» Как восстановить Active Directory

Народ, как восстановить Active Directory???
Загрузил на сервере Win2000Server последнюю удачную конфигурацию (ну упал он у меня, после того, как один умник руками реестр поправил). Теперь все плохо - Active Directory говорит, что домен не существует. DNS работает нормально и остальные службы тоже.
Но юзеры на сервер попасть не могут!
Поможите советом, плз...

Усё, восстановил, вопрос снят...

О как! Все равно вряд-ли поможет. Хотя...
Как вы понимаете - не от хорошей жизни грузил "последнюю удачную", просто при попытке загрузиться в "режиме восстановления службы каталогов" попросту не мог войти в машину.
Зашел после восстановления "последней удачной" под админом, открыл проводничок, посмотрел \WINNT\ntds\ntds.dit - вроде жив (хотя оказалось такой же файл есть в \WINNT\system32\ и причем по размеру он существенно меньше первого - до сих пор не понимаю что это). Ну да ладно - дальше-то по наитию - из Проводника просмотрел Разрешения для сетевых пользователей на шАрах. При открытии Разрешений - сервачок долго шуршит, потом выдает свое окошечко, а в нем вместо имени юзера длинный идентификатор (аналог SID что-ли???). Потом, задумавшись на 10-15 сек., восстанавливает имя юзера! Так, пробежавшись по всем юзерам (к счастью были ОТДЕЛЬНЫЕ папки на серваке для каждого из пользователей), получил восстановившуюся работоспособность AD. Кажется важным, что разрешения выдавались пользователям, а не группам, т.к. группы были видны без проблем.
Итог - после перезагрузки стала подниматься консоль AD, но приходилось стартовать вручную службу "сетевой вход в систему", т.к. в автомате не запустилась, а юзеры, ес-ссно, не могли коннектиться по сети.
Потом прописал в реестре в сервисе HKLM\SYSTEM\CurrentControlSet\Services\NetLogon DependOnService параметр LanmanServer в дополнение к LanmanWorkstation - и вуаля - получаем работоспособную систему.
Вывод: бэкап делать НАДО, а не бамбук курить!

Blins
"бэкап делать НАДО" это конечно лозунг, хороший я бы сказал отличный, и с зависимостью от Server тоже точно к месту, только отсутствие зависимости не могло привести к столь плачевному результату, что то вы не договариваете .... Беготня по шарам ... не знаю на что могла повлиять, имхо вряд ли . Две копии ntds.dit это нормально (видел например тут и imho эта та самая первая инсталляционная копия). Не сочтите за наезд, а что сейчас поют dcdiag & netdiag, они всем довольны?

SurfKoba "Беготня по шарам ... не знаю на что могла повлиять, имхо вряд ли"
А надо бы знать точно. ИМХО хоть какая-то система резервирования у AD должна быть и если AD не дотягивается до юзера, то откуда пытается восстановить информацию? Вряд ли Вы мне подскажете... Так что в беготне по шарам есть свой метафизический смысл, по крайней мере - либо ЭТО действие подвигло AD к восстановлению либо НИКАКОГО (и тогда это чудо через определенный TIME самотестируется).

Теперь по
dcdiag:
DC Diagnosis

Performing initial setup:
Done gathering initial info.

Doing initial non skippeable tests

Testing server: Default-First-Site\SERVER
Starting test: Connectivity
......................... SERVER passed test Connectivity

