Не реплицируются sysvol и netlogon между двумя КД на windows ser 2012
 

Не реплицируются sysvol и netlogon между двумя КД на windows server 2012 r2
В общем доступе (на проблемном контроллере домена) отсутствуют папки SysVol и netLogon

Просмотрел ресурсы которые описывали проблему похожую на Windows server 2003,но решения не нашел
1. В Windows Server 2012 используется DFS-R, а FRS отключена
2. Действительно на 2-м Контроллере домена , на котором в общем доступе отсутствовали SysVol и netLogon , отсутствовали папки
\SYSVOL\domain\Policies
\SYSVOL\domain\scripts
3. Утилита linkd не совместима с windows Server 2012,тогда как восстанавливаются связи?
4. Ошибку выявил dcdiag
все 5 ролей мастеров операций принадлежат одному Конроллеру домена

Вывод ipconfig на Контроллере домена,где остутсвуют в общем доступе sysvol и netlogon

Кто знает подскажите как найти решение проблемы,
почему такое может случится, как выявить причину и как это можно исправить ?

Не претендую на полный мануал или решение проблемы за меня, просто прошу помочь разобраться, хочу понять схему решения данной проблемы.

Спасибо

Утилита AD Replication Staus Tool показала полное отсутствие ошибок на обоих КД.

Это у вас тестовая сеть?
Предполагаю проблемы с DNS.

Подробнее:
1) Схему сети в студию.
2) Покажите dcdiag /test:dns
3) Зачем на КД повесили столько сетей?
4) Почему у "основного" (10.0.0.2) подключения нет DNS-суффикса подключения?
5) У "Ethernet adapter Internet" убирайте сторонние DNS-сервера в сервера пересылки (forwaders).

Вы идете тяжелым путем multihomed контроллера домена. Убирайте все сети за какой-нибудь маршрутизатор.

по экономическим причинам не могу взять маршрутизатор, поэтому сделал так

Они и указаны там
172.16.12.1 и 172.16.12.2 указаны в качестве серверов пересылке на DNS серверах 1-го и 2-го Контроллера домена

1-й КД

2-й КД (на котором отсутствуют в общем доступе sysvol и netlogon)

Схема будет позже

Не знаю, в настройках сетевой карты указано: Дописывать основной DNS-суффикс и суффикс подключения
Их что разве нужно вручную писать, они должны автоматически быть установлены,почему их нет не знаю,если знаете как и эту ошибку исправить, подскажите

Запустил диагностический тест DFS

Из возможных решений было предложено:
- проверить не заполнен ли диск - больше 10 гб свободно
- chkdsk /scan /perf c: - ошибок не обнаружено
- sfc /scanos - целостность системы не нарушена, ошибок нет

Схема сети (рис прикреплен)

На каждом Контроллере домена равернут DNS-сервер

Каждый Контроллер домена является маршрутизатором

Каждый Контроллер домена это dhcp - сервер с резервированием

Вся система развернута на Hyper-V

Созданы 5 виртуальных коммутаторов:
5 подсетей
internal (частная сеть)
berlin
london
korea

Первые 4 подсети, mask 255.255.254.0

internet (внешняя сеть - на основе сетевого адаптера хостовой машины)
- данная подсеть, находится за корпоративным брандмауэром и получает динамический-ip,
используется только для выхода в интернет и получения обновлений для WSUS

Контроллер домена Officeserver имеет все 5 ролей мастеров операций

В частной сети и работает "лес предприятия".

Виртуальный маршрутизатор, например pfSense и т.д.
А зачем они указан в настройках интерфейса? И в DNS уберите привязку с внешнего интерфейса.
Создайте обратные зоны в DNS для "внутренних" сетей.
Начните с этого примера.
Приводите еще сообщения об ошибках из журналов событий.

В настройках интерфейса Internet я их явно не указывал, так как я получаю на этот интерфейс динамический IP , поэтому ipconfig показывает эти сервера.

