DNS scavenging

[Verwijderd]

Ik ben bezig met Server 2012... Nu heb ik in DNS op SERVER01 in de advanced tab "enable automatic scavenging" aangevinkt. Ook in de zones zelf heb ik scavenging aangevinkt.

Nu heb ik er wat records instaan van 1 mei in de zone, ik heb de datum van de computer op 31 mei gezet. Maar als ik nu op de SERVER01 scavenge stale resource records aanklik, worden de oude records niet verwijdert.

Wat heb ik nu fout? Ik heb toch op de server zelf en in de zone scavenging geconfigureerd, dan zou het moeten werken toch?

ps... in event viewer staat dit:

The DNS server has completed a scavenging cycle but no nodes were visited. Possible causes of this condition include:

1.No zones are configured for scavenging by this server.
2.A scavenging cycle was performed within the last 30 minutes.
3.An error occurred during scavenging

[ Voor 24% gewijzigd door Verwijderd op 07-05-2013 23:23 ]

[F_J_K]

(Ik heb hier geen ervaring mee maar) heb je gekeken naar de verschillende intervallen (wel/niet refresh)?

Ik kan me trouwens ook voorstellen dat datums aanpassen (op enkel de server, of iedere machine?) niet zo aardig is voor je systeem.

edit:

[Google=DNS server has completed a scavenging cycle but no nodes were visited] lijkt vol te staan met die tip. Ik mag hopen dat je daar dus al naar hebt gekeken... Wat heb je verder ook al geprobeerd?

[ Voor 31% gewijzigd door F_J_K op 07-05-2013 23:37 ]

[Verwijderd]

Ik weet niet waar het aan ligt, ik kijk morgen maar even verder, het is al laat, misschien dat ik dingen over het hoofd zie ook

[Verwijderd]

Ik krijg trouwens een melding in DNS dat deze niet gerepliceerd is, maar lijkt me toch sterk dat ik een 2e dns server moet configuren om te zorgen dat het scavenging werkt? Beetje rare melding, aangezien ik maar 1 DC heb in mijn test omgeving.

Hij zegt dat de dns service niet kan starten tot de synchronisatie is complete. Waiting for AD DS to initialize the synchronization of the directory

[CMD-Snake]

Als het niet wil werken is het tijd voor de handleiding.

http://technet.microsoft.com/en-us/library/cc753217.aspx

Je schrijft dat je meerdere zones hebt. De zone die hoort bij je AD krijgt een aantal default instellingen mee, daar volstaat het om puur een vinkje aan te zetten. Voor andere zones die de DNS server moet beheren geld dit niet. Heb je bijvoorbeeld wel aangezet wanneer een record als oud beschouwd moet worden? Als een record niet oud kan worden kan scavenging niet werken.

Let wel dat scavenging alleen zal werken voor primary type DNS zones. Alle andere typen zones kan je niets mee doen. En let ook dat alleen records die toegevoegd worden via dynamische DNS update of handmatige update van een DNS record. Statische records zullen nooit verouderen.

[Verwijderd]

CMD-Snake:

Ik heb maar 1 zone ,maar in server manager geeft ie die melding van waiting for replication.
Ik heb iig op de server zelf, en bij de properties, dus op de 2 plekken aangegeven dat scavenging moet gebeuren.

ps. ik heb het gelezen over DNS, daarin staat dat de zone minimaal 1x replicated moet worden. Daar krijg ik dus ook een melding van dat dit niet gebeurd is. Maar ik heb de AD DS en de DNS op 1 server geïnstalleerd, hoe kan ik die melding oplossen dan? De DNS is AD-integrated

[ Voor 38% gewijzigd door Verwijderd op 08-05-2013 09:39 ]

[CMD-Snake]

Verwijderd schreef op woensdag 08 mei 2013 @ 09:31:
Ik heb maar 1 zone ,maar in server manager geeft ie die melding van waiting for replication.
Ik heb iig op de server zelf, en bij de properties, dus op de 2 plekken aangegeven dat scavenging moet gebeuren.

