» Общие вопросы про AD (Active Directory) - часть II

rkhodjaev
один, просто хочеться сделать что то типа холодного резерва

Dimsoft
Если один сайт,то честно не знаю как репликацией управлять(если не ошибаюсь,репликация внутри сайта не управляемая)...
Ум....если так,просто включай свой 2-ой КД раз 59 дней!

Dimsoft
Включай его не реже раза в месяц - и всё будет нормально.

Добавлено:
Смысл тока не понятен такого...

FreemanRU
по лицензии корову брали одну и сдавать будем одну - чтобы не нарушать отчетности (с) Простоквашино.
если сервер совсем упадет то по лицензии его можно поднять на другом железе или поднять еще один как холодный резерв - хочется минимизировать время подъема
по такой схема будет несколько минут пока стартует в виртуалке (или секунд пока стартует со слепка)

Цитата:

если сервер совсем упадет то по лицензии его можно поднять на другом железе или поднять еще один как холодный резерв

Я правильно понял - к рабочей станции можно прицепить второй HDD, поставить на нем WIN2003Serv и раз в месяц на выходные загружаться с него. В понедельник сутра - это снова рабочая станция. В случае падения основного сервера за несколько минут восстанавливается AD?

Dimsoft
В таком случае проще держать бакап ежедневный System state-а.И любой загружаемый сервер похожей конфигурации - тогда можно не парится на счет синхронизации, а время восстановления будет не большим. Главное проверить.

Задача:
Есть 2 домена А и Б оба w2k3. Доверительных отношений нет.
В домене Б есть машина с DCOM объектом. Доступ к DCOM сделан через AD.
Необходимо организовать доступ пользователя из домена А.

Есть предположение, что будет достаточно иметь одинаковый SID пользователя в обоих доменах или прописать sidHistory.

Приходилось ли кому-нибудь меня SID или sidHistory пользователя в АД?
ADSIEdit говорит отказано в доступе. Попытка изменения атрибутов проводилась под пользователем с максимальными правами.

Цитата:

OSP.RU. Фильтр по "Active Directory". Статьи.

уже не существует

Ребят подскажите не могу понять где косяк. был AD на 2К перевёз его на 2К3 всё вроде бы гуд, НО!!! пропал доступ с локальных компов в сети до папки sysvol, разрешения на папке все установленны, под админом по сетке доступ есть, под обычными пользователями нет. Помогите не знаю, что делать!

FreemanRU

Цитата:

Dimsoft
Включай его не реже раза в месяц - и всё будет нормально.

Как настраивать репликацию внутри сайта между КД?

DennisKo
Попробуй не перезагружая сервер перезапустить службу NETLOGON

Добавлено:
rkhodjaev
В "сайтах и службах" раскрываешь дерево "Sites", раскрываешь свой сайт, "SERVERS", выбираешь нужный сервер, "NTDS" и справа увидишь все виды репликаций. Выбираешь нужную, затем "свойства", там есть кнопка для планировщика репликации. Но там только на неделю. Ошибок будет у тебя полно в логах при выключенном виртуальном сервере.

BULLDOG

Цитата:

В "сайтах и службах" раскрываешь дерево "Sites", раскрываешь свой сайт, "SERVERS", выбираешь нужный сервер, "NTDS" и справа увидишь все виды репликаций. Выбираешь нужную, затем "свойства", там есть кнопка для планировщика репликации.

Нащел я этот пункт.Там только 4 параметра:
1.None
2.Once per hour
3.Twice per hour
4.Four Times per Hour

У меня стоит сейчас 2 вариант,значит изменения сделанные в другом КД переходить через час,а не через 15 мин что ли?

Читал в книге что DNS от AD не должен смотреть в инет, тоесть интернет запросы не должна обрабатываться внутрений DNS. как конфигурировать сеть в случае если у меня:
AD комп в локалке (192,168,1,1) а интернет раздает шлюз, с ip 192.168.1.110 (на нем стоит dns форвардер на OpenDNS).

сейчас прописано у пользователей 2 DNS-а. первый 1,1 второй 1,110. все рабоатет, но я опасаюсь что не верно настроено. что почитать посоветуете?

rkhodjaev

Цитата:

У меня стоит сейчас 2 вариант,значит изменения сделанные в другом КД переходить через час,а не через 15 мин что ли?

Да, можешь изменить для нужных временных интервалов. Можно вручную делать. В SERVERS выбираешь виртуальный сервер -> NTDS -> там по реплике на реальный правой кнопкой -> Replicate Now.

