Principales respuestas
Los DC no se replican.

Pregunta
-
<style type="text/css">@page { margin: 2cm } p { margin-bottom: 0.25cm; line-height: 120% } </style>
Buenos días,
Estoy presentando inconvenientes a la hora de replicar mis controladores de dominio, esto me esta afectando a la hora de loguear un usuario en la red ya que pierden la relacion de confianza con el dominio.
Tengo 3 controladores de dominio, 2 en la oficina principal y otro en una sucursal, quien es que posee los roles FSMO, actualmene ninguno replica..
Uno de los problemas principales que aparece en el registro de eventos es ocasionado por el centro de distribución de claves Kerberos que muestra que no encuentra un certificado adecuado para inicio de sesión, otro inconveniente muestra un error de inicio de sesión al intentar establecer un vínculo de replicación para una partición de directorio de escritura, otro evento es que el servidor muestra que no recibe toda la información pertinente de los otros 2 servidores.
Respuestas
-
aespana, con la información que das no es posible darte ninguna respuesta que tenga cierta seriedad
Deberías indicar la configuración IP de cada máquina incluyendo a qué DNS están apuntando, el tipo de conectividad que hay entre los sitios ya que si hay NAT eso explica, si en algún momento funcionó, si los que están en la oficiana principal replican, etc. etc.
Resumiendo, por lo menos un IPCONFIG /ALL de cada una de las máquinas
Guillermo Delprato
MVP - MCSE - MCSA2012
Buenos Aires, Argentina
El Blog de los paso a paso
MCITP: Enterprise Administrator / Server Administrator
MCTS: Active Directory/Network Configuration/Applications Configuration/Server Virtualization/Windows 7 Configuration/Windows 7 & Office 2010 Deployment/Vista Configuration
Este mensaje se proporciona "como está" sin garantías de ninguna clase. Usted asume todos los riesgos.
- Propuesto como respuesta Juan MondragónModerator miércoles, 14 de marzo de 2018 16:44
- Marcado como respuesta Pablo RubioModerator viernes, 16 de marzo de 2018 16:20
-
Revisa en los Controladores de Dominio que seguramente debe aparecer un error indicando que se superó un tiempo, no recuerdo en español, pero en inglés es el "tombstone life time", porque eso es el motivo para que no repliquen casi seguro
Cuando se restaura desde una copia de seguridad anterior, no debe superarse el "Tombstone Life Time", y por otra parte y muy importante: una tema es si se ha hecho "Backup" de esas máquinas y algo totalmente diferente y no soportado es si se ha recuperado desde un punto de restauración o desde una copia del disco de las virtuales; esto último no sirve para recuperar
Si el hipervisor es W2012R2 y las virtuales también W2012R" entonces sí se puede usar los puntos de restauración "Snapshots", en versiones anteriores presentará inconsistencia prácticamente insolubles
Guillermo Delprato
MVP - MCSE - MCSA2012
Buenos Aires, Argentina
El Blog de los paso a paso
MCITP: Enterprise Administrator / Server Administrator
MCTS: Active Directory/Network Configuration/Applications Configuration/Server Virtualization/Windows 7 Configuration/Windows 7 & Office 2010 Deployment/Vista Configuration
Este mensaje se proporciona "como está" sin garantías de ninguna clase. Usted asume todos los riesgos.
- Propuesto como respuesta Pablo RubioModerator jueves, 15 de marzo de 2018 16:18
- Marcado como respuesta Pablo RubioModerator domingo, 25 de marzo de 2018 16:32
-
Eso es porque uno o todos de los cinco "FSMO Roles" los tiene alguno de los Controladores de Dominio que no están en línea
Con el comando NETDOM QUERY FSMO te mostrará quien los tiene
Al no estar replicando, y luego de quitar de la red a esos dos Controladores de Dominio (importante) debes forzar a que el que queda asuma los roles
Dejo un enlace que tiene el paso a paso, en tu caso hay que usar SEIZE de cada uno de los roles
Windows Server 2012 R2: Cambiar o Reinstalar un Controlador de Dominio Que Se Ha Perdido | WindowServer
https://windowserver.wordpress.com/2015/06/23/windows-server-2012-r2-cambiar-o-reinstalar-un-controlador-de-dominio-que-se-ha-perdido/Guillermo Delprato
MVP - MCSE - MCSA2012
Buenos Aires, Argentina
El Blog de los paso a paso
MCITP: Enterprise Administrator / Server Administrator
MCTS: Active Directory/Network Configuration/Applications Configuration/Server Virtualization/Windows 7 Configuration/Windows 7 & Office 2010 Deployment/Vista Configuration
Este mensaje se proporciona "como está" sin garantías de ninguna clase. Usted asume todos los riesgos.
