[2008 R2] Groep Policies wordt niet toegepast op client*

[roooii]

Veel gestelde vraag. Ik heb ook gezocht op dit forum, maar geen van deze topics had een oplossing voor mij.

Ik heb net m'n Windows 2008 R2 opnieuw geinstalleerd (hiervoor had ik SBS 2008 draaien, welke alles zelf al voorconfigureerd).

Als ik gpresult doe op de client pc's zonder ingelogd te zijn op een domeinaccount krijg ik bij toegepaste groepsbeleiden "n.v.t". Dus zelfs de standaard "Default Domain Policy" wordt niet gelezen. Als ik ingelogd ben op een domeinaccount krijg ik met gpresult "info: geen groepsbeleid".

Op de client PC heb ik bij DNS het ip-adres van de server ingevuld (dit werkte bij mijn sbs server ook gewoon).

En na de installatie van 2008 R2 heb ik met "add role" de domain services geinstalleerd en geconfigureerd. Vervolgens de "dns server" geconfigureerd. Bij de domain services heb ik de dcpromo uitgevoerd. Bij de DNS service heb ik verder niks gedaan.

Ik denk zelf dat het met de DNS te maken heeft. Het laden van profielen duurt ook erg lang namelijk.

Ik begrijp dat het van alles kan zijn, maar wie weet hebben jullie tips.

Alvast vriendelijk bedankt.

[elevator]

Wat zijn de DNS instellingen van je server - die horen enkel en alleen maar naar zichzelf te wijzen, staat er verder nog iets nuttigs in je evenlog van je client?

[Urk]

Kijk eens met een nslookup welke nameserver je systeem gebruikt. Zorg dat alle DNS requests op je Windows server binnenkomen en dat je je forwarders correct configureert in je Windows DNS server.

Ik zie dat zo vaak dat profielen laden erg lang duurt, veelal is dat inderdaad een DNS probleem, bijv. dat clients de DNS server van de modem gebruiken en niet van de server en dus je server niet direct kunnen vinden.

Edit: zie je in de event log op je werkstation nog (fout)meldingen?

[ Voor 11% gewijzigd door Urk op 30-12-2009 16:25 ]

[Jazzy]

Geef anders even de voleldige ouput van het commando ipconfig /all van de server en een werkplek. Dan is het wat makkelijker om mee te kijken naar je IP (DNS) instellingen.

[roooii]

Mm, moest ik nslookup op de client of op de server uitvoeren?

Nouja maakt ook weinig verschil, want beide geven een resultaat dat niet goed kan zijn.

Client geeft:
Can't find server name for address 192.168.2.2 (dit is dus mijn server adres): Non-existent Domain
Default server: sx762.network.local (beetje apart, want dat is de naam van m'n router)
Adress: 192.168.2.1 (ip adres van de router)

Server geeft:
Default server: Unknown
Adress: ::1

Ik gok dat ik iets bij de configuratie van de DNS service ben vergeten, maar wat

[Jazzy]

roooii schreef op woensdag 30 december 2009 @ 16:25:
Ik gok dat ik iets bij de configuratie van de DNS service ben vergeten, maar wat

Zie mijn bericht hierboven.

[Urk]

roooii schreef op woensdag 30 december 2009 @ 16:25:
Mm, moest ik nslookup op de client of op de server uitvoeren?

Nouja maakt ook weinig verschil, want beide geven een resultaat dat niet goed kan zijn.

Client geeft:
Can't find server name for address 192.168.2.2 (dit is dus mijn server adres): Non-existent Domain
Default server: sx762.network.local (beetje apart, want dat is de naam van m'n router)
Adress: 192.168.2.1 (ip adres van de router)

Server geeft:
Default server: Unknown
Adress: ::1

Ik gok dat ik iets bij de configuratie van de DNS service ben vergeten, maar wat

Je voert de nslookup uit op je werkstation en voert de naam van de server in als lookup, dus bijv:

nslookup [servernaam]

Verder is het belangrijk te weten hoe je clients hun IP adressen krijgen, ik neem aan via DHCP, maar zorg er dan wel voor dat je een DHCP server op je Windows 2008 machine hebt draaien en dat die correct is geconfigureerd en zet de DHCP server op je router uit. Het DHCP request naar de Windows server dient dan dus de juiste DNS instellingen te geven.
Ik geeft in veel gevallen mijn clients als DNS1: intern IP Windows server, DNS2: extern IP DNS server provider (dit is handig wanneer je server plat ligt je gebruikers toch nog internet hebben).

