[Windows Server 2003] Cliënt loggen in op verkeerde site

[Verwijderd]

Situatie
DC 1 en 2 in Site Default, DC 3 in site B
Subnetten zijn correct geconfigureerd en aan site’s toegewezen.
Client’s “wanen” zich in de juist site, geverifieerd met nltest /getsitecov, ook in registry.
ISTG site Default en B OK

Desondanks melden alle machines zich aan in site B bij DC3(clients en member servers)
Er is niks veranderd in de config, wel is DC2 recentelijk herstart wegens een stop error.

DNS
Naamresolutie werkt correct alle kanten op, zowel FQDN als hostname, geverifieerd met NSLOOKUP
AD-intergrated uiteraard

Wel wordt event id 4010 gelogd:
http://eventid.net/displa...no=791&source=DNS&phase=1
Deze krijg ik er niet met Adsiedit(records komen terug na herstarten DNS)

De _mscds zone was missing, opnieuw aangemaakt, maar nog geen feest.

Actie die ik dit weekend wil doen: DNS zones en sites opnieuw aanmaken, iemand nog andere ideeen?

DCDIAG

code:

Domain Controller Diagnosis

Performing initial setup:
   Done gathering initial info.

Doing initial required tests
   
   Testing server: SITEB\DC3
      Starting test: Connectivity
         ......................... DC3 passed test Connectivity
   
   Testing server: Default-First-Site-Name\DC2
      Starting test: Connectivity
         ......................... DC2 passed test Connectivity
   
   Testing server: Default-First-Site-Name\DC1
      Starting test: Connectivity
         ......................... DC1 passed test Connectivity

Doing primary tests
   
   Testing server: SITEB\DC3
      Starting test: Replications
         ......................... DC3 passed test Replications
      Starting test: NCSecDesc
         ......................... DC3 passed test NCSecDesc
      Starting test: NetLogons
         ......................... DC3 passed test NetLogons
      Starting test: Advertising
         ......................... DC3 passed test Advertising
      Starting test: KnowsOfRoleHolders
         ......................... DC3 passed test KnowsOfRoleHolders
      Starting test: RidManager
         ......................... DC3 passed test RidManager
      Starting test: MachineAccount
         ......................... DC3 passed test MachineAccount
      Starting test: Services
         ......................... DC3 passed test Services
      Starting test: ObjectsReplicated
         ......................... DC3 passed test ObjectsReplicated
      Starting test: frssysvol
         ......................... DC3 passed test frssysvol
      Starting test: frsevent
         There are warning or error events within the last 24 hours after the 
         SYSVOL has been shared.  Failing SYSVOL replication problems may cause 
         Group Policy problems. 
         ......................... DC3 failed test frsevent
      Starting test: kccevent
         ......................... DC3 passed test kccevent
      Starting test: systemlog
         An Error Event occured.  EventID: 0x00000457
            Time Generated: 08/14/2009   14:23:52
            (Event String could not be retrieved)
         ......................... DC3 failed test systemlog
      Starting test: VerifyReferences
         ......................... DC3 passed test VerifyReferences
   
   Testing server: Default-First-Site-Name\DC2
      Starting test: Replications
         ......................... DC2 passed test Replications
      Starting test: NCSecDesc
         ......................... DC2 passed test NCSecDesc
      Starting test: NetLogons
         ......................... DC2 passed test NetLogons
      Starting test: Advertising
         ......................... DC2 passed test Advertising
      Starting test: KnowsOfRoleHolders
         ......................... DC2 passed test KnowsOfRoleHolders
      Starting test: RidManager
         ......................... DC2 passed test RidManager
      Starting test: MachineAccount
         ......................... DC2 passed test MachineAccount
      Starting test: Services
         ......................... DC2 passed test Services
      Starting test: ObjectsReplicated
         ......................... DC2 passed test ObjectsReplicated
      Starting test: frssysvol
         ......................... DC2 passed test frssysvol
      Starting test: frsevent
         ......................... DC2 passed test frsevent
      Starting test: kccevent
         ......................... DC2 passed test kccevent
      Starting test: systemlog
         An Error Event occured.  EventID: 0x00000010
            Time Generated: 08/14/2009   14:25:31
            (Event String could not be retrieved)
         ......................... DC2 failed test systemlog
      Starting test: VerifyReferences
         ......................... DC2 passed test VerifyReferences
   
