[2003] Optimalisatie opstartprocedure*

[Verwijderd]

Hallo allemaal,

Mijn eerste probleem wat nu optreedt (ik ben nu bezig met 1 enkele server en een aantal workstations) is dat de beleidsregels niet meer worden toegepast.

Ik had dus in AD bij gebruikers de gast account ingeschakeled en die vervolgens verplaats naar een zelf aangemaakte OU, genaamd: Gast. Bij de eigenschappen van Gast heb ik een nieuwe policy gemaakt, genaamd Gast, dat is op dit ogenblik de enige policy.

Er is nu dus 1 OU, genaamd Gast met de standaard gast account erin.

Verder heb ik nog een OU gebruikers met daarin alle afzonderlijke gebruikers weer als aparte OU, gezien die allemaal verschillende policies moeten draaien. Verder heb ik geen computers ingesteld in mijn zelf aangemaakte OU's, omdat de beleidsregels puur op de accounts gelden.

Wat nu het probleem is, ik test alleen nog maar met de gast account. Is dat ik bij Gebruikconfig >> Beheersjablomen >> Bureaublad bureaublad items totaal heb uitgezet (dus zodat er niets meer op het bureaublad hoort te verschijen van de gastaccount. Vervolgens heb ik het vernieuwingsbeleid commando gegeven (gpupdate /force). Echter op welk ws ik ook probeer aan te melden met 'Gast', overal heeft de nieuw gemaakte Policy (Gast) niet het gewenste effect. (dus bijvoorbeeld niet de uitgeschakelde bureaubladitems). Ik dacht dat dit misschien aan Gast lag, dus heb ik een nieuwe gebruiker in de OU gegooid, maar ook hierop zijn de regels niet van kracht. Verder heb ik geen profile path gegeven voor beide test gebruikers.

Mijn tweede vraag is, is of de aanmeldprocedure nog iets te versnellen valt. Zeker als ik straks nog wat script opdrachtjes meegeef en de accounts flink zullen groeien. Het is namelijk nu zo dat het aanmelden van gast op een willekeurig ws circa 15 sec duurt. Dit leek me iets lang voor een account die nog op zijn kleinst is??

Bij voorbaat dank,

Elwin Dokter

[Zwelgje]

krijg je na het uitvoeren van gpupdate /force op de pc in de eventlog nog een melding te zien

dns van de clients verwijzen naar je server (welke dan vervolgens resolved via een ingestelde forwarder) dus niet dat je clients 2 dns servers krijgen (1x server, 1x internet dns)

[Verwijderd]

Zwelgje schreef op vrijdag 28 oktober 2005 @ 20:26:
krijg je na het uitvoeren van gpupdate /force op de pc in de eventlog nog een melding te zien

dns van de clients verwijzen naar je server (welke dan vervolgens resolved via een ingestelde forwarder) dus niet dat je clients 2 dns servers krijgen (1x server, 1x internet dns)

Na afloop geeft hij iig aan: controleer de eventlogs voor fouten m.b.t. beleidsregels. Echter zie ik geen recente fout events, wel een reeks herhalende van netlogon, van iets meer dan een uur terug. Die geven het volgende aan en volgens mij hebben die er idd wat mee te maken:

De dynamische registratie van de DNS-record _gc._tcp.server.tarbot.thuis.nl. 600 IN SRV 0 100 3268 new.server.tarbot.thuis.nl. is mislukt op de volgende DNS-server:

IP-adres van DNS-server: 82.98.249.1
Geretourneerde antwoordcode (RCODE): 5
Geretourneerde statuscode: 9017

Deze record dient bij de DNS te zijn geregistreerd, willen computers en gebruikers deze domeincontroller kunnen opsporen.