В настройках DNS -серверов указал прослушивание DNS-запросов только с Интерфейсов подсетей (внутрениих),то есть теперь это:
DNS-1
10.0.0.1
10.0.2.1
10.0.4.1
10.0.6.1

DNS-2
10.0.0.2
10.0.2.2
10.0.4.2
10.0.6.2

Настроил зоны обратного просмотра для внутренних подсетей на одном DNS, чрез некотрое время они появились и на втором DNS -сервере

DNS журналы были полны ошибок 4004 и 4015

(перевод)


В поисках того можно ли запускать Контроллер домена на Windows Server 2012 c несколькими сетевыми картами (как «подключённый к нескольким сетям»). Я исследовал много старых сообщений для Windows 2003, Windows 2000 и даже NT4, но не нашел много новой информации.
Все из них говорят, что-то вроде о «много сетевой конфигурации» что это – «не рекомендуется» или «не поддерживается»; не многие из страниц адресованы к тому в действительности ли это будет работать. Здесь изложен мой недавний опыт.

Да, вы можете запустить Контроллер домена на много сетевом компьютере, но вам нужно сделать некоторые изменения конфигурации для его работы.
Для целей демонстрации с фактическим примером, предположим, что у вас есть машина с 2-мя сетевыми картами:
- NIC 1: “PUBLIC” 192.x.x.x network (клиенты используют этот
интерфейс для доступа к
Контроллеру домена)
- NIC 2: “PRIVATE” 10.x.x.x network (частная сеть, только для
серверов или файловых
хранилищ)

Я пометил 192.x.x.x сети как PUBLIC, только чтобы стало ясно, что клиентские машины используют эти сети, чтобы связаться с Контроллером домена, это не означает, что IP-адрес обязательно публично маршрутизируемый.

Здесь изложены нужные изменения
1. [Обязательно] Не допускать чтобы Контроллер домена предлагал службы DNS на интерфейсе PRIVATE

- Запускаем regedit
- Открываем ветку

HKLM\SYSTEM\CurrentControlSet\Services\DNS\Parameters

- Добавим строковый параметр: PublishAddresses
- В качестве значения, установить для PUBLIC (192.x) статический IP address
Я указал все свои внутренние подсети через пробел 10.0.0.1 10.0.2.1 10.0.4.1 10.0.6.1

Насколько я понял здесь указываются адреса интерфейсов которые публикуют свои адреса в качестве Srv-записей


2. [необязательно] Удалите лишние пункты из интерфейса PRIVATE (у меня это интерфейс для выхода во внешнюю сеть - интерфейс Internet)
Некоторые из них могут варьироваться в зависимости от вашей системы. Вы должны знать, что вам нужно в вашей сети PRIVATE; нам только нужен TCP/IPv4, поэтому ниже указано то , было запрещено:
1. Откройте Центр управления сетями и общим доступом
2. Выберите свойство подключения сети PRIVATE
3. Отключите «Служба доступа к файлам и принтерам сетей Microsoft»
4. Отключите Протокол мультиплексора сетевого адаптера(Microsoft)
5. Отключите “Ответчик обнаружения топологии канального уровня”
6. Отключите “TCP/IPv6″

3. [Требуется] Остановить адрес интерфейса e PRIVATE от
добавления в качестве записи DNS для данного хоста:

1. Откройте Центр управления сетями и общим доступом
2. Откройте свойства интерфейса PRIVATE
3. Выбирете TCP/IPv4 > Свойства > Дополнительно
4. На закладке DNS, отключите «Зарегистрировать адреса этого в DNS»


4. [Требуется] Удалите адреса интерфейса PRIVATE которые уже зарегистрированы

- Откройте Server Manager
- Откройте Средства > DNS
- Щелкните по папке для каждой из зон прямого просмотра, и везде, что вы найдете адрес интерфейса PRIVATE, щелкните правой кнопкой мыши и удалите его
- Откройте папку для каждой из зон прямого просмотра и в каждой из вложенных папок также удалите любые адреса интерфейса PRIVATE, которые вы найдете (изучите все дерево)

5. [Требуется] Перезагрузите ваши Контроллеры домена
Это необходимо чтобы все, описанные выше изменения вступили в силу.