   Testing server: Default-First-Site-Name\DC1
      Starting test: Replications
         ......................... DC1 passed test Replications
      Starting test: NCSecDesc
         ......................... DC1 passed test NCSecDesc
      Starting test: NetLogons
         ......................... DC1 passed test NetLogons
      Starting test: Advertising
         Warning: DC1 is not advertising as a time server.
         ......................... DC1 failed test Advertising
      Starting test: KnowsOfRoleHolders
         ......................... DC1 passed test KnowsOfRoleHolders
      Starting test: RidManager
         ......................... DC1 passed test RidManager
      Starting test: MachineAccount
         ......................... DC1 passed test MachineAccount
      Starting test: Services
         ......................... DC1 passed test Services
      Starting test: ObjectsReplicated
         ......................... DC1 passed test ObjectsReplicated
      Starting test: frssysvol
         ......................... DC1 passed test frssysvol
      Starting test: frsevent
         There are warning or error events within the last 24 hours after the 
         SYSVOL has been shared.  Failing SYSVOL replication problems may cause 
         Group Policy problems. 
         ......................... DC1 failed test frsevent
      Starting test: kccevent
         ......................... DC1 passed test kccevent
      Starting test: systemlog
         An Error Event occured.  EventID: 0xC0002716
            Time Generated: 08/14/2009   13:36:00
            (Event String could not be retrieved)
         ......................... DC1 failed test systemlog
      Starting test: VerifyReferences
         ......................... DC1 passed test VerifyReferences
   
   Running partition tests on : ForestDnsZones
      Starting test: CrossRefValidation
         ......................... ForestDnsZones passed test CrossRefValidation
      Starting test: CheckSDRefDom
         ......................... ForestDnsZones passed test CheckSDRefDom
   
   Running partition tests on : DomainDnsZones
      Starting test: CrossRefValidation
         ......................... DomainDnsZones passed test CrossRefValidation
      Starting test: CheckSDRefDom
         ......................... DomainDnsZones passed test CheckSDRefDom
   
   Running partition tests on : Schema
      Starting test: CrossRefValidation
         ......................... Schema passed test CrossRefValidation
      Starting test: CheckSDRefDom
         ......................... Schema passed test CheckSDRefDom
   
   Running partition tests on : Configuration
      Starting test: CrossRefValidation
         ......................... Configuration passed test CrossRefValidation
      Starting test: CheckSDRefDom
         ......................... Configuration passed test CheckSDRefDom
   
   Running partition tests on : klantdomein
      Starting test: CrossRefValidation
         ......................... klantdomein passed test CrossRefValidation
      Starting test: CheckSDRefDom
         ......................... klantdomein passed test CheckSDRefDom
   
   Running enterprise tests on : klantdomein.local
      Starting test: Intersite
         Doing intersite inbound replication test on site SITEB: 
         Doing intersite inbound replication test on site 
         Default-First-Site-Name: 
         ......................... klantdomein.local passed test Intersite
      Starting test: FsmoCheck
         ......................... klantdomein.local passed test FsmoCheck

Repadmin /showreps

code:

Default-First-Site-Name\DC1
DC Options: IS_GC
Site Options: (none)
DC object GUID: e819268b-63f5-410d-aea2-0b99bcbcec0a
DC invocationID: 256e8082-af5d-461d-8d3b-0109f46bf482

==== INBOUND NEIGHBORS =====================================

DC=klantdomein,DC=local
    SITEB\DC3 via RPC
        DC object GUID: e8de4d03-cc59-4dd9-81aa-2df8903f1691
        Last attempt @ 2009-08-14 14:35:08 was successful.
    Default-First-Site-Name\DC2 via RPC
        DC object GUID: c6c6217e-923d-478d-b6c3-f0f6cb6f7df9
        Last attempt @ 2009-08-14 14:35:58 was successful.