Aanbevolen actie
Onderzoek mogelijke oorzaken voor dit probleem, los het vervolgens op en begin met het registreren van de DNS-records bij de domeincontroller. Voer DCDiag.exe uit om mogelijke probleemoorzaken vast te stellen. Dit programma bevindt zich op de installatie-cd van Windows Server 2003, in de map Support\Tools\support.cab. Voer 'nltest.exe /dsregdns' op de opdrachtregel van de domeincontroller uit om met het registreren van DNS-records te beginnen, of start de Net Logon-service opnieuw. Nltest.exe bevindt zich op de cd Server Resource Kit.
U kunt deze record tevens handmatig aan de DNS toevoegen, maar dit wordt niet aangeraden.

[Zwelgje]

dns probleem dus, je clients dienen als dns server je 2003 server te hebben en niet die van je provider.

[rml][ windows2000] dns forwarding[/rml]

[Verwijderd]

Hmm ok, echter eerst werkte het allemaal wel en toen had ik ook niets ingesteld? Kan dat?

[Zwelgje]

Verwijderd schreef op vrijdag 28 oktober 2005 @ 20:56:
Hmm ok, echter eerst werkte het allemaal wel en toen had ik ook niets ingesteld? Kan dat?

daar doe ik geen uitspraken over, in principe zou het niet goed moeten werken omdat dns simpelweg niet goed staat, maar ik kan niet in je vorige situatie kijken

[Verwijderd]

Even tussen door, terwijl ik die DNS goed ga zetten, is dit ook de reden voor de lange aanmeld processen? Hoewel lang (15 sec ongeveer, zie 1st post)


Edit: de server is op het moment geen DNS server, maar moet hij dat dan ook wel zijn? Ik vind het maar raar, eerst (toen ik met profile paths en dat soort dingen werkte, hadden de policies wel gewoon invloed, op welk ws ook werd aangemeld.

[ Voor 47% gewijzigd door Verwijderd op 28-10-2005 21:16 ]

[Zwelgje]

Verwijderd schreef op vrijdag 28 oktober 2005 @ 21:01:
Even tussen door, terwijl ik die DNS goed ga zetten, is dit ook de reden voor de lange aanmeld processen? Hoewel lang (15 sec ongeveer, zie 1st post)


Edit: de server is op het moment geen DNS server, maar moet hij dat dan ook wel zijn? Ik vind het maar raar, eerst (toen ik met profile paths en dat soort dingen werkte, hadden de policies wel gewoon invloed, op welk ws ook werd aangemeld.

ja dat is ook de reden voor de lange aanlogtijd

en overigens dit zijn tamelijke basisbeginselen van activedirectory

[Guldan]

een 2003 active directory is altijd een DNS. Alleen heeft deze alleen maar een reverse lookup zone. En verder moet je op je clients gewoon de server als DNS instellen. Dan moet alles werken.

[Verwijderd]

Guldan schreef op vrijdag 28 oktober 2005 @ 21:28:
een 2003 active directory is altijd een DNS. Alleen heeft deze alleen maar een reverse lookup zone. En verder moet je op je clients gewoon de server als DNS instellen. Dan moet alles werken.

Dus dit: [rml][ windows2000] dns forwarding[/rml] hoef ik allemaal niet in te stellen?

Echter, ik instaleer nu pas DNS server op server

[alt-92]

Het is je al vaker verteld (al in 4 topics van je over één en hetzelfde onderwerp), maar een beginnersboek kopen en die erbij houden lijkt me in jouw geval verstandiger.

[Verwijderd]

BackSlash32 schreef op vrijdag 28 oktober 2005 @ 21:37:
Het is je al vaker verteld (al in 4 topics van je over één en hetzelfde onderwerp), maar een beginnersboek kopen en die erbij houden lijkt me in jouw geval verstandiger.

Hmm ja, misschien als ik tijd heb.

Maar ik ben er bijna hoop ik

[Verwijderd]

Ok, ik heb nu dns server op win 2003 geïnstaleerd (en dit moet ik idd nog even gaan uitzoeken, want hier weet ik nog neits van) en ik heb zoals Guldan voorstelde, bij client tcp/ip dns naar ip van server gezet. Helaas inloggen gaat nog wel op server (misschien zelfs iets sneller) , maar nog steeds geen beleidsregels die werken. Ik dacht dus dat alles werkte. Waarschijnlijk heeft het dan met de nieuwe situatie te maken.

