Windows Server 2019 AD Migration

Hallo zusammen

Langsam habe ich Panik, die komplette Domäne zerschossen zu haben. Bevor ich weiter vergehe, wollte ich darum hier um Rat bitten.
Was ist bis jetzt passiert?

Wir haben zwei Windows Sever 2012 im Einsatz. win12dc und DC2. Diese sollten durch einen neuen DC ersetzt werden.
Neuer virtueller Windows Server 2019 mit dem Namen DC2019. Auf diesem die Rollen hinzugefügt, DC2 heruntergestuft und entfernt. Alles schien ok zu sein.
Als ich versucht den win12dc auch zu depromoten, kam die Fehlermeldung er sei der letzte Domaincontroller. Da wurde ich stutzig. Wenn ich win12dc herunterfuhr ging nichts mehr. So als ob dc2019 gar nicht funktioniert. Ich habe mich dann an die BPA gemacht, Schemas übertragen usw. ohne Erfolg.

Langsam spiele ich mit dem Gedanken den Server zurücksetzen und mit einer neuen Domain neu anzufangen :) face-smile
Ich weiss echt nicht weiter. Habt ihr Tipps fürs weitere Vorgehen?

dcdiag auf dc2019:

Content-Key: 1556925918

Url: https://administrator.de/contentid/1556925918

Ausgedruckt am: 22.01.2022 um 07:01 Uhr

Mitglied: St-Andreas
St-Andreas 26.11.2021 um 17:20:55 Uhr
Goto Top
Backup vorhanden?
Mitglied: Mosurama
Mosurama 26.11.2021 um 18:26:32 Uhr
Goto Top
ich lese in deiner Vorgehensweise nichts von einem FSMO-Rollen-Übertrag oder ähnliches
Ist der denn erfolgt?

Funktioniert die Replikation des Sysvol-Verzeichnisses überhaupt am 2019er Server?

Oder lief auf den 2012er DCs noch die FRS und du hättest auf DFSR migrieren sollen?
Mitglied: em-pie
em-pie 26.11.2021 um 18:27:25 Uhr
Goto Top
Moin,

Um erst einmal wieder zwei DCs zu haben, kannst du "entspannt" einen 2012er neu aufsetzen, ins AD aufnehmen und zum zusätzlichen DC promoten.

Zum 2019er
Sieht für mich auf den ersten Blick danach aus, dass er nicht Repliziert.
Auf DFS-R ist der 2012er konfiguriert?
Welche FUnktionslevel udn Domain-Schema hat dein AD?
Mitglied: Xaero1982
Xaero1982 26.11.2021 um 21:13:44 Uhr
Goto Top
Moin,

schreibe uns doch mal bitte was du genau getan hast? Wie bist du vorgegangen?

Neuen Server installiert, Name vergeben und in die Domain aufgenommen mit statischer IP natürlich?
Dann die AD Dienste und DNS installiert und den neuen Server als DC eingerichtet?
War er unter DC im AD zu sehen?
Was war mit der Synchronisation? Sysvol?Netlogon? Scripte? DNS übertragen? usw?
Wie hast du dann die Rollen übertragen?

Bissel mehr Input. Ich hab eine Vermutung. Hatten wir kürzlich auch.

Grüße
Mitglied: Xaero1982
Xaero1982 26.11.2021 um 21:14:35 Uhr
Goto Top
Zitat von @Mosurama:
Oder lief auf den 2012er DCs noch die FRS und du hättest auf DFSR migrieren sollen?

Dann kannst du den 2019er nicht als DC aufnehmen ohne das behoben zu haben. Kürzlich erst mit einem 2022er hinter mir gehabt.
Mitglied: Mosurama
Mosurama 26.11.2021 um 21:35:23 Uhr
Goto Top
Zitat von @Xaero1982:
Dann kannst du den 2019er nicht als DC aufnehmen ohne das behoben zu haben. Kürzlich erst mit einem 2022er hinter mir gehabt.