CN=Configuration,DC=klantdomein,DC=local
    SITEB\DC3 via RPC
        DC object GUID: e8de4d03-cc59-4dd9-81aa-2df8903f1691
        Last attempt @ 2009-08-14 14:35:07 was successful.
    Default-First-Site-Name\DC2 via RPC
        DC object GUID: c6c6217e-923d-478d-b6c3-f0f6cb6f7df9
        Last attempt @ 2009-08-14 14:35:47 was successful.

CN=Schema,CN=Configuration,DC=klantdomein,DC=local
    Default-First-Site-Name\DC2 via RPC
        DC object GUID: c6c6217e-923d-478d-b6c3-f0f6cb6f7df9
        Last attempt @ 2009-08-14 14:35:06 was successful.
    SITEB\DC3 via RPC
        DC object GUID: e8de4d03-cc59-4dd9-81aa-2df8903f1691
        Last attempt @ 2009-08-14 14:35:08 was successful.

DC=DomainDnsZones,DC=klantdomein,DC=local
    Default-First-Site-Name\DC2 via RPC
        DC object GUID: c6c6217e-923d-478d-b6c3-f0f6cb6f7df9
        Last attempt @ 2009-08-14 14:35:06 was successful.
    SITEB\DC3 via RPC
        DC object GUID: e8de4d03-cc59-4dd9-81aa-2df8903f1691
        Last attempt @ 2009-08-14 14:35:08 was successful.

DC=ForestDnsZones,DC=klantdomein,DC=local
    Default-First-Site-Name\DC2 via RPC
        DC object GUID: c6c6217e-923d-478d-b6c3-f0f6cb6f7df9
        Last attempt @ 2009-08-14 14:35:06 was successful.
    SITEB\DC3 via RPC
        DC object GUID: e8de4d03-cc59-4dd9-81aa-2df8903f1691
        Last attempt @ 2009-08-14 14:35:08 was successful.

[Turdie]

EventID 4010

Explanation
You might not have permission to access this file.

User Action
Check the permissions on the specified file:

1. In Windows Explorer, go to the Systemroot\System32\Dns folder.
2. Right-click the specified database file, and then click Properties.
3. Click the Security tab, and then click Permissions.
4. Verify that you have the proper permissions to read, write, and run the file.

Bron:Source:DNS Event ID:; 4010;Windows Operating System 5.0; - Technet Events And Errors Message Center; Message Details

edit:
Sorry niet goed gelezen, zie mijn aanpassing

[ Voor 144% gewijzigd door Turdie op 14-08-2009 15:03 ]

[Verwijderd]

Subnetten zijn correct geconfigureerd en aan site’s toegewezen.
Client’s “wanen” zich in de juist site, geverifieerd met nltest /getsitecov, ook in registry.

[Verwijderd]

Dat is m uiteraard ook niet als je gebruik maakt van AD-integrated

[rorydeleur]

Ik zou de instellen voor DNS is na gaan lopen, zet overal de dynamic Updating aan zodat de zones gevuld worden (je moet daarvoor wel je netlogon herstarten).

Ps. Bestaat de _Sites zone wel?

[Verwijderd]

Zones zijn gevuld, alle containers zijn aanwezig _sites, LDAP en Kerberos ook.
Het is echt redelijk bizar. Zal we iets simpels zijn

[Turdie]

Wat gebeurt er als je de Netlogon service stopt, dan de DNS zone verwijderd, en dan de Netlogon service start (als ie AD-Integrated is, wordt ie automatisch opnieuw aangemaakt).

[ Voor 23% gewijzigd door Turdie op 14-08-2009 15:21 ]

[sanfranjake]

Wat zijn het voor clients? Vista, XP (of misschien al 7)? Of hebben we het misschien zelfs over Windows 2000?
Je weet ook 100% zeker dat er niet een opstartscript of gpo ingesteld staat om dit te manipuleren?

[Verwijderd]

shadowman12 schreef op vrijdag 14 augustus 2009 @ 15:19:
Wat gebeurt er als je de Netlogon service stopt, dan de DNS zone verwijderd, en dan de Netlogon service start (als ie AD-Integrated is, wordt ie automatisch opnieuw aangemaakt).

