom ......................... AD passed test CheckSDRefDom Starting test: CrossRefValidation ......................... AD passed test CrossRefValidation Running enterprise tests on : AD.com Starting test: LocatorCheck ......................... AD.com passed test LocatorCheck Starting test: Intersite ......................... AD.com passed test Intersite C:\Users\administrator.AD>
Aktuell besteht unsere Domain aus 14x2 DCs, wird aber in nächster Zeit weiter anwachsen.
Soweit ich das Verstanden habe bedeutet NC Nameing Context, sprich Schema. Alle Server sind in unserem Fall in der gleichen Domäne. Ich hoffe das beantwortet deine Frage?!
-
Hello cypros,Naming Context ist nicht das Schema. Wenn nichts geändert ist hast Du 5 Namingcontext Einträge:- Domain- Configuration- Schema- ForestDNSZones- DomainDNSZonesIn jedem hiervon sind die verschiedenen Informationen der Domäne enthalten.RPC Fehler hängen sehr of mit Firewall Einstellungen zusammem, benötigtePorts stehen hier:Bitte lade folgendes zu Windows Sky drive(skydrive.live.com) hoch, damitwir einen Überbklick haben, einmal von einem DC ohne Fehler und von dem mitFehlern:dcdiag /v /c /d /s:dcname >c:\dcdiag.txtWenn Dich die Freigabe der Domänennamen stören sollte, kannst Du sie ändernaber bitte behalte das Format bei, Domäne.com etc.Best regardsMeinolf WeberDisclaimer: This posting is provided "AS IS" with no warranties, and confersno rights.** Please do NOT email, only reply to the Forum** Send from Omea Reader 2.2
Best regards Meinolf Weber Disclaimer: This posting is provided "AS IS" with no warranties or guarantees , and confers no rights. -
Hello cypros,Ein DC der über der Tombstone lifetime ist kann nicht immer erfolgreich zurückgeholtwerden, somit solltest Du darüber nachdenken die Maschine mit einem metadatacleanup aus der Domäne und DNS zu entfernen und neu zu machen.Best regardsMeinolf WeberDisclaimer: This posting is provided "AS IS" with no warranties, and confersno rights.** Please do NOT email, only reply to the Forum** Send from Omea Reader 2.2
Best regards Meinolf Weber Disclaimer: This posting is provided "AS IS" with no warranties or guarantees , and confers no rights. -
Hello cypros,Ein DC der über der Tombstone lifetime ist kann nicht immer erfolgreich zurückgeholtwerden, somit solltest Du darüber nachdenken die Maschine mit einem metadatacleanup aus der Domäne und DNS zu entfernen und neu zu machen.Best regardsMeinolf WeberDisclaimer: This posting is provided "AS IS" with no warranties, and confersno rights.** Please do NOT email, only reply to the Forum** Send from Omea Reader 2.2
Best regards Meinolf Weber Disclaimer: This posting is provided "AS IS" with no warranties or guarantees , and confers no rights.Hi,
-
Howdie!Am 04.08.2011 08:09, schrieb cypros:> soweit ich das im EventLog gesehen habe, besteht das und andere Probleme> (DC=ad-xxx,DC=com, CN=Configuration,DC=ad-xxx,DC=com,> CN=Schema,CN=Configuration,DC=ad-xxx,DC=com,> DC=DomainDnsZones,DC=ad-xxx,DC=com) wirklich bereits seit längeren. Da> es sich bei der Kiste um den Root DC handelt, hab ich mit der Refresh> des Servers schon etwas bauchschmerzen. *NACHTRAG: Das Problem scheint> wohl auf allen DCs zu sein.*Das Problem besteht auf _allen_ DCs und auf _allen_ DCs ist dieTombstone Lifetime abgelaufen (das Problem besteht seit mehr als 180 Tagen)?Falls dem wirklich so ist, haben alle Domänencontroller seit mehr als180 Tagen nicht mehr miteinander repliziert - ihr habt sozusagen <AnzahlDomänencontroller> Domänen, die nun völlig losgelöst voneinanderarbeiten und by default erstmal nichtmehr miteinander replizieren wollen.Ich würde den aktuellen Zustand erstmal verifizieren:(1) Prüfe auf allen Domänencontrollern, ob die Replikation funktioniertoder nicht (repadmin).(2) Prüfe anschliessend, ob es DCs gibt, die miteinander replizierenoder ob alle bereits über die Tombstone Lifetime hinaus "offline" bzw.eine Insel sind(3) Falls du mehrere DCs hast, die noch replizieren, sind das die DCs,die du behalten willst und der Rest bildet die Menge der DCs, die duloswerden willst.(4) Falls alle DCs "Inseln" sind (= Tombstone Lifetime überallabgelaufen), kannst du essentiell ein Forest Recovery machen. Nimm einenDC der Rootdomäne und bilde die Domäne neu.In jedem Fall: bevor ihr weitermacht und die Domäne vergrössert, würdeich mir da ein wenig Hilfe mit an Board holen. Zumindest um zuverifizieren, wo ihr gerade steht. Diese Tombstone Lifetime-Sache istkeine "einfache" Geschichte. Und ehrlich gesagt passiert das nur, wenndas AD nicht sauber konfiguriert ist (für mehr als 180 Tage...).Mein Vorschlag, ohne dir/euch jetzt zu Nahe treten zu wollen: seht zu,dass ihr euch Vororthilfe besorgt und sich jemand dieses Problemsannimmt. Eventuell ist da noch etwas zu retten. Gemacht werden muss daaber auf jeden Fall etwas. Ob das jetzt ein lokales Systemhaus, einPartner oder der Microsoft Support ist, ...Florian
The views and opinions expressed in my postings do NOT necessarily correlate with the ones of my friends, family or my employer. -
Hi Florian,
erst einmal vielen Dank für deine Hilfe. Die Replikation läuft generell (wenn Beispielweise User angelegt werden, tauchen die auch auf den anderen Systemen auf).
