maxmix
Goto Top

Was passiert wenn einziger Domänencontroller ausfällt? Waurm sollte man die Domänencontroller redundant haben?

Hallo zusammen,
was passiert eigentlich, wenn der Domänencontroller (mit DNS) einer Umgebung ausfällt? Was sind die Gründe dafür, dass die Domänencontroller redundant sein sollen?

Vielen Dank bereits im Voraus & Gruß Max

Content-Key: 232763

Url: https://administrator.de/contentid/232763

Ausgedruckt am: 19.03.2024 um 11:03 Uhr

Mitglied: Attituder
Attituder 16.03.2014 um 15:43:31 Uhr
Goto Top
Hi MaxMix,

es ist auf jedefnall ratsam wenn nicht notwendig einen 2. Domänencontroller zu betreiben.

Befindet sich nur 1 Domänencontroller im Netzwerk und dieser fällt aus - so können sich unter anderem die Mitarbeiter nicht mehr an den Arbeitsplätzen anmelden.

MfG
Atti
Mitglied: MaxMix
MaxMix 16.03.2014 um 15:45:37 Uhr
Goto Top
@Attituder
Vielen Dank für deine Antwort. Ist dies der einzige Grund?
Mitglied: emeriks
emeriks 16.03.2014 um 16:05:31 Uhr
Goto Top
Zitat von @MaxMix:

@Attituder
Vielen Dank für deine Antwort. Ist dies der einzige Grund?

Reicht doch, oder?

Erzähle mal Deinem Chef, dass er sich heute zwar noch anmelden kann, weil, weil sein Notebook die Anmeldungen zwischengespeichert hat, aber Du ihm leider nicht den Zugriff auf die neuen Daten der Fibu erteilen kannst, weil der DC gerade nicht mehr läuft. Ach ja, und irgdendwie bekommst Du es nicht hin, den Backup wiederherzustellen ... Und dann erklärst Du ihm noch, dass der Zustand eingetreten ist, weil Du es nicht als erforderlich betrachtest hast, die Domäne redundant abzusichern. Und weil ja DNS auch noch ausfällt kann er gerade auch nicht auf die Intranetseite zugreifen .... usw.

Wenn Ihr Euch leisten könnt, dass die vom DC bereitgestellten Dienste für ein paar Minuten/Stunden/Tage nicht laufen und Ihr sicher seid, dass Ihr immer einen aktuellen Backup habt und diesen auch jederzeit wieder zum Laufen bekommt (sowas muss man u.U. trainieren), dann könnt Ihr auf Redundanz verzichten. Dieses Aussage gilt übrigens auch für jeden anderen Dienst.
Wenn Ihr auch nur einen der genannten Aspekte verneinen müsst, dann solltet Ihr über entsprechende Redundanzen verfügen.

E.
Mitglied: Jannis92
Jannis92 16.03.2014 aktualisiert um 16:08:05 Uhr
Goto Top
Hey,
naja, meist dauert die Anmeldung zwar ewig (wenn der Domänencontroller futsch ist), aber die User
wereden dann mit einem temporären/ lokalen Profil angemeldet.
Allerdings können die Anwender dann auf Netzwerkressourcen, wo die Freigaben über AD- Gruppen erfolgt, nicht mehr zugreifen,
da die Authentifizierung/ Autorisierung nicht mehr erfolgen kann.

Normalerweise wird ein Domänencontroller als "Master/Slave" betrieben.


EDIT:
Voraussetzung für die temporäre Anmeldung ist, dass der Benutzer bereits einmal am System angemeldet war
Mitglied: emeriks
emeriks 16.03.2014 um 16:31:37 Uhr
Goto Top
Zitat von @Jannis92:

Hey,
naja, meist dauert die Anmeldung zwar ewig (wenn der Domänencontroller futsch ist), aber die User
wereden dann mit einem temporären/ lokalen Profil angemeldet.
Allerdings können die Anwender dann auf Netzwerkressourcen, wo die Freigaben über AD- Gruppen erfolgt, nicht mehr
zugreifen,
da die Authentifizierung/ Autorisierung nicht mehr erfolgen kann.

Normalerweise wird ein Domänencontroller als "Master/Slave" betrieben.


EDIT:
Voraussetzung für die temporäre Anmeldung ist, dass der Benutzer bereits einmal am System angemeldet war

Sorry, aber das kann ich so nicht unkommentiert gelten lassen.
1. Haben die Verfügbarkeiten von DC's und Roaming Profiles nicht grundsätzlich etwas miteinander zu tun.
2. Gab es noch nie Master- und Slave-DC's. Und falls Du "Primär" und "Backup" meintest, dann ist dieses Zeitalter auch schon laaange vorbei.
3. Die bereits erfolgte, einmalige Anmeldung am System ist zwar eine Bedingung dafür, dass man sich auch offline von der Domäne anmelden kann, aber eben keine Garantie. Es hängt auch von der Anzahl der Benutzer ab, welche sich abwechslend interaktiv an diesem System anmelden, und von der Tatsache, dass die standardmäßige Zwischenspeicherung nicht deaktiviert wurde.

