Windows DHCP Server met Failover

[nitrodesign]

Hallo Medetweakers,

Hopelijk kunnen jullie mij verder helpen met het volgende.
Ik ben redelijk nieuw in het bedrijf en helaas is er binnen de organisatie niemand waaraan ik dit kan stellen omdat deze personen met pensioen of weg zijn.

Wij hebben cloud omgeving, maar voor onze servers, printers en andere hardware nog een On-Prem omgeving waarbij er 2 DC's aanwezig zijn.

DC 1 = Win2019
DC 2 = Win2022

Hierbij is Failover geconfigureerd (dit was al voor mijn tijd), maar als ik kijk bij beide servers onder DHCP --> IPv4 --> Failover, staat er bij de "State of the server" Lost contact with partner.

Is dit normaal?

De rede waarom ik dit vraag is als volgt, ik ben altijd in de veronderstelling geweest op het moment als een DC een IP uitdeelt, dat deze dan op alle DC's in de Address Leases zichtbaar is, alleen nu komt het probleem.

Ik heb een nieuw apparaat ingeprikt en kijk op de DC 1 en zie daar niets voorbij komen. Kijk ik vervolgens in DC 2, dan staat daar het apparaat met IP.

Wanneer wordt deze sync uitgevoerd?

Wat ik al heb geprobeerd is op de DC 1 te gaan naar DHCP --> IPv4 --> Replicate Failover Scopes. Dan zegt die dat alles goed is, maar omdat het IP op de DC 2 is gekomen en niet op de DC 1 krijg ik hem niet te zien op de DC 1.

Hopelijk kunnen jullie mij een beetje op weg helpen.

Gr,

[ElCondor]

Tsja, als je DC's in de Failover properties zelf al aangeven contact met de partner te zijn verloren, dan verwacht ik niet dat er ooit een sync gaat plaatsvinden. wellicht toch eerst eens kijken of je de failover aan de praat kunt krijgen. Aangezien DC2 de meest up to date situatie bevat, DC01 eens uit de DHCP Failover cluster gooien en opnieuw aanmelden? Dan eens kijken of de sync wel plaatsvindt?

Heeeel kort door de bocht wordt bijvoorbeeld hier hetzelfde geadviseerd:1 Google hit op 'windows dhcp failover cluster contact with partner lost'

[ Voor 22% gewijzigd door ElCondor op 06-01-2025 14:37 ]

[Jazzy]

ElCondor schreef op maandag 6 januari 2025 @ 14:32:
Tsja, als je DC's in de Failover properties zelf al aangeven contact met de partner te zijn verloren, dan verwacht ik niet dat er ooit een sync gaat plaatsvinden. wellicht toch eerst eens kijken of je de failover aan de praat kunt krijgen. Aangezien DC2 de meest up to date situatie bevat, DC01 eens uit de DHCP Failover cluster gooien en opnieuw aanmelden? Dan eens kijken of de sync wel plaatsvindt?

Ik zou zeker eerst even doorgaan met troubleshooten voordat je dit soort dingen gaat proberen. Het risico is dat je eindigt met een server die niet op de hoogte is van bestaande leases en IP-adressen gaat uitdelen die al in gebruik zijn.

[Marc H]

Jazzy schreef op maandag 6 januari 2025 @ 14:37:
[...]
Ik zou zeker eerst even doorgaan met troubleshooten voordat je dit soort dingen gaat proberen. Het risico is dat je eindigt met een server die niet op de hoogte is van bestaande leases en IP-adressen gaat uitdelen die al in gebruik zijn.

Mee eens.

Ik zou eerst eens uitzoeken welke de actieve DC is (Hoogstwaarschijnlijk DC2, omdat daar de DHCP actief is) en dan de niet actieve DC eens herstarten. Misschien een mooi moment om ook gelijk alle updates te doen die nog staan te wachten. Dit herstarten zou ik doen op een moment dat er geen actieve gebruikers zijn en daarna kijken of de failover weer OK is.

[nitrodesign]

De DC 1 staat al het langste in het veld, dus mijn vermoeden is dat dit de master is. Is er een mogelijk om dit te kunnen controleren?

Is dat waar alle rollen op draaien? of wil dat niet zeggen dat dat dan ook de master is.