Выполнил эти требования вот выводы тестов.


Я открыл оснастку DNS записи тип А для данных адресов присутствуют

Для 2-го сервера

простите за непонятливость - но что вы пытаетесь сделать?
да, КО подсказывает, что 10.0.6.1/23 никогда не достучится до 10.0.0.1 без шлюза.
если вы делаете региональные представительства (судя по названиям сетей), то это делается не так.
если вы делаете вланы (но называете их так, чтобы хацкеры не поломали), то это тоже делается не так.

в общем и целом такой конфиг контроллеров домена = гарантированным фееричным граблям. что вы и имеете.
и делать так не надо, тем более что сборок *nix (с гуем, КАРЛ!!)для маршрутизации полно и почти все они так или иначе живут в HV.

Это еще одни грабли. Настройте статический, в крайнем случае создайте резервирование с нужными параметрами на DHCP.

Я не могу этим управлять,мне предоставили динамический IP. и все , я не как не повлияю на это.
У меня есть выход во внешнюю сеть только так .
Но в сеть я и так выхожу,а проблемы с sysvol появились скорей из-за разницы вовремени наобоих контроллеоах. От эталонного на сутки.

- отключите в гостевых ВМ службу синхронизации времени Hyper-V.
- настройте КД с ролью PDC-Emulator на синхронизацию с внешним источником времени.
- если вы не пытались как-то корректировать работу службы времени в пределах домена, то все остальные серверы и ПК получат правильное точное время с PDC-emulator.
после чего рестартните проблемный КД и проверьте.

ещё раз спрашиваю: чего вы добиваетесь такой схемой сети? я почти уверена, что вы сделали ошибочный дизайн и теперь пытаетесь натянуть его на всё остальное, мужественно решая проблемы на ровном месте.

Цитата cameron:
- отключите в гостевых ВМ службу синхронизации времени Hyper-V.
- настройте КД с ролью PDC-Emulator на синхронизацию с внешним источником времени.
- если вы не пытались как-то корректировать работу службы времени в пределах домена, то все остальные серверы и ПК получат правильное точное время с PDC-emulator.
после чего рестартните проблемный КД и проверьте.
ещё раз спрашиваю: чего вы добиваетесь такой схемой сети? я почти уверена, что вы сделали ошибочный дизайн и теперь пытаетесь натянуть его на всё остальное, мужественно решая проблемы на ровном месте. »
Схема будет трансформирорваться впоследствии на сайты и т.д. На ней отрабатывается работа филиалов , это тестовая конфигурация.
Я согласен что необходим виртуальный маршрутизатор, я и ранее подумывал об VMware там больше возможностей.
Я предполагал что Hyper-v не сможет работать с виртуальными маршрутизаторами.
Уже рассматриваю pfSense
Но это позже
Но сейчас я хочу понять как исправить проблему
Раньше все работало.
Но ведь теперь групповые поитики применяютяс и без ошибок, хотя тест DFS сигнализирует об ошибке в базе данных , repadmin /showreps сигнализирует об успешной репликации, но при этом на добавочном контроллерерв папке Sysvol отсутсвует каталог Groupe Policy

В крайнем случае переставлю добавочный контроллер, прежде понизив его до роли рядового сервера.
если это не ришит проблему произведу захват ролей от хозяина опреаций и переставлю его,в общем есть варианты, но зачем, считаю лучше понять проблему чтоб впоследсвии избежать ее повторения

Что касается эталона времени то это было сразу сделано.
Ошибка была в том что что применил политику написанную для эталона для обоих контроллеров,так как менял настройки Default Domain Policy , поэтому политики для клиентов сервера времени включенные в Default Domain Controllers Policy , не отработали на добавочном контроллере так как как он находится в контейнере Domain Controller, позже уже создал внутри этого контейнера другой и к нему применил политику эталона времени и туда поместил эмулятор PDC, просто забыл чем глубже политика , тем выше ее приоритет.