Even een schetsje hiervan:

oude situatie:
internet - router - router met 4 poorten, waarvan router1: ws, router2: server
r3: ws4, r4: switch - ws5 - laptop

nieuwe situatie:
internet - router - router met 4 poorten, router1: ws, r2: ws4: r3: ws r4: switch - server - ws5

De server zit nu dus nog eens extra aan een switch

Tijdens de oude situatie (waarbij de server wel een domain controller, maar geen dns solver werkte alles wel naar verwachting.

En ja ik weet het, ik moet dns uit gaan zoeken, maar misschien kan iemand mij een tip in de goede richting sturen.

Vriendelijk bedankt,

Elwin


edit: misschien wel even handig om te vermelden: ik test meestal met ws5 (aangepast), maar probeer ook vanaf ws4.

edit2: ik heb nu de dns forward tut uitgevoerd en de testen geven beide 'gelukt' aan.

[ Voor 11% gewijzigd door Verwijderd op 28-10-2005 22:04 ]

[Verwijderd]

Ok, wat ik nu dus heb gedaan is op de server:
DNS installed en ingesteld volgens: [rml][ windows2000] dns forwarding[/rml]
Dus een forwarder naar de router (192.168.123.254). Verder staat round robin ook aangevinkt. Vervolgens heb ik op ws5 bij eigenschappen van netwerkverbinding DNS van automatisch naar het ip van de win2003serv gezet. Helaas, worden nog steeds de policies niet doorgevoerd.

[elevator]

Policies die niet worden applied is een heel ander probleem dan het aanloggen dat lang duurt. Ik stel voor dat je een nieuw topic opent waarin je aangeeft hoe je OU's en GPO's zitten, wat je GPresult en GPMC resultaten zijn en wat je zoal zelf geprobeerd hebt om het probleem op te lossen.

Als je een van de termen die ik hierboven gebruik niet snap, stel ik voor dat je die termen even opzoekt - met die info kan je namelijk zeker een boel meer dan dat je nu kan

[alt-92]

En het scheelt al een boel als je daar niet de Guest/Gast account voor gebruikt maar even een "normale' user aanmaakt in je AD voor dit soort testjes.

[Verwijderd]

Ja inderdaad, ben ik dat van plan. Maar ik vind het alleen raar dus dat er eerst over dns en dergelijke wordt gepraat, terwijl in de oude situatie dus alles werkte zonder dat ik de server als dns had ingesteld. Maar goed, morgen ga ik GPMC e.d. bekijken...

[alt-92]

Omdat goed werkende DNS de grondslag is voor een goed functionerende AD omgeving.
En met alle respect, maar het prutswerk wat je hiervoor hebt laten zien is gewoon strontmazzel geweest dat je er niks van gemerkt hebt.
Durf er wel om te wedden dat er toch aardig wat eventjes om je oren hebben gevlogen, maar dat je dat nog niet eens is opgevallen

Maar al doende leert men, hoewel het met goeie literatuur stukken prettiger werkt

[Verwijderd]

BackSlash32 schreef op zaterdag 29 oktober 2005 @ 00:09:
Omdat goed werkende DNS de grondslag is voor een goed functionerende AD omgeving.
En met alle respect, maar het prutswerk wat je hiervoor hebt laten zien is gewoon strontmazzel geweest dat je er niks van gemerkt hebt.
Durf er wel om te wedden dat er toch aardig wat eventjes om je oren hebben gevlogen, maar dat je dat nog niet eens is opgevallen

Maar al doende leert men, hoewel het met goeie literatuur stukken prettiger werkt

Hmm, ok. Met andere worden, zonder goede DNS settings werkt er tamelijk weinig? Want alles werkte dus redelijk naar behoren (profile path en policies werden goed toegepast als ook login scripts en dat soort zaken).

En DNS goed instellen is dus een must en is ook tamelijk ingewikkeld?

