[решено] Создание дополнительного контроллера домена Windows 2003

[djsdm]

Обьясните или подскажите где прочитать о функциях дополнительного контролера домена. При падении основного контролера перехватит ли он на себя функции основного домена или как?

[RaZZoRRo]

www.networkdoc.ru можете узнать здесь

[Bel_Djon]

djsdm такое понятие как дополнительный контроллер домена в 2000 и 2003 виндах убрали, т.е. все контроллеры равнозначны и если например падает один контроллер, второй будет обслуживать, но вот только надо будет права ему давать на мастера схемы, и т.д. RaZZoRRo правильно сказал, на networkdocs.ru по этому поводу есть много хорошей инфы

[galex]

Есть сервер, контроллер домена Windpws Server 2003 с DNS и WINS. Купили еще один сервер. Хочется сделать его дополнительным контроллером домена, а также вторым сервером DNS, и вторым WINS. Подскажите какие шаги необходимо сделать. Начал настраивать DNS, испортил зону на основном сервере. Как его вторым DNS сделать?

[galex]

Настроил дополнительный контроллер с помощью мастера. Как проверить его работу?

[monkkey]

galex
Вы можете редактировать первое сообщение, а не добавлять второе. Что именно Вы хотите проверить в работе второго DC?

[Dr_Diesel]

А вы основной сервак отключите, вторичный должен взять на себя его функции

[galex]

monkkey
Я думал увидеть пользователей, компьютеры, записи DNS. В итоге ничего не видно.
Dr_Diesel
Так и делал. Из чего сделал вывод, что Active Directory не работает. Только выключил я второй сервер (который сделал дополнительным контроллером домена), потом выдернул сеть и включил. Он не дал войти на себя ни одним пользователем, включая Администратора. При подключении сети сразу зашел. Плюс удаленно администрировать себя позволяет только пользователю Администратор (основного контроллера домена), другим пользователям с правами администратора не дает.

[RaZZoRRo]

2 galex

проверьте :

1. Правильно ли вы создали DNS зону на втором DC (должна быть дополнительная)
2. Какие роли выдали второму DC (желательно эмулятор PDC и роль global catalog ;))

[Bloodsilver]

galex
как настроены репликации? Первый контроллер домена с AD интегрировать не пробовали?

[galex]

RaZZoRRo
Только что восстановил зону на основном сервере.
Удалил роль DNS сервера на втором сервере. Создал снова. Пытаюсь подключиться к этому DNS серверу, пишет недоступен.
С основным DNS сервером работает нормально. По моему что то я не то делаю

[galex]

Bloodsilver
Первый контроллер интегрирован с AD.

[RaZZoRRo]

2 galex
результат выполнения:
nslookup "ip_второго_сервера "
nslookup "имя_втрого_сервера"

что показывает..???

[galex]

1. *** xx.xxx can't find 10.0.0.40: Non-existent domain
2. name: xx1.xxx
ip: 10.0.0.40

Т.е. первый случай с ошибкой, второй все хорошо

И так с половиной компов, а другая половина и так и так правильно все выдает

[galex]

И удалить AD с этого сервера не могу. Пишет ошибка DNS. Как удалить то? Чтобы потом переустановить.
Удалил, dcpromo /forceremoval. Лучше бы не трогал! Комп теперь не в домене, пароля я не знаю от Администратор, я его сразу настраивал с паролем администратора домена. Чего делать? Спасайте!

[monkkey]

galex
Хватит плодить сообщения. Пользуйтесь РЕДАКТИРОВАНИЕМ сообщений

[Bloodsilver]

galex
Почитай здесь. http://support.microsoft.com/default.aspx?scid=kb;ru;238369
Может поможет.
И еще http://support.microsoft.com/default.aspx?scid=kb;ru;332199

[SkyF]

galexЕсть сервер, контроллер домена Windpws Server 2003 с DNS и WINS. Купили еще один сервер. Хочется сделать его дополнительным контроллером домена, а также вторым сервером DNS, и вторым WINS. Подскажите какие шаги необходимо сделать. Начал настраивать DNS, испортил зону на основном сервере. Как его вторым DNS сделать?

