AD Problemen

[Kavaa]

Hi,

Ik heb wat Active Directory problemen.
Lang verhaal kort:

Oude situatie 2x 2012R2 DC
2x Nieuwe 2016 geïnstalleerd toegevoegd dcpromo noem maar op. Alles leek goed te gaan.
Tot de DC01 (oude) demote werd en ik de 2e 2012 server ook wou demoten.
De 2e wou niet omdat hij aangaf dat hij de laatste server in het domain was.
FSMO roles allemaal overgedragen naar 2016 server etc. alles leek goed te gaan maar toch issues.

Repliceren werkt niet meer etc. nu zijn de 2 2016 machines weg en is er nog 1 DC over (2012R2).
Deze lijkt het enigszins te doen, DNS opgeschoond etc. Maar nu wil ik een nieuwe 2016 server promoten maar dat werkt ook niet

code:

Error: Verification of outbound replication failed. Error reading the NTDS settings on replication source domain controller DC002.domain.com. Domain controller data not found for the specified Active Directory domain controller.

Dcdiag op de 2012R2 domain controller geeft:

code:

PS C:\Users\administrator.DOMAINNAME> dcdiag

Directory Server Diagnosis

Performing initial setup:
   Trying to find home server...
   Home Server = DC002
   * Identified AD Forest.
   Done gathering initial info.

Doing initial required tests

   Testing server: Default-First-Site-Name\DC002
      Starting test: Connectivity
         ......................... DC002 passed test Connectivity

Doing primary tests

   Testing server: Default-First-Site-Name\DC002
      Starting test: Advertising
         ......................... DC002 passed test Advertising
      Starting test: FrsEvent
         There are warning or error events within the last 24 hours after the SYSVOL has been shared.  Failing SYSVOL
         replication problems may cause Group Policy problems.
         ......................... DC002 failed test FrsEvent
      Starting test: DFSREvent
         ......................... DC002 passed test DFSREvent
      Starting test: SysVolCheck
         ......................... DC002 passed test SysVolCheck
      Starting test: KccEvent
         ......................... DC002 passed test KccEvent
      Starting test: KnowsOfRoleHolders
         ......................... DC002 passed test KnowsOfRoleHolders
      Starting test: MachineAccount
         ......................... DC002 passed test MachineAccount
      Starting test: NCSecDesc
         ......................... DC002 passed test NCSecDesc
      Starting test: NetLogons
         ......................... DC002 passed test NetLogons
      Starting test: ObjectsReplicated
         ......................... DC002 passed test ObjectsReplicated
      Starting test: Replications
         ......................... DC002 passed test Replications
      Starting test: RidManager
         ......................... DC002 passed test RidManager
      Starting test: Services
            NtFrs Service is stopped on [DC002]
         ......................... DC002 failed test Services
      Starting test: SystemLog
         An error event occurred.  EventID: 0xC0001B61
            Time Generated: 05/03/2017   20:43:33
            Event String:
            A timeout was reached (30000 milliseconds) while waiting for the File Replication service to connect.
         An error event occurred.  EventID: 0xC0001B61
            Time Generated: 05/03/2017   20:47:40
            Event String:
            A timeout was reached (30000 milliseconds) while waiting for the File Replication service to connect.
         An error event occurred.  EventID: 0xC0001B61
            Time Generated: 05/03/2017   20:47:56
            Event String:
            A timeout was reached (30000 milliseconds) while waiting for the File Replication service to connect.
         ......................... DC002 failed test SystemLog
      Starting test: VerifyReferences
         Some objects relating to the DC DC002 have problems:
            [1] Problem: Missing Expected Value
             Base Object:
            CN=NTDS Settings,CN=DC002,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=DOMAINNAME,DC=c
om
             Base Object Description: "DSA Object"
             Value Object Attribute Name: serverReferenceBL
             Value Object Description: "SYSVOL FRS Member Object"
             Recommended Action: See Knowledge Base Article: Q312862

            [1] Problem: Missing Expected Value
             Base Object: CN=DC002,OU=Domain Controllers,DC=DOMAINNAME,DC=com
             Base Object Description: "DC Account Object"
             Value Object Attribute Name: frsComputerReferenceBL
             Value Object Description: "SYSVOL FRS Member Object"
             Recommended Action: See Knowledge Base Article: Q312862

         ......................... DC002 failed test VerifyReferences


   Running partition tests on : ForestDnsZones
      Starting test: CheckSDRefDom
         ......................... ForestDnsZones passed test CheckSDRefDom
      Starting test: CrossRefValidation
         ......................... ForestDnsZones passed test CrossRefValidation

   Running partition tests on : DomainDnsZones
      Starting test: CheckSDRefDom
         ......................... DomainDnsZones passed test CheckSDRefDom
      Starting test: CrossRefValidation
         ......................... DomainDnsZones passed test CrossRefValidation

   Running partition tests on : Schema
      Starting test: CheckSDRefDom
         ......................... Schema passed test CheckSDRefDom
      Starting test: CrossRefValidation
         ......................... Schema passed test CrossRefValidation

   Running partition tests on : Configuration
      Starting test: CheckSDRefDom
         ......................... Configuration passed test CheckSDRefDom
      Starting test: CrossRefValidation
         ......................... Configuration passed test CrossRefValidation

   Running partition tests on : DOMAINNAME
      Starting test: CheckSDRefDom
         ......................... DOMAINNAME passed test CheckSDRefDom
      Starting test: CrossRefValidation
         ......................... DOMAINNAME passed test CrossRefValidation

   Running enterprise tests on : DOMAINNAME.com
      Starting test: LocatorCheck
         ......................... DOMAINNAME.com passed test LocatorCheck
      Starting test: Intersite
         ......................... DOMAINNAME.com passed test Intersite

Welke AD Specialist kan en wil mij helpen?
Heb al uren gezocht op google en van alles geprobeerd maar zonder resultaat.
Heb er ook en al een Consultant naar laten kijken die ik ken van vroeger, maar die slaat ook vast.

[eric.1]

Heb je de AD "voorbereid" met adprep(.exe)?

Volgens mij is dat noodzakelijk indien je een DC toevoegt met een meer recente Windows versie.