Bei einer Migration 2008 auf 2016 hatte ich das mal, deswegen die Vermutung...
Wenn der 2019er das jetzt prüft ist das ja nur begrüßenswert
Mitglied: Xaero1982
Xaero1982 27.11.2021 um 11:02:34 Uhr
Goto Top
Zitat von @Mosurama:

Zitat von @Xaero1982:
Dann kannst du den 2019er nicht als DC aufnehmen ohne das behoben zu haben. Kürzlich erst mit einem 2022er hinter mir gehabt.

Bei einer Migration 2008 auf 2016 hatte ich das mal, deswegen die Vermutung...
Wenn der 2019er das jetzt prüft ist das ja nur begrüßenswert

Das kann sein. Hatte auch mal von 2008r2 auf 2016 aktualisiert, aber da hats ihn offenbar nicht tangiert. Lief dennoch alles, aber jetzt bei 2022 ging es nicht mehr. Bei 2019 glaube ich auch schon nicht mehr.
Mitglied: jamesbrown
jamesbrown 27.11.2021 aktualisiert um 11:17:35 Uhr
Goto Top
Guten Morgen zusammen

Vielen Dank für eure zahlreichen Antworten. Da ich sehr viel probiert habe, ist es schwierig alles jetzt noch nachvollziehen zu können. Ich versuche es mal.

Backup vorhanden?
Ja
ich lese in deiner Vorgehensweise nichts von einem FSMO-Rollen-Übertrag oder ähnliches
Ist der denn erfolgt?
Wurden per CMD übertragen und waren laut ntdsutil auf dc2019
Funktioniert die Replikation des Sysvol-Verzeichnisses überhaupt am 2019er Server?
Muss ich heute Nachmittag nochmals nachschauen. Ich denke aber nicht. Neben vielen BPA Vorschlägen und vielen Error Meldungen, kann ich mich auch noch an das Sysvol Error erinnern.
Diesen Fehler habe ich versucht zu beheben, indem ich DC2019 die Rollen nochmals entfernt, depromoted und wieder prometed habe.


Um erst einmal wieder zwei DCs zu haben, kannst du "entspannt" einen 2012er neu aufsetzen, ins AD aufnehmen > und zum zusätzlichen DC promoten.
Das ist eine gute Idee. Oder wäre ein 2019 geeigneter?


Auf DFS-R ist der 2012er konfiguriert?
Schaue ich nach.

schreibe uns doch mal bitte was du genau getan hast? Wie bist du vorgegangen?
Schwierig mich noch an alles zu erinnern.

schreibe uns doch mal bitte was du genau getan hast? Wie bist du vorgegangen?

Neuen Server installiert, Name vergeben und in die Domain aufgenommen mit statischer IP natürlich?
Genau
Dann die AD Dienste und DNS installiert und den neuen Server als DC eingerichtet?
Genau. DNS ist AD synchronisiert und DHCP Failover eingerichtet 50% 50%. DHCP Bereichsoptionen den neuen DNS Server aufgenommen.
War er unter DC im AD zu sehen?
Ja
Was war mit der Synchronisation? Sysvol?Netlogon? Scripte? DNS übertragen? usw?
Habe naiv angenommen, Windows mache dies von selbst. DNS war wegen AD übertragen.
Wie hast du dann die Rollen übertragen?
Habe mich daran gehalten https://docs.microsoft.com/de-de/troubleshoot/windows-server/identity/vi ...


Oder lief auf den 2012er DCs noch die FRS und du hättest auf DFSR migrieren sollen?
Das muss ich nachschauen.


Am meisten habe ich mich an dem BPA bezüglich fehlendem _msdcs im DNS aufgehangen.
Der _msdcs war unter der einzigen Forward lookup Zone domain.local.
Ich habe versucht diesen von Hand von win12dc nach dc2019 zu replizieren, backups per CMD gemacht usw.
Jetzt merke ich, dass ich das Problem falsch verstanden habe. Der BPA wollte eigentlich, dass _msdcs keine untergeordnete Zone mehr ist, sonder eine eigene _msdcs.domain.local.
Scheint eine Altlast von 2003 zu sein.

