Active directory corrupted... wat nu?

[Anoniem: 67691]

Hallo, ik heb hier een server staan bij een klant met SBS 2003 erop.

De bedoeling was hier een 2008 R2 server bij te zetten, AD te repliceren en langzaam die oude server op te zouten... Maar die replication werkt niet. De active directory DB op de sbs 2003 is corrupted.

Ik heb ntdsutil gebruikt met go fix en ik heb offline defrag/repair geprobeerd, met esentutl, maar ik kom niet ver.

Met esentutl /p "c:\winnt\ntds\ntds.dit" /!10240 /8 /o krijg ik:

Initiating DEFRAGMENTATION mode...
Database: C:\WINNT\NTDS\ntds.dit
Log files: C:\WINNT\NTDS
System files: C:\WINNT\NTDS
Temp. Database: d:\new\ntds.dit

Defragmentation Status ( % complete )

0 10 20 30 40 50 60 70 80 90 100
|----|----|----|----|----|----|----|----|----|----|
.............Operation terminated with error -1601
(JET_errRecordNotFound, The key was not found) after 39.484 seconds.


Spawned Process Exit code 0xfffff9bf(-1601)


Ik kan niet de SBS demoten en heb geen andere DC in het netwerk nog, behalve die nieuwe die nog niet replicated is...

Wat kan ik hier nog mee beginnen? Heb hier een client of 50 aan hangen en een nieuw domein bouwen is catastrophaal...

[Oid]

Backup terugzetten?

[Anoniem: 378504]

Kun je dan niet beter een migratie tool van Microsoft starten.

Doe je een prefix op de oude server en zet je 2008 op een 2e server / schijf / partitie en neemt hij alle instellingen van de AD mee over tijdens de installatie.

[Anoniem: 67691]

Anoniem: 378504 schreef op dinsdag 17 mei 2011 @ 12:24:
Kun je dan niet beter een migratie tool van Microsoft starten.

Doe je een prefix op de oude server en zet je 2008 op een 2e server / schijf / partitie en neemt hij alle instellingen van de AD mee over tijdens de installatie.

nieuwe server is geen SBS en volgens mij zou je dan hetzelfde probleem hebben van de corrupte db die je dan moet synchen... op de achtergrond doet de migratie ook gewoon de replicatie

[Anoniem: 67691]

Thijmen schreef op dinsdag 17 mei 2011 @ 12:21:
Backup terugzetten?

Backup gaat maar 5 dagen terug... dit lijkt al jaren terug gebeurd zijn door voorgangers. Ik kom hier pas een paar maanden.

[Question Mark]

Alle acties in onderstaand artikel al geprobeerd?

Event ID 2108 and Event ID 1084 occur during inbound replication of Active Directory in Windows 2000 Server and in Windows Server 2003

[Anoniem: 67691]

Question Mark schreef op dinsdag 17 mei 2011 @ 12:43:
Alle acties in onderstaand artikel al geprobeerd?

Event ID 2108 and Event ID 1084 occur during inbound replication of Active Directory in Windows 2000 Server and in Windows Server 2003

ja, inmiddels alles geprobeerd... behalve dan demoten en promoten, want dan ben ik de sigaar

ik kan trouwens zien wat er mis gaat bij de replicatie...

ik kom dit soort dingen tegen:

Event Type: Error
Event Source: NTDS ISAM
Event Category: Database Corruption
Event ID: 448
Date: 17/05/2011
Time: 9:55:14 PM
User: N/A
Computer: NTSERVER
Description:
NTDS (424) NTDSA: Data inconsistency detected in table datatable of database C:\WINNT\NTDS\ntds.dit (5472,11660).

For more information, see Help and Support Center at http://go.microsoft.com/fwlink/events.asp.


Event Type: Error
Event Source: NTDS General
Event Category: Internal Processing
Event ID: 1039
Date: 17/05/2011
Time: 9:55:16 PM
User: LBAHOLDINGS\LPALB-DC$
Computer: NTSERVER
Description:
Internal event: Active Directory could not process the following object.

Object:
CN=WEBSERVER,CN=Computers,DC=lbaholdings,DC=com,DC=au

User Action
Increase physical memory or virtual memory. If this error continues to occur, restart this domain controller.

Additional Data
Error value:
8451
Internal ID:
2051081

For more information, see Help and Support Center at http://go.microsoft.com/fwlink/events.asp.