Ik ben al het een en andere op de Ms sites aan het kijken, maar daar vind ik het niet zo duidelijk. Verder wou ik graag weten wat de standaard inlog tijd kan zijn van een workstation naar een 'verse account' , dus van ongeveer 7 mb over een 100mbit netwerk. Dat duurde (in de oude situatie)(met mijn prutswerk ) ongeveer 15 sec vanaf 2 ws's en 2 min vanaf een ander ws.

[-TAZZ-]

http://www.amazon.com/exe...ail/-/0596004648?v=glance
http://www.packtpub.com/active_directory/book
http://www.computrain.nl/...mn=lpbdots&selectie=P1WAD
http://labmice.techtarget...Directory2003/default.htm

Oftwel koop/download een boek, schrijf je in voor een cursus, of pluis resources op Internet af.
Als je nog niet weet dat DNS de basis is voor AD dan heb je nog een hoop te leren.

Verwijderd schreef op zondag 30 oktober 2005 @ 19:40:
[...]
En DNS goed instellen is dus een must en is ook tamelijk ingewikkeld?

Ik ben al het een en andere op de Ms sites aan het kijken, maar daar vind ik het niet zo duidelijk.

Inrichten van een DNS t.b.v AD stelt geen d*nder voor als je van te voren nagedacht hebt over een juiste structuur en je enigszins verdiept hebt in de werking en de mogelijkheden van AD en DNS.

[ Voor 34% gewijzigd door -TAZZ- op 31-10-2005 12:13 ]

[Verwijderd]

-TAZZ- schreef op maandag 31 oktober 2005 @ 11:46:
http://www.amazon.com/exe...ail/-/0596004648?v=glance
http://www.packtpub.com/active_directory/book
http://www.computrain.nl/...mn=lpbdots&selectie=P1WAD
http://labmice.techtarget...Directory2003/default.htm

Oftwel koop/download een boek, schrijf je in voor een cursus, of pluis resources op Internet af.
Als je nog niet weet dat DNS de basis is voor AD dan heb je nog een hoop te leren.
[...]


Inrichten van een DNS t.b.v AD stelt geen d*nder voor als je van te voren nagedacht hebt over een juiste structuur en je enigszins verdiept hebt in de werking en de mogelijkheden van AD en DNS.

Ok, het feit dat de policies niet werden toegepast, kwam doordat in de GPM de policie alleen aplied werd op 'geverifieerde gebruikers', dat heb ik nu dus domeingebruikers van gemaakt.

Dan wat betreft DNS:
Op de server heb ik de volgende instellingen:
zone voor forward lookup:
domeinnaam als zonenaam
primair

Op de ws's:
DNS voorkeur: IP van server
DNS alternatief: IP van router

Daarbij even een test account gemaakt met een zwervend profiel en alles ging naar wens. De inlogtijd op het ws, die er eerst 2 minuten over deed is verkort naar +- 5 seconden.

Het log van de server geeft vooralsnog ook geen fouten in DNS of netlogon oid meer.

Dit wil niet zeggen dat ik er nu mee stop, want ik zal heus nog wel boek lenen oid om me nog meer te verdiepen. Maar volgens mij ben ik waar ik nu wou zijn en kan ik alles leuk in gaan stellen (en vooral zorgen dat de profielen niet te groot wrd, redirecting e.d.)

Toch wil ik iedereen erg bedanken die mij geholpen hebben, ook al was iedereen me goed zat op het forum (5 topics geopend ). En ja ze hadden gelijk....

[Zwelgje]

Op de ws's:
DNS voorkeur: IP van server
DNS alternatief: IP van router


das dus nog steeds niet goed he.. hoe vaak moet je nog een artikel voorgeschoven krijgen mbt dns forwarding

[sanfranjake]

Verwijderd schreef op maandag 31 oktober 2005 @ 14:58:
Ok, het feit dat de policies niet werden toegepast, kwam doordat in de GPM de policie alleen aplied werd op 'geverifieerde gebruikers', dat heb ik nu dus domeingebruikers van gemaakt.