Doing primary tests

Testing server: Default-First-Site\SERVER
Starting test: Replications
......................... SERVER passed test Replications
Starting test: NCSecDesc
......................... SERVER passed test NCSecDesc
Starting test: NetLogons
......................... SERVER passed test NetLogons
Starting test: Advertising
......................... SERVER passed test Advertising
Starting test: KnowsOfRoleHolders
......................... SERVER passed test KnowsOfRoleHolders
Starting test: RidManager
......................... SERVER passed test RidManager
Starting test: MachineAccount
......................... SERVER passed test MachineAccount
Starting test: Services
RPCLOCATOR Service is stopped on [SERVER]
......................... SERVER failed test Services
Starting test: ObjectsReplicated
......................... SERVER passed test ObjectsReplicated
Starting test: frssysvol
Error: No record of File Replication System, SYSVOL started.
The Active Directory may be prevented from starting.
......................... SERVER passed test frssysvol
Starting test: kccevent
......................... SERVER passed test kccevent
Starting test: systemlog
......................... SERVER passed test systemlog

Running enterprise tests on : 1234.local
Starting test: Intersite
......................... 1234.local passed test Intersite
Starting test: FsmoCheck
......................... 1234.local passed test FsmoCheck


netdiag:
......................................

Computer Name: SERVER
DNS Host Name: server.1234.local
System info : Windows 2000 Server (Build 2195)
Processor : x86 Family 6 Model 11 Stepping 1, GenuineIntel
List of installed hotfixes :
Q147222

Netcard queries test . . . . . . . : Passed
GetStats failed for 'Прямой параллельный порт'. [ERROR_NOT_SUPPORTED]
GetStats failed for 'Минипорт WAN (PPTP)'. [ERROR_GEN_FAILURE]
[WARNING] The net card 'Минипорт WAN (IP)' may not be working because it has not received any packets.
[WARNING] The net card 'Минипорт WAN (Сетевой монитор)' may not be working because it has not received any packets.
GetStats failed for 'Минипорт WAN (L2TP)'. [ERROR_NOT_SUPPORTED]

Per interface results:

Adapter : Подключение по локальной сети 4

Netcard queries test . . . : Passed

Host Name. . . . . . . . . : server
IP Address . . . . . . . . : 192.168.0.1
Subnet Mask. . . . . . . . : 255.255.255.0
Default Gateway. . . . . . :
Primary WINS Server. . . . : 192.168.0.1
Dns Servers. . . . . . . . : 127.0.0.1


AutoConfiguration results. . . . . . : Passed

Default gateway test . . . : Skipped
[WARNING] No gateways defined for this adapter.

NetBT name test. . . . . . : Passed

WINS service test. . . . . : Passed


Global results:


Domain membership test . . . . . . : Passed


NetBT transports test. . . . . . . : Passed
List of NetBt transports currently configured:
NetBT_Tcpip_{7EC9C421-3BFA-4570-8C02-DB5A2A4755EE}
1 NetBt transport currently configured.


Autonet address test . . . . . . . : Passed


IP loopback ping test. . . . . . . : Passed


Default gateway test . . . . . . . : Failed

[FATAL] NO GATEWAYS ARE REACHABLE.
You have no connectivity to other network segments.
If you configured the IP protocol manually then
you need to add at least one valid gateway.


NetBT name test. . . . . . . . . . : Passed


Winsock test . . . . . . . . . . . : Passed


DNS test . . . . . . . . . . . . . : Passed
PASS - All the DNS entries for DC are registered on DNS server '127.0.0.1'.


Redir and Browser test . . . . . . : Passed
List of NetBt transports currently bound to the Redir
NetBT_Tcpip_{7EC9C421-3BFA-4570-8C02-DB5A2A4755EE}
The redir is bound to 1 NetBt transport.

List of NetBt transports currently bound to the browser
NetBT_Tcpip_{7EC9C421-3BFA-4570-8C02-DB5A2A4755EE}
The browser is bound to 1 NetBt transport.


DC discovery test. . . . . . . . . : Passed


DC list test . . . . . . . . . . . : Passed


Trust relationship test. . . . . . : Skipped


Kerberos test. . . . . . . . . . . : Passed


LDAP test. . . . . . . . . . . . . : Passed


Bindings test. . . . . . . . . . . : Passed


WAN configuration test . . . . . . : Skipped
No active remote access connections.