Wat ik heb gezien is dat d auth. servers een hiervan een verkeerd IP adres heeft (blijkbaar een oud DC). Dit is nu aangepast naar het juiste IP. Alleen blijven de servers de melding geven "Lost contact with partner"

[ElCondor]

nitrodesign schreef op maandag 6 januari 2025 @ 16:44:
De DC 1 staat al het langste in het veld, dus mijn vermoeden is dat dit de master is. Is er een mogelijk om dit te kunnen controleren?

Is dat waar alle rollen op draaien? of wil dat niet zeggen dat dat dan ook de master is.

Wat ik heb gezien is dat d auth. servers een hiervan een verkeerd IP adres heeft (blijkbaar een oud DC). Dit is nu aangepast naar het juiste IP. Alleen blijven de servers de melding geven "Lost contact with partner"

Rollen als in FSMO rollen? Ik denk dat je wat dingen door elkaar haalt dan. FSMO rollen hebben niets met failover te maken. Bij een failover cluster heb je altijd een active en een passive node. Daar moet je naar kijken. Aangezien de DHCP service op de DC2 antwoord gaf, LIJKT het er op dat deze de ACTIVE node is. De DHCP service op de DC1 ZOU daarmee de passive node in je cluster moeten zijn. Je kunt dit bekijken in de cluster manager console (als dat nog zo is, dit was in ieder geval nog zo ten tijde van Win2016). Zeer wel mogelijk kun je de config ook ophalen door PowerShell cmdlets.

Maar zoals hierboven aangeraden: als DC1 op dit moment niets/weinig te doen heeft én er is niemand meer ingelogd op het domein geef hem dan eens een reboot. Dat zou al het een en ander kunnen verhelpen en als niet dan is ongetwijfeld in het eventlog terug te vinden wat er allemaal mis gaat. Een reboot zou verder geen kwaad kunnen mits je verder niets wijzigt aan de server.

... d auth. servers ...

Wat bedoel je hier precies mee? En wat heb je precies gewijzigd en waar? Het zou ook kunnen doordat je dit hebt aangepast een en ander na een reboot elkaar weer kan vinden. Dat een reboot dus een laatste zetje is om het cluster weer in de lucht te krijgen.

Wat ik verder vreemd vindt is dat het cluster offline lijkt te zijn gegaan, maar dat niemand dat opgemerkt heeft (dat niemand er iets van merkt is net de bedoeling van een Failover cluster, dus dat is niet vreemd). Wordt er wel monitoring gedaan op jullie servers?

[nitrodesign]

Ja inderdaad bedoel ik de FSMO rollen, maar ik bedenk me net dat deze rollen niet altijd zijn toegekend aan de master.

Maar wat betreft de DHCP service, deze is actief op beide servers en beide servers delen IP adressen uit.
De Failover staat op 50% / 50% load balance.

Ik kan morgen even kijken of ik die cluster manager console kan vinden.

Wat betreft het rebooten van de servers, dit gebeurd elke maand minimaal 1 keer met het update van de servers, worden deze ook meegenomen.

Als je in de DHCP zit en klikt rechter muis op "DHCP" krijg je de optie ''Authorize'', hierin stond een DC in met een verkeerd IP, deze heb ik verwijderd en vervolgens opnieuw toegevoegd met het juiste IP.

Hierna heb ik een reboot uitgevoerd op beide servers, alleen nog steeds krijg ik de melding "State of the server" Lost contact with partner.

Ja de servers worden wel gemonitord en men krijgt ook IP adressen als ze in de swichtes worden gestoken, dus dan hoor je niemand klagen natuurlijk. Maar het lijkt erop of dat ze soort van allebei stand a lone zijn maar toch reserveringen en dergelijke met elkaar delen.

[ElCondor]

Als het van je bedrijf mag, zou je eens wat configuratie plaatjes kunnen posten? Dat we een beetje mee kunnen kijken waar je wat allemaal ziet.
Je geeft namelijk aan dat je statussen ziet mbt Partner contact failed, maar je weet niet of je dit ziet in de Cluster manager console. Waar zie je dit dan, bijvoorbeeld? Hetzelfde geldt voor de 50-50% load balance instelling. Waar zie die? In de server manager zelf?
Als je daar rechts bovenin op Tools klikt, dan krijg je, als het goed is, de management tools/consoles die voor de specifieke rollen beschikbaar zijn. Ik zou denken dat de Cluster Manager daar tussen zou moeten staan.

