не пройдена проверка Advertising и Netlogon (dcdiag)

[djuwa4]

Доброго времени суток, есть два контроллера домена winser2012 один основной другой резервный, вот собственна беда возникает, когда выключаешь резервный, пользователи перестают лагониться. как только его включаеш, так всё нормально. Прочитал совет сделать тест dcdiag на основном контроллере домена, не пройденно только два теста, собственно: не пройдена проверка Advertising и не пройденна проверка Netlogon. Уверен, что проблемма в этом, как лечить подскажите! На всех форумах всё безрезультатно......... Да и моих проблем нет в оснавном.
Народ, ещё инфа для тех, кто отважится мне помочь, проделал тест: dcdiag /test:registerindns /dnsdomain, в общем проверка пройдена.

[Telepuzik]

djuwa4,
Для начала покажите вывод команды ipconfig /all с обоих КД.

[djuwa4]

Для начала покажите вывод команды ipconfig /all с обоих КД. » О спасибо за отклик! К сожалению сделал только сканы (проблема со шрифтами, если в файл выводить), dcn - это основной контроллер, share - собственно вторичный, резервный. Сам попытался проанализировать и результаты, менял dns у основного контроллера домена на самого себя а не 1.15, увы не дало результатов. Вопрос ещё такой, проблемма с тестом Advertising - я так понимаю, на dns мой основной контроллер домена не опубликован? Именно поэтому все юзеры лагонятся на резервный? CMD запускаю от имени администратора. Если так, то может мне прописать DC основной в ручную. Проверю ещё записи в DNS.

[Telepuzik]

djuwa4,
192.168.1.15 - это что за DNS сервер?
вот собственна беда возникает, когда выключаешь резервный, пользователи перестают лагониться. »
Клиенты как получают ip адреса? Вывод ipconfig /all с клиента покажите. На обоих КД поднят DNS сервер или нет?
Да и вывод dcdiag с обоих КД покажите.

[djuwa4]

192.168.1.15 - это что за DNS сервер? » Так, судя по всему, я сглупил не сказав про второй резервный DC вот он то как раз и есть "1.15" его сетевое имя: hvmanager прикладываю скрин его IPconfig /all. Так же делал на нём тест dcdiag, результат теста Advertising аналогичен результату на DCN.
Динамический DHCP для пользовательских машинок, скрин user - ipconfig с моей машинки.

[Telepuzik]

сказав про второй резервный DC вот он то как раз и есть "1.15 »
Как все интересно, зачем на данном КД два сетевых интерфейса смотрящих в одну подсеть?
Получается общее количество КД в сети 3 правильно?

[djuwa4]

Получается общее количество КД в сети 3 правильно? » Да, в планах убрать share, в том и проблема, если его убрать начнуться проблемы. Вот какая ошибка выходит когда share пытаешься понизить рангом с контроллера домена до рядового члена домена: Не удалось связаться ни с каким другим контроллером домена, при этом другие объекты контроллеры домена присутствуют в каталоге. Если вы уверены, что этот контроллер домена является единственным для этого домена, и хотите продолжить, подтвердите, что это единственный контроллер в домене.
Я спросил у коллеги всю предысторию связанную с установкой контроллеров: изначально было два физических домена dc и Share, потом накатили ещё один 192.168.1.15 на виртуалку. dc умер и на его место накотили dcn (на это же железо), сейчас роли fsmo тоже на нём (делал тести) (перенасили ли их с share он не помнит). "1.15" - виртуальный, на физической машине с гипервизаром две сетивухи настроенны как "один логический сетевой адаптер"- но это не я делал. Прикрепил скрин с записями srv в dns но там сё нормально.
dcdiag /test:dns не нужно?

[Telepuzik]

Вот какая ошибка выходит когда share пытаешься понизить рангом с контроллера домена до рядового члена домена: Не удалось связаться ни с каким другим контроллером домена, при этом другие объекты контроллеры домена присутствуют в каталоге. »
Проблема где то в DNS либо в настройках сетевых адаптеров.
"1.15" - виртуальный, на физической машине с гипервизаром две сетивухи настроенны как "один логический сетевой адаптер"- но это не я делал. »
То что показано на скрине никак не попадает под то описание что Вы приводите, у Вас виртуальному КД выдано два сетевых адаптера, а не один логический, причем обоим адаптерам присвоены ip адреса из одной подсети - что делать точно нельзя. У Вас в DNS скорее всего куча ненужных записей либо наоборот каких то не хватает.
Прикрепил скрин с записями srv в dns но там сё нормально. »
Если это все записи в этом разделе, то как раз это не нормально, так как не хватает одной записи.
У Вас физически сеть состоит из одного сегмента или разделена на несколько?
dcdiag /test:dns не нужно? »
Нужен вывод команд с КД SHARE:
dcdiag
nslookup aus.local
repadmin /showrepl

[djuwa4]

Нужен вывод команд с КД SHARE:
dcdiag
nslookup aus.local
repadmin /showrepl »

Собственно скрины назвал по утилитам.

[djuwa4]

То что показано на скрине никак не попадает под то описание что Вы приводите, у Вас виртуальному КД выдано два сетевых адаптера, а не один логический, причем обоим адаптерам присвоены ip адреса из одной подсети - что делать точно нельзя. »
Я обязательно уточну, поскольку коллега на смену которого я прихожу мог такое замутить, не нужное и опасное (впрочем, сам пока не далеко ушёл).
Если это все записи в этом разделе, то как раз это не нормально, так как не хватает одной записи.
У Вас физически сеть состоит из одного сегмента или разделена на несколько? »
Вы имеете в виду kerberos на "1.15"?


