» Миграция AD 2003 на Windows Server 2008R2

Привет форум!
Тема наверное будет немалая, но постараюсь как можно короче.
Есть сервера:
1) Windows Server 2003 (DNS, AD, DHCP) 192.168.0.2
2) Windows Server 2008R2 (рядовой) 192.168.0.3

Недавно делал мигрирацию с Windows Server 2003 на Windows Server 2008 R2
Проделанные шаги:
1) Расширил лес и домен через ADPREP (/forestprep и /domainprep /gpprep)
2) Повысил новый сервер до уровня второго контроллера домена
3) Экспортировал с Windows Server 2003 настройки DNS из реестра через reg export, ветки HKEY_LOCAL_MACHINE\SYSTEM\CURRENTCONTROLSET\SERVICES\DNS\PARAMETERS и HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\DNS SERVER
4) Выполнял эти файлы на новом серваке Windows Server 2008 R2? чтобы настройки перенеслись в его реестр.
5) Копировал файлы из каталога DNS старого сервера на новый с заменой, кроме каталога Sample
6) Вручную инициировал репликацию на обоих серверах через "Сайты и службы"
7) Выполнял скрипт для проверки схождений скачанный с максрософта - DNSConvergeCheck.cmd, везде он написал Success! Типа все нормально?
8) После перенес через ntdsutil все 5 ролей контроллера домена через команду transfer
9) Далее экспортировал настройки DHCP со старого сервера на новый через netsh>DHCP>Server 192.168.0.2>export c:\cfgDHCP.txt
10) После запретил работу старого DHCP сервера
11) Поднял роль DHCP на Windows Server 2008R2 и импортировал настройки со старого сервера аналогично netsh.... import.....
12) Ошибок не было! Сервер нормально выдает адреса
13) Далее пока оставил старый сервер как второй контроллер домена, со вторым DNS.
----------------------------------------
Теперь глюки!
Глюк первый. Самый непонятный глюк, это то что если зайти на Windows Server 2008 R2 в "Управление групповой политикой" и заметил что если встать на любую политику к примеру "Автозапуск" (запрещает автозапуск съемных носителей) и перейти на вкладку "Таблица" в правой части окна, то там есть 2 поля:
1) Версия пользователя: 0 AD. Нет доступа (sysvol)
2) Версия компьютера: 1 AD. Нет доступа (sysvol)
вот тут не пойму, у меня что криво перенеслась или отрабатывается групповая политика? В событиях клиентского ПК при загрузку ни чего плохого про GPO не видно, все чисто. (Хотя может тут пока второй контроллер домена помогает, теперь боюсь аж его отрубать)
Перепроверил, папка SYSVOL на новом сервере не расшарена, как на старом. И если пройти по пути C:\Windows\SYSVOL\SYSVOL\DEG.local\, на старом сервере после имени домена (DEG.local), следовал каталог Scripts, в котором я размещал bat файлы для подключения пользователям сетевых дисков, а тут на новом сервере этой папки нет!!!!!!!!! Что это? И как тут быть?
Глюк второй. если отключить старый сервер, который работает, по идее, сейчас как вторичный контроллер домена и вторичный DNS, то в офисе не только интернет пропалает, но даже внутренние адреса не пингуются по имени - только по IP.
Вот сэтим тоже не понял! Ведь я передал все роли, импортировал все настройки, а без старого сервера ни чего не работает! Включаю его и все начинает наормально работать!
Ввожу nslookup deg.local на новом сервере, выдает:
Сервер: Unknown
Adress::1
Имя: Deg.local
Adresses: 192.168.0.3
192.168.0.2
т.е. я так полагаю утилита видит сервера? Или все же косяк? запись Unknown непонятна

Спасибо! очень жду помощи.

P.S.
Выполнил DCDIAG и ужаснулся
1) Результат DCDIAG с нового сервера на котором уже все 5 ролей DNS, DHCP и AD
-------------------------------------------------------------------------
Диагностика сервера каталогов
Выполнение начальной настройки:
Выполняется попытка поиска основного сервера...
Основной сервер = Maximus
* Идентифицирован лес AD.
Сбор начальных данных завершен.