Dan maakt hij hem correct weer aan. Mits je de zone zelf toevoegd uiteraard

Clients heb ik getest met zowel XP als 2003 sp2 member server

Bedankt voor de reacties trouwens

[ Voor 8% gewijzigd door Verwijderd op 14-08-2009 15:40 ]

[Zwelgje]

Desondanks melden alle machines zich aan in site B bij DC3(clients en member servers)

waaruit maak je dat op de %logonserver% variable geeft een dc uit site B terug

[Verwijderd]

waaruit maak je dat op de %logonserver% variable geeft een dc uit site B terug

Positive

[Zwelgje]

doe eens een "nltest /DSGetDC:jouwdomain" op een client.

wat komt daaruit de lokale dc of de hoofdlokatie dc clear anders de cache eens: nltest /dsgetdc:jouwdomain /FORCE

in dit artikel staan nog wat zaken welke je kan nalopen: How Domain Controllers Are Located in Windows

[ Voor 30% gewijzigd door Zwelgje op 14-08-2009 16:19 ]

[Verwijderd]

dsgetdc=goede output
/force= fout!!

[Zwelgje]

Verwijderd schreef op vrijdag 14 augustus 2009 @ 16:19:
dsgetdc=goede output
/force= fout!!

ok dus dsgetdc geeft de juiste (lokale dc) weer

[Verwijderd]

ja nu niet meer, omdat hij zn cache gerefresht heeft(aanname)

Kan de GC dus niet benaderen. De stappen in dit artikel heb ik woensdag al doorlopen, netlogon logging staat ook weinig in

[Verwijderd]

Kan met ldp ook gewoon bij server trouwens.

[Turdie]

Verwijderd schreef op vrijdag 14 augustus 2009 @ 16:41:
Kan met ldp ook gewoon bij server trouwens.

Ik denk dat je met Whireshark / Network Monitor eens moet gaan kijken hoe het verkeer gaat, om goed te kunnen troubleshooten

[sanfranjake]

Komt nog wat bij me op: is die dc op de tweede site een Global Catalog? En de rest?
En heb je die andere errors uit de logs in de startpost al eens nader onderzocht? Loopt de klok overal gelijk?

[Verwijderd]

Iedereen is GC, verder staat de klok gelijk.
Dit weekend heb ik de DNS opnieuw opgebouwd. Ik ga nu met network monitor kijken.

[Razwer]

volgens mij is er niks mis en zie je spoken. DC3 op site B heeft vast de FSMO roles (schema master, PDC emulator etc). Vandaar dat je denkt dat ze hem zien als logon server.

of draai je alleen DNS op site B?

[ Voor 9% gewijzigd door Razwer op 17-08-2009 18:10 ]

[Zwelgje]

Razwer schreef op maandag 17 augustus 2009 @ 17:54:
volgens mij is er niks mis en zie je spoken. DC3 op site B heeft vast de FSMO roles (schema master, PDC emulator etc). Vandaar dat je denkt dat ze hem zien als logon server.

of draai je alleen DNS op site B?

precies, die %logonserver% variable wordt ook alleen nog maar gebruikt door legacy (lees: nt4 achtige) applicaties welke niet via de normale API's een 'dsGetDCName' kunnen doen om de logonserver te vinden

[Verwijderd]

maar dsgetdcname geeft de foute domaincontroller, en de netlogon wordt vanaf de verkeerde server gedraaid.

Verder heeft een DC in site A alle FSMO rollen

[Zwelgje]

Verwijderd schreef op dinsdag 18 augustus 2009 @ 09:36:
maar dsgetdcname geeft de foute domaincontroller, en de netlogon wordt vanaf de verkeerde server gedraaid.