Met ADSI edit kan ik die WEBSERVER zien, maar verwijderen kan ik 'm niet (is iets uit 2007 zie ik)

Als ik m deleten wil krijg ik "internal error" zelfde met delete and reset account in AD

Kan ik dit op een andere manier doen?

[akimosan]

Je hebt ook echt gekeken of de partitie waar de NTDS.DIT op staat voldoende schijfruimte heeft, geen compressie bevat, de bestanden excluded zijn in de Antivirus software checks, etc?

[Anoniem: 67691]

akimosan schreef op dinsdag 17 mei 2011 @ 23:09:
Je hebt ook echt gekeken of de partitie waar de NTDS.DIT op staat voldoende schijfruimte heeft, geen compressie bevat, de bestanden excluded zijn in de Antivirus software checks, etc?

inderdaad... 40 GB vrij, excluded in AV, zelfs AV unloaded... geen compressie op NTDS folder

Is er geen manier om die corrupted record uit de AD te slopen als dit met ADSI edit niet gaat?

[Anoniem: 67691]

Nog steeds aan het kloten hier. Niemand enig idee? Ben nu bezig te ntserver naar een nieuwe VMWare ESX server te converten zodat ik een kopie heb om mee te rommelen, zonder het live netwerk te slopen.

Mijn plan is nu de AD te slopen op die kopie, daarna de Symantec Backup Exec 2010 - AD recovery agent te gebruiken om de AD te restoren, maar dan met de corrupted account uit de slectie gehaald... nog een paar uur wachten... iemand anders een suggestie?

[Anoniem: 398658]

werkt de AD nu nog (computer accounts, users, ...) ? Anders kun je deze alvast exporteren naar een file met CSVDE of LDIFDE bvb...

[Voor 4% gewijzigd door Anoniem: 398658 op 19-05-2011 21:25]

[Anoniem: 67691]

Anoniem: 398658 schreef op donderdag 19 mei 2011 @ 21:25:
werkt de AD nu nog (computer accounts, users, ...) ? Anders kun je deze alvast exporteren naar een file met CSVDE of LDIFDE bvb...

Ad werkt verder prima. We geven het op en gaan het hele netwerk opnieuw opzetten, inclusief pc's uiteraard

[Question Mark]

Even voor mijn beeldvorming nog: de benodigde schema-aanpassing was wel gelukt?

[Anoniem: 67691]

Question Mark schreef op vrijdag 20 mei 2011 @ 08:13:
Even voor mijn beeldvorming nog: de benodigde schema-aanpassing was wel gelukt?

Had userrights problemen, te factureren uren liepen uit de hand en klant gaat waarschijnlijk betalen voor het opnieuw opzetten van het hele netwerk. Gaat veel meer opleveren en heeft meer zekerheid voor kwaliteit. Dan is het technisch klaar dus...

[Question Mark]

Wat bedoel je nu precies? Je probeerde de zaken uit te voeren met een account met te weinig rechten en dat was het hele probleem?

[Anoniem: 67691]

Question Mark schreef op vrijdag 20 mei 2011 @ 12:32:
Wat bedoel je nu precies? Je probeerde de zaken uit te voeren met een account met te weinig rechten en dat was het hele probleem?

Daar hield het op. Voor 100 piek per uur voor de klant moet je soms ophouden en inpakken. Hoe frustrerend dat ook is

[Question Mark]

Anoniem: 67691 schreef op vrijdag 20 mei 2011 @ 13:35:
[...]


Daar hield het op.

Gebruikte je nu een account met te weinig rechten of niet? (puur even ter info overigens: kom ik dezelfde error eens een keer tegen dan weet ik dat ik de issue in rechten moet gaan zoeken).

[Oid]

Volgens mij bedoelt die dat de klant niet verder wou betalen voor het onderzoek naar het probleem. Dus waarschijnlijk werkt befrankt bij een bedrijf die die server in beheer heeft voor dat andere bedrijf. (gokje)

Dus geen rechten probleem.

[Rupie]

Thijmen schreef op vrijdag 20 mei 2011 @ 14:53:
Dus geen rechten probleem.

Die conclusie trek je te snel als je het mij vraagt, het kan ook zijn dat hij dus geen kans meer heeft gekregen om dat te testen en dat is waar Question Mark nieuwsgierig naar is (en ikzelf eigenlijk ook wel).