Even snel opgezocht;
https://technet.microsoft...ry/dd464018(v=ws.10).aspx

En een gelijk probleem;
https://social.technet.mi...est?forum=winserver8setup

(Geen ervaring met 2016 maar dat zal ongetwijfelt nog nodig zijn. )

[ Voor 8% gewijzigd door eric.1 op 03-05-2017 21:51 ]

[redfoxert]

Voordat je je 2016 servers ging toevoegen dmv dcpromo, heb je als het goed is zelfs een melding gehad dat je die niet kon toevoegen als DC omdat het schema nog "oud" was. Zoals hierboven vermeld moet je echt eerst een adprep draaien voor 2016 om zulke DC's toe te voegen. Daarna kan je naar hartelust DC's toevoegen en verwijderen. Kijk ook eens even naar je domain en forest functional level?

[vso]

djkavaa schreef op woensdag 3 mei 2017 @ 20:56:
Hi,

Ik heb wat Active Directory problemen.
Lang verhaal kort:

Oude situatie 2x 2012R2 DC
2x Nieuwe 2016 geïnstalleerd toegevoegd dcpromo noem maar op. Alles leek goed te gaan.
Tot de DC01 (oude) demote werd en ik de 2e 2012 server ook wou demoten.
De 2e wou niet omdat hij aangaf dat hij de laatste server in het domain was.
FSMO roles allemaal overgedragen naar 2016 server etc. alles leek goed te gaan maar toch issues.

Repliceren werkt niet meer etc. nu zijn de 2 2016 machines weg en is er nog 1 DC over (2012R2).
Deze lijkt het enigszins te doen, DNS opgeschoond etc. Maar nu wil ik een nieuwe 2016 server promoten maar dat werkt ook niet

Welke AD Specialist kan en wil mij helpen?
Heb al uren gezocht op google en van alles geprobeerd maar zonder resultaat.
Heb er ook en al een Consultant naar laten kijken die ik ken van vroeger, maar die slaat ook vast.

Ik hoop dat je met me eens bent dat dit niet de meest optimale zet was en dat je blij mag zijn dat je tijdig doorhad (melding last DC in domain) wat wellicht resulteert in baan behoud
Dit is een reden voor certificering en ervaring .. oftewel doe HUISWERK
Mocht je dat door hebben dat je door het oog van de naald ben gekropen .. is er nog hoop voor je

Nu ben ik niet een basterd en zal je proberen je doel te laten behalen, op voorwaarde dat je teminste je windows server papiertje gaat halen .. kost je 200,- voor je examen wat je baas kan betalen

AD leunt zwaar op DNS

Het klinkt alsof je netwerk settings niet optimaal waren.
in 2012 / 2016 kan je Best Practice Analyzer vinden (BPA) deze zou ik zsm draaien. (zeker na dcpromo)
hierna een repladmin. (replicatie checker)

dus je had beter kunnen doen
vrijdag --> dcpromo van de 2x 2016 dc's
- maak 1 v.d 2 global catalog verplaats de RID FSMO naar de andere (kan ook andere FSMO zijn)
_{ps als je vraagt waarom .. --> hierom is certificering handig en anders google}
draai de BPA en ga naar huis

maandag --> na een replica van 48 uur (24 uur moet voldoende zijn) en goeie full backup's
en check de replicatie

Nu ga je DNS en dhcp en alle servers,switches,printers,en ander geneuzel langs om DNS,NTP te wijzigen naar de nieuwe DC's ...

Aan de hand van je post zou ik je adviseren de de oude DC gewoon uit te zetten ipv demoten.. of de service(s) uit te zetten.(dns en AD) doe dat demoten een week later als er geen issues gemeld zijn.


Wees blij dat je nog een DC in leven hebt, anders was je echt het haasje .. een nieuw domain en alles in / uit domain gooien is geen pretje zeker als je niet alle wachtwoorden weet, en natuurlijk is dat iets wat je niemand ontgaat.

[vso]

eric.1 schreef op woensdag 3 mei 2017 @ 21:46:
Heb je de AD "voorbereid" met adprep(.exe)?

Volgens mij is dat noodzakelijk indien je een DC toevoegt met een meer recente Windows versie.

Even snel opgezocht;
https://technet.microsoft...ry/dd464018(v=ws.10).aspx

heb je wel de link uberhaupt gelezen of roep je maar wat ... de quote hieronder is direct van de link die je noemt.

Beginning with Windows Server 2012, Adprep.exe is integrated into the AD DS installation process and runs automatically as needed. For example, when you install the first domain controller that runs Windows Server 2012 into an existing domain and forest, then adprep /forestprep and adprep /domainprep automatically run and report the results of the operations.

En dus idem voor

redfoxert schreef op woensdag 3 mei 2017 @ 21:49:
Voordat je je 2016 servers ging toevoegen dmv dcpromo, heb je als het goed is zelfs een melding gehad dat je die niet kon toevoegen als DC omdat het schema nog "oud" was. Zoals hierboven vermeld moet je echt eerst een adprep draaien voor 2016 om zulke DC's toe te voegen. Daarna kan je naar hartelust DC's toevoegen en verwijderen. Kijk ook eens even naar je domain en forest functional level?

En voor elke poster hier .. de TS heeft gewoon een nieuw (2de) domain gemaakt met de windows dc's

In plaats van dcdiag moet je repladmin + <replication partner> draaien.
"repladmin <servernaam-win2016-dc3> "

Als namelijk de 2016 server aan het domain was toegevoegd voordat dc promo was uitgevoerd, had er in AD users en computers bij de container Domain Controllers een extra dc gestaan
en was de melding "last domain controler" er ook niet geweest --> enige conclusie hierom extra forest/domain.


* vso zou haast jullie computer rijbewijs in willen nemen

spoiler:

Tijdens het schrijven van de post word ik gewoon gedeprimeerd van het gebrek van vaardigheid en kennis. Dat je aangenomen bent als systeembeheer verbaast me deels.

[ Voor 4% gewijzigd door vso op 03-05-2017 23:09 ]

[joenevd]

Houd er ook rekening mee dat 2016 weer wat meer op ipv6 leunt en daar de voorkeur aan geeft. Als je niet inregelt dat de clients het ipv6 adres kent van de dns server(s), kan dat soms resulteren in het niet resolven van het adres.

[Question Mark]

Het klinkt eigenlijk als een gewone DNS issue.

Wat zijn je DNS-servers, en waar wijzen je nieuwe DC's nu naar toe?