Выполнение обязательных начальных проверок

Сервер проверки: Default-First-Site-Name\MAXIMUS
Запуск проверки: Connectivity
......................... MAXIMUS - пройдена проверка Connectivity

Выполнение основных проверок

Сервер проверки: Default-First-Site-Name\MAXIMUS
Запуск проверки: Advertising
Внимание: DsGetDcName вернул сведения для \\server.DEG.local при попытке получения доступа к MAXIMUS.

СЕРВЕР НЕ ОТВЕЧАЕТ или НЕ СЧИТАЕТСЯ ПРИЕМЛЕМЫМ.

......................... MAXIMUS - не пройдена проверка Advertising
Запуск проверки: FrsEvent
За последние 24 часа после предоставления SYSVOL в общий доступ зафиксированы предупреждения или сообщения об ошибках. Сбои при репликации SYSVOL могут стать причиной проблем групповой политики.
......................... MAXIMUS - пройдена проверка FrsEvent

Запуск проверки: DFSREvent

......................... MAXIMUS - пройдена проверка DFSREvent

Запуск проверки: SysVolCheck

......................... MAXIMUS - пройдена проверка SysVolCheck

Запуск проверки: KccEvent

......................... MAXIMUS - пройдена проверка KccEvent

Запуск проверки: KnowsOfRoleHolders

......................... MAXIMUS - пройдена проверка

KnowsOfRoleHolders

Запуск проверки: MachineAccount

......................... MAXIMUS - пройдена проверка MachineAccount

Запуск проверки: NCSecDesc

Ошибка - NT AUTHORITY\КОНТРОЛЛЕРЫ ДОМЕНА ПРЕДПРИЯТИЯ не имеет
Replicating Directory Changes In Filtered Set
прав доступа для контекста именования:
DC=ForestDnsZones,DC=DEG,DC=local
Ошибка - NT AUTHORITY\КОНТРОЛЛЕРЫ ДОМЕНА ПРЕДПРИЯТИЯ не имеет
Replicating Directory Changes In Filtered Set
прав доступа для контекста именования:

DC=DomainDnsZones,DC=DEG,DC=local
......................... MAXIMUS - не пройдена проверка NCSecDesc
Запуск проверки: NetLogons
Не удается подключиться к общему ресурсу NETLOGON.
(\\MAXIMUS\netlogon)
[MAXIMUS] Сбой операции net use или LsaPolicy с ошибкой 67,
Не найдено сетевое имя..

......................... MAXIMUS - не пройдена проверка NetLogons

Запуск проверки: ObjectsReplicated
......................... MAXIMUS - пройдена проверка
ObjectsReplicated
Запуск проверки: Replications

......................... MAXIMUS - пройдена проверка Replications

Запуск проверки: RidManager

......................... MAXIMUS - пройдена проверка RidManager

Запуск проверки: Services

......................... MAXIMUS - пройдена проверка Services

Запуск проверки: SystemLog

Возникла ошибка. Код события (EventID): 0x00000457

Время создания: 03/10/2010 16:53:17

Строка события:
Драйвер pdfFactory 3 для принтера pdfFactory Pro не опознан. Обратитесь к сетевому администратору, чтобы он установил нужный драйвер.

Возникла ошибка. Код события (EventID): 0x00000457

Время создания: 03/10/2010 16:53:18

Строка события:

Драйвер Send To Microsoft OneNote Driver для принтера Отправить в OneNote 2007 не опознан. Обратитесь к сетевому администратору, чтобы он установил нужный драйвер.

Возникла ошибка. Код события (EventID): 0x00000457

Время создания: 03/10/2010 16:53:19

Строка события:

Драйвер Kyocera Mita KM-2050 KX для принтера !!server!Kyocera Mita KM-2050 KX не опознан. Обратитесь к сетевому администратору, чтобы он установил нужный драйвер.

Возникла ошибка. Код события (EventID): 0x00000457

Время создания: 03/10/2010 16:53:19

Строка события:

Драйвер HP LaserJet P2015 Series PCL 5e для принтера !!server!HP LaserJet P2015 Series PCL 5e не опознан. Обратитесь к сетевому администратору, чтобы он установил нужный драйвер.

