none
Replikation 2er DC's gestört : Zielprinzipalname falsch RRS feed

 > 

  • Frage

  • Question
    Anmelden
    0
    Anmelden

    Hallo liebe Forumsleser,

    ich habe aktuell ein Problem bei der Replikation 2er DC's. Der eine ist ein W2k3 (DC in Ablösung) und der zweite ist ein W2k8 R2.

    Den Artikel von Microsoft habe ich bereits gefunden und auch geprüft welcher der PDC Emulator ist. Auch das Verhalten, dass einseitig einer der Server nicht mit dem FQDN sondern nur über IP ansprechbar ist gegeben.

    http://support.microsoft.com/kb/288167/de

    Unsicher bin ich gerade ob der Artikel überhaupt noch Gültigkeit hat?

    W2k8R2 ist der PDC Emulator und auch der Server der nicht über UNC Pfad bzw. über Net view Kommando angesprochen werden kann. Dieser wäre jetzt aus meiner Sicht der betroffene Server. Im Artikel ist ja dann die Vorgehensweise beschrieben. Es steht aber auch drin:

    "Deaktivieren Sie auf Domänencontrollern, bei denen dieses Problem auftritt, den Kerberos Schlüsselverteilungscenter-Dienst (Key Distribution Center, KDC). Gehen Sie hierzu folgendermaßen vor: "

    "Nachdem der Computer neu gestartet wurde, verwenden Sie das Netdom-Programm, um die sicheren Kanäle zwischen diesen Domänencontrollern und dem Inhaber der Betriebsmasterfunktion PDC-Emulator zurückzusetzen. Führen Sie hierzu den folgenden Befehl von allen Domänencontrollern aus, außer vom dem Inhaber der Betriebsmasterfunktion PDC-Emulator:

    netdom resetpwd /server:<var>Servername</var> /userd:<var>Domänenname</var>\administrator /passwordd:<var>Administratorkennwort"</var>

    Laut dem Artikel würde ich jetzt auf dem PDC Emulator (weil betroffener Server) den KDC Dienst deaktivieren und auf dem W2k3 Server den netdom Befehl absetzen?

    Oder sehe ich das komplett falsch?

    Ich freue mich auf eure Hinweise.

    Marcel Brabetz

    Donnerstag, 30. Mai 2013 08:47
    |

Antworten

Alle Antworten

  • Question
    Anmelden
    2
    Anmelden

    Das Verfahren zum zurücksetzen des Maschinen-Passworts eines Domain Controllers ist immer noch aktuell (s.a. http://support.microsoft.com/kb/325850/en-us).

    Ob das jedoch Dein Problem löst können wir nicht sagen, da wir es aktuell noch nicht von Dir sauber dokumentiert haben bekommen.

    Schaden tut es jedoch auf jeden Fall aus meiner Sicht auch nicht es mit dem obigen Verfahren einmal zu probieren.

    --

    Tobias Redelberger
    StarNET Services (HomeOffice)
    Frankfurter Allee 193
    D-10365 Berlin
    Tel: +49 (30) 86 87 02 678
    Mobil: +49 (163) 84 74 421
    Email: T.Redelberger@starnet-services.net
    Web: http://www.starnet-services.net

    Donnerstag, 30. Mai 2013 09:56
    |
  • Question
    Anmelden
    0
    Anmelden

    Hallo Tobias,was brauchst du an zusätzlichen Informationen?

    Marcel Brabetz

    Donnerstag, 30. Mai 2013 09:57
    |
  • Question
    Anmelden
    2
    Anmelden

    Hi,

    schau mal hier und poste die Ergebnisse:

    http://blogs.technet.com/b/deds/archive/2009/04/09/fehlerbehebung-zu-the-target-principal-name-is-incorrect-unter-windows-server-2008.aspx

    Grüße

    Christian

    Donnerstag, 30. Mai 2013 11:27
    |
  • Question
    Anmelden
    0
    Anmelden

    Hallo Christian,

    danke für den Hinweis.

    Nachdem ich das Computerpasswort über netdom auf dem W2k3 Server zurückgesetzt habe, funktionierte die Replikation bedingt wieder lief aber in den nächsten Fehler der mir zeigt, das es hier bei dem Kunden noch weit größere Probleme gab.

    Und zwar war zusätzlich das Tombstone Intervall überschritten so dass der W2k8 R2 die Replikation abgelehnt hat.