Gelet op je beschrijving vermoed ik dat je oude DC's ook de dns-servers waren in combinatie met AD integrated DNS zones, en zijn je nieuwe DC's geen DNS-servers...

vso schreef op woensdag 3 mei 2017 @ 23:06:

En voor elke poster hier .. de TS heeft gewoon een nieuw (2de) domain gemaakt met de windows dc's

Waar haal je dat vandaan? De TS geeft aan dat hij alle FSMO roles overgezet heeft, dus inclusief de twee forestwide roles. Bij een nieuw domain kan dit niet eens.

Daarnaast geeft zijn logging al aan dat zijn sysvol via FRS gerepliceerd wordt, terwijl een nieuw 2016 Domain gebruikt maakt van DFSr in plaats van FRS. Het voorgaande domain is dan ook ooit in het verleden als een geupgrade van een oudere versie, waarbij nooit de Sysvol replicatie methode geupgrade is.

[ Voor 53% gewijzigd door Question Mark op 03-05-2017 23:25 ]

[vso]

Question Mark schreef op woensdag 3 mei 2017 @ 23:17:
Waar haal je dat vandaan? De TS geeft aan dat hij alle FSMO roles overgezet heeft, dus inclusief de twee forestwide roles. Bij een nieuw domain kan dit niet eens.

true, maar dat spreekt wel tegen "last domain controller" melding.

En je gaat uit van n+2, dit is IMHO een gevaarlijke aanname gezien de skill level die de TS ten toon geeft.

En als je een SBS/Home server (zie de dcdiag van TS) hebt .. volgens mij kan je geeneens een 2de dc koppelen en heeft het in een soort workgroup modus gedraaid .. (aka just keep accountnames en passwords equal)

En ik wil best geloven dat tie FSMO rollen heeft omggegooid maar hij geeft nu aan dat hij nog maar 1 dc overheeft (en dus de rest weer format c:\)

Repliceren werkt niet meer etc. nu zijn de 2 2016 machines weg en is er nog 1 DC over (2012R2).
Deze lijkt het enigszins te doen, DNS opgeschoond etc. Maar nu wil ik een nieuwe 2016 server promoten maar dat werkt ook niet

Zie (dcdiag) https://technet.microsoft...ry/cc731968(v=ws.11).aspx
en
(repadmin) https://technet.microsoft...ry/cc770963(v=ws.11).aspx

Dus repadmin ipv repladmin is IMHO nuttiger als je weet hoe je het moet gebruiken. DC diag is handig maar niet de tool in deze ..


de rest van je post heeft 0 relevantie denk ik, replicatie is belangrijker dan de methode zolang de DC's dezelfde methode gebruiken who cares ..

Daarnaast geeft zijn logging al aan dat zijn sysvol via FRS gerepliceerd wordt, terwijl een nieuw 2016 Domain gebruikt maakt van DFSr in plaats van FRS. Het voorgaande domain is dan ook ooit in het verleden als een geupgrade van een oudere versie, waarbij nooit de Sysvol replicatie methode geupgrade is.

o en

To implement DFS Replication of SYSVOL after an upgrade to Windows Server 2008 domain functional level, you must perform a preliminary migration process for replication of the SYSVOL tree.

source https://technet.microsoft...rary/cc794837(WS.10).aspx

Waarbij ik vermoed dat MS een waarschuwing geeft of je dit achteraf alsnog mogelijk is..
Ik kan overgens niet snel een reden ontdekken dat dit echt noodzaak is (oftewel dingen gaan er stuk)

En los daarvan is dit 1 van de redenen waarom je niet altijd een domain upgrade wil doen maar gewoon nieuw domain wilt bouwen.

[ Voor 12% gewijzigd door vso op 04-05-2017 00:31 ]

[Kavaa]

@vso Even inhakend op je reacties.
Het gaat om mijn eigen omgeving en heeft dus niets met werken voor een baas of wat dan ook te maken.
Het is een eigen omgeving met een Exchange server 10 users ong.

Situatie nu is dat er enkel en alleen nog een 2012R2 DC is en het toevoegen van een nieuwe DC (2016) wil niet meer.

code:

Error: Verification of outbound replication failed. Error reading the NTDS settings on replication source domain controller DC002.domain.com. Domain controller data not found for the specified Active Directory domain controller.

[Question Mark]

vso schreef op donderdag 4 mei 2017 @ 00:30:
[...]
En als je een SBS/Home server (zie de dcdiag van TS) hebt .. volgens mij kan je geeneens een 2de dc koppelen en heeft het in een soort workgroup modus gedraaid .. (aka just keep accountnames en passwords equal)

De tekst "trying to find Home Server" uit DCDiag slaat niet op het type server, maar op de server waar de DCDiag testen op uitgevoerd gaan worden. Zie onderstaand voor een dcdiag van een live-omgeving (lab) waar ik nu even op bezig ben, en dat is echt geen homeserver/sbs omgeving...

code:

PS C:\Windows\system32> dcdiag

Directory Server Diagnosis

Performing initial setup:
   Trying to find home server...
   Home Server = dc701
   * Identified AD Forest.
   Done gathering initial info.

vso schreef op donderdag 4 mei 2017 @ 00:30:
[...]
En als je een SBS/Home server (zie de dcdiag van TS) hebt .. volgens mij kan je geeneens een 2de dc koppelen en heeft het in een soort workgroup modus gedraaid .. (aka just keep accountnames en passwords equal)

Het is geen enkel probleem om een tweede DC naast een SBS server te draaien:

Debunking Myths About Additional Domain Controllers In SBS Domains

vso schreef op donderdag 4 mei 2017 @ 00:30:
[...]
de rest van je post heeft 0 relevantie denk ik, replicatie is belangrijker dan de methode zolang de DC's dezelfde methode gebruiken who cares ..

Het ging mij niet om het aantonen dat er een betere replicatiemethode is, maar om het aantonen dat er nu FRS gebruik wordt. Dat geeft al duidelijk aan dat er geen nieuw domain geinstalleeerd is, maar verder gebouwd wordt in een al bestaand domein. De logging wijst dan ook heel duidelijjk uit dat jouw stelling dat TS een nieuw tweede domein gemaakt heeft, niet juist is.

Dan kun je verder wel gedeprimeerd worden over het gebrek aan kennis en beginnen over certificering, maar je zit zelf ook gewoon duidelijk fout met je conclusies en constateringen... Daarnaast is op die manier op de man spelen totaal niet nodig en niet gewenst.