Возникла ошибка. Код события (EventID): 0x00000457

Время создания: 03/10/2010 16:53:20

Строка события:

Драйвер HP DeskJet 930C/932C/935C для принтера !!OfficeR!HP DeskJet 930C/932C/935C не опознан. Обратитесь к сетевому администратору, чтобы он установил нужный драйвер.

Возникла ошибка. Код события (EventID): 0x00000457

Время создания: 03/10/2010 16:53:20

Строка события:

Драйвер HP LaserJet 1018 для принтера !!DG-22!HP LaserJet 1018 не опознан. Обратитесь к сетевому администратору, чтобы он установил нужный драйвер.

Возникла ошибка. Код события (EventID): 0x00000457

Время создания: 03/10/2010 16:53:21

Строка события:

Драйвер Samsung SCX-4200 Series для принтера !!anna1c77!Samsung SCX-4200 Series не опознан. Обратитесь к сетевому администратору, чтобы он установил нужный драйвер.

......................... MAXIMUS - не пройдена проверка SystemLog

Запуск проверки: VerifyReferences

......................... MAXIMUS - пройдена проверка VerifyReferences
Выполнение проверок разделов на: ForestDnsZones
Запуск проверки: CheckSDRefDom
......................... ForestDnsZones - пройдена проверка

CheckSDRefDom

Запуск проверки: CrossRefValidation

......................... ForestDnsZones - пройдена проверка

CrossRefValidation
Выполнение проверок разделов на: DomainDnsZones
Запуск проверки: CheckSDRefDom
......................... DomainDnsZones - пройдена проверка
CheckSDRefDom
Запуск проверки: CrossRefValidation

......................... DomainDnsZones - пройдена проверка

CrossRefValidation

Выполнение проверок разделов на: Schema
Запуск проверки: CheckSDRefDom
......................... Schema - пройдена проверка CheckSDRefDom
Запуск проверки: CrossRefValidation
......................... Schema - пройдена проверка
CrossRefValidation

Выполнение проверок разделов на: Configuration
Запуск проверки: CheckSDRefDom
......................... Configuration - пройдена проверка
CheckSDRefDom
Запуск проверки: CrossRefValidation
......................... Configuration - пройдена проверка
CrossRefValidation

Выполнение проверок разделов на: DEG
Запуск проверки: CheckSDRefDom
......................... DEG - пройдена проверка CheckSDRefDom
Запуск проверки: CrossRefValidation
......................... DEG - пройдена проверка CrossRefValidation

Выполнение проверок предприятия на: DEG.local
Запуск проверки: LocatorCheck
......................... DEG.local - пройдена проверка LocatorCheck
Запуск проверки: Intersite
......................... DEG.local - пройдена проверка Intersite
-------------------------------------------------------------------------
К стати да вот сейчас заметил какие-то ошибка репликации А перед миграцией я запускал DCDIAG на старом сервере он ошибок ни каких не показывал.

Теперь DCDIAG со старого сервера. Который сейчас типа как второй контроллер и ДНС
-------------------------------------------------------------------------
Domain Controller Diagnosis
Performing initial setup:
Done gathering initial info.
Doing initial required tests

Testing server: Default-First-Site-Name\SERVER
Starting test: Connectivity
......................... SERVER passed test Connectivity

Doing primary tests

Testing server: Default-First-Site-Name\SERVER
Starting test: Replications
......................... SERVER passed test Replications
Starting test: NCSecDesc
......................... SERVER passed test NCSecDesc
Starting test: NetLogons
......................... SERVER passed test NetLogons
Starting test: Advertising
......................... SERVER passed test Advertising
Starting test: KnowsOfRoleHolders
......................... SERVER passed test KnowsOfRoleHolders
Starting test: RidManager
......................... SERVER passed test RidManager
Starting test: MachineAccount
......................... SERVER passed test MachineAccount
Starting test: Services
......................... SERVER passed test Services
Starting test: ObjectsReplicated
......................... SERVER passed test ObjectsReplicated
Starting test: frssysvol
......................... SERVER passed test frssysvol
Starting test: frsevent
There are warning or error events within the last 24 hours after the