    Nach Studien bei Yusufs Blog und anderen Foren kam ich zu dem Entschluss den alten DC mit einem forceremoval herunterzustufen und danach Metadaten nach diesem Artikel zu bereinigen:

    http://support.microsoft.com/kb/216498/de

    Das einzige was mir bisher nicht ganz klar ist in dem Ablauf ist Punkt 21:

    "Wenn Sie DFS-Replikation in Windows Server 2008 und höheren Versionen verwenden, wird das DFS-Replikationsobjekt durch die aktuelle Version von "Ntdsutil.exe" nicht bereinigt. In diesem Fall können Sie "Adsiedit.msc" verwenden, um die DFS-Replikationsobjekte für Active Directory-Domänendienste (AD DS) manuell zu korrigieren. Gehen Sie hierzu folgendermaßen vor:
    1. Melden Sie einen Domänencontroller als Domänenadministrator bei der betroffenen Domäne an.
    2. Starten Sie "Adsiedit.msc".
    3. Stellen Sie eine Verbindung zum Standardnamenskontext her.
    4. Suchen Sie den folgenden DFS-Replikationstopologiecontainer:
      CN=Topology,CN=Domain System Volume,CN=DFSR-Globalsettings,CN=System,DC=Your Domain,DC=Domain Suffix
    5. Löschen Sie das CN-Objekt msDFSR-Member, das den alten Computernamen aufweist."

    Kommt dieser Punkt nur zum Tragen wenn es mehrere Windows Server 2008 System oder höher sind?

    Aktuell finde ich nun nur noch eines:

    CN=Name des verbliebenen DC,CN=Domain System Volume,CN=File Replication Service,CN=System,DC=Your Domain,DC=Domain Suffix

    Oder bin ich da absolut falsch?

    Marcel Brabetz

    Donnerstag, 30. Mai 2013 11:41
    |
  • Question
    Anmelden
    1
    Anmelden

    Da aktuell noch Windows Server 2003 als Domain Controller verwendet werden, ist die Replikation von von SYSVOL noch nicht auf DFS-R umstellbar ("First, your domain must be in native 2008 mode"). Deswegen sollte auch dieser Punkt nicht betreffen. S.a. http://blogs.technet.com/b/notesfromthefield/archive/2008/04/27/upgrading-your-sysvol-to-dfs-r-replication.aspx

    Bzgl. der blockierten Replication, kannst Du bitte vorher folgenden Artikel bzgl. "Lingering objects" und Events 1388 bzw. 1988 überprüfen und ggf. bereinigen?

    Event ID 1388 or 1988: A lingering object is detected
    http://technet.microsoft.com/en-us/library/cc949134.aspx

    Idealerweise stellt bitte eure komplette AD-Forest auf "Strict Replication Consistency" um - Details auch im obigen Artikel

    --

    Tobias Redelberger
    StarNET Services (HomeOffice)
    Frankfurter Allee 193
    D-10365 Berlin
    Tel: +49 (30) 86 87 02 678
    Mobil: +49 (163) 84 74 421
    Email: T.Redelberger@starnet-services.net
    Web: http://www.starnet-services.net

    Donnerstag, 30. Mai 2013 13:23
    |
  • Question
    Anmelden
    0
    Anmelden

    Hi Tobias,

    also ist der Schritt aufgrund der aktuellen Umgebung noch nicht anwendbar. Danke

    Prima Hinweis mit den Lingering Objects.

    Ich vermute da ich das Force Removal ja schon durchgeführt habe (ich sehe gerade es war im vorherigen Post nicht ganz ersichtlich, der DC sollte dort schlussendlich eh entfernt werden) und der Windows 2008R2 Server aktuell der einzige DC ist, dass das Procedere leider gar nicht mehr bringt.

    Die Aktivierung von "Strict Replication Consistency" laut repadmin schon auf dem Wert. Und auch das Procedere zur Sicherstellung das alle weiteren DC's mit der gleichen Option in die Domäne aufgenommen und betrieben werden ist laut dem Tool "ldifde.exe" schon da.

    Zumindest gibt mir das Tool zurück: Fehler für Eintrag mit Beginn in Zeile 1: Bereits vorhanden.

    Danke für eure Hilfe.

    Marcel Brabetz


    Donnerstag, 30. Mai 2013 14:11
    |