Okay, maar als deze zone alleen statische records bevat valt er weinig te scavengen.

ps. ik heb het gelezen over DNS, daarin staat dat de zone minimaal 1x replicated moet worden. Daar krijg ik dus ook een melding van dat dit niet gebeurd is. Maar ik heb de AD DS en de DNS op 1 server geïnstalleerd, hoe kan ik die melding oplossen dan? De DNS is AD-integrated

Replicatie treed op of je nou een server hebt of honderd. Welke foutmelding krijg je? Graag met code erbij. De meldingen zelf zijn nogal algemeen.

[Verwijderd]

de DC is ook een DHCP server,de zone bevat statische en dynamische records

Ik zal even kijken welke melding het is, ik heb een nieuwe server geïnstalleerd, en daar kreeg ik ook de melding. Dit is net na het installeren van ADDS en DNS. De melding komt dan in Server Manager te staan.

Ik start 'm even op en kijk wat de melding precies is

[Verwijderd]

Even vd duidelijkheid.... ik heb dus een nieuwe server geinstalleerd, SERVER01. Roles ADDS en DNS geinstalleerd. Allebei op deze server. Nu krijg ik dus bij de 1e herstart van deze server deze melding:

Server Name ID Severity Source Log Date and Time
SERVER01 4013 Warning Microsoft-Windows-DNS-Server-Service DNS Server 5/8/2013 9:58:05 AM

The DNS server is waiting for Active Directory Domain Services (AD DS) to signal that the initial synchronization of the directory has been completed. The DNS server service cannot start until the initial synchronization is complete because critical DNS data might not yet be replicated onto this domain controller. If events in the AD DS event log indicate that there is a problem with DNS name resolution, consider adding the IP address of another DNS server for this domain to the DNS server list in the Internet Protocol properties of this computer. This event will be logged every two minutes until AD DS has signaled that the initial synchronization has successfully completed.

Wat moet ik nu hieraan doen? Ik ben van plan om maar 1 domain controller te houden

Modbreak:

Let even op het zogenoemde dubbelposten als je wilt. Als je zelf als laatste gereageerd hebt is het netter (en wordt ook eigenlijk verwacht), dat je je voorgaande past even aanpast om extra info toe te voegen...

[ Voor 8% gewijzigd door Question Mark op 08-05-2013 10:40 ]

[CMD-Snake]

Zie hier voor algemene tips voor het troubleshooten van AD replicatie problemen:
http://technet.microsoft.com/en-us/library/bb727057.aspx en http://technet.microsoft....ry/cc949120(v=ws.10).aspx

Ik zou dat eerst doorlopen.

[Question Mark]

Één DC met een AD-probleem op DNS gebied. Ik gok dan op een verkeerde ip-configuratie. Post eens de output van "ipconfig /all"?

[Verwijderd]

Windows IP Configuration

Host Name . . . . . . . . . . . . : SERVER01
Primary Dns Suffix . . . . . . . : contoso.com
Node Type . . . . . . . . . . . . : Hybrid
IP Routing Enabled. . . . . . . . : No
WINS Proxy Enabled. . . . . . . . : No
DNS Suffix Search List. . . . . . : contoso.com

Ethernet adapter Ethernet:

Connection-specific DNS Suffix . :
Description . . . . . . . . . . . : Intel(R) PRO/1000 MT Desktop Adapter
Physical Address. . . . . . . . . : 08-00-27-AB-EA-CE
DHCP Enabled. . . . . . . . . . . : No
Autoconfiguration Enabled . . . . : Yes
Link-local IPv6 Address . . . . . : fe80::4dab:720b:dd1d:abb8%12(Preferred)
IPv4 Address. . . . . . . . . . . : 10.0.0.11(Preferred)
Subnet Mask . . . . . . . . . . . : 255.255.255.0
Default Gateway . . . . . . . . . : 10.0.0.1
DHCPv6 IAID . . . . . . . . . . . : 252182567
DHCPv6 Client DUID. . . . . . . . : 00-01-00-01-19-1B-CB-91-08-00-27-AB-EA-CE
DNS Servers . . . . . . . . . . . : ::1
127.0.0.1
NetBIOS over Tcpip. . . . . . . . : Enabled