давайте расставим все точки на свои места в этом замечательном вопросе.
Прочитаем: Контрольный список для создания дополнительного контроллера домена в существующем домене (http://www.microsoft.com/technet/prodtechnol/windowsserver2003/ru/library/ServerHelp/2e0186ba-1a09-42b5-81c8-3ecca4ddde5e.mspx)

выполняем проверку конфигурации первого контроллера домена
(например как указано тут Рекомендации по настройке контроллеров домена Windows (http://support.microsoft.com/default.aspx?scid=kb;ru;216899)
конфигурация TCP/IP контроллера: IP статический, Предпочитаемый DNS указывает на собственный IP адрес. ,
проверям Журналы событий на предмет наличия ошибок при настройке этого КД
также можно выполнить команды netdiag.exe и dcdiag.exe из дополнительного набора инструментов Resource Kit Tools для Windows 2003)
делаем резервную копию первого КД
(Например удачным решением будет использовать Автоматический набор восстановления системы ASR - в ntbackup.exe)
на новый сервер устанавливаем ОС
выполняем настройки TCP/IP: IP адрес статический и уникальный, Предпочитаемый DNS указывает на IP адрес первого контроллера - тк он и есть DNS сервер.
Выполняем подключение этой системы к домену по DNS имени домена (<your.domain>).
Если на этом этапе возникают ошибки - значит инфраструктура DNS развернута не правильно.
регистрируемся учетной записью Администратора домена и запускаем мастер Управление данным сервером (Manage Your Server)
Если спросят указываем выборочную конфигурацию (Custom) и выбираем новую роль Контроллера домена (Domain Controller)
(Если есть необходимость развернуть новый контроллер удаленно можно использовать резервную копию первого КД (http://www.microsoft.com/technet/prodtechnol/windowsserver2003/library/Operations/6937b2f6-8c2f-450f-bfa9-600887745a05.mspx) для оперции загрузки базы AD)
В мастере создания контроллера домена выбираем режим Дополнительного контроллера домена и указываем DNS имя домена
Выполняем дополнительные настройки (пути к каталогам, пароли и тп) и дожидаемся окончания процесса конфигурации и переноса базы данных
Выполняем перезагрузку нового контроллера домена и выполняем проверку журналов системы (Event Viewer)
Если все в порядке, то открываем мастер Управления данным сервером (Manage Your Server) второй раз и выполняем добавление роли DNS сервера на эту систему (кстати эту операцию можно выполнить перед поднятием роли контроллера домена).
На предложение мастера о создании зоны DNS следует отказаться (необходимые зоны уже были интегрированы в базу Active Directory и реплицировались с первого КД)
Используем консоль управления DNS сервером для того чтобы убедиться что необходимые зоны появились (_msdcs.<your.domain> и <your.domain>). Иначе перезагружаем контроллер домена - служба Netlogon выполнит автоматическую настройку этих зон.
Теперь в сети инфраструктура DNS была изменена и DNS сервера теперь 2. Поэтому на всех ОС, входящих в домен необходимо эти изменения отобразить:
В качестве предпочитаемого DNS сервера на системах уже должен был быть установлен IP адрес первого КД, а вот теперь в качестве альтернативного нужно указать IP адрес второго контроллера домена.
Особо отмечу что эта конфигурация должна быть отображена на всех системах в домене: контроллеры, сервера и клиенты.
(Если только не используется особые режимы настрйки инфраструктыры DNS)
Также добавить на второй КД роль Глобального Каталога (в дополнении к первому):
На втором КД - открываем консоль [Active Directory Сайты и службы] - [Default-First-Site-Name] - Servers - <ДК2> - [NTDS Settings] открываем свойства и помечаем данный сервер как носитеть Глобального Каталога.
Анализируем журнал Directory Service на втором контроллере, дожидаемся репликации и подтверждения принятия роли ГК. Перегружаемся.


Что это даст? Это методика позволяет в случае выхода из строя первого контроллера домена - находить второй контроллер и работать с базой данных Active Directory.
Конечно, если первый контроллер будет отключен, то не будут доступны хозяева операций - 5 штук. Самым нужным кторым для клиента является Хозяин - "Эмулятор PDC". Например он нужен клиентским системам чтобы выполнять некоторые операции для осблуживания клиентов.

Важно также отметить - что если первый DNS сервер имел особую дополнительную конфигурацию (например, включенный режим перенаправления (forwarding) запросов на внешние DNS сервера вашего провайдера) - необходимо сделать соответствующие изменения и на втором сервере DNS + если сеть защищена сетевым экраном - внести изменения и в его параметры, разрешая дополнительному серверу DNS выполнят внешние подключения.