En zorg er verder ook voor dat je server een vast IP heeft en als DNS server zichzelf heeft.

Default server: sx762.network.local (beetje apart, want dat is de naam van m'n router)
Adress: 192.168.2.1 (ip adres van de router)

Dit was al mijn vermoeden, je clients gebruiken blijkbaar je router als DNS server, en dat gaat zeker niet goed werken!

[ Voor 10% gewijzigd door Urk op 30-12-2009 16:39 ]

[Jazzy]

Urk schreef op woensdag 30 december 2009 @ 16:37:
Ik geeft in veel gevallen mijn clients als DNS1: intern IP Windows server, DNS2: extern IP DNS server provider (dit is handig wanneer je server plat ligt je gebruikers toch nog internet hebben).

Dat moet je dus niet doen. De clients zullen de 2 verschillende DNS-servers namelijk volgens hun eigen methode aanspreken, het is niet zo dat de secundaire alleen wordt aangesproken als de eerste niet beschikbaar is.

Vervolgens krijg je de situatie waarin een client aan de DNS-server van je ISP gaat vragen waar hij zijn profiel kan ophalen, GPO's vinden en dergelijke.

[Urk]

Jazzy schreef op woensdag 30 december 2009 @ 16:44:
[...]
Dat moet je dus niet doen. De clients zullen de 2 verschillende DNS-servers namelijk volgens hun eigen methode aanspreken, het is niet zo dat de secundaire alleen wordt aangesproken als de eerste niet beschikbaar is.

Hmm, ik dacht dat een client altijd standaard eerst de primaire nameserver raadpleegt en als hij die niet kan bereiken (timeout oid) de secondary, dat zegt de benaming ook zou je zeggen.
Uiteraard gebruik ik dit natuurlijk soms alleen indien er maar 1 server is.

Jazzy schreef op woensdag 30 december 2009 @ 16:44:
[...]
Vervolgens krijg je de situatie waarin een client aan de DNS-server van je ISP gaat vragen waar hij zijn profiel kan ophalen, GPO's vinden en dergelijke.

Ehm, een DNS request vraagt enkel DNS requests aan een server en geen GPO's, padnamen en dat soort zaken, hij krijg dan idd wel requests voor interne servernamen. Aangezien de nameserver van de provider de het IP van de interne server niet heeft gebeurd er verder niets. Of zie ik dat verkeerd?

[roooii]

@ urk
Ik heb met mijn vorige server de DHCP ook uitgehad. Werkte toen prima. Alleen zoals ik al zei, was bij SBS alles al voorgeconfigureerd. Nu moet ik zelf de DNS configureren en dat gaat dus niet helemaal goed.

Hier een nieuwe nslookup met de methode die jij zojuist omschreef.

Zo te zien zoekt hij 2x. De tweede lijkt wel goed te werken.

Ik zal zo eventjes in het eventlog kijken. En eventueel mijn ipconfig /all posten (was net eventjes eten vandaar de late reactie).

EDIT:

Eventlog van de client geeft de volgende error.

Kan de domeincontrollernaam voor het computernetwerk niet verkrijgen. Er is een onverwachte netwerkfout opgetreden. . Het verwerken van het groepsbeleid wordt afgebroken.

Zie Help en ondersteuning op http://go.microsoft.com/fwlink/events.asp voor meer informatie.

[ Voor 23% gewijzigd door roooii op 30-12-2009 17:05 ]

[bobsquad]

wat is de volle domeinnaam van je SBS server?

is dit "server".network.local en hoe staat dit ingesteld bij de de werstations in het netwerk?

[roooii]

De domeinnaam is inderdaad server.network.local of clientnaam.network.local.
Voor de clients is dit hetzelfde.

[mbaltus]

De can't find server name for.... melding komt omdat er geen reverse lookup zone is aangemaakt in je DNS server of dat het PTR record van de server niet is de reverse lookup is aangemaakt. Zeer waarschijnlijk niet een probleem in dit geval (maar wel netter om dat op te lossen).