Добавлено:
Dis74
На DNS, стоящем на AD, пропиши в "Forwarders" IP-адрес 192.168.1.110 и поставь галчку "Do not use recursion for this domain". У пользователей второй DNS можно убрать.

Dis74
настрой форвард с ДНС 192,168,1,1 на ДНС 192,168,1,110 и оставь в настройках только внутренный АДшный ДНС

FreemanRU

Цитата:

В таком случае проще держать бакап ежедневный System state-а.И любой загружаемый сервер похожей конфигурации

это еще надо 1 лицензию на сервер, а так из одной можно 1 реальную и 1 виртуальную, приэтом хранить её где нибудь в другом месте
недавний случай:
3 контроллера домена, в 3 офисах
на 1 sbs падает винт для backup - отдаем в сервис на 7 дней - на 5 день падает винт - сервер с exchange не грузиться, а так как он vpn концентратор для других 2-х офисав ни работоет НИЧЕГО
надо как то менять общую схему

Помогите разобраться, не могу поднять дочерний домен.
Делаю примерно так:

На главном контроллере (lebid.local - 192.168.1.2):
1. Разрешаю динамические обновление для зоны lebid.local
2. Создаю делегирование для zluky.lebid.local
3. Разрешаю передачу зон для _msdcs.lebid.local.

На дочернем домене (zluky.lebid.local - 192.168.1.3):
1. Поднимаю DNS сервер.
2. Создаю основную зону zluky.lebid.local
3. Копирую дополнительную зону _msdcs.lebid.local с главного контроллера.
4. Запускаю dcpromo, говорит ошибка DNS, говорю что настрою позже.
5. После окончания, меняю адрес сервера DNS c 127.0.0.1 - основной на 192.168.1.3, дополнительный - 192.168.1.2
6. Перезагружаюсь.

После перезагрузки в записях DNS сервера главного контроллера появляется CNAME запись server2.zluky.lebid.local. В сетевом окружении вижу 2 домена, по шарам ходить могу. Но репликация не работает. В событиях вижу такие ошибки:

[more=NTDS General - 1126]
Active Directory не удается подключиться к глобальному каталогу.
Дополнительные данные
Значение ошибки:
1355 Указанный домен не существует или к нему невозможно подключиться. [/more]

[more=DNS - 4015]
DNS-серверу обнаружил критическую ошибку Active Directory. Убедитесь, что Active Directory работает правильно. Расширенная информация об ошибке: "000021A2: SvcErr: DSID-030A09F3, problem 5001 (BUSY), data 0". Данные события содержат сведения об ошибке.[/more]

[more=NTDS General - 1655]
Попытки обращения Active Directory к следующему глобальному каталогу завершились неудачно.
Глобальный каталог:
\\server1.lebid.local
Продолжение выполнения текущей операции невозможно. Active Directory воспользуется локатором контроллеров домена для поиска доступного сервера глобального каталога.
Дополнительные данные
Значение ошибки:
1908 Не удается найти контроллер этого домена. [/more]

[more=dcdiag]
Domain Controller Diagnosis

Performing initial setup:
Done gathering initial info.

Doing initial required tests

Testing server: Default-First-Site-Name\SERVER2
Starting test: Connectivity
......................... SERVER2 passed test Connectivity

Doing primary tests

Testing server: Default-First-Site-Name\SERVER2
Starting test: Replications
[Replications Check,SERVER2] A recent replication attempt failed:
From SERVER1 to SERVER2
Naming Context: CN=Schema,CN=Configuration,DC=lebid,DC=local
The replication generated an error (1908):
Не удается найти контроллер этого домена.
The failure occurred at 2008-10-15 23:07:36.
The last success occurred at 2008-10-15 22:59:10.
2 failures have occurred since the last success.
Kerberos Error.
A KDC was not found to authenticate the call.
Check that sufficient domain controllers are available.
......................... SERVER2 passed test Replications
Starting test: NCSecDesc
......................... SERVER2 passed test NCSecDesc
Starting test: NetLogons
......................... SERVER2 passed test NetLogons
Starting test: Advertising
......................... SERVER2 passed test Advertising
Starting test: KnowsOfRoleHolders
......................... SERVER2 passed test KnowsOfRoleHolders
Starting test: RidManager
......................... SERVER2 passed test RidManager
Starting test: MachineAccount
......................... SERVER2 passed test MachineAccount
Starting test: Services
......................... SERVER2 passed test Services
Starting test: ObjectsReplicated
......................... SERVER2 passed test ObjectsReplicated
Starting test: frssysvol
......................... SERVER2 passed test frssysvol
Starting test: frsevent
......................... SERVER2 passed test frsevent
Starting test: kccevent
......................... SERVER2 passed test kccevent
Starting test: systemlog
......................... SERVER2 passed test systemlog
Starting test: VerifyReferences
......................... SERVER2 passed test VerifyReferences