Nochmals vielen Dank für eure extrem schnelle Hilfe! Ich melde mich heute Nachmittag.
Mitglied: Xaero1982
Xaero1982 27.11.2021 um 19:11:43 Uhr
Goto Top
Kontrolliere die Replizierung und wenn sie nicht läuft kannst du das hiermit in die Gänge bringen.
https://docs.microsoft.com/de-DE/troubleshoot/windows-server/group-polic ...

Nach der Durchführung musst du 10-15 Minuten warten und dann nochmal den Sysvol-Ordner checken.
Mitglied: Vision2015
Vision2015 28.11.2021 um 10:12:40 Uhr
Goto Top
Moin...+
Zitat von @jamesbrown:

Guten Morgen zusammen

Vielen Dank für eure zahlreichen Antworten. Da ich sehr viel probiert habe, ist es schwierig alles jetzt noch nachvollziehen zu können. Ich versuche es mal.

Backup vorhanden?
Ja
ich lese in deiner Vorgehensweise nichts von einem FSMO-Rollen-Übertrag oder ähnliches
Ist der denn erfolgt?
Wurden per CMD übertragen und waren laut ntdsutil auf dc2019
Funktioniert die Replikation des Sysvol-Verzeichnisses überhaupt am 2019er Server?
Muss ich heute Nachmittag nochmals nachschauen. Ich denke aber nicht. Neben vielen BPA Vorschlägen und vielen Error Meldungen, kann ich mich auch noch an das Sysvol Error erinnern.
da musst du mit BurFlags beheben...
Diesen Fehler habe ich versucht zu beheben, indem ich DC2019 die Rollen nochmals entfernt, depromoted und wieder prometed habe.
das bringt nix...


Um erst einmal wieder zwei DCs zu haben, kannst du "entspannt" einen 2012er neu aufsetzen, ins AD aufnehmen > und zum zusätzlichen DC promoten.
Das ist eine gute Idee. Oder wäre ein 2019 geeigneter?
klar, warum nicht!


Auf DFS-R ist der 2012er konfiguriert?
Schaue ich nach.

schreibe uns doch mal bitte was du genau getan hast? Wie bist du vorgegangen?
Schwierig mich noch an alles zu erinnern.

schreibe uns doch mal bitte was du genau getan hast? Wie bist du vorgegangen?

Neuen Server installiert, Name vergeben und in die Domain aufgenommen mit statischer IP natürlich?
Genau
Dann die AD Dienste und DNS installiert und den neuen Server als DC eingerichtet?
Genau. DNS ist AD synchronisiert und DHCP Failover eingerichtet 50% 50%. DHCP Bereichsoptionen den neuen DNS Server aufgenommen.
War er unter DC im AD zu sehen?
Ja
Was war mit der Synchronisation? Sysvol?Netlogon? Scripte? DNS übertragen? usw?
Habe naiv angenommen, Windows mache dies von selbst. DNS war wegen AD übertragen.
Wie hast du dann die Rollen übertragen?
Habe mich daran gehalten https://docs.microsoft.com/de-de/troubleshoot/windows-server/identity/vi ...


Oder lief auf den 2012er DCs noch die FRS und du hättest auf DFSR migrieren sollen?
Das muss ich nachschauen.
mach das mal...


Am meisten habe ich mich an dem BPA bezüglich fehlendem _msdcs im DNS aufgehangen.
Der _msdcs war unter der einzigen Forward lookup Zone domain.local.
Ich habe versucht diesen von Hand von win12dc nach dc2019 zu replizieren, backups per CMD gemacht usw.
Jetzt merke ich, dass ich das Problem falsch verstanden habe. Der BPA wollte eigentlich, dass _msdcs keine untergeordnete Zone mehr ist, sonder eine eigene _msdcs.domain.local.
Scheint eine Altlast von 2003 zu sein.

Nochmals vielen Dank für eure extrem schnelle Hilfe! Ich melde mich heute Nachmittag.
ok

Frank
Mitglied: jamesbrown
jamesbrown 28.11.2021 aktualisiert um 16:22:36 Uhr
Goto Top
Ich habe dfsrmig.exe /getglobalstate auf beiden Servern ausgeführt.
Der alte win12dc gibt mir folgende Rückmeldung:

Der neue dc2019 gibt mir folgende Rückmeldung:

Laut HKEY _ LOCAL _ MACHINE \ System \ CurrentControlSet \ Services \ DFSR \ Parameters \ SysVols \ Migrating Sysvols \ LocalState wird DSFR verwendet.