SYSVOL has been shared. Failing SYSVOL replication problems may cause

Group Policy problems.
......................... SERVER failed test frsevent
Starting test: kccevent
......................... SERVER passed test kccevent
Starting test: systemlog
An Error Event occured. EventID: 0x00000457
Time Generated: 03/10/2010 16:54:32
(Event String could not be retrieved)
An Error Event occured. EventID: 0x00000457
Time Generated: 03/10/2010 16:54:33
(Event String could not be retrieved)
An Error Event occured. EventID: 0x00000457
Time Generated: 03/10/2010 16:54:36
(Event String could not be retrieved)
An Error Event occured. EventID: 0x00000457
Time Generated: 03/10/2010 16:54:38
(Event String could not be retrieved)
An Error Event occured. EventID: 0x00000457
Time Generated: 03/10/2010 16:54:38
(Event String could not be retrieved)
......................... SERVER failed test systemlog
Starting test: VerifyReferences
......................... SERVER passed test VerifyReferences

Running partition tests on : ForestDnsZones
Starting test: CrossRefValidation
......................... ForestDnsZones passed test CrossRefValidation
Starting test: CheckSDRefDom
......................... ForestDnsZones passed test CheckSDRefDom

Running partition tests on : DomainDnsZones
Starting test: CrossRefValidation
......................... DomainDnsZones passed test CrossRefValidation
Starting test: CheckSDRefDom
......................... DomainDnsZones passed test CheckSDRefDom

Running partition tests on : Schema
Starting test: CrossRefValidation
......................... Schema passed test CrossRefValidation
Starting test: CheckSDRefDom
......................... Schema passed test CheckSDRefDom

Running partition tests on : Configuration
Starting test: CrossRefValidation
......................... Configuration passed test CrossRefValidation
Starting test: CheckSDRefDom
......................... Configuration passed test CheckSDRefDom

Running partition tests on : DEG
Starting test: CrossRefValidation
......................... DEG passed test CrossRefValidation
Starting test: CheckSDRefDom
......................... DEG passed test CheckSDRefDom

Running enterprise tests on : DEG.local
Starting test: Intersite
......................... DEG.local passed test Intersite
Starting test: FsmoCheck
......................... DEG.local passed test FsmoCheck
-------------------------------------------------------------------------
Вот что показала net share
-------------------------------------------------------------------------

-------------------------------------------------------------------------------
C$ C:\ Стандартный общий ресурс
F$ F:\ Стандартный общий ресурс
IPC$ Стандартный общий ресурс
ADMIN$ C:\Windows Удаленный⌐ Admin
Команда выполнена успешно
-------------------------------------------------------------------------
Блин почему нет SYSVOL? Е ма е!

DNS на 2008 поднимался во время поднятия его до уровня контроллера домена. После экспортировал с Windows Server 2003 настройки DNS из реестра через reg export, ветки HKEY_LOCAL_MACHINE\SYSTEM\CURRENTCONTROLSET\SERVICES\DNS\PARAMETERS и HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\DNS SERVER
Далее Выполнял эти файлы на новом серваке Windows Server 2008 R2? чтобы настройки перенеслись в его реестр.
Все зоны нормально отобрыжаются и даже IP провайдера в пересылке есть. У клиентов было указано через новый DHCP в качестве ДНС - новый ДНС 192.168.0.3 после глюка вернул параметр старого ДНС - 192.168.0.2

Полная аналоги проблемы, пока не разобрался(((

Цитата:

Глюк второй. если отключить старый сервер, который работает, по идее, сейчас как вторичный контроллер домена и вторичный DNS, то в офисе не только интернет пропалает, но даже внутренние адреса не пингуются по имени - только по IP.

Все просто - на клиентских машинах в качестве DNS сервера указан DNS сервер на старом контроллере, а новый не прописал нигде. (если статические адреса - указываешь вручную на каждом клиентском компе, если динамика - указываешь адреса DNS серверов в свойствах зоны). Поэтому когда отключаешь старый контролер домена клиенты не знают где искать DNS сервер.

По первому глюку помочь не могу, так как не понял суть проблемы

Добавлено:
Только что доглядел,
так как у тебя настройки DHCP просто перенесены со старого сервера -в свойствах DHCP зоны нет информации о новом DNS сервере. Добавь ручками и одной проблемой будет меньше.