Modem diagnostics test . . . . . . : Passed

IP Security test . . . . . . . . . : Passed
IPSec policy service is active, but no policy is assigned.


The command completed successfully

Blins
"Подключение по локальной сети 4" - а где предыдущие 3?
"если AD не дотягивается до юзера, то откуда пытается восстановить информацию?" - из базы больше никаких путей конвертации sid 2 user не придумаешь, нет их в sam
"RPCLOCATOR Service is stopped on [SERVER] " - это чего с ним бедолагой такой ? msblast?
Так что из ваших двух путей выбираю "НИКАКОГО" а проблема imho таки где то сетевушками не зря ж они уже 4.

Каждый раз меняя сетевуху надо не забывать удалять старую пока она в компе - иначе создается новое подключение.
С другой стороны ничего страшного в этом нет, хотя убогие винды не дают удалять старые подключения.

UncoNNecteD
"С другой стороны ничего страшного в этом нет" - это смотря с чьей стороны - обращение за политиками раз в пять минут идет через первую в bind карту, не обращая внимания куда она смотрит.

SurfKoba Вот не надо по поводу сетевушек: стоят 3 сетевушки, объединенные Compaq Network Teaming and Configuratition. Теперь я думаю понятно где остальные 3?
"из базы больше никаких путей конвертации sid 2 user не придумаешь, нет их в sam" - может оно и верно - не знаю. Зато, наверняка есть резервная копия ntds - тока как это обычно у Мелкомягких никто не знает где она, как и когда срабатывает. RPCLOCATOR остановился после загрузки последней удачной - не до него сейчас - то, что он не работает никому не мешает.

Blins
Угумс, первое у меня нет желания вас обижать/принижать достигнутую победу etc, я увидел в топике вопросы на которые, как показалось, вы ищите ответа, я попробовал искать вместе с вами, так что с моей стороны наезда нет, и быть не может очень бы хотелось и а вашей стороны спокойного отношения.
второе "Зато, наверняка есть резервная копия ntds" будете смеяться - нету - подробности кое какие тут какие то тут или тут(ну и возращаемся к вашему же постулату backup forever) опять таки не зря кроме анализа с пощью ntdsutil + esentutl никаких манипуляций ntds.dit не предусмотрено ;
третье - "RPCLOCATOR остановился после загрузки последней удачной - не до него сейчас" - imho твердой убежденности нет, но раз DCPromo его настраивает, он AD нужен
четвертое - "Вот не надо по поводу сетевушек: стоят 3 сетевушки" - опять imho предположим что драйвера объединяющие в ваши в сетевушки не встали (или ожили все сетевушки втроем) и они жили каждая сама по себе (в event-log-е кстати можно проверить), реакция системы должна быть крайне близкой к описываемой

SurfKoba И не думал об обидах и пр. Но, к сожалению, это не победа и, тем более, не моя . В том-то и дело, что AD сам востановился - я лишь описал (по просьбе телезрителЕй) свои метания в попытках его поднять. Но, вопрос остался открытым: почему восстановился AD, если по всем правилам этого не должно было случиться и мои сумбурные действия не могли привести к результату???
Подвопрос: почему при просмотре ШАР, сначала вылетал SID, а потом (после раздумий) его подменяло имя пользователя, т.е. откуда бралась эта инфа, если AD по его собственному признанию был мертв (или он притворялся)?
RPCLOCATOR стартану все-таки попозже...
По поводу сетевушек - сразу после установки Compaq Teaming лог стал точно таким же. Т.е. для системы существует только одна "виртуальная" сетевая карта с пропускной способностью x(умножить на) 3. Так что здесь отличий нет (уверен, т.к. не первый раз сталкиваюсь с Compaq Teaming)

