kellogsfr
Goto Top

Active Directory funktioniert nicht

Hallo zusammen,

gestern ist mir irgendwie das AD auf einem SBS 2008 abhanden gekommen.

Was habe ich gemacht:

Deinstallation von Kaspersky 6.0.2.555 oder so, weil diese Version offensichtlich nur Probleme macht,
Deinstallation von ArcServe 15, weil er keine anständigen Sicherungen durchführte
Installation von Arcserve und Installtion von Kaspersky 6.9.4.1424, die soll funktionieren

Heute morgen konnten sich die Benutezr nicht mehr anmelden, bekamen keine Netzwerklaufwerke mehr

DNS funktioniert gar nicht mehr,
Exchange geht auch nicht mehr
AD scheint irgendwie nicht richtig erreichbar.

Das mal so auf die Schnelle, ich werde hier noch ein paar weitere Infos zu posten, vielleicht hat ja jemand eine Idee, was ich machen kann, während ich die Logs noch auswerte

Gruß Kellogs

Content-Key: 156191

Url: https://administrator.de/contentid/156191

Printed on: April 26, 2024 at 16:04 o'clock

Member: Starmanager
Starmanager Dec 02, 2010 at 08:47:41 (UTC)
Goto Top
schau mal ob alle automatischen Dienste auch aktiv sind.

MFG

Starmanager
Member: SlainteMhath
SlainteMhath Dec 02, 2010 at 08:52:21 (UTC)
Goto Top
Moin,

und wirf doch mal einen Blick ins Eventlog. Da steht sicher näheres zu den Problemen.
Ich geh' davon aus das der nicht funktionierende DNS die anderen Probleme im AD und somit im Exchange verursacht. Konzentrier dich also erstmal auf den DNS.

lg,
Slainte.
Member: ChrisIO
ChrisIO Dec 02, 2010 at 08:55:28 (UTC)
Goto Top
Spiel das letzte funktionierende Backup wieder ein und deinstalliere dann heute Nacht in minimalen Schritten, zur Not mit Neustart nach jeder Deinstallation und anschließender Testanmeldung vom Client aus, die nicht mehr benötigten Anwendungen.

Alles Andere wird wohl zu längeren Ausfallzeiten führen.

Falls Du debuggen willst, solltest Du beim DNS anfangen, da die Probleme wie meine Vorredner schon richtig erkannt haben, meist aufeinander aufbauen.


Grüße aus dem Norden,
Chris
Member: KellogsFR
KellogsFR Dec 02, 2010 at 09:04:28 (UTC)
Goto Top
Hallo zusammen,
erst mal Danke für die schnellen Antworten

also im DNS Log finde ich immer wieder folgenden Eintrag

Der DNS-Server konnte Active Directory nicht öffnen. Dieser DNS-Server ist für das Abrufen und Verwenden von Informationen aus dem Verzeichnis für diese Zone konfiguriert und kann die Zone ohne die Informationen nicht laden. Stellen Sie sicher, dass das Active Directory ordnungsgemäß funktioniert, und laden Sie die Zone neu. Die Ereignisdaten enthalten den Fehlercode

und dass er keine Zonen ermitteln kann


dann noch:

Beim Laden der Zone 15.168.192.in-addr.arpa aus Active Directory wurde vom DNS-Server der Fehler 13 festgestellt. Im Zuge des nächsten Zeitüberschreitungszyklus wird der Ladevorgang der Zone wiederholt. Die Ursache hierfür ist möglicherweise eine hohe (und vorübergehende) Active Directory-Auslastung.

ich vermute also, dass es irgendwie das AD gekostet hat, kann das sein?

Gruß
Member: KellogsFR
KellogsFR Dec 02, 2010 at 09:05:19 (UTC)
Goto Top
Der DNS Server ist auch gestartet und kann dann das AD nicht öffnen
Member: SlainteMhath
SlainteMhath Dec 02, 2010 at 09:10:23 (UTC)
Goto Top
ich vermute also, dass es irgendwie das AD gekostet hat, kann das sein?
Möglich ist alles.

Dann schau doch mal bitte ob's zum Thema AD Einträge in den Eventlogs gibt.
Am besten Du sicherst erstmal alle Eventlogs weg, löscht dann alle Einträge.und startest den Server einmal durch,
dann sollte es u.U. etwas einfacher sein den/die Fehler zu lokalisieren.