[vso]

Question Mark schreef op donderdag 4 mei 2017 @ 09:53:

Volgens mij lees je over woorden heen .. zoals "als" en "vermoedelijk", "BPA" en "repadmin" gelezen en andere oplos methodes? Want je blijft hameren op DCdiag.

je kan wel verwijten dat ik "fout' zit, maar echt constructief pak je het niet aan want je reageert alleen op de 3 punten waarbij je vermoedelijk correct zit.
In de link staat dat een home/sbs server de FSMO rollen moet bezitten..

En deze kennis staat in de MS certificerings boeken onder het hoofdstuk(ken) "troubleshooting" mag ik een beetje depri worden dat men dit intergraal negeert ?

Onderstaande post vind ik erg constructief .. en in die lijn is een nieuw domain wel waarschijnlijk.

joenevd schreef op woensdag 3 mei 2017 @ 23:10:
Houd er ook rekening mee dat 2016 weer wat meer op ipv6 leunt en daar de voorkeur aan geeft. Als je niet inregelt dat de clients het ipv6 adres kent van de dns server(s), kan dat soms resulteren in het niet resolven van het adres.

[Question Mark]

vso schreef op donderdag 4 mei 2017 @ 20:04:
[...]
Want je blijft hameren op DCdiag.

Hoe bedoel je? Ik haal één keer DCDiag aan, maar dat komt omdat jij een verkeerde conclusie trekt uit de output van DCDiag zoals de TS deze getoond heeft. Kun je dan in elk geval aantonen waar ik blijf hameren op DCDiag?

In de link staat dat een home/sbs server de FSMO rollen moet bezitten..

Ja dus? Jij bent de enige die over SBS of een homeserver begint, terwijl nergens is aangetoond dat het hier over een omgeving met SBS of homeserver gaat. Ik haal alleen wat info over SBS aan, omdat jij aangeeft dat "volgens jou een SBS geen tweede DC in hetzelfde domein mag hebben". De link die ik aanhaal geeft alleen maar aan dat dit niet klopt.

Dat ik jou verbeter betekend overigens verder niet dat ik niet constructief bezig ben, zoals je wel stelt. In mijn eerste post in dit topic heb ik aan TS om relevante informatie gevraagd. Dat TS die nog niet beantwoord heeft kan ik weinig aan doen.

Ik verwijt je verder ook niet dat je fout zit. Ik verwijt je alleen dat je op de man speelt omdat een ander in jouw ogen minder kennis zaken heeft. Dat is niet de manier zoals wij hier met elkaar omgaan. Als een ander het ergens mis heeft, dan verbeter je diegene gewoon even. Het is de bedoeling van een forum om van elkaar te leren en elkaar te helpen.

[vso]

Question Mark schreef op donderdag 4 mei 2017 @ 21:24:
[..]

ik verbeter mensen toch en je geeft nog steeds geen antwoord op de vraag

en ik heb geen verkeerde conclusie getrokken op dcdiag want --> "als" in het stukje wat je quote, hierin geeft ik duidelijk aan dat ik niet zeker ben .. dan noem je zoiets een gok. bij deze ben je dus verbeterd

overgens verwacht ik wel als wederdienst dat je inhoudelijk op repadmin reageert .. dat dit beter was geweest of als uitdaging .. noem een gelijkwaardig (nog niet genoemd) check die de TS had kunnen doen.

ps .. leuk subscript
voeg er voor mij reddend zwemmen, duikbrevet, ehbo, dansles, A+, linux dansles en nog wat hp/cisico/ms,vmware,citrix certificeringen voor mij aan toe

[KrazyJay]

Het gaat er niet om wie de grootste fluit heeft, maar om de TS te helpen. Ondanks dat het "maar" zijn thuisomgeving is, heb ik nog niet de indruk dat zijn probleem met jouw advies opgelost geraakt is.

offtopic:
en ik ben ook wel benieuwd, al had ik waarschijnlijk al iets van een restore gedaan...

[Question Mark]

vso schreef op donderdag 4 mei 2017 @ 21:41:
[...]
overgens verwacht ik wel als wederdienst dat je inhoudelijk op repadmin reageert .. dat dit beter was geweest of als uitdaging .. noem een gelijkwaardig (nog niet genoemd) check die de TS had kunnen doen.

OK, Repadmin is een betere tool dan DCDiag. D'r zijn er overigens wel meer (adreplstatus bv). Neemt overigens niet weg dat DCDiag nog steeds een erg snelle en handige tool is.

Voor de rest probeer ik duidelijk te maken dat het gaat om je manier van reageren:

Dit is een reden voor certificering en ervaring .. oftewel doe HUISWERK
Mocht je dat door hebben dat je door het oog van de naald ben gekropen .. is er nog hoop voor je

Nu ben ik niet een basterd en zal je proberen je doel te laten behalen, op voorwaarde dat je teminste je windows server papiertje gaat halen .. kost je 200,- voor je examen wat je baas kan betalen

heb je wel de link uberhaupt gelezen of roep je maar wat

Wat je hier roept is gewoon niet vriendelijk, en daarom niet gewenst. Ongeacht hoeveel smily's bij je posts geplaatst worden. Technisch heb je veel kennis van zaken, en kun je TS zeker helpen. Denk alleen wel aan de manier op je overkomt.

[joenevd]

Is TS al verder gekomen? Kunnen we verder nog helpen?

[vso]

KrazyJay schreef op donderdag 4 mei 2017 @ 21:54:
Het gaat er niet om wie de grootste fluit heeft, maar om de TS te helpen. Ondanks dat het "maar" zijn thuisomgeving is, heb ik nog niet de indruk dat zijn probleem met jouw advies opgelost geraakt is.

offtopic:
en ik ben ook wel benieuwd, al had ik waarschijnlijk al iets van een restore gedaan...

Ben bezig via DM hem te helpen,

tja het is lastig te zeggen wat de beste pad is om te kiezen,
het kan simpel zijn en inderdaad een ipv4/ipv6 issue zijn .. tot gesloopte AD en dus van scratch

mijn stappenplan is als volgt:
- informatie verzamelen
- stappenplan vormt zich wel naarmate de informatie verstrekt word.

ik ben zelf geen fan van migraties, je weet niet welke bagage je meeneemt die waardeloos is.
of zelfs storingen veroorzaakt .. en je creert eerder lastige situaties dan dat je die meteen goed oplost.