Blins
Или сетевушки или внутреняя целостность ntds.dit
Сетевушки - "Так что здесь отличий нет" я ж сказал imho не встал/не заработал/не прошел инициализацию драйвер, гляньте в event-log перед наступлением коллапса и на этой гипотезе можно будет ставить крест.
"Подвопрос: почему при просмотре ШАР, сначала вылетал SID" если я прав то имеем 3-4 сетевых в неправильном порядке, и sid прямо с ntfs и соответственно резолв (sid 2 user)требует приличного времени, поэтому и мигало. Тогда востановился - При перезагрузке смог встать/заработать/пройти инициализацию - ответ у вас в эвент логе.
И это "если AD по его собственному признанию был мертв (или он притворялся)? " в директори ресторе моде netlogon не стартует, но работа с базой ntds.dit идет.
Внутреняя целостность ntds.dit - подгреб под себя логи транзакций AD свел все к единой картине мира, и соответственно стал ждать пока вы перегрузитесь.
Но и то, и то, imho ответ, повторюсь, у вас в event-log-е.

SurfKoba
1. В EventLog'e на данный момент все в порядке, кроме ошибок службы W32Time.
2. ШАРы просматривались непосредственно на сервере - при чем здесь сетевые карты????
3. "Другой порядок" для NIC невозможен, т.к. это решение Compaq - NIC's должны быть инсталлированы ДО инсталляции Compaq Teaming, а софтина берет себе СЛЕДУЮЩИЙ.

Да, сначала я пытался восстановиться через директори ресторе моде, но при перезагрузке в этом режиме НЕ СМОГ зайти на сервер - не пускал он меня ни под одним паролем. Может он конечно и совершил какие-то действия без участия пользователя для того, чтобы восстановить AD.

Blins
"В EventLog'e на данный момент все в порядке" - не сейчас, а тогда когда были проблемы?
"ШАРы просматривались непосредственно на сервере - при чем здесь сетевые карты???? " - при том, что где брать сервисы, переригистрация текущего местоположения и многое другое AD делает в симбиозе с dns-ом, дальше я надеюсь понятно, что сетевые нужны (если помните тогда когда ставили AD - без сетевых он не становится ).
"зайти на сервер - не пускал он меня ни под одним паролем" этот пароль вы задавали на этапе инсталляции отдельно менять его вот так - How to Change the Recovery Console Administrator Password on a Domain Controller

Про то, что было тогда никто сказать не может... EventLog - каюсь - чистил без сохранения, чтобы смотреть на возникающие ошибки.
"переригистрация текущего местоположения и многое другое AD делает в симбиозе с dns-ом" - может здесь собака порылась??? Я на том основании, что DNS работал (см. 1-ое сообщение). Отсюда вывод - работающий DNS - залог успешного восстановления AD???
"этот пароль вы задавали на этапе инсталляции..." - они его задали, они же и забыли. Надежды на совпадение с любым другим админовским паролем рассеялись как дым ;(.
За ссылку спасибо - люблю мелкософтовые фичи .

Вынести бы тему по AD наверх...

Blins
"тему по AD наверх" это куда?
"они его задали, они же и забыли." - какие такие враги вам ad ставили?
"может здесь собака порылась??? Я на том основании, что DNS работал (см. 1-ое сообщение). Отсюда вывод - работающий DNS - залог успешного восстановления AD???" - мягко скажем не достаточно (см help к esentutl, нет хотя бы полуживой базы - кина не будет ), а вот на то что "мы сошли с ума" очень блин похоже (самый простой путь перевести адаптер на машине с AD в dhcp - незабываемые впечатления)

SurfKoba
Наверх - в смысле "по AD, DNS - все сюда..."
Это был мой первый рабочий день, а ставили те, кто были до меня (и остались со мной )
help просмотрю
Не знаю, кто сошел с ума, но я такие эксперименты ставить не хочу

Blins
"Не знаю, кто сошел с ума" не кто а что ... адаптеры.
Ну и в заключении ntbackup systemState это конечно классно, но ни разу не попробовав востановить, гарантирую и там массу не передаваемых ощущений (особенно если машина на кторую бекап выливаете не такая же).

