masterds
Goto Top

Windows Server 2008 R2 - DC Umzug auf neue Hardware

Hallo Community,

ich möchte einen Windows 2000 Server, der derzeit Domaincontroller, ADS und DNS ist, ersetzen. Den neuen Server habe ich bereits hier (Windows Server 2008 R2). Nun muss ich die Funktionalität des alten Servers möglichst ohne große Beeinflußung der User auf den neuen Server übertragen. Im Einzelnen bedeutet das, dass der neue Server zum DC werden muss, die Benuter des AD übernommen werden müssen, der neue Server der neue DNS Server aller Rechner werden muss und auch noch (wenn der alte Server dann ausgeklinkt ist) den Servernamen des alten übernehmen muss (wichtig für Pfade etc.).

Ich habe vor das folgendermaßen zu tun:
- neuen Server zum zweiten DC machen, inklusive DNS Installation
- FSMO Rollen an den neuen Server übertragen
- Replikation überprüfen (Wie stelle ich das am besten an?)
- Alten Server mit dcpromo degradieren
- Alten Server ausschalten
- Neuen Server mittels RENDOM umbenennen (hier wird wohl ein neustart erforderlich sein, ist aber nicht tragisch.)

Jetzt die Frage: Geht das so? Oder bekomme ich aufgrund des geänderten Servernames Probleme mit der Anmeldung an den Clients? Habe ich etwas vergessen?
Wäre super wenn ihr mir kurz Feedback geben könntet.

Gruß
MasterDS

Content-ID: 134062

Url: https://administrator.de/contentid/134062

Ausgedruckt am: 22.11.2024 um 15:11 Uhr

DerWoWusste
DerWoWusste 21.01.2010 um 17:22:48 Uhr
Goto Top
Hi.
Als Anmerkung: Du kannst auch im DNS den alten Namen auf die neue IP leiten, dann brauchst Du nicht umzubenennen.
Ebenso kannst Du die neue IP als DNS-Server per Policy bei allen eintragen.
--
Computer Configuration/Administrative Templates/Network/DNS Client/DNS
Servers

Explanation:

Defines the DNS servers to which a computer sends queries when it attempts
to resolve names.

Warning: The list of the DNS servers defined in this setting supersedes DNS
servers configured locally and those configured using DHCP. The list of DNS
servers is applied to all network connections of multihomed computers to
which this setting is applied.

The following article has addressed this policy:

294785 New Group Policies for DNS in Windows Server 2003
http://support.microsoft.com/?id=294785
--
Yusuf-Dikmenoglu
Yusuf-Dikmenoglu 21.01.2010 um 19:47:47 Uhr
Goto Top
Salve,

wenn es sich vermeiden lässt, führe nicht das Umbenennen eines DCs durch.
Das ist zwar ab Windows Server 2003 möglich, jedoch ist das ein komplexer Vorgang. Doch wenn es sich nicht vermeiden lässt,
dann auf jedenfall mit NETDOM (und nicht RENDOM, das wird für die Domänenumbenennung benötigt).

Die Replikation kann man mit REPADMIN aus den Windows Support Tools überprüfen.
Aber das Eventlog sollte die erste Anlaufstelle sein. Denn wenn es Probleme gibt,
wird das im Eventlog protokolliert.

Schau dir für dein Vorhaben die beiden Links an:

[LDAP:Yusufs.Directory.Blog/ - Den ersten Windows Server 2008 R2 DC zur Gesamtstruktur hinzufügen]
http://blog.dikmenoglu.de/Den+Ersten+Windows+Server+2008+R2+DC+Zur+Gesa ...

[LDAP:
Yusufs.Directory.Blog/ - Den einzigen Domänencontroller austauschen]
http://blog.dikmenoglu.de/Den+Einzigen+Dom%c3%a4nencontroller+Austausch ...


Viele Grüße
/ > Yusuf Dikmenoglu
masterds
masterds 22.01.2010 um 13:11:22 Uhr
Goto Top
Okay...

