не пройдена проверка Advertising и Netlogon (dcdiag)

[Telepuzik]

выдаёт, что нет текущего домена, нет текущего сервера, нет текущего контекста именования »
Так дальше наберите команды там будет и выбор домена и сервера и контекста именования.

[djuwa4]

Так дальше наберите команды там будет и выбор домена и сервера и контекста именования. »
Да да, всё правильно, я продолжил! Не нашёл dc, коллега чистил вручную, пологаю подчистил, прикладываю скрин.

[djuwa4]

Telepuzik »
Вы наверняка знаете как приоритет у srv записей выставлять? Если да, то собственно вопрос: я присылал вам скриншот с dns где были srv записи, вы там ещё заметили отсутствие одной записи, хватит ли мне выставить приоритет у этих двух srv записей? то бишь у ldap и kerberos. Я просто на обоих записях выспавил dcn приоритет 50, у остальных серверов он остался 0.
Надеюсь таким тапорным методом хоть чуть чуть выличить ситуацию с логоном, всё усложняется ещёи тем, что почта фирмы на Exchange и соответственно при проблеммах с SHARE отваливаются и оутлуки от сервера. Если это поможет, думаю тот сервак share вырвать "кощунственным" образом и затем подчистить метаданные способом который вы выслали.

[Telepuzik]

хватит ли мне выставить приоритет у этих двух srv записей? »
Нет не хватит. Вам нужно выполнить следующие действия:
1. Почистить DNS от не нужных и устаревших записей
2. На виртуальном КД оставить только один сетевой интерфейс с правильным ip адресом
3. На всех КД прописать в качестве записей DNS, записи так чтобы первая запись указывала на ip адрес другого КД, альтернативный DNS ip адрес самого КД
4. Перезагрузить последовательно все КД
5. Проверить нет ли расхождения во времени на КД (посмотрите служба времени на КД SHARE вообще работает)
6. Выполнить на всех КД команду dcdiag и вывод показать
Если это поможет, думаю тот сервак share вырвать "кощунственным" образом и затем подчистить метаданные способом который вы выслали. »
Я бы не советовал Вам так делать.

[djuwa4]

Я бы не советовал Вам так делать. »
Да понимаю, идея так себе! Выяснил про второй сетевой интерфейс на 1.15 он не нужен, удалю. Буду выполнять по порядку все пункты.

[djuwa4]

1. Почистить DNS от не нужных и устаревших записей
2. На виртуальном КД оставить только один сетевой интерфейс с правильным ip адресом »
Эти два пункта сделал, nslookup aus.local теперь не показывает лишних адресов.
3. На всех КД прописать в качестве записей DNS, записи так чтобы первая запись указывала на ip адрес другого КД, альтернативный DNS ip адрес самого КД »
Я не совсем понял как это сделать, увы... Я отправил скрин с простым списком dns записей в домене aus.local ns, с именем (как папка верхнего уровня) - типа А и список записей (хостов) типа а - пробовал там менять местами пересоздавая, после обновления у них приоритет остаётся!.
Или нужно у них в настройках сетевого адаптера прописать?

[Telepuzik]

Или нужно у них в настройках сетевого адаптера прописать? »
В настройках сетевого адаптера прописать.

[djuwa4]

4. Перезагрузить последовательно все КД
5. Проверить нет ли расхождения во времени на КД (посмотрите служба времени на КД SHARE вообще работает) »
Расхождения во времени кретического нет (5 мин), dcn спешит на 20-30 сек.
Контроллеры увы перезагружу только в субботу (только так разрешили).
Я отправил скрин с простым списком dns записей в домене aus.local ns, с именем (как папка верхнего уровня) - типа А и список записей (хостов) типа а - пробовал там менять местами пересоздавая, после обновления у них приоритет остаётся!. »
Ну да, это я глупо придумал, они же всё равно синхронятся.

[djuwa4]

По поводу чистки лишних DNS у меня есть ряд одинаховых _kerberos и _ldap записей относящихся к dcn, думаю дубликаты можно смело удалять?
Скинул скрин с выводом команды w32tm /monitor, отстование от dcn у других серверов 41 секунда, это критично? В любом случае исправлю это.

Поправил время, у всех КД, были разные источники NTP. Теперь расхождение в миллисекунды.