Если вы хотите теперь удалить первый контроллер домена из вашей сети - теперь сделать это самое время.
1. На первом контроллере домена (Он сейчас является владельцем 5 хозяев ролей и глобального каталога) регистрируемся учетной записью Администратора домена и запускаем мастер Управление данным сервером (Manage Your Server)
2. Выбираем режим обавления удаления ролей (Add/Rmove role)
3. Выбираем роль - Контроллера домена (Active Directory) (Domain Controller (Active Directory) ) и устанавливаем флаг "удалить эту роль". Нажимаем Далее.
4. Мастер установки Active Directory выдаст запрос о том, является ли этот сервер в сети - поседним контроллером домена, оставляем этот флаг пустым.
5. Задаем новый пароль для учетной записи локального администратора и завершаем работу мастера. и выполняем перезагрузку.
6. При этом все 5 хозяев операций переносятся на второй контролер домена. Роль глобального каталога с первого контроллера - также снимается.
7. После регистрации в системе - необходимо опять обратиться к консоли Управление Данным сервером (Manage Your Server) и удалить остальные роли с этого сервера (если они вам не нужны, или вы планируете выполнить переформатирование/переустановку системы на бывшем контроллере домена 1).
8. На оставшихся контроллерах домена - необходимо выполнить проверку журналов событий и выполнить коррекию конфигурации для DNS сервера. А именно - в свойствах всех зон необходимо удалить упоминания о бывшем контроллере домена (это записи о серверах имен - name Servers).
9. Можно выполнить простую проверку: на любой из систем домена ввести запрос для разрешения имен DNS: nslookup <your.domain>
Вы должны получить список только существующих серверов имен (если было всего два контроллера домена и одновременно серверов DNS - то выводиться должен IP адреса последнего ( второго контроллера)).
10. Затем следйет изменить настройки всех систем в домене по использованию DNS в конфигурации TCP/IP (как на рабочи станциях, так и на серверах). Так как у нас больше службы на сервере DNS (который мы только что понизили) - то его IP адрес необхоимо убрать из списка "предпочитаемых DNS серверов", а на его место необходимо "поднять из альтернативных" IP адрес нашего единственного контроллера домена (или поправить весь список, если DNS серверов несколько).
11. После перезагрузки ОС - опять выполните проверку разрешения DNS имен на ваших системах (серверах и клиентах). Через команду nslookup. Выполните анализ системных журналов.
12. Сделайте резервную копию вашего доменного контроллера (ов).

Дополню, что если возникает необходимость переустановить коннтроллер домена, можно использовать вот эту тему (в ней обсуждалось именно переустановка первого КД) - fix! Переустановка основного контроллера домена! (http://forum.oszone.net/showthread.php?t=3159)


2all если кто вспомнит какие операции он выполняет в различных режимах работы домена - кидайте с эту тему. будет полезно всем. сейчас времени нет мне искать.

ЗЫ Как это все проверить? очень просто: отключаем от сети первый контроллер, далее:
а. перезагружаем клиентскую систему и выполняем пробную регистрацию от имени сторого доменного пользователя и пробуем обратиться к какому-либо сетевому ресурсу
б. перезагружаем клиентскую систему и выполняем пробную регистрацию от имени нового для этой станции доменного пользователя и пробуем обратиться к какому-либо сетевому ресурсу опять
в. можно пойти еще дальше и перезагрузить в таком состоянии сети второй контроллер домена (и повторить операцию а. или б.)

конечно на всех операциях нужно выполнить анализ Журналов Системы (локальной станции и второго контроллера).

ЗЫЫ выход из строя второго контроллера наверно интересно проэмулировать только с целью получения данных об ошибках в журналах работы доменных служб на первом КД.


ИМХО Примерно так.

[SkyF]

galex
сообщения о ваших дальнейших ошибках перенесены в тему: Ошибки после создания дополнительного контроллера домена Windows 2003 (http://forum.oszone.net/showthread.php?t=55644)

[Zuka]

SkyF
У меня к Вам еще один большой вопрос. Как правильно настроить ADC чтоб при падении PDC домен был бы полностью работоспособным и соответственно, чтоб в этом случае сеть не падала?