E.
Mitglied: Sheogorath
Sheogorath 16.03.2014 um 17:55:26 Uhr
Goto Top
Moin,

zunächst mal hast du garantiert Freunde im Unternehmen, wenn der DC ausfällt. "Wo ist mein Internet? Warum kann ich mich nicht anmelden? Wo sind meine Daten? Warum kommt dauernd eine Passwortabfrage?". Einige dieser Fragen können auch mal auftreten, wenn du einen 2. DC hast, aber die Häufigkeit nimmt stark ab.

Dazu kommen viele Probleme, die neben der Beantwortung der Fragen auch noch gelöst werden müssen:
1. Anmeldungen nicht mehr (immer) möglich
2. Exchange wird auch nicht mehr ideal funktionieren
3. Alles was etwas mit Namensauflösung zu tun hat (Webseitenaufrufe, Netzwerkfreigaben, Drucker, also quasi alles was nicht lokal passiert)
4. Verwirrte PC, die keine IP bekommen, weil du alles zusammen auf den DC gelagert hast (Was eigentlich auch Sinn macht)

Hierzu muss man natürlich selbst die richtigen Fragen stellen:
1. Woher kommt der Fehler? (okay, Problem: DC)
2. Backup? (Hoffentlich vorhanden)
3. Hardwaredefekt? (Wenn ja, User nachhause schicken, Kaffee holen, warten bis die Ersatzteile da sind. Sonstface-smile
4. Softwarefehler? (vom Backup rücksichern) Installationen? (deinstallieren) Veränderungen? (Veränderung rückgängig machen und/oder Backup zurückspielen) Speicherplatz? (Temporäre Dateien löschen und neue Festplatte bestellen)
5. Was kann es sonst noch sein? (Berater suchen und ggf. beten)

Was kostet ein 2. DC?
Knapp 1000€-1500€ in der Anschaffung und sagen wir 50-100€ im Jahr zusätzliche Kosten.

Welchen Vorteil hat ein 2. DC?
1. Man kann relativ ruhig sagen, dass die Usern nur mal Neustarten müssen (zum Serverwechsel) und dann funktionieren 90% wieder
2. Man kann in ruhe den Fehler suchen
3. im Zweifel kann man sogar einen DC komplett neu aufsetzen
4. Man kann einen DC auch mal außerhalb der Wartungszeiten neu starten ohne böse Blicke der User zu ernten.

Alles in allem hat es also mal abgesehen von den Kosten fast nur Vorteile. Und wem die 1000€-1500€ zu viel sind, der kann auch die Hardware vom alten DC nehmen. Muss ja nicht alles drauf, aber AD und DNS. Ist vielleicht etwas langsamer, aber lieber 70% Leistung statt 0%.


Gruß
Chris
Mitglied: 108012
108012 16.03.2014 um 18:44:29 Uhr
Goto Top
Hallo zusammen,

Alles eine Frage des Verlustes den man erleidet
und zwar in vollem Umfang, materiell und imaginär!

600 Mitarbeiter x 200 € (kumuliert) Verdienst am
Tag = 120.000 € Verlust plus Imageschaden beiden
Kunden und da sollte doch etwas Geld für zwei DCs
und ein dickes gemeinsam genutztes SAN was man
redundant auslegt plus redundantes Netzwerk eben
noch mal drin sein, oder?

Denn schon ein halber Tag in so einer Firma, also
60.000 € sind genug um eine redundante Auslegung
zu rechtfertigen.

Gruß
Dobby
Mitglied: Jannis92
Jannis92 16.03.2014 um 19:13:48 Uhr
Goto Top
Zitat von @emeriks:

> Zitat von @Jannis92:
>
> Hey,
> naja, meist dauert die Anmeldung zwar ewig (wenn der Domänencontroller futsch ist), aber die User
> wereden dann mit einem temporären/ lokalen Profil angemeldet.
> Allerdings können die Anwender dann auf Netzwerkressourcen, wo die Freigaben über AD- Gruppen erfolgt, nicht mehr
> zugreifen,
> da die Authentifizierung/ Autorisierung nicht mehr erfolgen kann.
>
> Normalerweise wird ein Domänencontroller als "Master/Slave" betrieben.
>
>
> EDIT:
> Voraussetzung für die temporäre Anmeldung ist, dass der Benutzer bereits einmal am System angemeldet war