Andersom zou ik me daar wat bij voor kunnen stellen, maar als dat de reden is zou ik wel graag de event-id's willen zien. Je AD is waarschijnlijk brak en Domain Users zijn geen geverifieerde gebruikers meer

Maar neem de adviezen hierboven ter harte. Active Directory wordt naar mate je verder gaat alleen maar ingewikkelder, en steeds specifieker. Je er in verdiepen is imho dan ook niet iets wat je kunt overwegen, maar iets wat je zal moeten doen. Maak je het jezelf in de toekomst alleen maar makkelijker mee, omdat je die basis vaker nodig zult hebben dan je denkt. Zeker als de omgevingen wat groter worden

[Verwijderd]

Zwelgje schreef op maandag 31 oktober 2005 @ 16:09:
Op de ws's:
DNS voorkeur: IP van server
DNS alternatief: IP van router


das dus nog steeds niet goed he.. hoe vaak moet je nog een artikel voorgeschoven krijgen mbt dns forwarding

En waarom is dat dan niet goed? Naar mijn weten kreeg ik die tip van een ander forum lid hier ergens boven.

Edit:

Zwelgje schreef op vrijdag 28 oktober 2005 @ 20:52:
dns probleem dus, je clients dienen als dns server je 2003 server te hebben en niet die van je provider.

[rml][ windows2000] dns forwarding[/rml]

Je zegt het toch zelf ook ?

[ Voor 30% gewijzigd door Verwijderd op 31-10-2005 18:34 ]

[Verwijderd]

sanfranjake schreef op maandag 31 oktober 2005 @ 18:06:
[...]

Andersom zou ik me daar wat bij voor kunnen stellen, maar als dat de reden is zou ik wel graag de event-id's willen zien. Je AD is waarschijnlijk brak en Domain Users zijn geen geverifieerde gebruikers meer

AD brak zou zo maar kunnen, maar een herinstall ervan lost dit misschien op. Ik snap inderdaad ook niet hoe het kan dat domeingebruikers niet meer geverif zijn, maar als ik die toevoeg werkt het dus wel.

Maar neem de adviezen hierboven ter harte. Active Directory wordt naar mate je verder gaat alleen maar ingewikkelder, en steeds specifieker. Je er in verdiepen is imho dan ook niet iets wat je kunt overwegen, maar iets wat je zal moeten doen. Maak je het jezelf in de toekomst alleen maar makkelijker mee, omdat je die basis vaker nodig zult hebben dan je denkt. Zeker als de omgevingen wat groter worden

Omgevingen worden voorlopig niet echt groter en ingewikkeld wordt het hopelijk ook niet echt. Het hoeft niet zwaar profie te zijn hoor, het is maar voor thuis gebruik

[Zwelgje]

Verwijderd schreef op maandag 31 oktober 2005 @ 18:28:
[...]


En waarom is dat dan niet goed? Naar mijn weten kreeg ik die tip van een ander forum lid hier ergens boven.

omdat het gewoon niet goed is

die user die die tip gaf weet er gewoon zelf ook te weinig vanaf (no offense verder aan die user die ongetwijfeld ook zijn best doet)

http://support.microsoft....aspx?scid=kb;en-us;323380

[ Voor 9% gewijzigd door Zwelgje op 31-10-2005 18:34 ]

[Verwijderd]

Zwelgje schreef op maandag 31 oktober 2005 @ 18:33:
[...]


omdat het gewoon niet goed is

die user die die tip gaf weet er gewoon zelf ook te weinig vanaf (no offense verder aan die user die ongetwijfeld ook zijn best doet)

http://support.microsoft....aspx?scid=kb;en-us;323380

Dat was je dus zelf

[Zwelgje]

Verwijderd schreef op maandag 31 oktober 2005 @ 19:40:
[...]


Dat was je dus zelf

dan zou ik nog maar eens goed lezen

ik citeer:

dns probleem dus, je clients dienen als dns server je 2003 server te hebben en niet die van je provider.

lijkt me duidelijk toch

[Verwijderd]

Ik citeer ook:

Op de ws's:
DNS voorkeur: IP van server
DNS alternatief: IP van router

Dat heb ik toch?

