Clients fragen falschen Server nach Gruppenrichtlinien
Hi,
wir haben unseren Windows 2003 Server Schritt-für-Schritt auf einen 2008 (Standard) Server (Dienste: AD, DNS, Datei- und Druckerfreigaben, etc. ) umgestellt.
Lief alles Prima: den neuen Server als DC ins AD einbinden, die Konfigurationen übernehmen, bei allen Windows-Clients die IP des neuen Servers ins DNS eintragen. Die können auch wunderbar mit dem kommunizieren: DNS, Anmeldung ins AD, WSUS, Dateidienste - funktioniert alles. Der neue Server repliziert sich inzwischen auch mit einem zweiten 2008 Server, der als Backup dient.
Nun das Problem: Nachdem der alte Server herabgestuft wurde, kann keiner der Clients mehr neue Gruppenrichtlinien übernehmen (Userenv Fehler 1054 im Event-Log). Der Grund ist mit gpresult schnell gefunden: Diese suchen alle noch über den DNS-Name des alten Servers nach Gruppenrichtlinien. Obwohl ansonsten die neuen Server vollständig als DC erkannt werden und natürlich auch Globaler Katalog Server sind.
Kann mir jemand sagen, welche Einstellung ich wo (Server/Clients) machen muss, damit die Gruppenrichtlinien wieder funktionieren? Hab ansonsten nirgendwo was gefunden, angeblich wird automatisch der Katalog-Server dafür benutzt (oder auch nicht).
wir haben unseren Windows 2003 Server Schritt-für-Schritt auf einen 2008 (Standard) Server (Dienste: AD, DNS, Datei- und Druckerfreigaben, etc. ) umgestellt.
Lief alles Prima: den neuen Server als DC ins AD einbinden, die Konfigurationen übernehmen, bei allen Windows-Clients die IP des neuen Servers ins DNS eintragen. Die können auch wunderbar mit dem kommunizieren: DNS, Anmeldung ins AD, WSUS, Dateidienste - funktioniert alles. Der neue Server repliziert sich inzwischen auch mit einem zweiten 2008 Server, der als Backup dient.
Nun das Problem: Nachdem der alte Server herabgestuft wurde, kann keiner der Clients mehr neue Gruppenrichtlinien übernehmen (Userenv Fehler 1054 im Event-Log). Der Grund ist mit gpresult schnell gefunden: Diese suchen alle noch über den DNS-Name des alten Servers nach Gruppenrichtlinien. Obwohl ansonsten die neuen Server vollständig als DC erkannt werden und natürlich auch Globaler Katalog Server sind.
Kann mir jemand sagen, welche Einstellung ich wo (Server/Clients) machen muss, damit die Gruppenrichtlinien wieder funktionieren? Hab ansonsten nirgendwo was gefunden, angeblich wird automatisch der Katalog-Server dafür benutzt (oder auch nicht).
Antworten
- Mehr
Auf Facebook teilen
Auf Twitter teilen6 Antworten
- LÖSUNG manuel-r schreibt am 30.01.2010 um 20:21:40 Uhr
- LÖSUNG Yusuf-Dikmenoglu schreibt am 30.01.2010 um 22:11:45 Uhr
- LÖSUNG manuel-r schreibt am 30.01.2010 um 23:35:30 Uhr
- LÖSUNG wichtelgnome schreibt am 31.01.2010 um 12:09:15 Uhr
- LÖSUNG wichtelgnome schreibt am 05.02.2010 um 15:21:35 Uhr
- LÖSUNG manuel-r schreibt am 05.02.2010 um 18:42:07 Uhr
- LÖSUNG wichtelgnome schreibt am 05.02.2010 um 15:21:35 Uhr
- LÖSUNG wichtelgnome schreibt am 31.01.2010 um 12:09:15 Uhr
- LÖSUNG manuel-r schreibt am 30.01.2010 um 23:35:30 Uhr
- LÖSUNG Yusuf-Dikmenoglu schreibt am 30.01.2010 um 22:11:45 Uhr
LÖSUNG 30.01.2010 um 20:21 Uhr
LÖSUNG 30.01.2010 um 22:11 Uhr
Salve,
das spielt keine Rolle. Denn die Rollen werden automatisch beim herunterstufen des ursprünglichen Rolleninhabers auf einen anderen DC verschoben.