Question Mark schreef op donderdag 4 mei 2017 @ 22:19:
[...]
OK, Repadmin is een betere tool dan DCDiag. D'r zijn er overigens wel meer (adreplstatus bv). Neemt overigens niet weg dat DCDiag nog steeds een erg snelle en handige tool is.

lol +1 kuddo -1 voor een verbeterde versie van repadmin ..
sites & services, ad eventlog, powershell enzo zal wellicht nog wel handige info bevatten.

Voor de rest probeer ik duidelijk te maken dat het gaat om je manier van reageren:

Wat je hier roept is gewoon niet vriendelijk, en daarom niet gewenst. Ongeacht hoeveel smily's bij je posts geplaatst worden. Technisch heb je veel kennis van zaken, en kun je TS zeker helpen. Denk alleen wel aan de manier op je overkomt.

ik word een beetje moedeloos van posts die gewoon kant nog wal slaan, enige waardering is wel dat ze niet google noemen .. maar dan nog mijlen ver zijn.

je kan over de "toon" van alles roepen.. misschien zat mijn toepetje net verkeerd .. wil niet zeggen dat desondanks er toch een motivatie zit om mensen wat te leren


Dankje maar ik hoef geen schouderklopje ..

[vso]

update (de ts meld via DM)

djkavaa schreef op donderdag 4 mei 2017 @ 07:51:
@vso Even inhakend op je reacties.

code:

Error: Verification of outbound replication failed. Error reading the NTDS settings on replication source domain controller DC002.domain.com. Domain controller data not found for the specified Active Directory domain controller.

dit lijkt een oplossing
http://www.herlitz.nu/201...led-when-adding-a-new-dc/

Andere post verwijst naar RPC (firewall) issue, maar ik ga er vanuit dat de TS in deze zoals iedereen dit wel iets heeft van O ja .. .. en al gechecked had .. en uitgezet.. (kan iedereen overkomen)

[ Voor 15% gewijzigd door vso op 04-05-2017 23:07 ]

[joenevd]

De uitleg op herlitz.nu klinkt logisch. Als het de oplossing blijkt, kan ts dit dan bevestigen? Wellicht komen wij ditnog wel een keer tegen.

[Oogje]

vso schreef op donderdag 4 mei 2017 @ 22:58:
[...]


ik ben zelf geen fan van migraties, je weet niet welke bagage je meeneemt die waardeloos is.
of zelfs storingen veroorzaakt .. en je creert eerder lastige situaties dan dat je die meteen goed oplost.

Je noemde dit in een eerdere post ook al, maar hoe zie je dit voor je in grotere omgevingen?

[Verwijderd]

vso schreef op donderdag 4 mei 2017 @ 22:58:
Dankje maar ik hoef geen schouderklopje ..

Die ga je met zo'n houding zeker ook niet krijgen. Allemachtig.

[ndonkersloot]

Verwijderd schreef op vrijdag 5 mei 2017 @ 04:38:
[...]

Die ga je met zo'n houding zeker ook niet krijgen. Allemachtig.

Lol

[Kavaa]

@vso die link die je aangeeft, had ik van de week al gevonden. Gedraaid maar helaas daarna kan ik de nieuwe 2016 server niet promoten als DC.

[Question Mark]

@TS: Zou je door willen gaan in het topic, in plaats van via DM met een bereidwillige tweaker?

Dan wordt het topic nuttig voor meerdere mensen, en kunnen anderen je evt. ook nog helpen...

[Kavaa]

Info:

IP DC2012R2: 192.168.1.232
IP Nieuwe 2016 VM: 192.168.220

ipconfig /all - DC2012R2:

code:

Windows IP Configuration

   Host Name . . . . . . . . . . . . : DC002
   Primary Dns Suffix  . . . . . . . : domain.com
   Node Type . . . . . . . . . . . . : Hybrid
   IP Routing Enabled. . . . . . . . : No
   WINS Proxy Enabled. . . . . . . . : No
   DNS Suffix Search List. . . . . . : domain.com

Ethernet adapter Ethernet:

   Connection-specific DNS Suffix  . :
   Description . . . . . . . . . . . : vmxnet3 Ethernet Adapter
   Physical Address. . . . . . . . . : 00-50-56-B8-1B-DD
   DHCP Enabled. . . . . . . . . . . : No
   Autoconfiguration Enabled . . . . : Yes
   IPv4 Address. . . . . . . . . . . : 192.168.1.232(Preferred)
   Subnet Mask . . . . . . . . . . . : 255.255.255.0
   Default Gateway . . . . . . . . . : 192.168.1.1
   DNS Servers . . . . . . . . . . . : 192.168.1.232
                                       127.0.0.1
   NetBIOS over Tcpip. . . . . . . . : Enabled

Tunnel adapter Teredo Tunneling Pseudo-Interface:

   Media State . . . . . . . . . . . : Media disconnected
   Connection-specific DNS Suffix  . :
   Description . . . . . . . . . . . : Teredo Tunneling Pseudo-Interface
   Physical Address. . . . . . . . . : 00-00-00-00-00-00-00-E0
   DHCP Enabled. . . . . . . . . . . : No
   Autoconfiguration Enabled . . . . : Yes

Tunnel adapter isatap.{36FF4227-84A7-489B-8158-993818C04BE9}:

   Media State . . . . . . . . . . . : Media disconnected
   Connection-specific DNS Suffix  . :
   Description . . . . . . . . . . . : Microsoft ISATAP Adapter #2
   Physical Address. . . . . . . . . : 00-00-00-00-00-00-00-E0
   DHCP Enabled. . . . . . . . . . . : No
   Autoconfiguration Enabled . . . . : Yes

ipconfig /all 2016 VM

code:

Windows IP Configuration

   Host Name . . . . . . . . . . . . : DC1
   Primary Dns Suffix  . . . . . . . : domain.com
   Node Type . . . . . . . . . . . . : Hybrid
   IP Routing Enabled. . . . . . . . : No
   WINS Proxy Enabled. . . . . . . . : No
   DNS Suffix Search List. . . . . . : domain.com

Ethernet adapter Ethernet:

   Connection-specific DNS Suffix  . :
   Description . . . . . . . . . . . : vmxnet3 Ethernet Adapter
   Physical Address. . . . . . . . . : 00-50-56-B2-FD-9D
   DHCP Enabled. . . . . . . . . . . : No
   Autoconfiguration Enabled . . . . : Yes
   IPv4 Address. . . . . . . . . . . : 192.168.1.220(Preferred)
   Subnet Mask . . . . . . . . . . . : 255.255.255.0
   Default Gateway . . . . . . . . . : 192.168.1.1
   DNS Servers . . . . . . . . . . . : 192.168.1.232
   NetBIOS over Tcpip. . . . . . . . : Enabled