Tunnel adapter isatap.{60EC8A1F-76C5-4272-A3B3-0CE65A0EDA0D}:

Media State . . . . . . . . . . . : Media disconnected
Connection-specific DNS Suffix . :
Description . . . . . . . . . . . : Microsoft ISATAP Adapter
Physical Address. . . . . . . . . : 00-00-00-00-00-00-00-E0
DHCP Enabled. . . . . . . . . . . : No
Autoconfiguration Enabled . . . . : Yes


Overigens zit ik in forums te zoeken etc... nu staat er dit:
AD relies on DNS to start with the netlogon service. But this one relies on running DNS which is AD integrated....... Got it? Chicken or egg? AD require DNS, DNS run only iof AD is started. Install a second DNS server for
the domain and configure it as preferred on the DCs NIC, that way DNS for the domain is running and AD can start. Additional it is recommended to have a t least 2 DC/DNS/GC per domain.

Dus als ik het goed begrijp komt het omdat ik dus DNS en AD DS op dezelfde server heb? en deze tegelijk starten? Dus als ik dan een 2e dns server installeer (bijv een Secondary Zone) zou het goed moeten gaan?
Trouwens wel vreemd, wat nou als je een kleine firma bent en maar 1 DC hebt?

[ Voor 20% gewijzigd door Verwijderd op 08-05-2013 11:26 ]

[CMD-Snake]

Verwijderd schreef op woensdag 08 mei 2013 @ 10:47:
DNS Servers . . . . . . . . . . . : ::1
127.0.0.1
NetBIOS over Tcpip. . . . . . . . : Enabled

Ik denk dat je preferred DNS server niet goed staat in je netwerk config. Je hebt daar een verwijzing staan naar de localhost (127.0.0.1 en IPv6 ::1). Stel daar eens in het echte adres van je server, dus 10.0.0.11 in dit geval.

Ik zet daar nooit iets neer als 127.0.0.1, gewoon altijd de adressen van de relevante DNS server(s).

Overigens zit ik in forums te zoeken etc... nu staat er dit:
AD relies on DNS to start with the netlogon service. But this one relies on running DNS which is AD integrated....... Got it? Chicken or egg? AD require DNS, DNS run only iof AD is started. Install a second DNS server for
the domain and configure it as preferred on the DCs NIC, that way DNS for the domain is running and AD can start. Additional it is recommended to have a t least 2 DC/DNS/GC per domain.

Dus als ik het goed begrijp komt het omdat ik dus DNS en AD DS op dezelfde server heb? en deze tegelijk starten? Dus als ik dan een 2e dns server installeer (bijv een Secondary Zone) zou het goed moeten gaan?
Trouwens wel vreemd, wat nou als je een kleine firma bent en maar 1 DC hebt?

Je kan prima een DC hebben die ook DNS server is. Dat bijt elkaar niet en werkt prima. Dit probleem komt eerder door een foute configuratie lijkt mij.

Het advies voor meerdere servers is alleen relevant in een productieomgeving puur omwille van redundancy. Als een DC uitvalt heb je nog altijd een reserve. Zonder DC ligt je domein redelijk op zijn gat.

[Verwijderd]

Ik heb de Prefered DNS verandert in 10.0.0.11 maar nog steeds krijg ik de melding 4013... ik snap niet wat er fout is. Ik heb in Virtualbox alleen een intern network aangegeven. Vervolgens mijn ip settings: 10.0.0.11 255.255.255.0 gateway:10.0.0.1 dns:10.0.0.11. Toen AD DS geinstalleerd, vervolgens krijg ik al bij de 1e herstart de melding in dns over 4013.

Waar moet ik dit nu nog zoeken?