[Question Mark]

Thijmen schreef op vrijdag 20 mei 2011 @ 14:53:
Dus geen rechten probleem.

Anoniem: 67691 schreef op vrijdag 20 mei 2011 @ 11:33:
[...]
Had userrights problemen,

Ben benieuwd, jouw verklaring zou overigens wel logisch zijn maar we horen het nog wel

Rupie schreef op vrijdag 20 mei 2011 @ 14:57:
[...]
Die conclusie trek je te snel als je het mij vraagt, het kan ook zijn dat hij dus geen kans meer heeft gekregen om dat te testen en dat is waar Question Mark nieuwsgierig naar is (en ikzelf eigenlijk ook wel).

Yep, dit zijn gewoon waardeloze problemen als je die tegenkomt. Befrankt heeft eigenlijk alle standaard oplossingstappen al doorlopen en heeft alle belangrijke Technet artikelen er reeds bijgehaald, en toch is het probleem niet opgelost. Daarom ben ik benieuwd naar de uiteindelijke conclusie.

[Voor 45% gewijzigd door Question Mark op 20-05-2011 15:05]

[lamko]

Met userrights problemen bedoelde hij niet dat hij niet de juiste rechten had. Het komt er op neer dat sommige programma's admin rechten vroegen die hij al had. Wat er weer op duidt dat van bepaalde bestanden ook de rechten er van corrupt waren of niet meer in de juiste consistente staat. En dan kan je dat wel proberen te fixen maar soms moet je gewoon de knoop doorhakken. En naar een stabiele en kwalitatief juiste manier gaan, de instalatie was gewoon niet betrouwbaar meer.

[Anoniem: 67691]

Als je consultant bent en voor een ander werkt, wordt er soms (ook op mijn advies) wel eens voor een niet technische oplossing gekozen. In plaats van dagen doortobben waarbij je een puinhoop probeert werkend te houden met als risico dat je bij het volgende probleem waar je tegenaan loopt de schuld krijgt doordat je "het verkeerde advies hebt gegeven"... , moet je soms opnieuw beginnnen. Voor de klant betekend het veel extra arbeidsloon en wat extra ongemak, voor mijn baas veel extra omzet en voor mij veel overwerk, maar helaas ook dat de oplossing, mocht die al bestaan, onbekend blijft. Soms best frustrerend. Als je intern in loondienst werkt heb je niet de 100 euro per uur druk achter ja, in ieder geval wat minder, dus kun je dingen later uitzoeken om van te leren. Ik zou dolgraag alsnog de oplossing weten, maar helaas zijn de servers niet van mij, dus is het einde verhaal.

[lamko]

Dat begreep ik maar dat userright probleem waar duidt dat dan op. Komt dat een beetje in de buurt wat ik ervan dacht ? Zie je gelijkenisen want ik heb eens tegen een soortgelijk probleem gestaan.

[Voor 52% gewijzigd door lamko op 20-05-2011 15:58]

[Oid]

Rupie schreef op vrijdag 20 mei 2011 @ 14:57:
[...]


Die conclusie trek je te snel als je het mij vraagt, het kan ook zijn dat hij dus geen kans meer heeft gekregen om dat te testen en dat is waar Question Mark nieuwsgierig naar is (en ikzelf eigenlijk ook wel).

klopt daar had ik overheen gelezen.

[Anoniem: 67691]

lamko schreef op vrijdag 20 mei 2011 @ 15:56:
Dat begreep ik maar dat userright probleem waar duidt dat dan op. Komt dat een beetje in de buurt wat ik ervan dacht ? Zie je gelijkenisen want ik heb eens tegen een soortgelijk probleem gestaan.

Ok, sorry. Het was een userrights probleem van de backup software. In active directory restore mode is de AD offline en moet je restoren met een local user maar dat gaf wat problemen. Was misschien nog wel op te lossen, maar de hele poging had toch al weinig kans van slagen

[Question Mark]

Ok, juiste keuze dan gemaakt voor een complete rebuild imo. Het loont qua uren vaak niet om dergelijke problemen op te lossen. In een dergelijke relatieve kleine omgeving is opnieuw opbouwen vaak sneller en dan ben je er zeker van dat echt alle issue's verdwenen zijn. Ondanks dat het als techneut soms wel eens frustrerend kan zijn.

Thx voor de feedback