Bin gerade dabei den neuen Server zum DC zu machen.

DC Promo hat mich gebeten ADPREP /forestprep auszuführen. -- OK
Dann sollte ich ADPREP /domainprep ausführen. -- OK (nachdem ich auf den einheitlichen Modus gewechselt war)
Dann gab mir ADPREP die Info, dass ich noch ADPREP /domainprep /gpprep ausführen solle.

Und hierbei tritt nun ein Fehler auf.

domainprep wird ausgeführt...

Die domänenweiten Informationen wurden bereits aktualisiert.
[Status/Folgen]
Adprep hat nicht versucht, diesen Vorgang erneut auszuführen.

Adprep konnte wegen eines Fehlers der Rückruffunktion nicht abgeschlossen werden
.
[Status/Folgen]
Fehlermeldung: (null)
[Benutzeraktion]
Weitere Informationen finden Sie in der Protokolldatei "ADPrep.log" im Verzeichn  
is "C:\WINNT\debug\adprep\logs\20100122130519".  

ADPrep.log:
[2010/01/22:13:05:19.265]
Adprep hat die Protokolldatei ADPrep.log im Verzeichnis C:\WINNT\debug\adprep\logs\20100122130519 erstellt.
[2010/01/22:13:05:19.281]
Adprep kopierte Datei E:\support\adprep\schema.ini vom Installationspunkt auf den lokalen Computer in Verzeichnis C:\WINNT.
[2010/01/22:13:05:19.281]
Adprep kopierte Datei E:\support\adprep\schupgrade.cat vom Installationspunkt auf den lokalen Computer in Verzeichnis C:\WINNT\system32.
[2010/01/22:13:05:19.281]
Adprep kopierte Datei E:\support\adprep\PAS.ldf vom Installationspunkt auf den lokalen Computer in Verzeichnis C:\WINNT\system32.
[2010/01/22:13:05:19.296]
Adprep hat erfolgreich eine LDAP-Verbindung mit dem lokalen Active Directory-Domänencontroller "SERVERNAME" hergestellt.  
[2010/01/22:13:05:19.296]
Adprep war im Begriff, die folgenden LDAP-API aufzurufen. ldap_search_s(). Der Basiseintrag, mit dem die Suche begonnen wird, ist (null).
[2010/01/22:13:05:19.296]
LDAP API ldap_search_s() fertig gestellt, Rückgabecode ist 0x0
[2010/01/22:13:05:19.296]
Adprep hat von den lokalen Active Directory-Domänendiensten erfolgreich Informationen erhalten.
[2010/01/22:13:05:19.296]
Adprep hat die globalen Variablen erfolgreich initialisiert.
[Status/Folgen]
Adprep wird fortgesetzt.
[2010/01/22:13:05:19.312]
Die domänenweiten Informationen wurden bereits aktualisiert.
[Status/Folgen]
Adprep hat nicht versucht, diesen Vorgang erneut auszuführen.
[2010/01/22:13:05:19.312]
Adprep war im Begriff, die folgenden LDAP-API aufzurufen. ldap_search_s(). Der Basiseintrag, mit dem die Suche begonnen wird, ist cn=a3dac986-80e7-4e59-a059-54cb1ab43cb9,cn=Operations,cn=DomainUpdates,cn=System,DC=DOMAIN,DC=local.
[2010/01/22:13:05:19.312]
LDAP API ldap_search_s() fertig gestellt, Rückgabecode ist 0x20
[2010/01/22:13:05:19.312]
Adprep hat den Status von Vorgang cn=a3dac986-80e7-4e59-a059-54cb1ab43cb9,cn=Operations,cn=DomainUpdates,cn=System,DC=DOMAIN,DC=local überprüft.
[Status/Folgen]
Der Vorgang wurde noch nicht ausgeführt und wird auch zurzeit nicht
ausgeführt. Er wird als Nächstes ausgeführt.
[2010/01/22:13:05:19.312]
Adprep war im Begriff, die folgenden LDAP-API aufzurufen. ldap_search_s(). Der Basiseintrag, mit dem die Suche begonnen wird, ist cn=446f24ea-cfd5-4c52-8346-96e170bcb912,cn=Operations,cn=DomainUpdates,cn=System,DC=DOMAIN,DC=local.
[2010/01/22:13:05:19.312]
LDAP API ldap_search_s() fertig gestellt, Rückgabecode ist 0x20
[2010/01/22:13:05:19.312]
Adprep hat den Status von Vorgang cn=446f24ea-cfd5-4c52-8346-96e170bcb912,cn=Operations,cn=DomainUpdates,cn=System,DC=DOMAIN,DC=local überprüft.
[Status/Folgen]
Der Vorgang wurde noch nicht ausgeführt und wird auch zurzeit nicht
ausgeführt. Er wird als Nächstes ausgeführt.
[2010/01/22:13:05:19.312]
Adprep konnte wegen eines Fehlers der Rückruffunktion nicht abgeschlossen werden.
[Status/Folgen]
Fehlermeldung: (null)
[Benutzeraktion]
Weitere Informationen finden Sie in der Protokolldatei "ADPrep.log" im Verzeichnis "C:\WINNT\debug\adprep\logs\20100122130519".  
[2010/01/22:13:05:19.312]
Adprep konnte die Domäneninformationen nicht aktualisieren.
[Status/Folgen]
Adprep benötigt Zugriff auf die vorhandenen domänenweiten Informationen vom Infrastrukturmaster, um diesen Vorgang abzuschließen.
[Benutzeraktion]
Weitere Informationen finden Sie in der Protokolldatei "ADPrep.log" im Verzeichnis "C:\WINNT\debug\adprep\logs\20100122130519".   

