deeko23
Goto Top

Hyper-V - Virtueller Domänencontroller - Probleme beim beitritt in Domäne

Hi Leute,

ich habe einen Hyper-V Host mit Server 2012 laufen auf dem eine Virtuelle Maschine läuft die als Domänencontroller funzt. Jetzt wollte ich einen Client rechner im Netz in die Domäne integrieren und
ich bekomme DNS Probleme angezeigt und kann der Domäne nicht beitreten. Den Primären DNS am Client habe ich schon auf den Domänencontroller gewechselt dennoch bekomme ich keine Verbindung bzw. kann nicht joinen.

Kann mir irgendwer helfen ich befürchte das iwie die DNS einstellungen am DC falsch oder fehlerhaft sind. jedoch bin ich in AD und DNS einstellungen nicht soooo versiert und tue mich da grade ein wenig schwer.

wie muss das eingestellt werden und oder was wären die richtigen einstellungen am DC / DNS !?

Dank im Vorraus!

Content-ID: 241678

Url: https://administrator.de/contentid/241678

Ausgedruckt am: 22.11.2024 um 18:11 Uhr

Chonta
Chonta 24.06.2014 um 09:59:38 Uhr
Goto Top
Hallo,

gibt es nur den einen DC?

Der DC muss eine feste IP-Adresse haben!
Am besten ist es, wenn der DC auch DNS-Server ist! In der Netzwekkarte vom DC muss er selber als DNS Eingetragen sein und zwar NUR er (mit IP oder localhost)
Die DNS-Zone des AD sollte auch im AD integriert werden.
Alle die mitgleid in der Domäne werden sollen, dürfen nur den DC als DNS-Server verwenden.

Nslookup und Ping auf die DNS Namen am Server und den Clients gibt die Aufschluss, ob die auch den richtigen Server verwenden.

Gruß

Chonta
Schnubbert
Schnubbert 24.06.2014 um 10:00:20 Uhr
Goto Top
Kannst du denn einen DNS Lookup auf den DC machen oder auf seine IP.
Welcher DNS antwortet dem Client?
emeriks
emeriks 24.06.2014 um 10:15:29 Uhr
Goto Top
Hi,

Zitat von @Chonta:

Hallo,

gibt es nur den einen DC?

Der DC muss eine feste IP-Adresse haben!
Am besten ist es, wenn der DC auch DNS-Server ist! In der Netzwekkarte vom DC muss er selber als DNS Eingetragen sein und zwar NUR
er (mit IP oder localhost)
Die DNS-Zone des AD sollte auch im AD integriert werden.
Alle die mitgleid in der Domäne werden sollen, dürfen nur den DC als DNS-Server verwenden.

Nslookup und Ping auf die DNS Namen am Server und den Clients gibt die Aufschluss, ob die auch den richtigen Server verwenden.

Gruß

Chonta

@Chonta
Solche absoluten Aussagen sind hier mit Vorsicht zu genießen! Andere lesen diesen Thread wohlmöglich auch und ziehen dann für Ihre Umgebung u.U. total falsche Schlüsse.

@deeko23
Also wenn es so ist, dass Du nur diesen einen DC hast und sonst keinen anderen DNS-Server, dann also ähnlich wie Chonta schreibt:
- der DC muss auch DNS-Server sein
- der DNS-Server muss eine schreibbare Zone für Deine Domäne haben
- der DNS-Server muss seine Einträge in diese Zone schreiben können - dafür muss er sich selbst als ersten DNS eingetragen haben
- damit der der DNS-Server funktioniert, muss der DC-Computer eine feste IP haben (und nicht etwa, weil er DC ist)
- die Clients müssen diesen DNS-Server benutzen - also i.A. diesen DNS-Server als ersten DNS eingertragen haben

Wenn der Server und die Clients weitere, andere DNS-Server eingetragen haben, dann kann das zwar u.U. sinnvoll sein, aber hier für Dein Problem irrelevant. Sie "dürfen", aber es nützt nichts für Deine Domäne.