[CMD-Snake]

Verwijderd schreef op woensdag 08 mei 2013 @ 12:19:
Ik heb de Prefered DNS verandert in 10.0.0.11 maar nog steeds krijg ik de melding 4013... ik snap niet wat er fout is. Ik heb in Virtualbox alleen een intern network aangegeven. Vervolgens mijn ip settings: 10.0.0.11 255.255.255.0 gateway:10.0.0.1 dns:10.0.0.11. Toen AD DS geinstalleerd, vervolgens krijg ik al bij de 1e herstart de melding in dns over 4013.

Waar moet ik dit nu nog zoeken?

Heb je na het aanpassen van je netwerk config ook de ADDS en DNS services herstart? Controleer ook of je DNS service überhaupt wel actief is nu.

Even nog wat hulp voor Event ID 4013

Wat me overigens ook opviel is dat je een echt domein gebruikt. Contoso.com bestaat, je komt dan op de site van MS uit. Je AD moet geen naam hebben die ook op het internet staat bij sterke voorkeur. Als je de DNS dan niet goed scheidt krijg je dat het mogelijk is om van buitenaf interne namen de resolven. Je hele infra staat dan in feite op het internet.

Gebruik bij voorkeur voor je domein iets als domein.local. Overigens een domain rename zou ik niet aan beginnen nu. Dan maar even de boel opnieuw installeren.

Overigens ben ik ook niet wild van Virtual Box. Ik heb er een keer mee gespeeld, maar veel OS'sen krijgen soms te maken met rare klachten. Ik gebruik bij voorkeur Hyper-V of VMWare Workstation. Je zou eventueel ook gratis ESXi kunnen gebruiken.

[Verwijderd]

ik heb de gehele server opnieuw gestart, ik krijg nu gewoon elke keer die melding... erg vreemd. Overigens wel elke keer als ik de server opnieuw start. Maar als deze eenmaal een tijdje aan is krijg ik deze melding niet meer. Er staat vaak als tijd, de tijd wanneer de server opnieuw start.

ik heb wel Vmware fusion, werkt deze hetzelfde als Workstation?

Ivm de echte naam "contoso" , dit zou toch niets uit moeten maken aangezien ik een intern only network gebruik?


ps.... net even gekeken op die link die je stuurde

This seems to happen on Server 2008/2008 R2 based Domain Controllers when, by the time they boot, no DNS server other than themselves is around. If DNS zones are AD integrated, DNS relies on Active Directory to be started in order to load up the DNS zone(s).

Is dit dan dus een "normale" error? Omdat het bij mij ook alleen tijdens het opstarten is? Want hoe ik het hier begrijp, is dat dus ADDS en DNS beide tegelijk starten, en elkaar dan dus niet zien?

Want dan zou ik toch de DNS Service een delayed start kunnen geven?Of zie ik het verkeerd?

[ Voor 64% gewijzigd door Verwijderd op 08-05-2013 12:57 ]

[CMD-Snake]

Verwijderd schreef op woensdag 08 mei 2013 @ 12:49:

ik heb wel Vmware fusion, werkt deze hetzelfde als Workstation?

Is ongeveer hetzelfde. Let wel dat Server 2012 een ondersteund OS is als guest.

Ivm de echte naam "contoso" , dit zou toch niets uit moeten maken aangezien ik een intern only network gebruik?

Voor intern maakt het weinig uit zo, maar het was meer een algemene tip.

This seems to happen on Server 2008/2008 R2 based Domain Controllers when, by the time they boot, no DNS server other than themselves is around. If DNS zones are AD integrated, DNS relies on Active Directory to be started in order to load up the DNS zone(s).

Is dit dan dus een "normale" error? Omdat het bij mij ook alleen tijdens het opstarten is? Want hoe ik het hier begrijp, is dat dus ADDS en DNS beide tegelijk starten, en elkaar dan dus niet zien?

Want dan zou ik toch de DNS Service een delayed start kunnen geven?Of zie ik het verkeerd?

Net even zelf gekeken op een DC. Vlak na een reboot zie ik een entry hiervan in de event log. Het is ook een warning en geen error. Dus lekker negeren. Na een reboot zie je sowieso een hoop warnings en errors staan puur omdat de boel nog aan het laden is de minuten erna.