Камрад нашёл полезную статью: Проблемы Active Directory: недоступен домен или сервер.
"При получении любого их этих сообщений об ошибке, стоит прыгать от радости, так как сообщение об ошибке указывает непосредственно на единственную причину проблемы. Причиной проблемы является служба DNS."
"Помните, что проблема в работе DNS может быть связана с неточной записью на сервере DNS, неправильной записью в локальном файле Hosts на клиентском компьютере или негативной записью в кэше преобразования имен на локальном компьютере." - тут вроде нет проблем (ну на мой несовершенный взгляд)
"Исправление этой проблемы стоит начать с запуска команды netdiag /debug на проблемном сервере. Эта команда проверяет регистрацию служб Active Directory на сервере DNS. Стоит проверить способность сервера DNS выполнять динамические обновления и безопасные динамические обновления." - тут я бессилен со своим 2012))) ибо не поддерживается.
"Если проблема заключается в динамическом обновлении, можно запустить команду nltest /dsregdns для обновления регистрационной информации контроллера домена на сервере DNS." -вот тут начинается самое интересное, запускаю на всех серверах КД и как раз ошибка выходит на share (результаты выложу в скринах) и 1.15!!!

[Telepuzik]

Стоит проверить способность сервера DNS выполнять динамические обновления и безопасные динамические обновления." - тут я бессилен со своим 2012))) ибо не поддерживается. »
Когда это служба DNS на 2012 сервере перестала поддерживать динамические обновления?? С чего Вы это взяли?
Вы имеете в виду kerberos на "1.15"? »
Да.
nslookup.png »
Судя по выводу nslookup у Вас есть еще две записи NS с ip адресами 192.168.182.1 и 192.168.163.1 кому принадлежат данные адреса?
А вот вывод dcdiag говорит что у Вас в сети отсутствует роль PDC - это проблема и ее надо решить в первую очередь. Покажите вывод команды netdom query fsmo с КД SHARE и любого другого КД.
Я обязательно уточну, поскольку коллега на смену которого я прихожу мог такое замутить, не нужное и опасное (впрочем, сам пока не далеко ушёл). »
Советую Вам удалить одну сетевую из ВМ оставив только ту на которой ip адрес 192.168.1.15.

[djuwa4]

Когда это служба DNS на 2012 сервере перестала поддерживать динамические обновления?? С чего Вы это взяли? »
Я не туда ссылку дал, я и имел в виду утилиту netdiag
Судя по выводу nslookup у Вас есть еще две записи NS с ip адресами 192.168.182.1 и 192.168.163.1 кому принадлежат данные адреса?
А вот вывод dcdiag говорит что у Вас в сети отсутствует роль PDC - это проблема и ее надо решить в первую очередь. Покажите вывод команды netdom query fsmo с КД SHARE и любого другого КД. »
Спасибо большое за помощь!!!!!!!!!!
192.168.182.1 и 192.168.163.1 кому принадлежат данные адреса? »
Узнаю, надеюсь коллега придёт через 40 минут.
Покажите вывод команды netdom query fsmo с КД SHARE и любого другого КД. »
Прикладыва скрины, странно но pdc выполняет dcn

[Telepuzik]

Прикладыва скрины, странно но pdc выполняет dcn »
Вывод команд nslookup dcn.aus.local и dnscmd /enumzones с КД SHARE покажите.

[djuwa4]

Делаю!

[djuwa4]

netdom query fsmo »
Судя по своим скринам я делаю вывод, что у меня как минимум два сервера выполняющие эти роли, а должен быть один?
И ещё вопрос, нужно ли выставлять приоритет srv записей, в случае, если несколько КД, причём именно у серверов под управлением 2008 и выше?
Судя по выводу nslookup у Вас есть еще две записи NS с ip адресами 192.168.182.1 и 192.168.163.1 »
Коллега говорит, что остались от старого контроллера домена, я их просто удалю. Нашёл их в разделах ForestDnsZones - записи типа А и DomainDnsZone, я просто удалю их, как ns записи там dc - без адресации в ip адрес, тоже зачищу - наведу порядок, так сказать.

[Telepuzik]

dc умер »
Роли fsmo были на том контроллере который умер или нет? После того как умер DC была ли выполнена процедура чистки метабазы AD?

[djuwa4]

Роли fsmo были на том контроллере который умер или нет? После того как умер DC была ли выполнена процедура чистки метабазы AD? »
да роль fsmo была на нём! Потом коллега принудительно их перенёс, куда не помнит, на вопрос была ли чистка метаданных - ответ а что это? Значит делаю вывод, что нет, точнее, уверен в этом!

[Telepuzik]

Значит делаю вывод, что нет, точнее, уверен в этом! »
Тогда Вам сюда How to Remove a Failed or Offline DC (http://blogs.msmvps.com/ad/blog/2008/12/17/how-to-remove-a-failed-or-offline-dc/)
На 10 шаге у Вас должен быть показан КД который умер.

[djuwa4]

На 10 шаге у Вас должен быть показан КД который умер. »
ОК, спасибо большое!!!!! Сейчас говорит, что чистил хвосты от старого домена, но лучше мне самому всё проверить!
http://winitpro.ru/index.php/2011/04/08/udalyaem-neispravnyj-kontroller-domena-pri-pomoshhi-utility-ntdsutil/ - ещё на русском нашёл.

[djuwa4]

Делаю, но ступорюсь на выборе сайта (select site <#>), выдаёт, что нет текущего домена, нет текущего сервера, нет текущего контекста именования. Есть серьёзные намеренья завершить чистку, коллега делал иаче и мог оставить методанные.