E.
deeko23
deeko23 24.06.2014 um 10:43:35 Uhr
Goto Top
Also.... der DC ist DNS Server. Auch der einzige!
DC hat feste IP und sich selbst bzw. 127.0.0.1 als einzige DNS adresse drin.


Client habe ich jetzt mal testweise einen Virtuellen Rechner mit win 7 aufgesetzt. hat auch eine Statische ip und den DC als einzigen DNS server drin stehen.

NSlookup vom client geht nicht --> unknown Domain
ping geht

Bitte nochmal um detailliertere konfigurationshilfe für den DNS und die zonen da ich denke das da der Fehler ist.
Chonta
Chonta 24.06.2014 aktualisiert um 11:13:22 Uhr
Goto Top
Zitat von @emeriks:


@Chonta
Solche absoluten Aussagen sind hier mit Vorsicht zu genießen! Andere lesen diesen Thread wohlmöglich auch und ziehen
dann für Ihre Umgebung u.U. total falsche Schlüsse.

Hallo,

was ist an meiner Aussage bitte falsch? Vor allem da die Einstellungen für jemand sein soll, der von AD und DNS laut aussage nicht viel Ahnung hat.
Klar kann auch ein anderer DNS verwendet werden, bei dem dann die Einträge manuell nachgeriecht werden müssen (Spaßig wenn man keine Ahnung hat oder den DNS "Server" vom Router oder den DNS-Server von Google/Provider für seine local Domain verwenden will.
Man kann auch jeden anderen DNS-Server verwenden, der dann eine Weiterleitung auf die Zone der Domäne macht......... Auch spaßig wenn man keine Anhung hat.

Ein DC läuft auch mit Dynamischen IP vom DHCP technisch machbar aber er will ja eine funktionierende Umgebung haben die möglichst kene Probleme macht.

In einer Umgebung mit mehr als einem DC sollten auch alle DC DNS sein und jeder DC sollte jewiels einen anderen DC als haupt DNS für seine Netzwerkkarte verwenden (wegen neustart und finden vom DNS) und die Zonen der Domäne im AD integriert, geht auch ohne mit Primär und Sekundär ABER.....

@deko23
Im selben Netz sind die aber schon oder? Können di ejeweils die IP des anderen anpingen?
Ist dein Win7 Client auf dem selben Virtualisierer wie der Server oder auf einem Desktopvirtualisierer der für die NIC noch auf NAT und nicht Bridge steht?
Kann der Client ping 8.8.8.8 machen aber www.google.de geht nicht?


Gruß

Chonta
emeriks
emeriks 24.06.2014 um 11:19:32 Uhr
Goto Top
Hi Chonta,
ich sagte ja nicht, dass das falsch war. Es schien mir nur "zu absolut" ("Der DC muss eine feste IP-Adresse haben!"). Deshalb habe ich es konkretisiert. Und hier fragen ja nun mal auch welche, die keine Fachkenntnis haben und hier Hilfe suchen.

Mein alter Pauker sagte immer: "Eine sauber formulierte Frage ist die halbe Antwort." Und das ist nun schon 100 Jahre her. Mindestens ....

E.
Chonta
Chonta 24.06.2014 um 11:27:59 Uhr
Goto Top
Hallo,

ok so gesehen hast Du Recht.
Meiner Meinung nach sollten DC immer DNS sein und jeder Server sollte immer eine feste IP haben.
Es mag Ausnahemn geben, aber um eine Umgebung zum laufen zu bekommen ist es das einfachste, anpassen geht später immer noch (meistens)

Gruß

Chonta
deeko23
deeko23 24.06.2014 um 11:54:52 Uhr
Goto Top
Also vom CLient rechner der ja den DC als alleinigen DNS hat kann ich google als auch die 8.8.8.8 anpingen.
deeko23
deeko23 24.06.2014 um 11:55:40 Uhr
Goto Top
Und ja alle VMs laufen gerade auf einem Hyper-v server.
deeko23
deeko23 24.06.2014 um 12:07:24 Uhr
Goto Top
Hier vielleicht nochmal etwas was hilft...:

Im server-manager vom DC und der DNS rolle im Best Practice Analyzer: 3 Fehler und 3 Warnungen:

Fehler1: Es müssen Stammhinweise / Weiterleitungen für den DNS Server konfiguriert werden.
Fehler2: Die Liste der Weiterleitungsserver darf die verbindungslokale IP-Adresse xxxx:xxxx:xxxx:xxxx:xxxx nicht enthalten
Fehler3: DNS Server für ethernet sollten die Loopbackadresse enthalten jedoch nicht als ersten eintrag.

Warnung1:Der Weiterleitungsserver xxxx:xxxx:xxxx:xxxx:xxxx sollte auf DNS abfragen reagieren
Warnung2:AUf dem DNS sollte die Aufräumfunktion aktiviert sein
Warnung3:Ethernet sollte sowohl für die Verwendung einer bevorzugten als auch eines Alternativen DNS konfiguriert sein.

Hilft das ?
Chonta
Chonta 24.06.2014 aktualisiert um 12:14:38 Uhr
Goto Top
Hallo,

kannst Du auch nsllokup www.administrator.de machen und wird dir dabei der DC als DNS angezeigt?

Ist die Domäne eine .local Domäne bzw. wie lautet die Domäne? Wenn ja (.local) den DNS-Client-Dienst auf dem Win7 neustarten und den Beitritt probieren.


Beim DNS-Server-Management mal bitte schauen, ob die Zone der Domäne als AD-integriert geführt wird, wenn ja gut, wenn nicht ändern.

Gruß

Chonta

Nachtrag: Fehler2: Hast Du eine Weiterleitung eingerichtet und für was und warum?
Die Rolle des DNS Server ist aber auch sauber installiert?
deeko23
deeko23 24.06.2014 um 12:17:08 Uhr
Goto Top
wenn ich am client nslookup auf www.administrator.de mache:

Server: unknown
adress: fe80::1

nicht autorisierende anwort
name: www.administrator.de
adress: 82.149.225.18
deeko23
deeko23 24.06.2014 um 12:28:36 Uhr
Goto Top
Die domäne ist NAME.local ist auch active directory integriert.
Weiterleitung hab ich jetzt mal rausgenommen. Vorher war eine drin zur gateway
Chonta
Chonta 24.06.2014 um 12:29:25 Uhr
Goto Top
Hallo,

was kommt bei dcname.deine.domain ?
Es kann auch sein, das die Firewall vom Server noch blockt.

Gruß

Chonta
deeko23
deeko23 24.06.2014 um 12:31:04 Uhr
Goto Top
Versteh die Frage nicht ?
deeko23
deeko23 24.06.2014 um 12:35:55 Uhr
Goto Top
Firewall mal ausgeschaltet am DC und client.
Beitritt mit folgender Fehlermeldung nicht möglich:

keine Verbindung mit AD DC.....

in den Details: Der Computer wurde zum Verwenden von DNS-Server mit folg. IP konfiguriert: 192.168.0.203 (DC /DNS Server)

Mind. eine der folgenden Zonen enthalten keine Delegierung zu dieser untergeordneten Zone:

NAME.local
local
. (die Stammzone)
Chonta
Chonta 24.06.2014 aktualisiert um 12:51:11 Uhr
Goto Top
Zitat von @deeko23:

Versteh die Frage nicht ?
Was gibt der Client aus wenn Du ein nslookup auf den Domänennamen des DC machst?

Ausschalten der Firewall ist keine gute Idee. Habe die Erfahrung gemacht das wenn ich bei Windows 8 den Firewalldienst stoppe nix mehr geht.

Kann der Client die 192.168.0.203 anpingen?

Mach doch mal bitte ein Screenshot von deinen DNS Zonen.

Was sagt der Server selber, läuft das AD?
Den DNS-Dienst schon auf dem Client neu gestartet worden?

Steht in deiner AD -DNS Zone auch was drin?