Kann mir da jemand helfen?
Yusuf-Dikmenoglu
Yusuf-Dikmenoglu 22.01.2010 um 22:43:25 Uhr
Goto Top
1. Du musst ADPREP /DOMAINPREP /GPPREP auf dem Infrastrukturmaster ausführen.

2. Die Meldung "Die domänenweiten Informationen wurden bereits aktualisiert" ist normal, da du vorher ADPREP /DOMAINPREP ausgeführt hast.

3. Deaktiviere vor dem Ausführen von ADPREP /DOMAINPREP /GPPREP auf dem Infrastrukturmaster den Virenscanner und versuche es erneut!

4. Die Default Domain Policy (die GUID ist {31B2F340-016D-11D2-945F-00C04FB984F9} ) und Default Domain Controllers Policy (die GUID ist {6AC1786C-016F-11D2-945F-00C04fB984F9} ) fehlen im SYSVOL Verzeichnis.

5. Der Reg.-Eintrag HKLM\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters\SYSVOL ist nicht vorhanden oder zeigt nicht auf das echte SYSVOL Verzeichnis (%windir%\SYSVOL\sysvol).

6. Im SYSVOL Verzeichnis fehlt das SCRIPTS Verzeichnis.


Gruß, Yusuf Dikmenoglu
masterds
masterds 25.01.2010 um 15:08:38 Uhr
Goto Top
Zitat von @Yusuf-Dikmenoglu:

1. Du musst ADPREP /DOMAINPREP /GPPREP auf dem Infrastrukturmaster ausführen.

2. Die Meldung "Die domänenweiten Informationen wurden bereits aktualisiert" ist normal, da du vorher ADPREP
/DOMAINPREP ausgeführt hast.

3. Deaktiviere vor dem Ausführen von ADPREP /DOMAINPREP /GPPREP auf dem Infrastrukturmaster den Virenscanner und versuche es
erneut!