Und kram nebenbei schonmal das letzte funktionierende Backup raus, weil wenn's AD nen Treffer hat sieht's eher schlecht für den Server/die Domäne aus.

lg,
Slainte
Member: KellogsFR
KellogsFR Dec 02, 2010 at 09:11:29 (UTC)
Goto Top
Wenn ich also richtig liege, dann ist es ein Prob des AD, deswegen habe ich folgenden Befehl ausgeführt:

ntdsutil "activate instance NTDS" snapshot "list all"quit quit > snapshot.txt

mit folgendem Ergebnis:

ntdsutil: activate instance NTDS
Aktive Instanz wurde auf "NTDS" festgelegt.
ntdsutil: snapshot
Snapshot: list all
Es wurden keine Snapshots gefunden.
Snapshot: quit
ntdsutil: quit


Sieht nicht gut aus, der Server wurde auch erst vor kurzem installiert
Member: KellogsFR
KellogsFR Dec 02, 2010 at 09:12:52 (UTC)
Goto Top
Das mit der Datensicherung ist ja das Problem, die war ich gerade am einrichten, und dann ist sie mir abgeschmiert. Es gibt also keine Datensicherung.

Der Supergau, absolut
Member: manuel-r
manuel-r Dec 02, 2010 at 09:29:43 (UTC)
Goto Top
Könnte es banalerweise sein, dass der KAV seine Schilde AKA Firewall hoch gemacht hat und damit sämtliche Netzwerk-Kommunikation blockt? Innerhalb eines Servers sollte das zwar nicht sein, aber...
Member: KellogsFR
KellogsFR Dec 02, 2010 at 09:35:36 (UTC)
Goto Top
ne, denn den Kaspersky hab ich schion wieder deinstalliert, danran hate ich auch gedacht
Member: St-Andreas
St-Andreas Dec 02, 2010 at 10:37:16 (UTC)
Goto Top
Interne Firewall des SBS mal abgeschaltet?
Member: KellogsFR
KellogsFR Dec 02, 2010 at 10:53:16 (UTC)
Goto Top
Hi Slainte

also, ich habe deinen Rat befolgt, die Logs gesichert und gelöscht.

Im DNS Log steht, dass der DNS Server zwar gestartet wird, aber das AD nicht öffnen konnte. Alle anderen Dienste beschweren sich ebenfalls über den fehlenden Domänencontroller. Im Protokoll des Verzeichnisdienstes steht folgendes:

~~~~~~~~~~~~~~~~~~~~~~
Die Active Directory-Domänendienste wurden heruntergefahren.
~~~~~~~~~~~~~~~~~~~~~~
Das Starten der Microsoft-Active Directory-Domänendienste wurde abgeschlossen. Version 6.0.6002.18244
~~~~~~~~~~~~~~~~~~~~~~
Alle Probleme, die Aktualisierungen der Active Directory-Domänendienste-Datenbank verhinderten, wurden behoben. Neue Aktualisierungen der Active Directory-Domänendienste-Datenbank sind erfolgreich. Der Netzwerkanmeldedienst wird neu gestartet.
~~~~~~~~~~~~~~~~~~~~~~
NTDS (636) NTDSA: Onlinedefragmentierung hat einen vollständigen Durchlauf der Datenbank 'C:\Windows\ntds\ntds.dit' begonnen.
~~~~~~~~~~~~~~~~~~~~~~
NTDS (636) NTDSA: Das Datenbankmodul (6.00.6002.0000) hat eine neue Instanz gestartet (0).
~~~~~~~~~~~~~~~~~~~~~~
Die Active Directory-Domänendienste haben den globalen Katalog in folgendem Standort gefunden.

Globaler Katalog:
\\SOKRATES.Domäne.local
Standort:
Default-First-Site-Name

~~~~~~~~~~~~~~~~~~~~~~
Die Active Directory-Domänendienste haben versucht, mit dem folgenden globalen Katalog zu kommunizieren. Die Versuche waren nicht erfolgreich.

Globaler Katalog:
\\SOKRATES.Domäne.local

Der zurzeit ausgeführte Vorgang kann möglicherweise nicht fortgesetzt werden. Die Active Directory-Domänendienste werden den Domänencontrollerlocator verwenden, um einen verfügbaren globalen Katalogserver zu suchen.

Zusätzliche Daten
Fehlerwert:
1908 Der Domänencontroller für diese Domäne wurde nicht gefunden.
~~~~~~~~~~~~~~~~~~~~~~
Die Active Directory-Domänendienste konnten keine Verbindung mit dem globalen Katalog herstellen.