О!! Вопрос перерос себя.
Предлагаю подключиться сообществу и выработать решение по вопросу:

Посылка:
1. Контроллер домена с установленной AD рухнул мертво.
2. Резервного контроллера нет, не было и не надо.
Вопрос:
Что поможет админу полностью восстановить функциональность DC в кратчайшие сроки после "формат комплит" и переинсталла Windows?

ЗЫ: Вручную восстановливать пользователей, доверия и пр. не предлагать

Я так думаю Ideal Migration в этом должна помоч...

Paranoic
Что позволяет софтина? Чем отличается от ADDUSERS? Восстанавливает ли доступ на шАры и т.п. Т.е. все, что знаешь интересного - расскажи, plz

С чего начинать и в какую сторону копать, если AD на Server2000 перестала функционировать?
Признаки следующие : При попытке залогиниться в домен пользователь получает ошибку (типа контроллер домена не работает); При попытке открыть в Панели управления - Администрирование - Active Directory Users and Computers длинная пауза, а потом выдает ошибку о том, что Server is not operational, посмотреть скриншот которой можно здесь(http://www.under.com.ua/files/ad_error.gif).
Сам еще слабо знаю Server2000, поэтому не знаю, с чего начать восстановление. Буду признателен за хотя-бы короткие намеки в каком направлении искать ошибки, с чего начинать. Ссылки на документы с доступным описанием (как для неопытного админа AD) восстановления (не установки) AD, DNS тоже не помешали бы!

P.S. поднимал сам по докам, может что и не так настроил, но некоторое время работало хорошо, а потом было резкое падение, в журнале событий пока ничего, что помогло бы мне, не нашел...

P.P.S. Доступ к серверу имею только удаленный, т.к. в другом городе, соответственно подключиться могу только, когда ОС загрузилась, и вариантами загрузки управлять не могу.

AlexUnder - похоже на проблему с днс.
Снести его нах, поставить заново, создать зону, перезапустить нетлогон.
Проверить на клиенте, что выставлен проавильный днс!!!

kibkalo Поискав схожих проблем с ДНС, нашел совет удалить из компонентов Windows этот самый DNS. Не помогло, ошибка при попытке открыть любую из закладок администрирования AD все та же (Server is not operational). Оказалось, что проблема в фаерволе, который по умолчанию закрыл порт 389 TCP/IP, который используется LDAP (Lightweight Directory Access Protocol). После открытия этого порта все проблемы исчезли.
Решению проблемы благодарен http://www.jsiinc.com/SUBL/tip5800/rh5804.htm .

Народ, вопрос почти в тему. Видел у мелкософта статью, как поднять контроллер, имея всего лиш ntds.dit но вот повторно найти не могу. Может кто уже проделывал такую опрацию, или ссылку на статью знает.

Рухнул AD, домен не обнаруживается, компы не могут войти в домен, сам сервак тоже домена не видит. База пользователей и компьютеров в AD сохранилась, ntdsutil говрит что серверу известно о 5 ролях, крыжик что это сервак GC стоит, DNS работает - а ДОМЕНА НЕТ!!! ;(( Что делать ума не припложу. Пробовал поставить второй сервак чтоб на него перетянуть AD - не может подключиться к домену. Куда мне копать?

AlexUnder - ставить файервол на контроллер это клиника
Oleg_Kurilin - имхо невозможно. Можно в 2003 имея бакап систем стейта и то - только при наличии второго работающего!
Allextr - у тебя тоже похоже проблема с ДНС. Почитай этот топик о том, как ее решать. Снеси днс, ребутнись, поставь его заново, создай зону (с именем домена), перезапусти сервис нетлогон, ребутнись. вуаля.

kibkalo
я сносил ДНС, правда без перезагрузки, так винда ее и не требовала. Не помогло.
И еще в Евент логах каждый час получаю сообщение:

источник: NTDS General
Категория: Глобальный каталог
тип: Ошибка Код(ID)1126
Дата: 25.08.2004
Время: 3:12:05
Пользователь: Все
Компьютер: BDC-SERV
Описание:
Не удалось установитьь подключение к глобальному каталогу

мне кажется что в этом причина. Поиск по Microsoft Knowledge base по коду ошибки ничего не дал ;(.