Da testumgebung, AD und DNS Rolle entfernen und neu machen Screenshots machen und bei Fehlern damit hier ankommen, dann kann man sehen wo es geknallt hat.

Gruß

Chonta
deeko23
deeko23 24.06.2014 um 12:52:47 Uhr
Goto Top
nslookup auf den domänennamen=

Server: unknown
adress: fe80::1
deeko23
deeko23 24.06.2014 um 12:53:58 Uhr
Goto Top
CLient kann 192.168.0.203 pingen.

Active Directory läuft.

DNS dienst auf dem Client auch neu gestartet.

in der AD steht die Zone auch drin.
emeriks
emeriks 24.06.2014 um 12:55:08 Uhr
Goto Top
"." und "local" brauchst Du normalerweise nicht. Die werden meiens Wissens vom dcpromo erstellt, wenn Du beim promo des ersten DC der ersten Domäne den DNS-Server mit installierst. Es ei denn, Du brauchst diese Zonen für was anderes, z.b. weil dort Records drin sind oder Du noch andere "*.local" Zonen auf anderen Servern hast.

Also entweder löschst Du dieses Zonen oder Du erstellst in "." eine Delegierung auf "local" und in "local" eine auf "name" sofern nicht schon vorhanden. Ziel ist jeweils der DNS-Server selbst.

E.
Chonta
Chonta 24.06.2014 um 13:02:08 Uhr
Goto Top
Emerikes hat Recht.
Aber ab dem Moment wo der DNS-Server selber die . Zone hält dürfte der nichtmal www.administrator.de auflösen, weil er ist das gesammte Internet und jede Zone die er nicht selber hostet existiert nicht.

Ich will einen Screenshot von der DNS-Managementkonsole und den Zonen face-smile

Gruß

Chonta
deeko23
deeko23 24.06.2014 um 13:02:11 Uhr
Goto Top
wie kann ich denn bilder hier posten ?
emeriks
emeriks 24.06.2014 um 13:14:41 Uhr
Goto Top
Zitat von @Chonta:

Emerikes hat Recht.
Is wahr. face-wink

Aber ab dem Moment wo der DNS-Server selber die . Zone hält dürfte der nichtmal www.administrator.de auflösen, weil
er ist das gesammte Internet und jede Zone die er nicht selber hostet existiert nicht.
Sccchtümmmmt ...
deeko23
deeko23 24.06.2014 um 13:49:07 Uhr
Goto Top
äääääähm...... ja ...... was nu face-smile ?
Chonta
Chonta 24.06.2014 um 14:12:12 Uhr
Goto Top
Zitat von @deeko23:

äääääähm...... ja ...... was nu face-smile ?

Wie füge ich auf administrator.de ein Bild bei einer Antwort hinzu

Gruß

Chonta
deeko23
deeko23 24.06.2014 um 14:18:35 Uhr
Goto Top
1b0e49cfd20b54a6a8c6e889b4ac317e
deeko23
deeko23 24.06.2014 um 14:18:46 Uhr
Goto Top
reicht das ??
rzlbrnft
Lösung rzlbrnft 24.06.2014 aktualisiert um 15:53:48 Uhr
Goto Top
Da dein NSLookup auf den Domainnamen IPV6 ausspuckt und du wahrscheinlich kein IPV6 nutzt würd ich das am Client mal testweise deaktivieren und posten was er dann ausspuckt.

Und ich würd DHCP aktivieren auf dem Server, das würde das testen vereinfachen.
Chonta
Chonta 24.06.2014 um 15:12:15 Uhr
Goto Top
Zitat von @deeko23:

reicht das ??

Hallo,

nein reicht nicht.

Das was auf dem Bild zu sehen ist, ist genau so wie es aussehen muss, aber man kann nichts vom Inhalt sehen.
Und das auskommentieren deiner .local ist unnötig, die ist eh nur vor dir aus erreichbar.

Mich interessiert was rechts steht, wenn Du deine .local angeklickt hast, dann sollten rechts einege Host(A) usw stehen.
Und bei _msdcs.....local > dc > _tcp ist auch von interesse was da drin steht.