Verder heeft een DC in site A alle FSMO rollen

EDIT never mind

[ Voor 17% gewijzigd door Zwelgje op 18-08-2009 09:44 ]

[Razwer]

je hebt geen antwoord gegeven op het aantal DNS servers, maar laten we er dan maar van uit gaan dat je dus op elke site een AD integrated DNS bak hebt staan op je DC; Dan is er dus iets heel gruwelijk fout met je DNS als je geen gekke firewall regels hebt draaien. Draai je ook DHCP op elke site apart of gebruik je een Cisco (D)WAAS achtige oplossing, lijkt me ook sterk gezien je DC's op site hebt al kun je dat weer doen met virtual blade en de DHCP centraal draaien op je moeder site maargoed daar gaan we maar ook niet van uit. Draai je nog gekke vlans ofzo dat de DC op een site in een ander subnet draait dan de clients ofzo en evt verkeerde switch instellingen of gekke firewall regels?
Een hele vieze maar effectieve fix: demote DC op site B en C. reinstall AD integrated DNS op DC A. Check connectivity van je clients (op alle sites preferred). Melden ze idd netjes aan weet je dat DC A goed is. Promote DC B en test connectivity op site B. Werkt dat, site C zelfde laken een pak.

[Verwijderd]

VLAN's kunnen het probleem niet zijn. LDAP werkt gewoon. DHCP draait apart en iedereen is DNS.
Er zit wel een ISA tussen maar dat lijkt me ook onwaarschijnlijk. Gaat tenslotte om de DC in het "lokale" net.
Ga nu mogelijk extra DC inrichten.

DC's demoten kan ik niet doen tot zondag

[Verwijderd]

Wanneer je de route naar de DC in site B verwijderd geeft clients in site A Event id 40960 The Security System detected an authentication error for the server <service>/<server name>. The failure code from authentication protocol Kerberos was "<error description> (<error code>)".

[Verwijderd]

Update: nieuwe machine ingericht, deze meld zich normaal aan....

[Verwijderd]

Weer een update: na gpupdate /force werkt het inmiddels niet meer...

[Razwer]

Verwijderd schreef op woensdag 19 augustus 2009 @ 10:25:
DHCP draait apart

hoe bedoel je apart? 1 DHCP bak voor alle sites die je doorsluist met een relay agent oid? Want daar doelde ik op met een WAAS oplossing (ik ga er van uit als je over sites spreekt dat er een trage WAN link tussen zit gezien ik daar dagelijks mee werk, en dan kun je DHCP consolidaten via een oplossing als WAAS).
Reden: je primaire DNS server kan dus op die van een andere site staan. Normaal gesproken ook nog niet het hek van de dam, maar als er weer iets mis is met de config verwijst die je naar zijn dichtstbijzijnde DC wat dus de DNS bak van je andere site is, dit geval B.

Wat is de reden van deze keuze setup trouwens? of begrijp ik je verkeerd en heb je wel op elke site een DHCP bak draaien maar niet op de DC?

[Verwijderd]

Apart als in per site. Maakt toch ook niet veel uit.
DNS voor site b is de server op site b, zelfde voor a.

[Verwijderd]

Contact gehad met Microsoft. Zeiden "we kunnen nog 3 dagen zoeken, maar in 50 andere cases was de oplossing demotion van de dc's in de site die problemen geeft"

Zwaktebod, maarja, dat gaan we zondag doen

[alt-92]

Je kan nog even op http://blogs.technet.com/askds/default.aspx rondspeuren voor wat troubleshooting opties.
Wellicht kun je daar nog iets uithalen met betrekking tot USN mismatches?

http://blogs.technet.com/...-my-active-directory.aspx

[ Voor 25% gewijzigd door alt-92 op 19-08-2009 20:58 ]

[Verwijderd]

Bedankt. Het opnieuw installeren van de DC's heeft geen oplossing geboden. Kijken wat MS nu zegt

[Verwijderd]

Nog geen reactie van MS. Opvallend: zet je een nieuwe machine in het domein gaat het goed, na een reboot ook na gpupdate /force niet meer. Zou toch geen verschil moeten maken

[elevator]

Dat is wel erg interessante informatie -- je zou eens met gpresult /z kunnen kijken of er bepaalde registry keys zijn die opvallen?

[Robinski]

Zit DC3 toevallig in een VPN?
En zo ja, wat zijn de ip adressen die die server allemaal heeft?

Als hij één IP adres in het subnet van Default Site heeft, heb je kans dat hij gezien wordt als Default Site, en heb je effectief voor de servers dus maar 1 site.