Hij doet overigens geen twee lookups voor jou, de eerste is om de naam van de DNS server te achterhalen voor troubleshooting doeleinden. De DNS lookup zelf lukt verder prima.

Staat de DNS server op de server wel netjes naar zichzelf te wijzen? Want de meldingen uit de eventlog doen het lijken alsof de AD records niet netjes in de DNS zijn geregistreerd.

Urk schreef op woensdag 30 december 2009 @ 16:55:
[...]
Ehm, een DNS request vraagt enkel DNS requests aan een server en geen GPO's, padnamen en dat soort zaken, hij krijg dan idd wel requests voor interne servernamen. Aangezien de nameserver van de provider de het IP van de interne server niet heeft gebeurd er verder niets. Of zie ik dat verkeerd?

Dat is niet helemaal juist. In de DNS zitten SRV (service location) records die aangeven welke servers de verschillende diensten aanbieden. Zo kun je bijvoorbeeld via DNS uitvinden welke servers een Domain Controller voor een specifiek domein is.

[Turdie]

Draai eens dcdiag.DcDiag zit volgens mij standaard in Windows Server 2008 R2.
Post het log hier zodat we daar even naar kunnen kijken.

[ Voor 108% gewijzigd door Turdie op 30-12-2009 17:39 ]

[Jazzy]

Urk schreef op woensdag 30 december 2009 @ 16:55:
[...]

Hmm, ik dacht dat een client altijd standaard eerst de primaire nameserver raadpleegt en als hij die niet kan bereiken (timeout oid) de secondary, dat zegt de benaming ook zou je zeggen.
Uiteraard gebruik ik dit natuurlijk soms alleen indien er maar 1 server is.

Ook dan moet je dit niet doen. Als je maar één interne DNS/AD server hebt dan stel je die in bij de clients, alleen als je er meerdere hebt dan kun je ook de secundaire instellen.

Ehm, een DNS request vraagt enkel DNS requests aan een server en geen GPO's, padnamen en dat soort zaken, hij krijg dan idd wel requests voor interne servernamen. Aangezien de nameserver van de provider de het IP van de interne server niet heeft gebeurd er verder niets. Of zie ik dat verkeerd?

Ja, dat zie je verkeerd. Domainmembers halen ontzettend veel informatie uit DNS, daarom hoor je ook steeds dat AD sterk van DNS afhankelijk is. Als een client die informatie zoekt bij jouw ISP dan resulteert dat in time-outs en allerlei vage problemen, traagheid bij het inloggen is wel de bekendste.

O ja TS, de volledige output van ipconfig /all van server en werkplek zou ontzettend handig zijn.

[ Voor 4% gewijzigd door Jazzy op 30-12-2009 17:44 ]

[Urk]

mbaltus schreef op woensdag 30 december 2009 @ 17:28:
[...]

Dat is niet helemaal juist. In de DNS zitten SRV (service location) records die aangeven welke servers de verschillende diensten aanbieden. Zo kun je bijvoorbeeld via DNS uitvinden welke servers een Domain Controller voor een specifiek domein is.

Ah, weer wat geleerd! Tnx!
Die records ken ik wel, dat zijn de bekende Active Directory records, toch?

@roooii: je nslookup is inderdaad helemaal prima! Lees toch eens goed de vorige topics door of alles goed staat ingesteld.

[roooii]

shadowman12 schreef op woensdag 30 december 2009 @ 17:36:
Draai eens dcdiag.DcDiag zit volgens mij standaard in Windows Server 2008 R2.
Post het log hier zodat we daar even naar kunnen kijken.

code:

Directory Server Diagnosis


Performing initial setup:

   Trying to find home server...

   Home Server = SERVER-S3KFDN6E

   * Identified AD Forest. 
   Done gathering initial info.