[Verwijderd]

Hm ok want ik heb dus mijn test omgeving op mijn Imac, en die zet ik 's avonds uit en 's morgens weer aan. Dus het komt waarschijnlijk puur door het herstarten elke keer van de Domain Controller? Dat ik die error krijg van 4013?

Nu net in Vmware Fusion ADDS DNS geinstalleerd, zelfde error na het opstarten van de server.
Dus wssnlijk heeft het puur te maken met dat ik de server elke dag opnieuw aanzet?

[ Voor 28% gewijzigd door Verwijderd op 08-05-2013 13:47 ]

[CMD-Snake]

Verwijderd schreef op woensdag 08 mei 2013 @ 13:37:
Hm ok want ik heb dus mijn test omgeving op mijn Imac, en die zet ik 's avonds uit en 's morgens weer aan. Dus het komt waarschijnlijk puur door het herstarten elke keer van de Domain Controller? Dat ik die error krijg van 4013?

Nu net in Vmware Fusion ADDS DNS geinstalleerd, zelfde error na het opstarten van de server.
Dus wssnlijk heeft het puur te maken met dat ik de server elke dag opnieuw aanzet?

Klopt. Maar als je kijkt op de tijd van opstarten zal je veel meer warnings en errors zien.

[Verwijderd]

Ja dat klopt idd, ok dan is dat duidelijk... dan negeer ik het maar.

Bedankt voor je hulp!

[ Voor 16% gewijzigd door Verwijderd op 08-05-2013 13:53 ]

[Question Mark]

Verwijderd schreef op woensdag 08 mei 2013 @ 13:53:
Ja dat klopt idd, ok dan is dat duidelijk... dan negeer ik het maar.

Bedankt voor je hulp!

Niet negeren, gewoon netjes oplossen... De error komt gewoon omdat je Netlogon service probeert te starten voordat DNS gestart is.

A common cause for these errors is that a domain controller references itself as a primary DNS server in its TCP/IP properties. When the domain controller starts in this configuration, the Netlogon service may start before the DNS service starts. Because the Netlogon service must register records in DNS and the DNS service is not yet available, errors may occur.

Troubleshooting Netlogon Event 5774, 5775, and 5781

Door het aanmaken van een dependency kun je regelen dat de Netlogon service pas gaat starten nadat DNS gestart is.

CMD-Snake schreef op woensdag 08 mei 2013 @ 12:44:
[...]
Wat me overigens ook opviel is dat je een echt domein gebruikt. Contoso.com bestaat, je komt dan op de site van MS uit. Je AD moet geen naam hebben die ook op het internet staat bij sterke voorkeur. Als je de DNS dan niet goed scheidt krijg je dat het mogelijk is om van buitenaf interne namen de resolven. Je hele infra staat dan in feite op het internet.

Wat is er mis met een split-brain dns configuratie? En waarom zou mijn hele interne domain dan op internet staan?

[Verwijderd]

Dus als ik het goed begrijp, moet ik die Netlogon service dependency in het register aanpassen? En op mijn Domein Controller, bij zijn Netwerk kaart de prefered dns server weghalen?
dit dus gedaan,niks geholpen. 1e reboot meteen weer dezelfde foutmelding 4013

[ Voor 19% gewijzigd door Verwijderd op 08-05-2013 15:01 ]

[Question Mark]

Nee, alleen de dependency creëren. Hij moet uiteraard op zijn NIC een AD-aware dns-server geconfigureerd hebben staan, en in dit geval is hij ditzelf...

[Verwijderd]

Ok dus als ik het goed begrijp moet ik alleen de registry key aanpassen? En rebooten? dan zou dus het event id 4013 niet meer moeten komen?

[Question Mark]

Deze aanpassing zorgt ervoor dat de Netlogon service in het vervolg pas gaat starten nadat de DNS-service gestart is. Daardoor heeft de Netlogon service tijdens het starten toegang tot alle benodigde AD-records. Dit lost dus alleen een foutmelding op die tijdens of vlak na het booten voorkomt...