Falls das automatische verschieben aus welchen Gründen auch immer fehlschlagen würde, würde das Herunterstufen des DCs stoppen.
Siehe:
[LDAP://Yusufs.Directory.Blog/ - Die FSMO-Rollen mit DCPROMO verschieben]
http://blog.dikmenoglu.de/PermaLink,guid,97ee672c-5f9c-4ecf-b5d0-7b9b04 ...
@ wichtelgnome
Die Probleme könnten vom DNS kommen. Führe mal auf den 2008er DC das DCDIAG aus und überprüfe, welche Tests fehlschlagen.
Viele Grüße
/ > Yusuf Dikmenoglu
Zitat von @manuel-r:
Mir fehlt da was: Hat vor dem Herabstufen des alten w2k3-DC eine Rollenübertragung auf einen der neuen w2k8-DCs
stattgefunden? Prüf das mal bitte und sag, welcher welche Rollen hat.
Mir fehlt da was: Hat vor dem Herabstufen des alten w2k3-DC eine Rollenübertragung auf einen der neuen w2k8-DCs
stattgefunden? Prüf das mal bitte und sag, welcher welche Rollen hat.
das spielt keine Rolle. Denn die Rollen werden automatisch beim herunterstufen des ursprünglichen Rolleninhabers auf einen anderen DC verschoben.
Falls das automatische verschieben aus welchen Gründen auch immer fehlschlagen würde, würde das Herunterstufen des DCs stoppen.
Siehe:
[LDAP://Yusufs.Directory.Blog/ - Die FSMO-Rollen mit DCPROMO verschieben]
http://blog.dikmenoglu.de/PermaLink,guid,97ee672c-5f9c-4ecf-b5d0-7b9b04 ...
@ wichtelgnome
Die Probleme könnten vom DNS kommen. Führe mal auf den 2008er DC das DCDIAG aus und überprüfe, welche Tests fehlschlagen.
Viele Grüße
/ > Yusuf Dikmenoglu
LÖSUNG 30.01.2010 um 23:35 Uhr
die Rollen werden automatisch beim herunterstufen des ursprünglichen Rolleninhabers auf einen anderen DC verschoben
Vom Grundsatz her hast du Recht. Ich hatte aber vor kurzen ein Zeit-Problem (also PDC-Emulator) in meinem Forrest obwohl die Rollen während eines ähnlichen Szenarios korrekt übertragen wurden. Ich musste erst alles manuell anpassen damit es wieder rund läuft.
LÖSUNG 31.01.2010 um 12:09 Uhr
sry, hätte ich noch hinzufügen sollen: Ein dcdiag auf den Servern oder netdiag und nltest /dclist:... auf einem der Clients brachte keine Ergebnisse, die beiden Server werden als DCs erkannt.
Ich überprüfe aber nochmal genau die Rollen, vielleicht sehe ich den Wald vor lauter Bäumen nicht.
Danke euch erstmal!
Ich überprüfe aber nochmal genau die Rollen, vielleicht sehe ich den Wald vor lauter Bäumen nicht.
Danke euch erstmal!
LÖSUNG 05.02.2010 um 15:21 Uhr
ok, hat etwas gedauert, aber an den Rollen liegt es nicht. Diese sind alle einem der beiden Server zugeordnet. Es ist auch egal, welcher von den beiden als primärer DNS-Server auf den Clients eingetragen ist.
Ist aber doch ein anderes Problem, als ich ursprünglich dachte. In der userenv erscheint der Fehler als
ProcessGPOs: DSGetDCName failed with 59.
Ein Netzwerkproblem schließe ich aber aus. Ist hier ein normales LAN und große Pings sind kein Problem. Verrückt: ein Test mit gpotool.exe funktioniert dagegen und zeigt auch die Gruppenrichtlinien an.
Ideen?
Ist aber doch ein anderes Problem, als ich ursprünglich dachte. In der userenv erscheint der Fehler als
ProcessGPOs: DSGetDCName failed with 59.
Ein Netzwerkproblem schließe ich aber aus. Ist hier ein normales LAN und große Pings sind kein Problem. Verrückt: ein Test mit gpotool.exe funktioniert dagegen und zeigt auch die Gruppenrichtlinien an.
Ideen?
LÖSUNG 05.02.2010 um 18:42 Uhr