- Marcado como respuesta Pablo RubioModerator domingo, 25 de marzo de 2018 16:32
-
Hay muchas posibles causas, desde configuración DNS, configuración durante el asistente de promoción, tipo de conexión remota, etc. etc.
Textualmente ¿cuál es el error que da? ¿o lo informa por medio de voz? :)
También deberías revisar el visor de eventos, y pon por acá "Origen" y "ID", no el texto
Guillermo Delprato
MVP - MCSE - MCSA2012
Buenos Aires, Argentina
El Blog de los paso a paso
MCITP: Enterprise Administrator / Server Administrator
MCTS: Active Directory/Network Configuration/Applications Configuration/Server Virtualization/Windows 7 Configuration/Windows 7 & Office 2010 Deployment/Vista Configuration
Este mensaje se proporciona "como está" sin garantías de ninguna clase. Usted asume todos los riesgos.
- Propuesto como respuesta Tonatiuh AbregoModerator miércoles, 21 de marzo de 2018 16:10
- Marcado como respuesta Pablo RubioModerator domingo, 25 de marzo de 2018 16:32
Todas las respuestas
-
aespana, con la información que das no es posible darte ninguna respuesta que tenga cierta seriedad
Deberías indicar la configuración IP de cada máquina incluyendo a qué DNS están apuntando, el tipo de conectividad que hay entre los sitios ya que si hay NAT eso explica, si en algún momento funcionó, si los que están en la oficiana principal replican, etc. etc.
Resumiendo, por lo menos un IPCONFIG /ALL de cada una de las máquinas
Guillermo Delprato
MVP - MCSE - MCSA2012
Buenos Aires, Argentina
El Blog de los paso a paso
MCITP: Enterprise Administrator / Server Administrator
MCTS: Active Directory/Network Configuration/Applications Configuration/Server Virtualization/Windows 7 Configuration/Windows 7 & Office 2010 Deployment/Vista Configuration
Este mensaje se proporciona "como está" sin garantías de ninguna clase. Usted asume todos los riesgos.
- Propuesto como respuesta Juan MondragónModerator miércoles, 14 de marzo de 2018 16:44
- Marcado como respuesta Pablo RubioModerator viernes, 16 de marzo de 2018 16:20
-
Hola Guillermo Buen día, gracias por tu colaboración.
Ok te explico, anteriormente todo funcionaba en excelentes condiciones me refiero a las replicas, hasta que tuvimos un problema con los 2 server de la oficina principal y tuvimos que restaurar un backup de ambos, cabe mencionar que son máquinas virtuales a excepción del controlador de dominio que se encuentra en la sucursal, el respaldo consistió en subir las máquinas virtuales que se habían respaldado en semanas anteriores al problema, entonces desde ese preciso instante dejaron de replicar y comenzaron a generarse mensajes en el registro de eventos como los que mencioné anteriormente, los DNS están funcionando de manera correcta, me resuelven los nombres de los servidores y usuarios en la red sin problema, puedo hacer ping por ip y nombre sin problemas, la hora está sincronizada correctamente, las controladores virtuales están sincronizados en la hora con el controlador de dominio de la sucursal, pero aun así no entiendo porque no replican..
La configuración esta bien y cada servidor apunta a los DNS de los otros servidores y así mismo..