Running partition tests on : DomainDnsZones
Starting test: CrossRefValidation
......................... DomainDnsZones passed test CrossRefValidation

Starting test: CheckSDRefDom
......................... DomainDnsZones passed test CheckSDRefDom

Running partition tests on : zluky
Starting test: CrossRefValidation
......................... zluky passed test CrossRefValidation
Starting test: CheckSDRefDom
......................... zluky passed test CheckSDRefDom

Running partition tests on : Schema
Starting test: CrossRefValidation
......................... Schema passed test CrossRefValidation
Starting test: CheckSDRefDom
......................... Schema passed test CheckSDRefDom

Running partition tests on : Configuration
Starting test: CrossRefValidation
......................... Configuration passed test CrossRefValidation
Starting test: CheckSDRefDom
......................... Configuration passed test CheckSDRefDom

Running enterprise tests on : lebid.local
Starting test: Intersite
......................... lebid.local passed test Intersite
Starting test: FsmoCheck
......................... lebid.local passed test FsmoCheck[/more]

[more=netdiag]
Computer Name: SERVER2
DNS Host Name: server2.zluky.lebid.local
System info : Microsoft Windows Server 2003 (Build 3790)
Processor : x86 Family 15 Model 2 Stepping 8, GenuineIntel
List of installed hotfixes :
Q147222


Netcard queries test . . . . . . . : Passed
GetStats failed for '╧Ё ьющ ярЁрыыхы№э√щ яюЁЄ'. [ERROR_NOT_SUPPORTED]
[WARNING] The net card '╠шэшяюЁЄ WAN (PPTP)' may not be working because it h
as not received any packets.
[WARNING] The net card '╠шэшяюЁЄ WAN (PPPoE)' may not be working because it
has not received any packets.
[WARNING] The net card '╠шэшяюЁЄ WAN (IP)' may not be working because it has
not received any packets.
GetStats failed for '╠шэшяюЁЄ WAN (L2TP)'. [ERROR_NOT_SUPPORTED]



Per interface results:

Adapter : ╧юфъы■ўхэшх яю ыюъры№эющ ёхЄш

Netcard queries test . . . : Passed

Host Name. . . . . . . . . : server2
IP Address . . . . . . . . : 192.168.1.3
Subnet Mask. . . . . . . . : 255.255.255.0
Default Gateway. . . . . . :
Dns Servers. . . . . . . . : 192.168.1.2
192.168.1.3


AutoConfiguration results. . . . . . : Passed

Default gateway test . . . : Skipped
[WARNING] No gateways defined for this adapter.

NetBT name test. . . . . . : Passed
[WARNING] At least one of the <00> 'WorkStation Service', <03> 'Messenge
r Service', <20> 'WINS' names is missing.
No remote names have been found.

WINS service test. . . . . : Skipped
There are no WINS servers configured for this interface.


Global results:


Domain membership test . . . . . . : Passed


NetBT transports test. . . . . . . : Passed
List of NetBt transports currently configured:
NetBT_Tcpip_{AA3FC25E-14D4-4C0C-BFA9-4A13F5B18928}
1 NetBt transport currently configured.


Autonet address test . . . . . . . : Passed


IP loopback ping test. . . . . . . : Passed


Default gateway test . . . . . . . : Failed

[FATAL] NO GATEWAYS ARE REACHABLE.
You have no connectivity to other network segments.
If you configured the IP protocol manually then
you need to add at least one valid gateway.


NetBT name test. . . . . . . . . . : Passed
[WARNING] You don't have a single interface with the <00> 'WorkStation Servi
ce', <03> 'Messenger Service', <20> 'WINS' names defined.


Winsock test . . . . . . . . . . . : Passed


DNS test . . . . . . . . . . . . . : Passed
PASS - All the DNS entries for DC are registered on DNS server '192.168.1.2'
.
PASS - All the DNS entries for DC are registered on DNS server '192.168.1.3'
.


Redir and Browser test . . . . . . : Passed
List of NetBt transports currently bound to the Redir
NetBT_Tcpip_{AA3FC25E-14D4-4C0C-BFA9-4A13F5B18928}
The redir is bound to 1 NetBt transport.

List of NetBt transports currently bound to the browser
NetBT_Tcpip_{AA3FC25E-14D4-4C0C-BFA9-4A13F5B18928}
The browser is bound to 1 NetBt transport.