Irgendwie ist es jetzt aber ganz wild.
Im Vergleich zu Freitag, kann dc2019 plötzlich wieder auf Active Directory Verwaltungscenter zugreifen. Das Verwaltunscenter sieht sogar beide DCs als online.

Nachdem ich die _msdc Zone händisch neu erstellt habe und den DNS aktualisiert, habe ich es geschafft sämtliche BPA zu bereinigen.


Im Post https://administrator.de/forum/nach-migration-probleme-mit-dcdiag-dsgetd ... habe ich gelesen, dass meine Probleme evtl. von einer falschen DNS Einstellung beim promoten kommen könnten. Ich hatte auf dem DC2019 die eigene IP an erster Stelle und an zweiter Stelle erst win12dc.

Wäre es evtl. eine gute Idee, den dc2019 nochmals zu depromoten und wieder promoten?

Aktuell läuft immerhin alles wieder :) face-smile Aber eine Lösung ist es nicht, werde es am Freitag nochmals angehen.
Da es vermutlich viele Altlasten hat, werde ich ein VM auf meinem Laptop starten um einen Vergleich zu haben.
Mitglied: Xaero1982
Xaero1982 28.11.2021 um 19:48:13 Uhr
Goto Top
"Wäre es evtl. eine gute Idee, den dc2019 nochmals zu depromoten und wieder promoten?"

Nein, wurde doch schon gesagt. Bringt nichts.

Funktioniert denn nun die Replikation oder nicht? Was sagt der Sysvol-Ordner?
Mitglied: jamesbrown
jamesbrown 29.11.2021 um 15:49:08 Uhr
Goto Top
Dachte es ist ein Versuch wert, wegen der DNS Einstellung aus dem anderen Post.

Die Replikation funktioniert soweit ich es beurteilen kann nicht.
Der SYSVOL Unterordner domain ist leer.
Der SYSVOL Unterordner Staging und staging areas haben beide einen Ordner mit identischem ContentSet{viele Buchstaben}.
Der SYSVOL Unterordner sysvol hat den leeren Ordner domain.local
Mitglied: Vision2015
Vision2015 29.11.2021 um 16:03:11 Uhr
Goto Top
moin...

hast du meinen Tip
da musst du mit BurFlags beheben...
abgearbeitet?

Frank
Mitglied: Xaero1982
Xaero1982 29.11.2021 um 19:57:22 Uhr
Goto Top
Zitat von @jamesbrown:

Dachte es ist ein Versuch wert, wegen der DNS Einstellung aus dem anderen Post.

Die Replikation funktioniert soweit ich es beurteilen kann nicht.
Der SYSVOL Unterordner domain ist leer.
Der SYSVOL Unterordner Staging und staging areas haben beide einen Ordner mit identischem ContentSet{viele Buchstaben}.
Der SYSVOL Unterordner sysvol hat den leeren Ordner domain.local

Dazu habe ich dir doch oben schon einen Link gepostet.

Nimm es mir nicht übel, aber wenn du schon nicht weiter kommst, warum arbeitest du unsere Sachen dann nicht ab?
Mitglied: jamesbrown
jamesbrown 30.11.2021 um 14:43:58 Uhr
Goto Top
Hallo zusammen
Tut mir leid wenn es so rüberkommt, als ob ich eure Tipps nicht annehmen möchte. Bis jetzt hatte ich schlicht keine Zeit eure Anleitung zu probieren. Morgen werde ich mich ran machen. Vielen Dank nochmals und ich werde euch natürlich auf dem Laufenden halten :) face-smile
Mitglied: jamesbrown
Lösung jamesbrown 19.01.2022 aktualisiert um 17:10:26 Uhr
Goto Top
Hallo zusammen

Ich wollte mich nochmals melden, mittlerweile habe ich eine Lösung gefunden.
Evtl. könnte es aber jemandem Anderem weiterhelfen.