Добавлено
Вот еще что обнаружил: Ntfrsutl ds выдает вот такой результат

NTFRS CONFIGURATION IN THE DS
SUBSTITUTE DCINFO FOR DC
FRS DomainControllerName: (null)
Computer Name : BDC-SERV
Computer DNS Name : bdc-serv.admin.net

BINDING TO THE DS:
ldap_connect : bdc-serv.admin.net
DsBind : bdc-serv.admin.net

NAMING CONTEXTS:
SitesDn : CN=Sites,cn=configuration,dc=admin,dc=net
ServicesDn : CN=Services,cn=configuration,dc=admin,dc=net
DefaultNcDn: DC=admin,DC=net
ComputersDn: CN=Computers,DC=admin,DC=net
DomainCtlDn: OU=Domain Controllers,DC=admin,DC=net
ERROR - GetComputerObjectName(BDC-SERV); Len 260, WStatus ERROR_NO_SUCH_DOMAIN
Searching : Computers
Searching : Domain Controllers

как можно это исправить?

Blins
По поводу восстановлений AD, DC, etc
Все, кто пробовал это потом поднимать с бакапов, скзали, что НАИМЕНЬШИЙ геморрой получаешь при наличии образа диска.


Цитата:

ЗЫ: Вручную восстановливать пользователей, доверия и пр. не предлагать

Предлагаю их вручную создавать. ВАТниками и ЦМДшниками. И пермишны изначально раздавать ими же. И шАры тоже. И ДНС настроить из того же CLI. Гуёво-мышевозильные телодвижения с трудом поддающиеся бакапу и напряжения головы из разряда "где-то тут был такой чудесный чекбокс, без которого ничего не работает" - это всё допустимо для сетки из 10 машин и одного человека в кач-ве админа, тех.суппорта, аникейщика и т.д.
Хранить эти ЦМДшники в "самзнаешьгде". Потратив время на обследование системы и сделав (полуавтоматически) набор этих файлов можно поднять небольшую сеть (полсотни юзеров) с доменом за несколько часов. Диск с дистрибутивом + диск с набором ЦМДшек, которые и создадут, и расшарят каталоги, и пермишны на них раздадут. Хоть новую сеть построить, хоть старую реанимировать.
А без второго DC я бы всё равно поостерегся.

PS А если кол-во юзеров менее 20 - зачем городить огороды с AD? Что-ньть одно или ПРОСТО-ПРОСТО или ПРОСТО КАК НАДО.
PSS Если много лишних слов, то прошу прощения, а поднятый вопрос, IMHO, не стоит "ломанного яйца".

dcdiag:
Performing initial setup:
[dbserver] LDAP connection failed with error 58,
╙ърчрээ√щ ёхЁтхЁ эх ьюцхЄ т√яюыэшЄ№ ЄЁхсєхьє■ юяхЁрЎш■..
***Error: The machine, dbserver could not be contacted, because of a bad ne
response. Check to make sure that this machine is a Domain Controller.

netdiag:
[FATAL] Failed to get system information of this machine

Не пускает в консоль: Сервер неработоспособен. Обратитесь к админу бла-бла-бла." Ребутнуть в данный момент не могу. Проблема, как я понял из "Просмотра событий", возникла вчера с DNS. Юзеры смогли утром залогиниться. Кто может подсказать в чём искать проблема. С AD столкнулся недавано

P.S. Проблема решилась ребутом, но всё-таки?..