DC discovery test. . . . . . . . . : Passed


DC list test . . . . . . . . . . . : Passed


Trust relationship test. . . . . . : Skipped


Kerberos test. . . . . . . . . . . : Passed


LDAP test. . . . . . . . . . . . . : Passed


Bindings test. . . . . . . . . . . : Passed


WAN configuration test . . . . . . : Skipped
No active remote access connections.


Modem diagnostics test . . . . . . : Passed

IP Security test . . . . . . . . . : Skipped

Note: run "netsh ipsec dynamic show /?" for more detailed information


The command completed successfully[/more]

Может кто нибудь подсказать средства для диагностики AD
Или посоветовать в куда рыть?

Два примера. Юзер заходит на пк, который в домене. Имя, пароль, домен. Всё как надо.
Пытается использовать какие то сетевые ресурсы, сетевые программы, диски и т.д. и т.п., хрен. Как будто не в домене ПК.
Перезагрузка, снова вход - всё отлично.

Так же с принтерами на терминальных серверах. Подключается юзер (по isa, rdp не проверял т.к. не используется), а его локальный принтер не подхватывается. Перезайдешь - всё ок.

На самом деле главный вопрос, какие есть средства для диагностики Актив Директори?
И что вообще там можно проверить?

AndV
Эта информация относится к Win2000. Я на 2003 пробовал 1 раз делал дочерний домен уже давно, и что-то не помню, что бы я там что-то вручную создавал. Если у тебя 2003, то попробуй просто создать дочерний домен без всяких подготовок на родительском, у меня вроде все работало.

Добавлено:
ra1n
Что такое "хрен"? Не пускает в сетевые папки, не монтируются сетевые диски?

BULLDOG
угу
как будто вход был выполнен не под пользователем домена, а обычным локальным, у которого никаких прав нет для доступа к сетевым ресурсам

ra1n
Что в логах пишет?

BULLDOG

Цитата:

На DNS, стоящем на AD, пропиши в "Forwarders" IP-адрес 192.168.1.110 и поставь галчку "Do not use recursion for this domain".

Где прописать ИП-адрес?В Свойсвах "Zone1" во вкладке "Zone transfers"?
+ как поднимать дополнительный ДНС? это тяжело или не так уж(например поднимать 2-ой КД не так уж тяжело....),а?

rkhodjaev

Цитата:

Где прописать ИП-адрес?В Свойсвах "Zone1"

В свойстах DNS сервера.
rkhodjaev

Цитата:

как поднимать дополнительный ДНС?

На втором контроллере просто. Пока компьютер является рядовым сервером ставишь в своствах TCP/IP в качестве основного DNS сервера адрес первого контроллера. Устанавливаешь Active Directory, затем устанавливаешь DNS сервер, но не настраиваешь его (надеюсь зоны DNS находятся в AD, а не в файлах *.dns). Через некоторое время перезапускаешь DNS сервер (службу) - все зоны отображются. Потом в своствах TCP/IP в качестве алтернативного DNS сервера ставишь адрес второго контроллера. Советую на первом контроллере указать в качестве основного адрес второго контроллера, а в качестве альтернативного адрес первого.

BULLDOG
в логах ничего подозрительного
это причем не у одного пользователя, а у разных, периодически, не очень часто, но всё же

ЧТо нибудь для диагностики правильно работы AD можно посоветовать?

ra1n
DCDIAG
А вообще, попробуй в групповых политаках установить один пункт. Конфигурация компьютера -> Административные шаблоны -> Система -> Вход в систему -> Всегда ожидать инициализации сети при загрузке и входе в систему. Поставь этот параметр в состояние "Включено". На компе выполни gpupdate /force и перезагрузи. Время загрузки не много увеличится. Если в логах появились ошибки 1030 и 1058, то обнови драйвер сетевой карты. Если это не поможет будем копать дальше, хотя у меня помогало в 100% случаев.

BULLDOG
спасибо

дождусь следующую "жертву" и проделаю эту процедуру, пока про DCDIAG почитаю..

ra1n
А что ждать, политики применятся будут своевременно. Рекомендую установить, ты будешь точно знать, что при перезгрузке они применяться.

BULLDOG

Цитата:

В свойстах DNS сервера.

Во вкладке "Forwarders" написанно,что this server is a root server.Значит он является основным сервером и из-за этого такое что ли?
Второй КД поднять и работает уже давно.А вот ДНС не поднять там.У него в Preferred DNS стоит ИП 1-го КД,где пашет основной ДНС.Так значит просто поднимать и ждат когда все вещи копируются полностью?

rkhodjaev
Зону с точкой "." надо удалить.

имеешь виду .root и что даст это?