Zusätzliche Daten
Fehlerwert:
8430 Im Verzeichnisdienst ist ein interner Fehler aufgetreten.
Interne ID:
3200ce6

Benutzeraktion
Überprüfen Sie, ob der globale Katalog in der Gesamtstruktur verfügbar ist und von diesem Domänencontroller erreicht werden kann. Zur Diagnose dieses Problems können Sie das Dienstprogramm nltest verwenden.
~~~~~~~~~~~~~~~~~~~~~~
NTDS (636) NTDSA: Onlinedefragmentierung hat einen vollständigen Durchlauf der Datenbank 'C:\Windows\ntds\ntds.dit' abgeschlossen.
~~~~~~~~~~~~~~~~~~~~~~
Die Active Directory-Domänendienste haben den globalen Katalog in folgendem Standort gefunden.

Globaler Katalog:
\\SOKRATES.Domäne.local
Standort:
Default-First-Site-Name
~~~~~~~~~~~~~~~~~~~~~~
Die Active Directory-Domänendienste konnten keine Verbindung mit dem globalen Katalog herstellen.

Zusätzliche Daten
Fehlerwert:
8430 Im Verzeichnisdienst ist ein interner Fehler aufgetreten.
Interne ID:
3200ce6

Benutzeraktion
Überprüfen Sie, ob der globale Katalog in der Gesamtstruktur verfügbar ist und von diesem Domänencontroller erreicht werden kann. Zur Diagnose dieses Problems können Sie das Dienstprogramm nltest verwenden.
~~~~~~~~~~~~~~~~~~~~~~
Die Active Directory-Domänendienste haben versucht, mit dem folgenden globalen Katalog zu kommunizieren. Die Versuche waren nicht erfolgreich.

Globaler Katalog:
\\SOKRATES.Domäne.local

Der zurzeit ausgeführte Vorgang kann möglicherweise nicht fortgesetzt werden. Die Active Directory-Domänendienste werden den Domänencontrollerlocator verwenden, um einen verfügbaren globalen Katalogserver zu suchen.