4. Die Default Domain Policy (die GUID ist {31B2F340-016D-11D2-945F-00C04FB984F9} ) und Default Domain Controllers Policy (die
GUID ist {6AC1786C-016F-11D2-945F-00C04fB984F9} ) fehlen im SYSVOL Verzeichnis.

5. Der Reg.-Eintrag HKLM\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters\SYSVOL ist nicht vorhanden oder zeigt nicht auf das
echte SYSVOL Verzeichnis (%windir%\SYSVOL\sysvol).

6. Im SYSVOL Verzeichnis fehlt das SCRIPTS Verzeichnis.


Gruß, Yusuf Dikmenoglu

Hallo!

Zu 1) Ja, das ist der alte Server. Da habe ich es auch gemacht.
Zu 2) Das dachte ich mir.
Zu 3) Auf dem Server läuft kein Scanner
Zu 4) Nein die sind da. Was mir allerdings aufgefallen ist, ist das das Verzeichnis nicht "%windir%\SYSVOL\sysvol" sondern "%windir%\sysvol\sysvol" lautet. Darunter befindet sich der Order "DOMAINNAME.local" und darin sind die Ordner Policies und scripts.
Zu 5) Richtig, der Eintrag ist nicht vorhanden.
Zu 6) Nein, siehe Punkt 4.

In der zwischenzeit habe ich den zweiten Server allerdings in die Domain gehoben (ohne GPPREP). Ist das tragisch? Soll ich ADPREP /DOMAINPREP /GPPREP dennoch ausführen oder geht das jetzt nicht mehr / zerschießt mir das etwas? Falls ich es noch ausführen soll, soll ich den Reg-Key aus Punkt 5 auf dem alten Server noch anlegen?

Danke!!!

MasterDS
Yusuf-Dikmenoglu
Yusuf-Dikmenoglu 25.01.2010 um 16:17:57 Uhr
Goto Top
Zitat von @masterds:
In der zwischenzeit habe ich den zweiten Server allerdings in die Domain gehoben (ohne GPPREP). Ist das tragisch?

Mir ist bisher kein Fehlverhalten bekannt. Zumindest stört es nach meinen Erfahrungen den laufenden Betrieb nicht.
Du solltest den Befehl aber trotzdem ausführen, um nicht in der Zukunft Probleme im Zusammenhang mit GPOs zu bekommen.

Soll ich ADPREP /DOMAINPREP /GPPREP dennoch ausführen oder geht das jetzt nicht mehr / zerschießt mir das etwas?

Ja, führe den Befehl aus und nein, zerschießen tust du nichts. Aber wie immer bei Änderungen, führe eine Sicherung zumindest vom SYSTEM STATE durch. Nur für den Fall der Fälle, der hoffentlich nie eintritt. face-wink

Falls ich es noch ausführen soll, soll ich den Reg-Key aus Punkt 5 auf dem alten Server noch anlegen?

Ja, der ist notwendig. Erstelle den Eintrag "Sysvol" vom Typ "REG_SZ" und trage als Wert den Pfad zum Sysvol-Verzeichnis ein.
Standardmäßig lautet der "C:\Windows\SYSVOL\sysvol".


Gruß, Yusuf Dikmenoglu

P.S. Ich würde mich bei Erfolg über ein kurzes Feedback freuen, was genau das Problem gelöst hat. face-wink
masterds
masterds 26.01.2010 um 13:56:24 Uhr
Goto Top
Hallo Yusuf,

vielen Dank für die prima Hilfe.

Nachdem ich den Reg-Eintrag erstelt hatte, konnte ich den Befehl auf der Konsole Fehlerfrei ausführen. Somit ist denke ich alles in Ordnung.
Für das weitere vorgehen, halte ich mich einfach an die Anleitung aus deinem Blog ;). Super übrigens! :D

Und nochmals DANKE!

Gruß
MasterDS
Yusuf-Dikmenoglu
Yusuf-Dikmenoglu 26.01.2010 um 15:11:42 Uhr
Goto Top
Na wer sagts denn...