настройки синхронизации c хостовой машиной были убраны везде, кроме виртуальной машины, которая является эмулятором PDC. Клиенты автоматически получили время с эталона

Да еще посчитал что при выключении хостоой машины виртуальные автоматически сохранятся и при включении возобновят работу, но произошла рассинхронизаци во времени так что пришлось менять и дату и время.

Цитата:

Цитата maslinaV На ней отрабатывается работа филиалов , это тестовая конфигурация. »

Наконец-то написали.
Так вы настроили синхронизацию или нет? Если, что - в помощь 1, 2.
Какие сейчас ошибки в журналах присутствуют?

Да я сразу исправил и команды показывают что клиент синхронизируется с эталоном

В журнале DNS 4004, 4015

В системном

3 - FilterManager -
1028 - DistributedCOM
2016 RemoteAccess
56 - Application Popup

5 - Kernel-General
1059 - DHCP-Server
Это за последние 2-е суток

На добавочном КД то же самое и еще

7009 - Service Control Manager
Забавно то что я опять из оснастки дал команду реплицировать данные Глобального каталога на добавочный КД, вышло сообщение об успешной репликации

ошибка в том, что политика КД - DDCP, а не DDP.
и время настраивается через реестр только на PDC-emulator.
что, зачем и как вы сделали - гадайте сам.
не за чем это делать.
оставьте АД в покое, пока не будуте понимать что вы делаете. а вы, увы и ах, похоже совсем не понимаете что делаете.
так вот оно что.
у филиальных КД будет один интерфейс и один маршрут (общий случай), а не то месиво настроек, которое есть сейчас у вас.
какая же каша то у вас в голове.
windows server 2003+RRAS (1*vCPU+256MB) вполне разрулит вам маршрутизацию этого теста.
есть варианты проще - с KWF.


в общем вы неправильно смоделировали неправильную инфраструктуру, при этом понаделали дополнительных ошибок.
мой совет - это удалять.
потом делать правильно, сперва подумав.

Насчет системных журналов - я не вижу ошибок, связанных с репликацией. Как вариант - перезапустите службу dfsr на контроллерах, далее - смотрите ошибки.

Цитата:

Цитата cameron у филиальных КД будет один интерфейс и один маршрут (общий случай), а не то месиво настроек, которое есть сейчас у вас. »

А они точно будут? maslinaV, как вы планируете филиалы объединять, расставлять КД и т.д.?

ну а как вы предполагаете?
пусть даже несколько интерфейсов, но тогда их нужно как-то корректно настраивать.
сообщить АД у неё есть какая-то топология с каким-то сайтами, сабнетами, нарисовать ей топологию репликации (ну или понадеяться на KCC).
потом разобраться с DNS'ами, понять что нужно регать, что не нужно, какие интерфейсы обслуживаются.
это всё дело получаса, в общем-то, но начать то нужно с этого.

Цитата cameron: внимательно читайте
PDC-emulator является эталоном и незачем реестр трогать
Настраивал через Groupe Policy и все прекрасно работает за исключением ошибки которую допустил(ну и потом исправил)
Реестр не трогал.
Считаю В реестр нужно вмешиваться только в крайнем случае.
Я заметил в ваших постах только и слышится то не умеет, этого не понимает, оставьте пож это при себе, если хотите помочь помогите,уважайте участников форума, не все считают себя специалистами поэтому и просят совета

Цитата User001:В каждом сайте будут свои КД

maslinaV, вы пробовали перезапускать dfsr? Ошибки появляются? Попробуйте посмотреть в отладочном логе %windir%/debug/dfsr****.log
Если соберетесь переделывать вашу тестовую схему, попробуйте поиск проблемы и принудительную синхронизацию.