Allerdings habe ich noch nicht getestet auf welchen und auf welchen nicht.
Konntest du dir diese DCDiag Dateien schon mal angucken? Da müsste doch eigentlich drin stehen ob und mit welchen Servern genau es Probleme gibt.
Zum Thema Replikation bzw FW. hätte ich noch eine Frage und zwar kann es sein das die Domänen Firewall auf dem Kisten bestimmte Dienste (Bsp. RPC) blockt?
Ich würde eigentlich davon ausgehen das die FW bei installation der Domänendienste diese Freigaben selbstständig vornimmt. Soweit ich weiß ist auf den meisten Kisten die Domänen Firewall noch aktiviert, macht es sinn diese ab zu stellen?
UpdATE: Also das Prblem taucht wohl zwischen einzelnen DCs auf, die Hauptreplikation zur Zentrale ist nicht gestört.
Gruß Marcel
-
Ich habe mir den DCDIAG mal angeschaut, folgendes ist mir auf dem Zentral Server aufgefallen:
The DFS Replication service is stopping communication with partner XX (insgesamt 4 Standorte Betroffen) for replication group Domain System Volume due to an error. The service will retry the connection periodically.
Wie kann ich diese Dienst wieder zum laufen bekommen? Laut REPADMIN ist nur eine Verbindung zwischen 2 Standorten gestört.=====
Additional Information:
Error: 1726 (The remote procedure call failed.)
Connection ID: 5028BA34-3552-4338-803E-973552458C1A
Replication Group ID: 86CD6302-B0AE-4CA1-9BE5-7887CA5BD6B8
A warning event occurred. EventID: 0x800010D0
Time Generated: 08/03/2011 11:49:37
Event String:
The DFS Replication service has been repeatedly prevented from replicating a file due to consistent sharing violations encountered on the file. The service failed to stage a file for replication due to a sharing violation.
Additional Information:
File Path: C:\Windows\SYSVOL\domain\Policies\{60135C20-7F50-487C-8D20-C6C042D999D2}\Machine\Microsoft\Windows NT\SecEdit\GptTmpl.inf
Replicated Folder Root: C:\Windows\SYSVOL\domain
File ID: {09D516B9-A3A1-4DC0-9D3B-E259395D4861}-v8743
Replicated Folder Name: SYSVOL Share
Replicated Folder ID: 055CA9E9-FC00-4DB3-A37B-6C5CB18276AF
Replication Group Name: Domain System Volume
Replication Group ID: 86CD6302-B0AE-4CA1-9BE5-7887CA5BD6B8
Member ID: 63838643-0F1E-4EA7-BE73-A1582CE3F588
A warning event occurred. EventID: 0x80001396
Time Generated: 08/04/2011 00:39:31
Event String:
The DFS Replication service is stopping communication with partner SRV002 for replication group Domain System Volume due to an error. The service will retry the connection periodically.Zur Info das ist der zweite DC am gleichen Standort.
======
Additional Information:
Error: 9036 (Paused for backup or restore)
Connection ID: 5F3A8B93-5CC7-4BE6-9CE8-637BDEB32007
Replication Group ID: 86CD6302-B0AE-4CA1-9BE5-7887CA5BD6B8======
Hier scheint das größte Problem zu bestehen:
OutboundSecureChannels
Starting test: Replications
* Replications Check
CN=Schema,CN=Configuration,DC=ad-comp,DC=com has 21 cursors.
CN=Configuration,DC=ad-comp,DC=com has 21 cursors.
DC=ad-comp,DC=com has 21 cursors.
DC=ForestDnsZones,DC=ad-comp,DC=com has 21 cursors.
DC=DomainDnsZones,DC=ad-comp,DC=com has 21 cursors.
* Replication Latency Check
REPLICATION-RECEIVED LATENCY WARNING
SRV001: Current time is 2011-08-04 08:14:14.