Ich bin an diesen Blurflags fast verzweifelt. D4, D2, FRS, autoritiv oder nicht. Dabei wollte ich doch nur eine winzige AD. Zudem war FRS gar nicht mehr am laufen, sondern das neue DFRS. Ich war entschlossen den alten DC zu löschen und nochmals von Vorne zu beginne. Doch dann habe ich folgendes entdeckt:

In dem Ereignissprotokoll aauf dem alten DC war eine DFRS Warnung.

Vom DFS-Replikationsdienst wurde die Replikation für das Volume "C:" beendet. Dieser Fall tritt ein, wenn eine DFSR-JET-Datenbank nicht ordnungsgemäß heruntergefahren wird und die automatische Wiederherstellung deaktiviert ist. Sichern Sie zum Beheben dieses Problems die Dateien in den betroffenen replizierten Ordnern, und setzen Sie die Replikation anschließend mithilfe der WMI-Methode "ResumeReplication" fort.
Setzen Sie die Replikation für dieses Volume mithilfe der WMI-Methode "ResumeReplication" der DfsrVolumeConfig-Klasse fort.

Geben Sie hierzu an einer Eingabeaufforderung mit erhöhten Rechten beispielsweise den folgenden Befehl ein:
wmic /namespace:\\root\microsoftdfs path dfsrVolumeConfig where volumeGuid="8AE1A5D1-Zahlengeschwurbel" call ResumeReplication


Mit dem Befehl hat es dann auch tatsächlich geklappt und wurde auf den DC2 repiliziert.

Vielen Dank für Eure Hilfe!
Heiß diskutierte Beiträge
general
Liste von URLs in wininet.dllFennek11Vor 1 TagAllgemeinInternet13 Kommentare

Hallo, die Frage ist zugleich enrsthaft und Satire: Windows enthält die Datei "c:\windows\system32\wininet.dll", die für viele Verbindungen ins Internet benötigt wird. Ein Blick in die ...

question
2 Faktor Authentifizierung generell abschaltenratzekahl1Vor 1 TagFrageGoogle Android9 Kommentare

Hallo zusammen, ich habe eine Frage: Kann ich in Google die 2 Faktor Authentifizierzung generell abschalten? Wenn ich ein Gerät als vertrauenswürdig hinzugefügt habe, ja, ...

question
Netzwerk Grafisch darstellen?FireWorldVor 1 TagFrageInternet8 Kommentare

Hallo, ich bin der Zeit auf der Suche nach einem Programm zur Grafischen Darstellung von inbound/outbound eines Servers in einem Rechenzentrum. Hat Jemand eine idee ...

info
Ruhe in Frieden, HackbratenVision2015Vor 1 TagInformationOff Topic5 Kommentare

Der US-Sänger Meat Loaf ist tot. Er starb laut seiner Facebook-Seite in der vergangenen Nacht im Alter von 74 Jahren. Meat Loaf, mit bürgerlichem Namen ...

question
Fritz Repeater 1750E "verloren"reksierpVor 1 TagFrageHardware9 Kommentare

Hallo, ich habe ein 150 Jahre altes Haus (ehemaliger Dorf-Bahnhof), sehr verwinkelt, viele Räume, mit Anbau, 2 Kriech-Dachböden. Vor mehreren Jahren hab ich einige Repeater ...

question
Tablet-Display defekt: wie Zugriff auf DatenMahstarDVor 1 TagFrageGoogle Android6 Kommentare

Guten Abend, ich habe ein Tablet überreicht bekommen mit der Bitte um den Versuch einer Datenrettung. Tablet: Samsung Galaxy Tab-A (2016, SM-T585) Das Display ist ...

question
Cisco Switche mit Daten überflutet, daher Abstürze??? gelöst PeterGygerVor 1 TagFrageRouter & Routing6 Kommentare

Guten Morgen Ist es eine realistische Möglichkeit, dass 2022 aktuelle PC / Notebooks im Business Umfeld einen Cisco Switch 2960X mit Daten überfluten können? So ...

info
SonicWall Bootloop seit letzter NachtSt-AndreasVor 1 TagInformationFirewall2 Kommentare

Sonicwall Gen 7 spielen Bootloop seit letzter Nacht. Hilfe dazu hier ...