Prima. Freut mich das es nun funktioniert. Behalte das Eventlog im Auge. face-wink

Danke für dein Feedback.


Viele Grüße, Yusuf
masterds
masterds 27.01.2010 um 12:53:35 Uhr
Goto Top
Jetzt hab ich aber nochmal eine Frage zum DNS. Im Eventlog zeigt er mir Warnungen an. Ich Poste die mal...

1.
Der DNS-Server wartet darauf, dass von den Active Directory-Domänendiensten angezeigt wird, dass die Erstsynchronisierung des Verzeichnisses durchgeführt wurde. Der
DNS-Serverdienst kann erst nach der Erstsynchronisierung gestartet werden, da wichtige DNS-Daten möglicherweise noch nicht auf diesen Domänencontroller repliziert wurden.
Sofern die im Ereignisprotokoll der Active Directory-Domänendienste protokollierten Ereignisse deutlich machen, dass Probleme bei der DNS-Namensauflösung vorliegen, sollte
ggf. die IP-Adresse eines weiteren DNS-Servers für diese Domäne der DNS-Serverliste in den Internetprotokolleigenschaften dieses Computers hinzugefügt werden. Dieses
Ereignis wird alle zwei Minuten protokolliert, bis von den Active Directory-Domänendiensten angezeigt wird, dass die Erstsynchronisierung durchgeführt wurde.

2.
Der DNS-Server konnte keine integrierte Verzeichnispartition "DomainDnsZones.EMCOM.local" erstellen. Fehler: 9906.

3.
Der DNS-Server konnte keine integrierte Verzeichnispartition "ForestDnsZones.EMCOM.local" erstellen. Fehler: 9906.

Nach der 1. gibt er aber die Information "DNS Server gestartet."

So wie ich das verstanden habe, syncronisiert sich auch der DNS und separat einrichten muss ich diesen nicht oder?

Gruß

MasterDS
Yusuf-Dikmenoglu
Yusuf-Dikmenoglu 27.01.2010 um 22:32:06 Uhr
Goto Top
Zitat von @masterds:
So wie ich das verstanden habe, syncronisiert sich auch der DNS und separat einrichten muss ich diesen nicht oder?

Genau so ist es. Zwingend ist jedoch, dass die Forward Lookup Zone (FLZ) AD-integriert gespeichert wurde.
Überprüfen kannst du das in der DNS MMC, in den Eigenschaften der FLZ.
In den TCP/IP-Einstellungen des neuen DCs sollte einer der bestehenden DCs als primärer DNS-Server eingetragen sein.
So lange, bis min. die AD-Replikation abgeschlossen ist.

Behalte weiterhin das Eventlog im Auge.


Gruß, Yusuf
masterds
masterds 28.01.2010 um 11:12:40 Uhr
Goto Top
Genau so ist es. Zwingend ist jedoch, dass die Forward Lookup Zone (FLZ) AD-integriert
gespeichert wurde.

Habe ich überprüft. Ist AD-integriert.
In den TCP/IP Einstellungen hatte ich den alten Server als Primären DNS Eingetragen. Scheinbar hat das System bei der Installation des DNS Server auf dem neuen System, sich selbst als alternativen DNS Eingetragen. Allerdings mit 127.0.0.1. Habe das auf die korrekte IP geändert.

Aktueller Stand ist, er zeigt nur noch die 1. Meldung an, startet dann den DNS und gibt die anderen beiden Meldungen nicht mehr aus.

Ist die erste Meldung ein Problem, oder ist das normal?

Ansonsten nochmal danke für die kompetente Hilfe.

Gruß
MasterDS
masterds
masterds 28.01.2010 um 15:56:20 Uhr
Goto Top
Ich muss mich leider korrigieren...

Die Meldungen sind wieder aufgetaucht. Also immer noch alle drei Warnungen vorhanden. Ist das normal? Was kann ich tun?

Gruß
MasterDS