Я по вашему совету уже настраиваю pfsense
Ссылки изучу.
Но я уже понизил роль проблемного Контроллера до рядового сервера (правильнее было переустанвоить заново систему) и заново ввел в домен и сделал 2-м КД, после этого нужно было бы захватить роли , и проделать то же самое с другим КД, чтобы сохранить Глобальный каталог
Ничего не получилось, но после увиденных логов , появились мысли, буду что нибудь пробовать
Позже их выложу
Что успел просмотреть так это удаленные параметры реестр и сообщение что их не нужно было удалять, но как ключи реестра исчезли пока не знаю
log файлы хранятся в формате *.gz
Спасибо позже напишу

Решение проблемы по отсутствию в общем доступе папок Sysvol и NetLogon

Статьи для изучения

1. Как перестроить дерево SYSVOL и его содержимое в домене.
(How to rebuild the SYSVOL tree and its content in a domain)
2. Использование ключа реестра BurFlags, чтобы повторно инициализировать (то есть установить исходный режим работы) службы Репликации файлов D2 и D4. (Using the BurFlags registry key to reinitialize File Replication Service replica sets)
3. DFS Репликация: Как диагностировать отсутствие ресурсов общего доступа SYSVOL и Netlogon (статья 2958414)
(DFS Replication: How to troubleshoot missing SYSVOL and Netlogon shares)
4. How to force an authoritative and non-authoritative synchronization for DFSR-replicated SYSVOL (like "D4/D2" for FRS)
(Как вызвать принудительную или непринудительную синхронизацию для DFSR-реплицированной SYSVOL (подобно "D4/D2" для FRS))
5. The event ID 2104 is logged in the DFS Replication log on a downstream server when the DFS Replication service stops
(Событие ID 2104 записанное в журнале Репликация DFS на нижестоящем сервере, когда служба Репликация DFS остановлена)

Попытка выполнить непринудительную синхронизацию

Как выполнить непринудительную синхронизацию DFSR-реплицированного SYSVOL (подобно "D2" для FRS)

1. С помощью оснастки ADSIEDIT.MSC измените следующее значение отличительного имени (DN) и атрибут на каждом из контроллеров домена, которые Вы хотите сделать не авторитетными (не полномочными), то есть на всех Контроллерах домена:

CN=SYSVOL Subscription, CN=Domain System Volume,CN=DFSR-LocalSettings,CN=<the server name>,OU=Domain Controllers,DC=<domain>

msDFSR-Enabled=FALSE

Если контроллеров домена много, топология репликации неизвестна, да еще и мы не знаем, на каком именно контроллере произошли эти самые изменения? Очевидно, нужно принудительно заставить каждый контроллер домена запросить изменения у всех своих партнеров по репликации. (Читал рекомендации - выполнить эту процедуру дважды, но пояснений не видел почему)


то есть «разветвим» репликацию от одного Контроллера домена на остальные

2. Выполните следующую команду c повышенными привилегиями командной строки на тех же серверах, которые Вы устанавливали как не авторитетные (не заслуживающие доверия, неполномочные):

DFSRDIAG POLLAD

PollAD - Запуск синхронизации с глобальным хранилищем
информации в доменных службах Active Directory

DFSRDIAG PollAD [/Member:name]

Запускаем на каждом Контроллере домена

DFSRDIAG PollAD

или с ключом [/Member:name] на любом из Контроллеров домена, указывая имена Контроллеров домена

3. Подождите некоторое время, пока Вы увидите событие в журнале событий DFSR, показывающее, что SYSVOL больше не реплицируется

4. На каждом DN (distinguishedName – Различающееся имя) каждого Контроллера домена, как описано в ШАГ 1, установите:
5. Ускорьте репликацию Active Directory по всему домену, принудительно.