Zusätzliche Daten
Fehlerwert:
1908 Der Domänencontroller für diese Domäne wurde nicht gefunden.
~~~~~~~~~~~~~~~~~~~~~~

Wenn ich das richtig sehe, dann ist da wohl irgendwas mit dem AD schief gelaufen. Der Katalog wird zwar gefunden, aber kann nicht angesprochen werden. Deswegen bleibt auch der DNS und dann der Exchange hängen.

Da es ja ein SBS ist, der keinen weiteren Server neben sich duldet, gehe ich mal davon aus, dass ich nur mit der Taste F8 beim Start versuchen kann, das AD wieder hin zu biegen.

Falls das nix bringt, muss ich die Kiste wohl neu aufsetzten, könnte das sein?

GRuß Markus
Member: KellogsFR
KellogsFR Dec 02, 2010 at 10:54:35 (UTC)
Goto Top
Ne, noch nicht, aber das werde ich gleich mal machen
Member: KellogsFR
KellogsFR Dec 02, 2010 at 11:07:21 (UTC)
Goto Top
Ich habe erst mal einen Notbetrieb eingerichtet.

ZUnächst einmal kann sich der Benutzer ja immer noch an der Workstation anmelden, bekommt aber kein Login SCript mehr zu sehen, ist also demnach auch nicht richtig in der Domäne angemeldet. Wenn er sich dann in die Netzwerkumgebung klickt, kann auch das Netzwerk durchsucht werden und der Server ist in der Liste. Jetzt kann ich mich auf den Server verbinden und von dort aus das Startscript, welches ich vorhin auf ein freigegebenes Laufwerk kopiert habe, ausführen. Jetzt sind zumindestens die Laufwerke da und die können auch angesprochen werden.

Leider funktioniert das nur mit der Administratorkennung.
Wenn ich das mit der Userkennung mache, dann erscheint die Meldung:

Anmeldung fehlgeschlagen

Der angegebene Benutzername ist identisch mit dem Benutzernamen, mit dem Sie angemeldet sind. Dieser Name wurde bereits ausprobiert. Es kann kein Domäänencontroller zum Bestätigen dieses Namens gefunden werden.

Im Grunde genommen ist das paradox, weil der Benutzer sich auf der betreffenden Arbeitsstation auch noch nie angemeldet hatte. Also woher weiß jetzt Windows, dass der Benutzer im Netzwerk existiert, kann aber mit der Benutzerkennung keine Laufwerke öffnen, obwohl der Benutzer Zugriff haben sollte.

??? Verwirrt ??? und Ratlos ???
Member: SlainteMhath
SlainteMhath Dec 02, 2010 at 11:07:27 (UTC)
Goto Top
Ich denke das hier ist dein nächster ansatzpunkt:

Die Active Directory-Domänendienste konnten keine Verbindung mit dem globalen Katalog herstellen.

Zusätzliche Daten
Fehlerwert:
8430 Im Verzeichnisdienst ist ein interner Fehler aufgetreten.
Interne ID:
3200ce6

Benutzeraktion
Überprüfen Sie, ob der globale Katalog in der Gesamtstruktur verfügbar ist und von diesem Domänencontroller erreicht werden kann. Zur Diagnose
dieses Problems können Sie das Dienstprogramm nltest verwenden.

google mal nach der event-id und -source und ggfs nach dem Fehlerwert.
Und teste den GC 'mal mit nltest.

/EDIT:
Und nur zur Sicherheit: Was ist denn am SBS als DNS Server eingetragen?
Member: St-Andreas
St-Andreas Dec 02, 2010 at 11:10:59 (UTC)
Goto Top
Auch bitte mal kontrollieren ob IP V6 noch aktiv ist.
Member: Ausserwoeger
Ausserwoeger Dec 02, 2010 at 11:41:04 (UTC)
Goto Top
Du könntest auch schaun ob in Active Directory & Standorte dein Server aufgeführt ist und ob unter den eigenschaften von NTDS Settings
das Häckchen für Global Katalog gesetzt ist.

LG Andreas Ausserwöger
Member: KellogsFR
KellogsFR Dec 02, 2010 at 18:05:46 (UTC)
Goto Top
Also mittlerweile hat sich die Sache wohl komplett erledigt.

Ich war mal Vor Ort und habe die F8 Taste beim Start betätigt, dann auf Verzeichniswiederherstellung gegangen und angeblich wurde der Server im abgesicherten Modus hochgefahren.

Passiert ist allerdings gar nix, ich konnte mich nicht einmal merh lokal anmelden und die Kiste rödelte ca 20 Minuten auf den Platten rum. Nachdem das erledigt gewesen ist, habe ich die Maschine über dei Aus-Taste runtergefahren, neu gestartet, Anmeldung funktionierte dann wieder. Allerdings kann ich mich jetzt fast nicht mehr über eine RDesktop Verbindung anmelden. Es dauert ewig, bis der Desktop erscheint, lokal und jetzt dann halt auch noch über die RDesktop Verbindung.

Ich geh jetzt einfach davon aus, dass der Server geschrottet ist und werde das Teil am WE neu installieren. Bleibt mir halt nix anderes übrig.

Denkt an mich am WE, ich wünsch euch jedenfalls ein schöners, als das, welches ich jetzt vor mir habe.

LG Markus
Member: ChrisIO
ChrisIO Dec 03, 2010 at 10:30:48 (UTC)
Goto Top
Damit Dir das nicht nochmal passiert, solltest Du vielleicht drüber nachdenke, den Server gleich zu virtualisieren und bau bitte diesemal gleich die Backup-Lösung ein.

Wenn Du deine Installation beendet hast und der Server samt Diensten wieder läuft kann man den auch gut einfach mal mit Acronis oder Ähnlichem sichern (externe Platte ran und von CD booten und sichern), damit man erstmal ein Image hat, für den DesasterRecovery-Fall vor Implementierung der Backup-Lösung. ;)

VIRTUALISIERUNG macht fast immer Sinn.
Ich empfehle VMWare ESXi 4.1, kostet zwar lizenstechnisch eine Ecke mehr, aber ist und bleibt Marktführer.

Greetz aus dem Norden und frohes Schaffen am WE,
Chris
Member: KellogsFR
KellogsFR Dec 03, 2010 at 10:46:15 (UTC)
Goto Top
Danke für den HInweis, das mit der Virtualisierung habe ich mir auch schon überlegt, wird aber wohl erst in der nächsten Variante möglich sein, denn jetzt mal auf die schnelle einen ESX hochfahren und dann zu virtualisieren, ist wohl eher ein SChuß aus der Hüfte. Langfristig wrid es aber sicher so kommen.

Das mit dem Image habe ich ja auch bereits gemacht, halt bevor die Kiste in der Domäne saß und alle Maschinen eingebunden waren. Vo daher macht es im Moment keinen Sinn, das Image wieder ein zu spielen, es sei denn, dass ich mir ein wenig Zeit spare bei der Installation.

Ich weiß ja auch nicht genau, woran es gelegen hat, ich habe die verkackte Deinstallation von Kaspersky in Verdacht.

Jetzt mach ich dsa alles erst mal neu und freu mich, wenn es am Montag wieder läuft.

Grüße aus dem Süden und gute Erholung an alle am WE

Markus