-
Revisa en los Controladores de Dominio que seguramente debe aparecer un error indicando que se superó un tiempo, no recuerdo en español, pero en inglés es el "tombstone life time", porque eso es el motivo para que no repliquen casi seguro
Cuando se restaura desde una copia de seguridad anterior, no debe superarse el "Tombstone Life Time", y por otra parte y muy importante: una tema es si se ha hecho "Backup" de esas máquinas y algo totalmente diferente y no soportado es si se ha recuperado desde un punto de restauración o desde una copia del disco de las virtuales; esto último no sirve para recuperar
Si el hipervisor es W2012R2 y las virtuales también W2012R" entonces sí se puede usar los puntos de restauración "Snapshots", en versiones anteriores presentará inconsistencia prácticamente insolubles
Guillermo Delprato
MVP - MCSE - MCSA2012
Buenos Aires, Argentina
El Blog de los paso a paso
MCITP: Enterprise Administrator / Server Administrator
MCTS: Active Directory/Network Configuration/Applications Configuration/Server Virtualization/Windows 7 Configuration/Windows 7 & Office 2010 Deployment/Vista Configuration
Este mensaje se proporciona "como está" sin garantías de ninguna clase. Usted asume todos los riesgos.
- Propuesto como respuesta Pablo RubioModerator jueves, 15 de marzo de 2018 16:18
- Marcado como respuesta Pablo RubioModerator domingo, 25 de marzo de 2018 16:32
-
Hola Guillermo, gracias por tu respuesta,
Ok, el error que mencionas no me aparece, yo días atrás pensé en esa posibilidad pero nada que ver con los eventos.
Lo que si puedo notar Guillermo es que a pesar de que los DNS funcionan y puedo hacer ping a los controladores de dominio por nombre, noto que por ejemplo en los server de la oficina principal desde el DC1 no puedo ingresar al DC2 por su nombre en la red y ver las carpetas compartidas, pero desde el DC2 si puedo hacerlo, es decir, en el explorador coloco \\nameservidor y me dice que no tengo permiso para usar el recurso de red y poder contactar al servidor, ahora por la IP si puedo sin problema alguno, pero desde el DC2 si puedo ingresar por el nombre al DC1, esto también me pasa con el que está en la sucursal, desde la sucursal puedo acceder a ambos (DC1, DC2), por nombre e IP, pero desde la oficina principal no puedo acceder por nombre al de la sucursal (DC3), esto es uno de los errores que me aparece en los registros de eventos del DC1, que dice que el servicio de replicación de archivo está presentando problemas al intentar replicar desde el DC2 al DC1 para la carpeta C:// windows\sysbol\domain usando el DNS NAME, me indica que verifique el servicio y unas pautas que verifique y está todo ok.
-
Se me olvidaba comentarte que el tipo de backup que realizo es a través de una herramienta externa llamada Netbackup, este lo que hace es grabar todo lo que está en la carpeta de las máquinas virtuales, una copia total de la máquina como si estuviéramos simplemente copiando los archivos de la carpeta directamente.
-
Ahí está el problema, ese tipo de copia genera inconsistencias en Active Directory
Personalmente y teniendo en cuenta que hay un Controlador de Dominio que funciona adecuadamente, yo lo que haría es el proceso de limpieza de los dos que no replican y luego los reinstalaría, suele ser lo más rápido. Aunque por supesto si esos Controladores de Dominio tuvieran datos los salvaría antes
Dependiendo de la versión del sistema operativo es fácil eliminar cuentas de Controladores de Dominio
Eliminar un Controlador de Dominio Que Ya No Existe (Fácil) | WindowServer
https://windowserver.wordpress.com/2012/06/02/eliminar-un-controlador-de-dominio-que-ya-no-existe-fcil/Y luego instalaría las dos nuevas máquinas aisladas de la red, para luego conectarlas y volverlas a promover como Controladores de Dominio
Guillermo Delprato
MVP - MCSE - MCSA2012
Buenos Aires, Argentina
El Blog de los paso a paso
MCITP: Enterprise Administrator / Server Administrator
MCTS: Active Directory/Network Configuration/Applications Configuration/Server Virtualization/Windows 7 Configuration/Windows 7 & Office 2010 Deployment/Vista Configuration
Este mensaje se proporciona "como está" sin garantías de ninguna clase. Usted asume todos los riesgos.