- Выполним поочередно команды на эмуляторе PDC

Если контроллеров домена много, топология репликации неизвестна, да еще и мы не знаем, на каком именно контроллере произошли эти самые изменения? Очевидно, нужно принудительно заставить каждый контроллер домена запросить изменения у всех своих партнеров по репликации. И желательно выполнить эту процедуру дважды.

то есть «разветвим» репликацию от одного Контроллера домена на остальные

6. Выполните следующую команду c повышенными привилегиями командной строки на тех же серверах, которые Вы устанавливали как не авторитетные (не заслуживающие доверия, неполномочные):

или с ключом [/Member:name] на любом из Контроллеров домена, указывая имена Контроллеров домена

Вы увидите Идентификаторы событий 4614 и 4604 в журнале событий DFSR, указывающие, что SYSVOL был инициализирован. Данный контроллер домена теперь имеет выполненное значение “D2” каталога SYSVOL.

На эталонном компьютере (эмуляторе PDC), на котором остались в общем доступе папки Sysvol и NetLogon, появились сообщения, после события 4114 и после того, как было включено
msDFSR-Enabled=TRUE и после принудительной синхронизации с глобальным каталогом:

В статье «The event ID 2104 is logged in the DFS Replication log on a downstream server when the DFS Replication service stops» описывается решение данной проблемы и некоторые пояснения.
В этой статье описание проблемы для Windows server 2003,2008,2008 R2

После неудачной попытки решил попробовать принудительную синхронизацию.

Как выполнить принудительную синхронизацию DFSR-реплицированной SYSVOL (подобно "D4" для FRS)

1. В оснастке ADSIEDIT.MSC, измените следующие DN (Distinguished Name (отличительного имени)) и 2 атрибута на контроллере домена, который вы хотите сделать авторитетным (заслуживающем доверия) (предпочтительно выбрать PDC Emulator, который в большинстве случаев имеет более актуальные данных содержимого SYSVOL):

2. Измените следующий DN и один атрибут на всех остальных контроллерах домена в этом домене:

CN=SYSVOL Subscription,CN=Domain System Volume,CN=DFSR-LocalSettings,CN=<each other server name>,OU=Domain Controllers,DC=<domain>

3. Ускорьте репликацию Directory replication во всем домене и проверьте успешное выполнение на всех контроллерах домена.
то есть «разветвим» репликацию от одного Контроллера домена на остальные
4. Запустите(перезапустите) службу DFSR, на Контроллере домена заданным как авторитетный, перезапустите службу DFSR на других контроллерах домена:

5. Вы увидите событие ID 4114 в журнале сообщений DFSR указывая, что SYSVOL больше не реплицируется.
Вы увидите сообщение ID 4114 в журнале сообщений других Контроллеров домена - указывающее, что SYSVOL больше не реплицируется на каждом из них

6. На Контроллере домена выставленным как авторитетный, DN (Distinguished Name ( отличительного имени)) из шага 1, установите:

1. Ускорьте репликацию Directory replication во всем домене и проверьте успешное выполнение на всех контроллерах домена.

2. На сервере, который вы установили как авторитетный запустите из командной строки с повышенными привилегиями, следующую команду:

3. Вы увидите событие ID 4602 в журнале сообщений DFSR указывающее, что SYSVOL был инициализирован. Это контроллер домена теперь выполнил “D4” SYSVOL.

4. Запустите(перезапустите) DFSR службу на Контроллере домена установленным как авторитетный
Появится событие 2214
5. Измените следующие DN (Distinguished Name (отличительного имени)) и один атрибут на всех остальных Контроллерах домена в этом домене:
CN=SYSVOL Subscription,CN=Domain System Volume,CN=DFSR-LocalSettings,CN=<each other server name>,OU=Domain Controllers,DC=<domain>

6. Запустите из командной строки с повышенными привилегиями на всех неавторитетных Контроллерах домена (т.е на всех, кроме ранее установленных как авторитетные):

Смотрим отчет в оснастке Управление DFS.

Запсукаем команду

Проверяем наличие в общем доступе каталогов Sysvol и Netlogon