[Zwelgje]

Verwijderd schreef op maandag 31 oktober 2005 @ 20:05:
Ik citeer ook:

Op de ws's:
DNS voorkeur: IP van server
DNS alternatief: IP van router

Dat heb ik toch?

dat zeg ik niet *zucht*

ip van je server (punt), verder niks,nop,nada

[Verwijderd]

sorry, don't shoot me, maar ik heb wel op de server een forwarder naar de router, maar dat mag toch wel, dont shoot me

[alt-92]

Daar is niks mis mee nee.
Maar een Domain User is als je AD gewoon goed werkt ook een Authenticated User (want authenticatie tegen AD).

[-TAZZ-]

Verwijderd schreef op maandag 31 oktober 2005 @ 20:40:
sorry, don't shoot me, maar ik heb wel op de server een forwarder naar de router, maar dat mag toch wel, dont shoot me

Don't shoot you ...... mm dat wordt lastig

DNS forwarder naar je router helpt ook niet echte he??!

Zwelgje bedoelt:
Primaire DNS op server en clients naar server zelf.
Secundaire DNS op server en clients - niets invullen.
Dan een DNS forwarder naar de DNS-en van je provider.

We moeten het wel helemaal voor je uitkouwen he...
Wordt aardig vermoeiend, maar moet toegeven je topic houdt het al 2 pagina's vol en nog geen moderator met een slotje. Da's een pr.

[Verwijderd]

BackSlash32 schreef op maandag 31 oktober 2005 @ 20:57:
Daar is niks mis mee nee.
Maar een Domain User is als je AD gewoon goed werkt ook een Authenticated User (want authenticatie tegen AD).

Ja dat werkte eerst dus wel gewoon goed. Ik kijk nog steeds waar dat nu aan ligt.

[Verwijderd]

-TAZZ- schreef op maandag 31 oktober 2005 @ 21:02:
[...]


Zwelgje bedoelt:
Primaire DNS op server en clients naar server zelf.
Secundaire DNS op server en clients - niets invullen.
Dan een DNS forwarder naar de DNS-en van je provider.

We moeten het wel helemaal voor je uitkouwen he...
Wordt aardig vermoeiend,

I'm so sorry, maar op een dag....

Verder zal ik de dns forwarders op de server naar die van de provider instellen, hoewel ik niet denk dat dat enig verschil uit zal maken.

Het punt is nu dus nog even dat mijn AD niet meer helemaal goed functioneert (policies die niet meer lkkr worden applied enzo) dus dat ben ik nu eerst aan het nakijken.

[alt-92]

-TAZZ- schreef op maandag 31 oktober 2005 @ 21:02:
DNS forwarder naar je router helpt ook niet echte he??!

Als die DNS server gewoon normaal praat kan je die prima als dns forwarder gebruiken hoor.
Die krijgt immers ook weer z'n info van provider DNS servers.

Zo'n routerDNSje is een heel simpel forwardertje over het algemeen.

[Verwijderd]

Is er een manier om je AD te resetten zonder hem eerst volledig te verwijderen en opnieuw te instaleren? Ik heb al geprobeerd zoveel mogelijk 'test/pruts' policies te verwijderen. Wat dus het geval is: ik voeg via GPM domeingebruikers toe (die dus niet meer gelden als verified) dan en slecht dan hebben de policiewijzingingen effect

[ Voor 64% gewijzigd door Verwijderd op 31-10-2005 22:56 ]

[Verwijderd]

Gezien de problemen die je hebt lijkt het me het beste om gewoon dcpromo te draaien, AD te verwijderen en fijn met een schone lei te beginnen met een mooi boek erbij en de kennis die je al hebt opgedaan in dit topic met alle goede tips van de hulpvaardige users hier Met google kom je bijvoorbeeld op http://www.petri.co.il/ho...ctory_on_windows_2003.htm waar dingen erg mooi en duidelijk uit staan gelegd