Tunnel adapter isatap.{6048BFD5-AF88-418E-9B3D-68D868DAAE61}:

   Media State . . . . . . . . . . . : Media disconnected
   Connection-specific DNS Suffix  . :
   Description . . . . . . . . . . . : Microsoft ISATAP Adapter
   Physical Address. . . . . . . . . : 00-00-00-00-00-00-00-E0
   DHCP Enabled. . . . . . . . . . . : No
   Autoconfiguration Enabled . . . . : Yes

Tunnel adapter Teredo Tunneling Pseudo-Interface:

   Media State . . . . . . . . . . . : Media disconnected
   Connection-specific DNS Suffix  . :
   Description . . . . . . . . . . . : Teredo Tunneling Pseudo-Interface
   Physical Address. . . . . . . . . : 00-00-00-00-00-00-00-E0
   DHCP Enabled. . . . . . . . . . . : No
   Autoconfiguration Enabled . . . . : Yes

[Question Mark]

Da's in elk geval juist ingesteld.

Aangezien je replicatie issue's meld, met niet meer bestaande DC's is de volgende stap om even te kijken of ergens nog referenties naar deze DC's bestaan. Zie daarvoor:

Clean Up Server Metadata
How to remove completely orphaned Domain Controller

Let even op dat je ook alle FSMO Roles transferred naar je DC die het nog wel doet.

Je DC zou Global Catalog moeten zijn, anders had DCDiag daar wel over geklaagd, maar controleer het nog wel even voor de zekerheid voordat je start met de acties die beschreven staan in het artikel.

Welke Hypervisor van VMWare gebruik je overigens? Als dat een recente versie is, kun je ook veilig een snapshot maken van je DC. Altijd verstandig om een backup te hebben bij dergelijke acties...

[Kavaa]

Voor de duidelijkheid.
Ik heb enkel nog de 2012R2 als DC geen andere meer.
De nieuwe 2016 is nog geen DC want ik kan hem nog niet Promoten.

Clean Up Server Metadata is alleen voor als je meerdere DC's hebt voor zover ik heb kunnen zien correct me if i'm wrong.

Heb inderdaad VMWare en Backups met Veeam dus das geen issue.

FSMO Roles staan op de 2012R2 server.
Bij Adsiedit zijn alle oude dc's ook weg dus dat moet ook goed zijn.

Maar nog steeds wil die nieuwe 2016 server niet promoten.

[Vorkie]

Als je in CMD je DNS domein opvraagt op de 2016 server; in jouw geval als voorbeeld:

NSLOOKUP domain.com

Welke IP adressen krijg je hier op terug?

[Kavaa]

code:

C:\Users\administrator.DOMAIN>nslookup
Default Server:  dc002. domain.com
Address:  192.168.1.232

> domain.com
Server:  dc002.domain.com
Address:  192.168.1.232

Name:    domain.com
Address:  192.168.1.232

>

[joenevd]

Kan je eens een ipconfig /all doen van de 2012 r2 domain controller en de 2016 wannabe domain controller? Kan je dit vervolgens hier posten?

Daarnaast raad ik je aan om https://technet.microsoft...ry/cc816907(v=ws.10).aspx toch door te nemen.

Dit heeft te maken met meerdere domain controllers, maar je hebt er wel meerdere gehad.

[ Voor 42% gewijzigd door joenevd op 05-05-2017 16:28 ]

[Vorkie]

Maar denkt de 2016 server dat deze een DC is of niet? Of staat er nog dat er DCPromo uitgevoerd moet worden? Dat is mij nu niet helemaal duidelijk.

Verder ook DNS erbij installeren natuurlijk

[Kavaa]

joenevd schreef op vrijdag 5 mei 2017 @ 16:26:
Kan je eens een ipconfig /all doen van de 2012 r2 domain controller en de 2016 wannabe domain controller? Kan je dit vervolgens hier posten?

Daarnaast raad ik je aan om https://technet.microsoft...ry/cc816907(v=ws.10).aspx toch door te nemen.

Dit heeft te maken met meerdere domain controllers, maar je hebt er wel meerdere gehad.

Die staat hierboven al: djkavaa in "AD Problemen"

Vorkie schreef op vrijdag 5 mei 2017 @ 16:33:
Maar denkt de 2016 server dat deze een DC is of niet? Of staat er nog dat er DCPromo uitgevoerd moet worden? Dat is mij nu niet helemaal duidelijk.

Verder ook DNS erbij installeren natuurlijk

Nee dat denkt hij niet want dat is hij ook niet.

Schone Server -> Toegevoegd aan domain -> Server Manager Install AD Services -> Reboot -> Server Manager -> Promote Server to Domain Controller -> Error bij Wizard:



DNS Zone error klopt want ik gebruik domain.com wat extern bekend is en naar het Externe IP staat.
En dat moet normaal niets uitmaken. Is ook een "Waarschuwing" en geen fout.

De Error waar het om gaat is dus:

code:

Error: Verification of outbound replication failed. Error reading the NTDS settings on replication source domain controller DC002.domain.com. Domain controller data not found for the specified Active Directory domain controller.

[ Voor 51% gewijzigd door Kavaa op 05-05-2017 17:34 ]

[joenevd]

Heb je ipv6 hard uitgeschakeld? Had eigenlijk wel een ipv6 adres verwacht.

Die delegation melding heb je altijd omdat hij de dns van de tld niet kan bereiken (.com).. Dat is niet boeiend inderdaad.

[ Voor 45% gewijzigd door joenevd op 05-05-2017 17:02 ]

[Vorkie]

@djkavaa

Dus je bent schema admin, enterprise admin en domain admin, verder is je subnet gedefineerd in Sites and Services?

Je gebruikt een externe FDQN, maar deze wordt netjes intern resolved.

Dan ga ik er vanuit dat je deze optie ook geprobeerd hebt: http://www.herlitz.nu/201...led-when-adding-a-new-dc/

PS. je domein staat in de samenvatting van de printscreen

Als je verder DNS ook gaat installeren kan je alvast zijn eigen IP adres als 2de zetten.