-
Bueno sabes que estuve pensando en eso pero ocurre lo siguiente mi estimado, yo prové promoviendo un nuevo servidor de dominio en la oficina principal para agregarlo al controlador de dominio existente pero no me permite hacerlo porque me genera el mensaje de que el RID MASTER está offline (en este caso el rid master es el server de la sucursal) y no puede contactarlo, entonces no se me ocurre nada más..
Que crees que se pueda hacer en ese caso?
-
Eso es porque uno o todos de los cinco "FSMO Roles" los tiene alguno de los Controladores de Dominio que no están en línea
Con el comando NETDOM QUERY FSMO te mostrará quien los tiene
Al no estar replicando, y luego de quitar de la red a esos dos Controladores de Dominio (importante) debes forzar a que el que queda asuma los roles
Dejo un enlace que tiene el paso a paso, en tu caso hay que usar SEIZE de cada uno de los roles
Windows Server 2012 R2: Cambiar o Reinstalar un Controlador de Dominio Que Se Ha Perdido | WindowServer
https://windowserver.wordpress.com/2015/06/23/windows-server-2012-r2-cambiar-o-reinstalar-un-controlador-de-dominio-que-se-ha-perdido/Guillermo Delprato
MVP - MCSE - MCSA2012
Buenos Aires, Argentina
El Blog de los paso a paso
MCITP: Enterprise Administrator / Server Administrator
MCTS: Active Directory/Network Configuration/Applications Configuration/Server Virtualization/Windows 7 Configuration/Windows 7 & Office 2010 Deployment/Vista Configuration
Este mensaje se proporciona "como está" sin garantías de ninguna clase. Usted asume todos los riesgos.
- Marcado como respuesta Pablo RubioModerator domingo, 25 de marzo de 2018 16:32
-
-
KDC = Kerberos Distribution Center, Kerberos es el protocolo de autenticación en Dominios, y ese es el servicio de distribución de Tickets
Cuidado que es un servicio bastante "quisquilloso", y además es fundamental para el funcionamiento del Dominio
Este servicio que se usa para autenticar todo, entre ello la replicación es sensible a fecha y hora
Una copia de archivos de una virtual es un motivo que puede provocar justamente las inconsistencia, porque puede tomar lugar en un momento donde una transacción no está completada
Además se pueden generar diferentes inconsistencias, para nombrar sólo una: en un DC hay un objeto borrado ("Tombstoned"), pero en otro DC está activo, dependiendo cuál tenga el USN será el que prevalecerá
Guillermo Delprato
MVP - MCSE - MCSA2012
Buenos Aires, Argentina
El Blog de los paso a paso
MCITP: Enterprise Administrator / Server Administrator
MCTS: Active Directory/Network Configuration/Applications Configuration/Server Virtualization/Windows 7 Configuration/Windows 7 & Office 2010 Deployment/Vista Configuration
Este mensaje se proporciona "como está" sin garantías de ninguna clase. Usted asume todos los riesgos.
-
Hola Guillermo,
Ok entiendo,
Realicé los siguientes procedimientos para restablecer el canal de comunicación entre los DC.
Primero cambié a manual el servicio de arranque del centro de claves kerberos, posteriormente
ejecuté el comando de netdom resetpwd.
Una vez hecho esto procedí a ejecutar net use \\nombre FQDN\IPC$ para conseguir nuevos tickets Kerberos.
Cambié el servicio de KDC a automático y reinicié.
Pero esto no me resolvió nada.
Que podría hacer en esta ocasión ya que por lo que puedo observar es el servicio de claves kerberos quien tiene el problema.
-
Hola aespana, ya anteriormente comenté cómo lo solucionaría yo. Si quieres seguir otro camino no hay ningún problema, trata de resolverlo por tú mismo :)
Guillermo Delprato
MVP - MCSE - MCSA2012
Buenos Aires, Argentina
El Blog de los paso a paso
MCITP: Enterprise Administrator / Server Administrator
MCTS: Active Directory/Network Configuration/Applications Configuration/Server Virtualization/Windows 7 Configuration/Windows 7 & Office 2010 Deployment/Vista Configuration
Este mensaje se proporciona "como está" sin garantías de ninguna clase. Usted asume todos los riesgos.