CN=Schema,CN=Configuration,DC=ad-comp,DC=com
Last replication received from SRV008 at
2011-01-28 10:12:18
WARNING: This latency is over the Tombstone Lifetime of 180
days!
Latency information for 5 entries in the vector were ignored.
5 were retired Invocations. 0 were either: read-only replicas and are not verifiably latent, or dc's no longer replicating this nc. 0 had no latency information (Win2K DC).
CN=Configuration,DC=ad-comp,DC=com
Last replication received from SRV008 at
2011-01-28 10:12:18
WARNING: This latency is over the Tombstone Lifetime of 180
days!
Latency information for 5 entries in the vector were ignored.
5 were retired Invocations. 0 were either: read-only replicas and are not verifiably latent, or dc's no longer replicating this nc. 0 had no latency information (Win2K DC).
DC=ad-comp,DC=com
Last replication received from SRV008 at
2011-01-28 10:12:18
WARNING: This latency is over the Tombstone Lifetime of 180
days!
Latency information for 5 entries in the vector were ignored.
5 were retired Invocations. 0 were either: read-only replicas and are not verifiably latent, or dc's no longer replicating this nc. 0 had no latency information (Win2K DC).
DC=ForestDnsZones,DC=ad-comp,DC=com
Last replication received from SRV008 at
2011-01-28 10:12:18
WARNING: This latency is over the Tombstone Lifetime of 180
days!
Latency information for 5 entries in the vector were ignored.
5 were retired Invocations. 0 were either: read-only replicas and are not verifiably latent, or dc's no longer replicating this nc. 0 had no latency information (Win2K DC).
DC=DomainDnsZones,DC=ad-comp,DC=com
Last replication received from SRV008 at
2011-01-28 10:12:18
WARNING: This latency is over the Tombstone Lifetime of 180
days!
Latency information for 5 entries in the vector were ignored.
5 were retired Invocations. 0 were either: read-only replicas and are not verifiably latent, or dc's no longer replicating this nc. 0 had no latency information (Win2K DC).
......................... SRV001 passed test Replications=====
-
Howdie!Hierzu wollte ich mich nochmal melden - sorry, das ging mir unter!Am 04.08.2011 12:37, schrieb cypros:> Ich habe mir den DCDIAG mal angeschaut, folgendes ist mir auf dem> Zentral Server aufgefallen:>> /The DFS Replication service is stopping communication with partner XX> (insgesamt 4 Standorte Betroffen) for replication group Domain System> Volume due to an error. The service will retry the connection periodically./>>> *Wie kann ich diese Dienst wieder zum laufen bekommen? Laut REPADMIN ist> nur eine Verbindung zwischen 2 Standorten gestört.*Okay - hier der Hinweis, dass die AD-Replikation und die Replikation desSYSVOLs von zwei verschiedenen Mechanismen/Diensten gehandhabt wird.SYSVOL wird von FRS oder neu DFS-R repliziert, Active Directory hat fürdas Verzeichnis seine eigene Replikationsmechanismen.> /Starting test: Replications/>> /* Replications Check/> /CN=Schema,CN=Configuration,DC=ad-comp,DC=com has 21 cursors./> /CN=Configuration,DC=ad-comp,DC=com has 21 cursors./> /DC=ad-comp,DC=com has 21 cursors./> /DC=ForestDnsZones,DC=ad-comp,DC=com has 21 cursors./> /DC=DomainDnsZones,DC=ad-comp,DC=com has 21 cursors./> /* Replication Latency Check/> /REPLICATION-RECEIVED LATENCY WARNING/>> /SRV001: Current time is 2011-08-04 08:14:14./>> /CN=Schema,CN=Configuration,DC=ad-comp,DC=com/> /Last replication received from SRV008 at /> /2011-01-28 10:12:18 /> /WARNING: This latency is over the Tombstone Lifetime of 180/>> /days!/Bevor jetzt _irgendwas_ mit der Umgebung gemacht wird:(1) Bestehen Netzwerkverbindungen zwischen den Domänencontrollern,sodass eine Replikation theoretisch möglich wäre (Routen, Firewall,Ports OK?)(2) Funktioniert die Namensauflösung grundlegend?(3) Was ist jetzt der aktuelle Stand des Problems? Welche DCsreplizieren miteinander, welche tun es nicht? Bei welchen okmmt diebesagte "over the Tombstone Lifetime"-Meldung?Im Moment ist es wichtig zu verstehen, welche DCs im Argen liegen. Dubist meines Erachtens über das Stadium hinaus, in dem du alle DCshättest retten können. Im Moment gehts darum, die "funktionierenden" DCszu identifizieren und zu sehen, welche nicht mehr gehen, um nächsteSchritte abwägen zu können.Nochmals: Das wird nicht einfach und, da offensichtlich schon das einoder andere schief gelaufen ist (wohl seit mehr als 180 Tagen, ...),würde ich mir da Vororthilfe an Bord holfen.Florian
The views and opinions expressed in my postings do NOT necessarily correlate with the ones of my friends, family or my employer.