[Kavaa]

joenevd schreef op vrijdag 5 mei 2017 @ 17:00:
Heb je ipv6 hard uitgeschakeld? Had eigenlijk wel een ipv6 adres verwacht.

Die delegation melding heb je altijd omdat hij de dns van de tld niet kan bereiken (.com).. Dat is niet boeiend inderdaad.

Ja IPv6 Staat uit bij de netwerkinstellingen op beide servers.

Vorkie schreef op vrijdag 5 mei 2017 @ 17:06:
@djkavaa

Dus je bent schema admin, enterprise admin en domain admin, verder is je subnet gedefineerd in Sites and Services?

Je gebruikt een externe FDQN, maar deze wordt netjes intern resolved.

Dan ga ik er vanuit dat je deze optie ook geprobeerd hebt: http://www.herlitz.nu/201...led-when-adding-a-new-dc/

PS. je domein staat in de samenvatting van de printscreen

Als je verder DNS ook gaat installeren kan je alvast zijn eigen IP adres als 2de zetten.

Ja, ik ben ... Admin.

Link is eerder ook al aangegeven en die had ik zelf ook al gevonden, en die heb ik ook meerdere malen uitgevoerd, zonder verbetering.

Subnet is niet gedefineerd, heb net even op wat productie omgevingen gekeken van klanten en daar staat ook geen subnet...

PS. je domein staat in de samenvatting van de printscreen :P

Thanks, aangepast

Als je verder DNS ook gaat installeren kan je alvast zijn eigen IP adres als 2de zetten.

Maar gaat het promoten dan wel werken of niet?

Normaal installeer hij DNS zelf in de stappen die volgen.

[Qwerty-273]

vso schreef op donderdag 4 mei 2017 @ 22:58:
tot gesloopte AD en dus van scratch

Een AD sloop je niet zomaar (ok ADSI Edit en blind dingen vernaggelen is natuurlijk wel een optie). AD is zelf behoorlijk robuust, en als je zelf geen gekke dingen gaat lopen customizen dan sloop je AD dus echt niet makkelijk....
Dan maar van scratch beginnen is een zwakte bod.

[Vorkie]

@djkavaa Als je eens inlogt op de server met DOMAIN.COM\Username ipv DOMAIN\Username lukt het promoten dan wel?

Ik bedoelde dit:

Specific "long" credentials, for example, <domain>\administrator, in the promotion wizard or the promotion answer files.

Of 1 van de andere dingen die ze hier roepen

https://support.microsoft...in-windows-server-2012-r2

[ Voor 27% gewijzigd door Vorkie op 05-05-2017 22:21 ]

[Kavaa]

Vorkie schreef op vrijdag 5 mei 2017 @ 22:18:
@djkavaa Als je eens inlogt op de server met DOMAIN.COM\Username ipv DOMAIN\Username lukt het promoten dan wel?

Ik bedoelde dit:

Specific "long" credentials, for example, <domain>\administrator, in the promotion wizard or the promotion answer files.

Of 1 van de andere dingen die ze hier roepen

https://support.microsoft...in-windows-server-2012-r2

Maakt helaas geen verschil Ook NETBIOS over TCP/IP maakt geen verschil.

[ Voor 3% gewijzigd door Kavaa op 06-05-2017 11:28 ]

[Vorkie]

Enige wat ik dan nog bedenk voor nu is een nieuwe site creëren waar je dan het subnet op koppelt en dan de oude site verwijderd.

Alleen door je afhankelijkheden van Exchange etc weet ik niet of dat zo 1 2 3 gedaan is

[Kavaa]

Vorkie schreef op zaterdag 6 mei 2017 @ 12:07:
Enige wat ik dan nog bedenk voor nu is een nieuwe site creëren waar je dan het subnet op koppelt en dan de oude site verwijderd.

Alleen door je afhankelijkheden van Exchange etc weet ik niet of dat zo 1 2 3 gedaan is

Dat lijkt me niet echt een optie

[Question Mark]

djkavaa schreef op vrijdag 5 mei 2017 @ 14:15:
Clean Up Server Metadata is alleen voor als je meerdere DC's hebt voor zover ik heb kunnen zien correct me if i'm wrong.

Clean up metadata gebruik je als er in je AD database nog verwijzingen staan naar niet meer bestaande Domain Controllers. Dit moet je bijvoorbeeld gebruiken als een Domain Controller met "/ForceRemoval" gedemote is, of als een DC langer offline geweest is dan de ingestelde thombstone lifetime (dan werkt replicatie om veiligheidsredenen niet meer).

Je gebruikt het dus om verwijzingen die onder water nog bestaan te verwijderen. Controleer even met NTDSUtil of er nog referenties bestaan.

Vorkie schreef op zaterdag 6 mei 2017 @ 12:07:
Enige wat ik dan nog bedenk voor nu is een nieuwe site creëren waar je dan het subnet op koppelt en dan de oude site verwijderd.

Alleen door je afhankelijkheden van Exchange etc weet ik niet of dat zo 1 2 3 gedaan is

Eigenlijk wel een goede optie. Ik zou het alleen iets anders doen:

• Nieuwe site aanmaken en idd subnet koppelen aan deze site
• DC handmatig verplaatsen naar de nieuwe site
• De DC gaat dan opnieuw zijn eventuele replica partners bepalen

Ik zou de huidige site nog wel even laten bestaan. Het is voor Exchagne sterk aangeraden om een DC in dezelfde site te hebben, maar dat is meer vanwege latency. Technisch is het nl geen issue.

[vso]

Ik was ff offline (prive) blij dat de TS iedergeval in het topic is verder gegaan.

@djkavaa
in je ipconfig / all post van de 2012 en 2016 dc's
mis ik bij de 2016 1 ipadres ---> dns 192.168.1.1 hierdoor ziet hij niet de dc2012 server (dit zou de eerste in de lijst moeten zijn) de 2de mag zijn eigen ipadres zijn mits hij dns draait
en 127.0.0.1 (welke niet als 1ste mag zijn) mag volgens BPA later ook in het lijstje bij beide servers

O en maar jezelf naast Domain admin ook Enterprise admin, (die heeft schema rechten) dat is wat een post eerder gezegd werd.


dus
1) voeg op dc1 het dns ipadres van dc002 (192.168.1.1) toe
2) op dc002 bij AD users en computers je eigen account member of "enterprise admins" maken .
3) opnieuw dc promo

Wat is dan de output ?