-
Hola Guillermo, si efectivamente he seguido los pasos de acuerdo a lo que me recomendaste, es un opción muy viable, quizás las mejor para seguir, pero te comento lo siguiente.
Yo te había comentado que el servidor con los ROLES FSMO se encuentra en una sucursal, pero que al momento de promocionar un nuevo servidor me aparecía que el RID MASTER estaba offline, siguiendo tus pasos logré que uno de los servidores de la oficina principal se hiciera con todos los ROLES, entonces ahora puedo promocionar y agregar el nuevo servidor al dominio existente pero al finalizar la tarea que pide replicar para finalizar la operación me dice que no puede replicar desde el servidor partner..
-
Hay muchas posibles causas, desde configuración DNS, configuración durante el asistente de promoción, tipo de conexión remota, etc. etc.
Textualmente ¿cuál es el error que da? ¿o lo informa por medio de voz? :)
También deberías revisar el visor de eventos, y pon por acá "Origen" y "ID", no el texto
Guillermo Delprato
MVP - MCSE - MCSA2012
Buenos Aires, Argentina
El Blog de los paso a paso
MCITP: Enterprise Administrator / Server Administrator
MCTS: Active Directory/Network Configuration/Applications Configuration/Server Virtualization/Windows 7 Configuration/Windows 7 & Office 2010 Deployment/Vista Configuration
Este mensaje se proporciona "como está" sin garantías de ninguna clase. Usted asume todos los riesgos.
- Propuesto como respuesta Tonatiuh AbregoModerator miércoles, 21 de marzo de 2018 16:10
- Marcado como respuesta Pablo RubioModerator domingo, 25 de marzo de 2018 16:32
-
Hola Guillermo,
disculpa la demora.
Ok te comento que pude promover 2 DC en el site de la sucursal, tuve que intentarlo nuevamente después del error que te había comentado y pudo replicar, ahora estoy intentando promover uno en el site de la sucursal, te estaré comentando como me va.
Saludos.
-
Hola Guillermo Buenos días,
Guillermo pude resolver promoviendo 2 nuevos servidores en la oficina principal creo que te mencioné, y logré que estos replicaran, ahora con la sucursal tengo un problema, puedo hacer que las sucursal replique con la oficina principal pero la oficina principal no puede replicar con la sucursal y aparece el error ID 1388, yo promoví un nuevo Server en la sucursal pero este cuando lo promuevo solo me permite replicar desde el Server que tiene el problema justamente porque se encuentra en el mismo rango de IP, no permite tomar la configuración de uno de los que tengo en el oficina principal, entonces pienso yo que como replica del Server que presenta la inconsistencia el también presenta el mismo problema, será que si yo me lo llevo a la oficina principal y lo promuevo nuevamente tomando la replica de los que si funcionan y luego lo llevo a la sucursal y lo configuro con su IP y lo muevo a su respectivo sitio podrá funcionar? sería una opción válida?
-
Esta pregunta ya está con otro tema del original, por favor comienza una nueva pregunta especificando todos los datos en forma detallada
Pero para que tengas en cuenta, si tienes un sitio geográficamente separado debes crear la infraestructura de Sitios y Servicios, y no hay forma que la misma red IP esté en dos sitios diferentes
Configurando Sites (Sitios) en Active Directory | WindowServer
https://windowserver.wordpress.com/2013/02/08/configurando-sites-sitios-en-active-directory/Guillermo Delprato
MVP - MCSE - MCSA2012
Buenos Aires, Argentina
El Blog de los paso a paso
MCITP: Enterprise Administrator / Server Administrator
MCTS: Active Directory/Network Configuration/Applications Configuration/Server Virtualization/Windows 7 Configuration/Windows 7 & Office 2010 Deployment/Vista Configuration
Este mensaje se proporciona "como está" sin garantías de ninguna clase. Usted asume todos los riesgos.
-