Gruß

Chonta
deeko23
deeko23 24.06.2014 um 15:20:40 Uhr
Goto Top
der Tip hat geholfen ich habe IPv6 deaktiviert .... er hat dann ewig gerödelt und netzwerkidentifizierung gemacht,

hab einfach probiert der Domäne beizutreten und ........hat geklappt.

Verstehen tu ichs zwar nicht aber naja.


So nun jetzt noch das letzte Problem ich hatte vorhin mal die DNS server rolle deinstalliert und neu installiert nun hat der DC keine internetverbindung mehr bzw. kann die Domains nicht auflösen wo trag ich denn nun was ein damit die Clients auch noch Internet haben ?

Weiterleitung im DNS ? Alternativer DNS in den IP einstellungen des DC oder was ?
deeko23
deeko23 24.06.2014 um 15:23:40 Uhr
Goto Top
Ach und soll ich IPv6 auf dem DC auch deaktivieren ? oder hat das Konsequenzen ?
rzlbrnft
rzlbrnft 24.06.2014 aktualisiert um 15:31:32 Uhr
Goto Top
Microsoft Best Practices sagt, man sollte es anlassen.
Meiner eigenen persönlichen Erfahrung nach funktioniert es besser, es zu deaktivieren, zumindest sofern man nicht plant, auch eine funktionsfähige IPv6 Umgebung zu implementieren.

Auf unseren Servern ist es überall deaktiviert.

Zitat von @deeko23:
So nun jetzt noch das letzte Problem ich hatte vorhin mal die DNS server rolle deinstalliert und neu installiert nun hat der DC
keine internetverbindung mehr bzw. kann die Domains nicht auflösen wo trag ich denn nun was ein damit die Clients auch noch
Internet haben ?

Geh mal auf Eigenschaften des Dns Servers, der Reiter Stammhinweise bzw. Weiterleitungen sind das was du konfigurieren musst.
Hier schaut ein DNS nach wenn er in seiner eigenen Datenbank nichts findet.
rzlbrnft
rzlbrnft 24.06.2014 um 15:37:24 Uhr
Goto Top
Hier findest du die IP-Adressen der Root Server.
Unter Weiterleitung kannst du z.B. die deines/deiner ISPs eintragen.

http://de.wikipedia.org/wiki/Root-Nameserver
deeko23
deeko23 24.06.2014 um 15:45:54 Uhr
Goto Top
ok hab einfach jetzt ne weiterleitung an den Router in den DNs einstellungen eingestellt...


aber jetzt echt das mit der IPv6 war jetzt der ganze grund das es nicht funktioniert hat ???
Chonta
Chonta 24.06.2014 um 16:05:08 Uhr
Goto Top
Zitat von @deeko23:

ok hab einfach jetzt ne weiterleitung an den Router in den DNs einstellungen eingestellt...


aber jetzt echt das mit der IPv6 war jetzt der ganze grund das es nicht funktioniert hat ???

Hallo,

nein der Grund ist ein Fehler bei Server oder Client im Zusammenhang des Netzwerks.
Im Normalfall funktioniert das auch mit IPv6 an.

Man hätte auch den DNS Server bei Schnitstellen die IPv6 Adressen rausnehmen können, dann hätte der nur IPv4 mit IPv4 gearbeitet.

Gruß

Chonta
rzlbrnft
rzlbrnft 24.06.2014 aktualisiert um 19:39:00 Uhr
Goto Top
Zitat von @Chonta:
Man hätte auch den DNS Server bei Schnitstellen die IPv6 Adressen rausnehmen können, dann hätte der nur IPv4 mit
IPv4 gearbeitet.

Das ist im Prinzip aber das selbe wie IPv6 einfach zu deaktivieren.
Ich würds im Moment eigentlich immer deaktiviert lassen.
Es bringt in privaten Netzen mit begrenzter Rechnerzahl mehr Probleme als Vorteile, wegen unnötiger Komplexität.