Doing initial required tests

   
   Testing server: Default-First-Site-Name\SERVER-S3KFDN6E

      Starting test: Connectivity

         ......................... SERVER-S3KFDN6E passed test Connectivity



Doing primary tests

   
   Testing server: Default-First-Site-Name\SERVER-S3KFDN6E

      Starting test: Advertising

         ......................... SERVER-S3KFDN6E passed test Advertising

      Starting test: FrsEvent

         ......................... SERVER-S3KFDN6E passed test FrsEvent

      Starting test: DFSREvent

         ......................... SERVER-S3KFDN6E passed test DFSREvent

      Starting test: SysVolCheck

         ......................... SERVER-S3KFDN6E passed test SysVolCheck

      Starting test: KccEvent

         ......................... SERVER-S3KFDN6E passed test KccEvent

      Starting test: KnowsOfRoleHolders

         ......................... SERVER-S3KFDN6E passed test

         KnowsOfRoleHolders

      Starting test: MachineAccount

         ......................... SERVER-S3KFDN6E passed test MachineAccount

      Starting test: NCSecDesc

         ......................... SERVER-S3KFDN6E passed test NCSecDesc

      Starting test: NetLogons

         ......................... SERVER-S3KFDN6E passed test NetLogons

      Starting test: ObjectsReplicated

         ......................... SERVER-S3KFDN6E passed test

         ObjectsReplicated

      Starting test: Replications

         ......................... SERVER-S3KFDN6E passed test Replications

      Starting test: RidManager

         ......................... SERVER-S3KFDN6E passed test RidManager

      Starting test: Services

         ......................... SERVER-S3KFDN6E passed test Services

      Starting test: SystemLog

         An error event occurred.  EventID: 0x0000168E

            Time Generated: 12/30/2009   17:34:26

            Event String:

            The dynamic registration of the DNS record '_ldap._tcp.pdc._msdcs.network.local. 600 IN SRV 0 100 389 SERVER-S3KFDN6E.network.local.' failed on the following DNS server:  


         An error event occurred.  EventID: 0x0000168E

            Time Generated: 12/30/2009   17:34:26

            Event String:

            The dynamic registration of the DNS record '_ldap._tcp.gc._msdcs.network.local. 600 IN SRV 0 100 3268 SERVER-S3KFDN6E.network.local.' failed on the following DNS server:  


         An error event occurred.  EventID: 0x0000168E

            Time Generated: 12/30/2009   17:34:26

            Event String:

            The dynamic registration of the DNS record '_ldap._tcp.Default-First-Site-Name._sites.gc._msdcs.network.local. 600 IN SRV 0 100 3268 SERVER-S3KFDN6E.network.local.' failed on the following DNS server:  


         An error event occurred.  EventID: 0x0000168E

            Time Generated: 12/30/2009   17:34:26

            Event String:

            The dynamic registration of the DNS record '_ldap._tcp.832838b8-1d7d-4396-b664-df2663b781a0.domains._msdcs.network.local. 600 IN SRV 0 100 389 SERVER-S3KFDN6E.network.local.' failed on the following DNS server:  


         An error event occurred.  EventID: 0x0000168E

            Time Generated: 12/30/2009   17:34:26

            Event String:

            The dynamic registration of the DNS record 'gc._msdcs.network.local. 600 IN A 192.168.2.2' failed on the following DNS server:  


         An error event occurred.  EventID: 0x0000168E

            Time Generated: 12/30/2009   17:34:26

            Event String:

            The dynamic registration of the DNS record '838317d2-ebbe-4304-9124-d8e7b5ed28d0._msdcs.network.local. 600 IN CNAME SERVER-S3KFDN6E.network.local.' failed on the following DNS server:  


         An error event occurred.  EventID: 0x0000168E

            Time Generated: 12/30/2009   17:34:26

            Event String:

            The dynamic registration of the DNS record '_kerberos._tcp.dc._msdcs.network.local. 600 IN SRV 0 100 88 SERVER-S3KFDN6E.network.local.' failed on the following DNS server:  


         An error event occurred.  EventID: 0x0000168E

            Time Generated: 12/30/2009   17:34:26

            Event String:

            The dynamic registration of the DNS record '_kerberos._tcp.Default-First-Site-Name._sites.dc._msdcs.network.local. 600 IN SRV 0 100 88 SERVER-S3KFDN6E.network.local.' failed on the following DNS server:  


         An error event occurred.  EventID: 0x0000168E

            Time Generated: 12/30/2009   17:34:26

            Event String:

            The dynamic registration of the DNS record '_ldap._tcp.dc._msdcs.network.local. 600 IN SRV 0 100 389 SERVER-S3KFDN6E.network.local.' failed on the following DNS server:  


         An error event occurred.  EventID: 0x0000168E

            Time Generated: 12/30/2009   17:34:26

            Event String:

            The dynamic registration of the DNS record '_ldap._tcp.Default-First-Site-Name._sites.dc._msdcs.network.local. 600 IN SRV 0 100 389 SERVER-S3KFDN6E.network.local.' failed on the following DNS server:  


         ......................... SERVER-S3KFDN6E failed test SystemLog

      Starting test: VerifyReferences

         ......................... SERVER-S3KFDN6E passed test VerifyReferences

   
   
   Running partition tests on : ForestDnsZones

      Starting test: CheckSDRefDom

         ......................... ForestDnsZones passed test CheckSDRefDom

      Starting test: CrossRefValidation

         ......................... ForestDnsZones passed test

         CrossRefValidation

   
   Running partition tests on : DomainDnsZones

      Starting test: CheckSDRefDom

         ......................... DomainDnsZones passed test CheckSDRefDom

      Starting test: CrossRefValidation

         ......................... DomainDnsZones passed test

         CrossRefValidation

   
   Running partition tests on : Schema

      Starting test: CheckSDRefDom

         ......................... Schema passed test CheckSDRefDom

      Starting test: CrossRefValidation

         ......................... Schema passed test CrossRefValidation

   
   Running partition tests on : Configuration

      Starting test: CheckSDRefDom

         ......................... Configuration passed test CheckSDRefDom

      Starting test: CrossRefValidation

         ......................... Configuration passed test CrossRefValidation

   
   Running partition tests on : network

      Starting test: CheckSDRefDom

         ......................... network passed test CheckSDRefDom

      Starting test: CrossRefValidation

         ......................... network passed test CrossRefValidation

   
   Running enterprise tests on : network.local

      Starting test: LocatorCheck

         ......................... network.local passed test LocatorCheck

      Starting test: Intersite

         ......................... network.local passed test Intersite

Hierbij dus de dcdiag. Best veel fouten zo te zien

[Urk]

Jazzy schreef op woensdag 30 december 2009 @ 17:43:
[...]
Ja, dat zie je verkeerd. Domainmembers halen ontzettend veel informatie uit DNS, daarom hoor je ook steeds dat AD sterk van DNS afhankelijk is. Als een client die informatie zoekt bij jouw ISP dan resulteert dat in time-outs en allerlei vage problemen, traagheid bij het inloggen is wel de bekendste.

Dat weet ik, dat zijn de bekende Active Directory records, maar het blijven DNS records.
Als een client die records bij een externe DNS server opvraagt zal dat gewoon resulteren in unknown records, waardoor er logischerwijs natuurlijk zaken niet werken omdat de records onbekend zijn. Misschien een vieze manier, maar goed.
Ik ben wel ook weer wat wijzer geworden.

[Oogje]

Jazzy schreef op woensdag 30 december 2009 @ 16:44:
[...]
Dat moet je dus niet doen. De clients zullen de 2 verschillende DNS-servers namelijk volgens hun eigen methode aanspreken, het is niet zo dat de secundaire alleen wordt aangesproken als de eerste niet beschikbaar is.

Microsoft beweert van wel anders? Best practices for DNS client settings in Windows 2000 Server and in Windows Server 2003
Of lees ik dat verkeerd? Ben wel nieuwsgierig of ik altijd een verkeerde aanname heb gedaan.

[roooii]

Ik ga de hele bende maar is opnieuw installeren. En dan maar is beginnen met als eerste de DNS service te installeren. En daarna pas de AD service.

Ik laat weten of het ditmaal wel gaat werken.

[Jazzy]

Do not configure the client DNS settings to point to your ISP's DNS servers. If you do so, you may experience issues when you try to join the Windows 2000-based or Windows Server 2003-based server to the domain, or when you try to log on to the domain from that computer. Instead, the internal DNS server should forward to the ISP's DNS servers to resolve external names.

Bedoel je dit stukje?

[ralpje]

Nog even een vraag tussendoor voor de TS: heb je een nieuw domein aangemaakt, of heb je via dcpromo je server in je SBS domein gehangen en daarna je SBS gedemote? En als je een nieuw domein hebt gemaakt, heb je dan je clients wel in het nieuwe domein gehangen?

[roooii]

ralpje schreef op woensdag 30 december 2009 @ 18:55:
Nog even een vraag tussendoor voor de TS: heb je een nieuw domein aangemaakt, of heb je via dcpromo je server in je SBS domein gehangen en daarna je SBS gedemote? En als je een nieuw domein hebt gemaakt, heb je dan je clients wel in het nieuwe domein gehangen?