Overigens, blijkbaar gaat het hier om een load balancing cluster en niet om een fail-over cluster.
Wellicht is dit veranderd, maar vroeger waren deze twee type van clustering expliciet verschillend. Vandaar mijn verwarring, maar ik ben al een redelijke dino, wat dat betreft. Ik zal hier ook eens kijken wat ik aan clustering kan opduikelen. Draai zelf een domeintje thuis met twee DC's, maar eigenlijk nooit aan gedacht om die rollen in een cluster te zetten

[nitrodesign]

Dat is goed, ik zal morgen even wat screens maken waar het mogelijk is en dan kunnen we inderdaad verder kijken. Alvast bedankt.

[nitrodesign]

@ElCondor Hierbij heb ik wat screens gemaakt, wat ik ook heb gezien is dat er geen failovercluster is geinstalleerd.
Zoals te zien is op de eerste twee foto's zitten de DC 1 en DC 2 aan elkaar als failover, maar de state is "Lost contact with partner".

Op de overige twee foto's is te zien dat beide DC's aan elkaar zijn geautoriseerd.

[ElCondor]

nitrodesign schreef op dinsdag 7 januari 2025 @ 11:13:
@ElCondor Hierbij heb ik wat screens gemaakt, wat ik ook heb gezien is dat er geen failovercluster is geinstalleerd.
Zoals te zien is op de eerste twee foto's zitten de DC 1 en DC 2 aan elkaar als failover, maar de state is "Lost contact with partner".

Op de overige twee foto's is te zien dat beide DC's aan elkaar zijn geautoriseerd.

[Afbeelding]

[Afbeelding]

[Afbeelding]

[Afbeelding]

Kiek, dat schept al enige duidelijkheid. Je zit toch niet helemaal goed te kijken. Dat hier Failover tabs beschikbaar zijn, op de ipv4 property dialogs, is een gevolg van dat de DHCP rol als failover gedefinieerd is (geweest, als in, kan zijn dat dit nu niet meer het geval is).
Mijn VERMOEDEN is dat er ooit een load balancing cluster gedefinieerd is, maar dat de toenmalige partner van DC1 verdwenen is, stuk is gegaan, geupgrade is, vervangen is door de huidige DC2. Daar is toen geen rekening gehouden met het feit dat deze oude DC2 een node in een cluster is. Of in ieder geval dat de nieuwe DC2 op de verkeerde manier in het cluster is opgenomen. Maar dit is allemaal speculatie.
Het best is om aan de hand van de volgende documentatie eens te gaan kijken of je de huidige staat van de configuratie verder kunt achterhalen en kunt kijken of je hier herstellende operaties opkunt uitvoeren.
Let wel: bovenstaand artikel bevat handelingen die je in PowerShell zult moeten utivoeren, maar dat is ook een mooie leerschool

[nitrodesign]

Informatie wat ik nog heb is dat wij ooit ook een DC 3 hebben gehad of eigenlijk de DC 2 en deze is komen te vervallen, wellicht dat hier iets mee te maken heeft gehad.

Maar is het wellicht niet verstandig om 2 nieuwe DC aan te maken en de oude in de kliko te gooien?
Wat ik begrepen heb worden alle policies en dergelijke allemaal gedaan via Intune en storage staat allemaal in OneDrive.

Maar ik ga zeker kijken aar de link die jij hebt gestuurd om te kijken wat er mogelijk is.

[nitrodesign]

@ElCondor Kun je gewoon die Failover verwijderen zonder risico ? of moet je hiervoor nog iets voor doen?
Ik heb even met Powershell gekeken en de state is:
State : CommunicationInterrupted

[ElCondor]

Er staat in het artikel hoe je hem moet deleten. Zonder risico durf ik niet te zeggen. In het slechtste geval stopt de DHCP server met het uitdelen van adressen. Niet iets wat je tijdens productie tijd wilt doen.
Zoeken op 'Delete DHCP load balance relation' zou meer informatie kunnen bieden.
Ik heb het zelf niet aan de hand gehad, dus kan je helaas geen praktijk ervaring geven.
Lees je in ieder geval goed in ovr wat je moet doen om de failover/load-balance te verwijderen. Als daarbij komt kijken dat je de dhcp role helemaal moet verwijderen van de server, dan zou ik wachten tot na kantoortijd.
En beginnen met het verwijderen van DC1 uit het cluster.