[Verwijderd]

OK ik ga het even proberen of het werkt

[Question Mark]

Eigenlijk had je dat natuurlijk alang kunnen doen, in plaats van te vragen naar een voorgekauwd antwoord...

Je gaf in je andere topic aan dat je bezig bent om Windows te leren, test dan ook vooraf flink uit... Dat zijn alleen maar leermomenten...

[Verwijderd]

Geprobeerd.... nog steeds dezelfde foutmelding, Ik loop idd wel tegen meer dingen aan, kijk veel op techneut etc... maar deze krijg ik niet weg.

Dus de oplossing van het register aanpassen werkt niet


Ik weet het nu ook niet meer met dit probleem waar ik het nog zoeken moet

[ Voor 32% gewijzigd door Verwijderd op 08-05-2013 15:21 ]

[CMD-Snake]

Question Mark schreef op woensdag 08 mei 2013 @ 14:36:
Wat is er mis met een split-brain dns configuratie? En waarom zou mijn hele interne domain dan op internet staan?

Het zal wel een voorkeur van mij dan zijn, maar ik vind voor een intern domein .local (of iets anders) beter passen dan een .com, .nl of een andere tld die op het internet gebruikt wordt.

[Verwijderd]

neemt niet weg dat het register aanpassen dus ook de oplossing niet is, ik weet niet waar ik nu nog zoeken moet.

zelfs bij een (nog een keer) nieuwe installatie maar dan in vmware fusion.... precies hetzelfde verhaal. En alleen na een "reboot van de server".

[ Voor 57% gewijzigd door Verwijderd op 08-05-2013 16:39 ]

[Question Mark]

CMD-Snake schreef op woensdag 08 mei 2013 @ 16:28:
[...]
Het zal wel een voorkeur van mij dan zijn, maar ik vind voor een intern domein .local (of iets anders) beter passen dan een .com, .nl of een andere tld die op het internet gebruikt wordt.

Pas daar wel heel erg mee op, je gaat jezelf misschien in de vingers snijden daarmee:

Global changes in legislation regarding SAN SSL Certificates

All Certificate Authorities (CAs) that are connected to the overall CA/Browser Forum have accepted worldwide renewed and improved guidelines for the issuance of a SAN SSL Certificate. Domain validated certificates may therefore no longer be issued on an invalid Fully-Qualified Domain Name (eg .local).

The reason that is given for the change is that the internal server names are not unique and therefore easy to falsify. With common names like server01 or webmail, the end user is never sure if it is actually dealing with the right party or with a malicious.

The changing legislation for SSL Certificates shall start on 1 November 2015. This means, from that date, the invalid Fully-Qualified Domain Names (hereafter called FQDN) will no longer be accepted at the standard of the CA/Browser Forum and after that date such certificates may no longer be issued. All certificates issued after 1 November 2015 and meet this qualification will be revoked upon discovery.

Interne domeinnamen zijn straks niet meer toegestaan in Certificaten, overigens zijn veel applicaties hier wel voor aan te passen, maar houdt er wel rekening mee..

Verwijderd schreef op woensdag 08 mei 2013 @ 16:38:
neemt niet weg dat het register aanpassen dus ook de oplossing niet is, ik weet niet waar ik nu nog zoeken moet.

Welke aanpassing heb je exact gemaakt?

[ Voor 4% gewijzigd door Question Mark op 08-05-2013 19:25 ]

[Verwijderd]

ik heb deze aanpassing gedaan:

Configureer de service Netlogon zodanig dat deze afhankelijk is van de DNS-service. Daardoor start de service Netlogon altijd na de DNS-service. Voer REGEDT32 uit en ga naar:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon
Dubbelklik in het rechterdeelvenster op de waarde DependOnService en voeg DNS aan de volgende beschikbare lege regel toe. Klik op OK en sluit de Register-editor af.

[Verwijderd]

Dit heb ik toch goed gedaan dan?