[Verwijderd]

DC3 is verbonden via een VPN, heeft 2 netwerkkaarten, maar niet in dat subnet.
Bovendien plaatst hij zichzelf aan de hand van IP in de juiste site. Aan deze config is overigens lange tijd niks veranderd. Servers staan in de juiste sites

[Zwelgje]

Verwijderd schreef op dinsdag 25 augustus 2009 @ 11:53:
DC3 is verbonden via een VPN, heeft 2 netwerkkaarten, maar niet in dat subnet.
Bovendien plaatst hij zichzelf aan de hand van IP in de juiste site. Aan deze config is overigens lange tijd niks veranderd. Servers staan in de juiste sites

multihomed dc's.... heb er nare ervaringen mee uit het verleden

Symptoms of multihomed browsers
Active Directory communication fails on multihomed domain controllers

[Razwer]

ouch, multihomed.... kans is erg groot dat dat idd je probleem is.

edit: had trouwens wel tof geweest als je meteen bij het begin had vermeld dat je zo'n config draait.
Enterprise vuist regel: DC is DC en verder niks laten doen behalve DNS en misschien DHCP (liever niet). Multihomed DC is een grote NO NO tenzij je met SBS gaat prutsen, maar SBS is toch al een rare snuiter qua server software waar je dingen op draait die je nooit samen hoort te draaien.

Als je die VPN tunnel nodig hebt voor connectivity, raad ik je aan om een aparte RRAS bak neer te zetten daar voor, al wordt je vrolijker van een cisco doos oid.

[ Voor 89% gewijzigd door Razwer op 25-08-2009 22:32 ]

[Verwijderd]

Het is mijn omgeving niet, en zou mijn keus ook niet zijn. Ook niet de keuze van die jongens die daar zitten, maar een erfenis. Ik ben slechts troubleshooter.

Mijns inziens was deze informatie wel echter beperkt relevant, gaat tenslotte om de clients in site A die het dc locator proces doorgaan, daar DNS/DHCP gebruiken, in principe hebben ze weinig te maken met de DC in site B. Problemen met de registratie van DNS records oid in site B had een probleem kunnen zijn maar gaat goed, replicatie ook

[Verwijderd]

Reactie MS:

Next Steps: Install KB950224/Update NIC drivers/gather logs.

1. Installeer de update KB950224 op alle DCs. U kunt de update van met deze link vinden: A Scalable Networking Pack (SNP) hotfix rollup package is available for Windows Server 2003

2. Update de NIC drivers op alle DCs naar de laatste beschikbare versies. Er zijn een aantal compatibiliteids problemen bekend met oudere drivers die gerelateerd kunnen zijn aan de symptomen die we op de server zien.

3. Als de problemen hierna nogsteeds voorkomen:
- Verzamel MPS rapporten van de DCs in de Nederlandse site. Volg hiervoor de stappen in het bijgevoegde document en selecteer alle opties in de wizard.

- DCDIAG /V – Run dit commando op 1 van de DCs in de Nederlandse site en op 1 DC in de Spaanse site en stuur mij de output to in een txt bestand.

- Activeer userenv logging op een client en doe een poging om in te loggen nadat de default gateway is verwijdered:

- Activeer userenv logging in de registry op de client (zoals beschreven in <http://support.microsoft.com/kb/221833>) en doe een aantal reproducties.
Subkey: HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon
Entry: UserEnvDebugLevel
Type: REG_DWORD
Value data: 30002 (Hexadecimal)
- Verwijder de default gateway van de client en herstart de client. Login met een gebruikersaccount. Hernoem het bestand %Systemroot%\Debug\UserMode\Userenv.log naar userenv-withoutgw.log
- Voeg de default gateway weer toe – herstart de machine en log weer in met dezelfde gebruiker. Hernoem het nieuw gecreerde bestand %Systemroot%\Debug\UserMode\Userenv.log naar userenv-withgw.log.

[Verwijderd]

Nog even terugmelden. Er is een domaincontroller van scratch opnieuw geinstalleerd. Probleem doet zich nu niet meer voor. Redelijk bizar