Oogje schreef op vrijdag 5 mei 2017 @ 01:15:
[...]

Je noemde dit in een eerdere post ook al, maar hoe zie je dit voor je in grotere omgevingen?

Juist in grotere omgeving(en) is het handiger om nieuw domain op te zetten. dan blind te migeren.
meestal heb je een cyclus 1 migratie en 1 greenfield (nieuwbouw)

Question Mark schreef op vrijdag 5 mei 2017 @ 12:49:

Welke Hypervisor van VMWare gebruik je overigens? Als dat een recente versie is, kun je ook veilig een snapshot maken van je DC. Altijd verstandig om een backup te hebben bij dergelijke acties...

ARGH snapshot van live database, dit is DE manier om data corruptie / verlies te introduceren.
https://kb.vmware.com/sel...playKC&externalId=1000171

En ja er zijn safeguards en methodes om dat te omzeilen, maar dan moet je IMHO goed weten wat je doet.
en waar je op moet letten. genoeg collega's gezien die aannemen dat het iets altijd werkt.. en daarmee omgevingen omzeep hielpen. weekend.

Qwerty-273 schreef op vrijdag 5 mei 2017 @ 18:05:
[...]

Een AD sloop je niet zomaar (ok ADSI Edit en blind dingen vernaggelen is natuurlijk wel een optie). AD is zelf behoorlijk robuust, en als je zelf geen gekke dingen gaat lopen customizen dan sloop je AD dus echt niet makkelijk....
Dan maar van scratch beginnen is een zwakte bod.

neuh een snapshot nemen van een 2003 dc er die restoren is er wel 1 van

[ Voor 4% gewijzigd door vso op 07-05-2017 23:47 ]

[Question Mark]

vso schreef op zondag 7 mei 2017 @ 23:42:
ARGH snapshot van live database, dit is DE manier om data corruptie / verlies te introduceren.
https://kb.vmware.com/sel...playKC&externalId=1000171

Je post naar een artikel over Windows 2003 en 2008. TS gebruikt echter Windows 2012. Deze Windows versie ondersteund USN rollback voor DC's (in combinatie met de juiste Hypervisor). Het maken van een snapshot is dan ook technisch geen enkel probleem.

USN Rollback, Virtualized DCs and improvements on Windows Server 2012.

In Windows Server 2012 virtualized Domain Controllers, you can now restore snapshots without permanently damage domain controllers.

vso schreef op zondag 7 mei 2017 @ 23:42:
in je ipconfig / all post van de 2012 en 2016 dc's
mis ik bij de 2016 1 ipadres ---> dns 192.168.1.1 hierdoor ziet hij niet de dc2012 server (dit zou de eerste in de lijst moeten zijn) de 2de mag zijn eigen ipadres zijn mits hij dns draait

Zijn DC heeft ip-adres 192.168.1.232. IP-Adres 192.168.1.1 lijkt mij de default gateway van TS. Deze zal ongetwijfeld een DNS-Forwarder hebben richting het internet, maar ik betwijfel of deze een DNS-zone host die het interne domain van TS kan resolven (laat staan dynamic updates ondersteund).

Het opvoeren van deze DNS server maakt de boel alleen maar meer stuk...

[ Voor 28% gewijzigd door Question Mark op 08-05-2017 09:01 ]

[Kavaa]

Ik kwam deze ook nog tegen: https://secureidentity.se/dc-useraccountcontrol-0x81000/

Maar dat werkt helaas ook niet.

[Question Mark]

djkavaa schreef op vrijdag 5 mei 2017 @ 14:15:
Heb inderdaad VMWare en Backups met Veeam dus das geen issue.

Waarom zet je je backup van je oude situatie niet simpelweg terug?

[Kavaa]

Question Mark schreef op maandag 8 mei 2017 @ 13:06:
[...]

Waarom zet je je backup van je oude situatie niet simpelweg terug?

Helaas is die van te lang geleden heb het toen de 2016 DC's erbij kwamen een hele tijd laten zitten.
En daarna de DC001 uit de backup gehaald omdat die al gedemote was.

[vso]

Question Mark schreef op maandag 8 mei 2017 @ 08:20:
[...]
Je post naar een artikel over Windows 2003 en 2008. TS gebruikt echter Windows 2012. Deze Windows versie ondersteund USN rollback voor DC's (in combinatie met de juiste Hypervisor). Het maken van een snapshot is dan ook technisch geen enkel probleem.

USN Rollback, Virtualized DCs and improvements on Windows Server 2012.

Ik hou niet zo van oplossingen die niet vol ondersteund worden, je kan beter bij adviesen blijven die 100% zeker weten werken ipv het risico nemen dat niet alle requirements aanwezig zijn.

ik heb omgevingen gezien die gesloopt zijn door dit soort fratsen, gelukkig was ik niet degene die het uit mocht leggen bij de klant. Of daarna op het matje werd geroepen.

Dissussies zat over het misbruik van technieken (zie o.a aantal supportcalls die het resulteert bij MS)

Zijn DC heeft ip-adres 192.168....

jup je hebt gelijk

220 en 232 hij heeft het goed staan las ff te snel

[ Voor 4% gewijzigd door vso op 08-05-2017 17:43 ]

[Question Mark]

vso schreef op maandag 8 mei 2017 @ 17:42:
[...]

Ik hou niet zo van oplossingen die niet vol ondersteund worden, je kan beter bij adviesen blijven die 100% zeker weten werken ipv het risico nemen dat niet alle requirements aanwezig zijn.

ik heb omgevingen gezien die gesloopt zijn door dit soort fratsen, gelukkig was ik niet degene die het uit mocht leggen bij de klant. Of daarna op het matje werd geroepen.

Dissussies zat over het misbruik van technieken (zie o.a aantal supportcalls die het resulteert bij MS)

Het is sinds Windows 2012 (en in combinatie met de juiste Hypervisor) een volledig supported oplossing.

Until now, cloning, snapshotting, copying, or pretty much doing anything but rebuilding from scratch to a virtual domain controller wasn’t just unsupported; it had the potential to be really bad for your directory. Cloning or restoring snapshots of DCs could result in USN rollbacks or lingering objects, just to name a couple of problems.

Starting in Windows Server 2012, we now support DC cloning as well as snapshot restoration of domain controllers.

De omgeving van TS moet dan wel aan alle requirements voldoen (lees: juiste Hypervisor), maar dat is dan ook de reden dat ik daarnaar vroeg.