DeniTornado
спряч лог     
dcdiag под тэг more

а чего просто было не дождаться синхронизации DNS между серверами?
зачем так радикально было с реестрами и файлами?

Цитата:

3) Экспортировал с Windows Server 2003 настройки DNS из реестра через reg export, ветки HKEY_LOCAL_MACHINE\SYSTEM\CURRENTCONTROLSET\SERVICES\DNS\PARAMETERS и HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\DNS SERVER
4) Выполнял эти файлы на новом серваке Windows Server 2008 R2? чтобы настройки перенеслись в его реестр.

не понял методику, а где у вас зоны то хранились, действительно в реестре?

В доменной сети основная запись прямого просмотра DNS, соответствующая имени верхнего уровня локального домена, должна храниться в таблице AD! а не в реестре. Таким образом вы не перенесли ветку ДНС в которой хранятся имена папки верхнего уровня, адрес Глобального Каталога и т.д. ещё прощу не забывать о службе сертификации домена, иначе будут проблемы с выдачей тикетов аунтификации машинам/пользователям по Kerberos!

Рекомендую пока не поменялись настройки DHCP сделать трансфер всех ролей назад на Win2K3, размонтировать из домена сервер Maximus и пересоздать (начиная с переустановки системы) новый контроллер домена, понднять его как второй контроллер, поднять его как второй DNS, руками дублировать адреса пересылки DNS и дать просинхронизироваться таблицам в штатном режиме. установить на новом сервере DHCP без активации, руками перенести настройки пула. Установить центр сертификации на новом сервере и выполнить требования по миграции ключей верхнего уровня.
Только после этого переносить роли, деактивировать старый DHCP, менять настройки нового DHCP с указанием нового контроллера домена как основного DNS, а старого как вторичного.

Переносил AD c 2003 на 2008R2. Все было отлично. 2003-й работал вторым DC. Все ошибки, что возникли, удалось устранить. Прошла неделя, понизил роль 2003-го до рядового сервера и тут пришла беда с политиками. Оказалось, что политики домена "сброшены". Т.е. никто не может зарегистрироваться на раб.станциях, недоступны сетевые ресурсы, отключились кнопки меню и т.п. Частично удалось восстановить это дело "в ручную". Тагже слег ISA на Win2003, похоже что IS-у с нуля ставить придется. Т.к. ISA не видит домена, но это отдельная тема. Вопрос такой -

- Существует ли какая-нибудь возможность восстановить политики домена по-умолчанию без переустановки домена? У нас относительно простая сеть, без извратов с подсетями, доменами и т.п. AD+DNS+DHCP+WINS. ISA сервер на отдельном железе, Win2003+кэшDNS+ISA + VPN.

Здравствуйте !
Я проводил миграцию домена с Windows Server 2003 на Windows Server 2008. Главное в этом деле - не торопиться, лучше всё проверить на виртуальных машинах (идеальный вариант - резервные копии настоящих контроллеров домена). Конкретный пример миграции описан здесь: timofeyk.ru

Доброго времени суток. Есть проблема не могу понять в чем дело. При миграции с 2003 сервера (dcserver) на 2008R2 (dc) возникла такая проблема, 2008R2 не хочет работать без сервера 2003.
На 2008 сервере DNS передан корректно все записи на месте в SOA прописано имя dc.бла.бла NS записи тоже присутствуют все роли fsmo переданы корректно 2008R2 является владельцем всех пяти ролей.
На запрос netdom query /domain:бла.бла fsmo
Хозяин схемы DC.бла.бла
Хозяин именования доменов DC.бла.бла
PDC DC.бла.бла
Диспетчер пула RID DC.бла.бла
Хозяин инфраструктуры DC.бла.бла
Команда выполнена успешно.
Режим работы домена Windows Server 2003
Режим работы леса Windows 2000
И вот что мне пишит сервер 2003 когда смотрю Cвойства сервера в оснастке Домены и Доверия: Измененить сведения о доменах и доверии не удалось, поскольку не удалось связаться с эмулятором основного контроллера домена.
На сервере 2008 R2 во вкладке Пользователи и Компьютеры->Смена сервера каталогов->В строке состояние пишит что мой сервер Недоступен
Есть у кого-нибудь соображения по этому.Буду очень благодарен за помощь. Заранее Спасибо.