[djuwa4]

Telepuzik » Доброго вам времени суток, не отписался вчера, просто после моих последовательных загрузок dcn - решил как следует насолить и выказывает капризы BAD_SYSTEM_CONFIG_INFO, поэтому занимался этим - но это тема для другой беседы. К слову почта перестала нормально функционировать без dcn, когда его убрали из настроек сетевых карт на двух других КД, даже как вторичный, всё заработало.
Вот, что касается проблемы этой темы, пока не могу проверить, вот dcn восстановлю и посмотрю.

[djuwa4]

Telepuzik » Контроллер dcn приказал долго жить, придётся оставить share и решили запелить ещё один КД, как мне действовать? Мой план такой: перенести роли FSMO на share, удалить dcn из dns полностью и ad по ссылке, что вы мне давали, потом поставить ещё один КД.

[Telepuzik]

перенести роли FSMO на share, удалить dcn из dns полностью и ad по ссылке, что вы мне давали »
Перед вводом нового КД в домен проверьте что у Вас всех КД без ошибок выполняется dcdiag и работает репликация между ними. Когда никаких ошибок не будет можно будет вводить новый КД.

[djuwa4]

ОК! Спасибо.

[djuwa4]

без ошибок выполняется dcdiag и работает репликация между ними. » Вот с репликацией как раз беда, пока сам буду разбираться, если всё будет безрезультатно, то попрошу вашей помощи советами, если вы не против.

[djuwa4]

Уже хорошо, сам не знаю что особого сдела, вроде всё что было оговоренно в рамках темы (просто ранее не помогало), но факт есть факт share проходит тес dcdiag сразу и без косяков - вообще, c 1.15 буду ещё разбираться.
Наконец нашёл описание тестов которые проводит dcdiag (http://windata.ru/windows-world/lokalnaya-set/active-directory-utilita-dcdiag/) , ещё на https://technet.microsoft.com/ru-ru/library/cc739784(v=ws.10).aspx
Те раны которые буду залечивать на 1.15

Advertising - Проверяет, правильно ли контроллер домена сообщает о себе и о своей роли хозяина операций. Этот тест завершиться неудачно, если служба NetLogon не запущена.

NetLogons - Проверяет правильность разрешений регистрации, позволяющих регистрацию, для каждого контроллера домена.

Services - Проверяет работоспособность всех служб, необходимых для работы контроллера домена, на указанном контроллере домена.

NetLogons - Проверяет на существование необходимых для продолжения репликации привилегий входа. (technet.microsoft.com) - эта формулировка пожалуй точней.

Резон изначально лечить NetLogons - на мой взгляд это первоисточник проблем!

[djuwa4]

Залечил пока только ошибку с Services » служба Kerberos была погашена и вообще не поднималась автоматически, она была вообще отключена. Тест Replications тоже не проходил, а сейчас нормуль.
Я так понимаю NetLogons » является причитой по которой в DNS нет ыкм записей? Ручками я их конечно могу прописать, но вот проблемы на сервере это увы не решит.

[Telepuzik]

является причитой по которой в DNS нет ыкм записей? »
Да может являться причиной.
Ручками я их конечно могу прописать, но вот проблемы на сервере это увы не решит »
Выполните на данном КД команду ipconfig /registerdns и перезапустите службу netlogon. Затем проверьте записи DNS.

[djuwa4]

Я очень извиняюсь, что не пиал, небыло помощьника и весь поток с пользователями упал на меня. И так, Выполните на данном КД команду ipconfig /registerdns и перезапустите службу netlogon. Затем проверьте записи DNS. » я ранее прописал все записи ручками, снёс запись _kerberos 1.15, затем достаточно прописать ipconfig /registerdns на 1.15 и на share через какое-то время запись появляется появляется - с этим всё хорошо!!! Но в dcdiag ошибки остались с netlogon. Как мне рекомендовали, искать ошибки на эту тему в логах и усиленно гуглить - так и поступлю.

Я сейчас посмотрел, записи впринципе автоматически появляются и без моих действий, но по времени это дольше гораздо (интервал после удаления записи до её побликации системой).

Последний раз задержка была очень большой, даже после ipconfig / register помогла перезагрузка netlogon.

Делаю: repadmin /showvector /latency CN=Configuration,DC=domain,DC=local Вывод: failed with status 8453. Replication access was denied (Сбой статус 8453. доступа репликации было отказано) - это на всех серверах. (по этой проблеме есть ссылка "тем кто сталкнётся) https://technet.microsoft.com/en-us/library/replication-error-8453-replication-access-was-denied(v=ws.10).aspx)