Ik had eerst een SBS server, ben sinds eergister overgestapt op de standard versie. En ik heb de clients opnieuw in het domein gehangen jah.

Ik was inmiddels al wel een stap verder qua nslookup. Ik had alles opnieuw ingesteld en kreeg net met nslookup: Servername: network.local Adress: 192.168.2.2 (ip vd server). Maar goed het werkte nog steeds niet. Dus nu een nieuwe tutorial in videovorm, is kijken of het straks werkt

[ Voor 19% gewijzigd door roooii op 30-12-2009 19:06 ]

[Jazzy]

Is er een specifieke reden waarom je de ipconfig /all niet wilt geven?

[roooii]

Ja ik ben een warkop Wil alles tegelijk en dan vergeet je dat soort dingen wel eens.

[Pedr0]

Kan je ook eens een screenshot maken van je DNS mappen structuur? Volgens mij mis je het eea in je DNS configuratie.

Ook al een dcdiag /fix gedaan? (even uit m'n hoofd)

[roooii]

Ik heb nog geen dcdiag /fix gedaan. Hierbij plaatje van de dns. Als je dit bedoeld.

http://i49.tinypic.com/2ngd3rd.png

ipconfig /all van de server:


Ik had dus inmiddels een herinstallatie uitgevoerd. Ik heb daarbij een video tutorial gevolgt en precies gedaan wat er werd verteld. Helaas zonder succes, want nog steeds wordt het GPO niet toegepast en duurt het laden van profielen lang. Ik heb nu wel wanneer ik nslookup gebruik overal de servernaam staan, zowel bij de clients als bij de server zelf.

Edit:
dcdiag /fix gedaan. Vervolgens weer opnieuw dcdiag uitgevoerd naar logbestand. En nu krijg ik nog 1 error namelijk:

"There are warning or error events within the last 24 hours after the SYSVOL has been shared. Failing SYSVOL replication problems may cause Group Policy problems"

Edit #2: Inmiddels weer een heleboel andere errors in het dcdiag logbestand. Maar goed ik had dus deze video gebruikt en exact gedaan wat er werd voorgedaan: http://www.youtube.com/watch?v=HTSIZVciatg
zucht, eerst maar eens mn bed in duiken...

[ Voor 110% gewijzigd door roooii op 30-12-2009 23:52 ]

[roooii]

Ik ben er inmiddels uit. Mijn tweede netwerkkaart is het probleem. Ik had de kabel ook in de tweede netwerkkaart. De eerste netwerkkaart had ik gedisabled. Nu heb ik het omgedraaid en applied de policy direct.

Vreemd... want de 2e netwerkkaart staat wel bovenaan bij "adapters and bindings"...

Iemand een idee hoe het komt dat mijn 2e netwerkkaart niet werkt met policies en profielen traag laden?

Bedankt voor alle hulp en snelle reacties

[ Voor 3% gewijzigd door roooii op 31-12-2009 09:27 ]

[Urk]

roooii schreef op donderdag 31 december 2009 @ 09:25:
Ik ben er inmiddels uit. Mijn tweede netwerkkaart is het probleem. Ik had de kabel ook in de tweede netwerkkaart. De eerste netwerkkaart had ik gedisabled. Nu heb ik het omgedraaid en applied de policy direct.

Vreemd... want de 2e netwerkkaart staat wel bovenaan bij "adapters and bindings"...

Iemand een idee hoe het komt dat mijn 2e netwerkkaart niet werkt met policies en profielen traag laden?

Bedankt voor alle hulp en snelle reacties

Hmmm....waren beide interfaces verbonden met je interne netwerk? Of had je 1 interface verbonden met het externe netwerk?
En wat waren de IP's en instelllingen (gateway, DNS) van beide internface?

Nog een gelukkig nieuwjaar trouwens allemaal!

[Jazzy]

Urk schreef op vrijdag 01 januari 2010 @ 17:04:
En wat waren de IP's en instelllingen (gateway, DNS) van beide internface?

Ik heb al drie keer gevraagd om de volledige output van ipconfig /all, ik vrees niet dat je deze gegevens van de TS gaat krijgen.