Sorry, aber das kann ich so nicht unkommentiert gelten lassen.
1. Haben die Verfügbarkeiten von DC's und Roaming Profiles nicht grundsätzlich etwas miteinander zu tun.
2. Gab es noch nie Master- und Slave-DC's. Und falls Du "Primär" und "Backup" meintest, dann ist
dieses Zeitalter auch schon laaange vorbei.
3. Die bereits erfolgte, einmalige Anmeldung am System ist zwar eine Bedingung dafür, dass man sich auch offline von der
Domäne anmelden kann, aber eben keine Garantie. Es hängt auch von der Anzahl der Benutzer ab, welche sich abwechslend
interaktiv an diesem System anmelden, und von der Tatsache, dass die standardmäßige Zwischenspeicherung nicht
deaktiviert wurde.

E.

Hey emeriks,
Zunächst möchte ich mich für meine fehlerhafte Aussage entschuldigen.
Gut das immerhin einer von uns beiden aufpasst :D

Wie nennt sich das Prinzip beim dc denn, wenn eine Redundanz geschaffen wird?
Ich kenne es aus meiner Ausbildung so, dass es z.B einen dc01 gibt und einen dc02.
Fällt dc01 aus, übernimmt der dc02 die Anmeldung ( Daten werden immer synchronisiert)
Gibt es für das Verfahren einen Begriff?
Mitglied: wiesi200
wiesi200 16.03.2014 um 19:33:22 Uhr
Goto Top
Es gibt keine DC1 und keinen DC2. Es gibt 2 DCs. Wer sich darum kümmert ist dann eher Glückssache.
Die beiden synchronisieren sich aber.
Mitglied: emeriks
emeriks 16.03.2014 um 19:37:43 Uhr
Goto Top
Zitat von @Jannis92:

Wie nennt sich das Prinzip beim dc denn, wenn eine Redundanz geschaffen wird?
Ich kenne es aus meiner Ausbildung so, dass es z.B einen dc01 gibt und einen dc02.
Fällt dc01 aus, übernimmt der dc02 die Anmeldung ( Daten werden immer synchronisiert)
Gibt es für das Verfahren einen Begriff?

Redundanz. face-wink

Man spricht hier von Multimaster-Replikation, wobei einige Teil-Funktionalitäten (Rollen) nur von genau einem DC aktiv bereitgestellt werden. Hier gibt es keinen "Slave". Die anderen DC können aber im Fall der Fälle diese Rollen sofort übernehmen, wenn ein Admin das veranlasst.

E.
Mitglied: Jannis92
Jannis92 16.03.2014 um 20:07:43 Uhr
Goto Top
Redundanz war klar :D
Multimaster-Replikation war von mir wohl der gesuchte Begriff.

Danke face-smile
Mitglied: 00Zero
00Zero 18.03.2014 um 09:48:24 Uhr
Goto Top
Hallo Max

wir haben das mal durchgespielt mit einer Domaine die wir sowieso auflösen wollten.
Zunächst können sich nach einem Ausfall des letzten DC's nur noch lokale User sowie jene Domain User an den Rechnern anmelden, welch sich die Tage (vielleicht auch Wochen) vor dem DC Ausfall bereits an dem Rechner angemeldet hatten, von denen also ein lokales Profil besteht. Andere Domain User können sich nicht mehr anmelden.
Mit der Zeit (einige Tage bis Wochen) verfallen auch diese lokalen Domain User Profile und nur noch lokale User können sich anmelden.
Gelingt es euch den DC nach einigen Tagen doch wieder zum laufen zu bringen, so haben wohl die meisten Client-Rechner zwischenzeitlich ihre Vertrauenstellung zum DC verloren und müssen wieder neu in die Domaine aufgenommen werden. Das sind nur die offensichtlichsten Auswirkungen.
Zumindest bei uns war es so, dass nach dem wiedereinschalten des DC's und der Wiederaufnahme der Clients die Domaine nie wieder vwirklich stabil lief.
Das heisst: Fällt der DC länger aus, wobei ich 'länger' nicht exakt definieren kann, so empfiehlt es sich den DC komplett neu als neue Domaine aufzusetzen (auch anderer Name) und die Clients dann in diese neue Domaine zu nehmen.

Ist die Domaine also wirklich klein (z.B. für ein paar Rechner zu Hause) dann kann man das schon mal mit nur einem DC ausprobieren. Für eine stabile Arbeitsumgebung würde ich aber unbedingt einen zweiten DC einsetzen. Zur Not reicht da auch ein alter Rechner, der die Domaine irgendwie für ein paar Tage am Leben erhält bis der eigentliche DC wieder läuft.

Zero