[w2ksvr] sysvol staging area loopt vol

[Microkid]

Op een domein zijn 4 servers: 2 centraal en 2 off-site. De off-site servers hebben een eigen site connector. AD replicatie loopt prima, maar de \winnt\sysvol\staging areas\<domain> loopt steeds helemaal vol met NTFRS_CMP_xxxxxxxxxxx bestanden. Ook zien we dat er dubbele policy directories verschijnen in de vorm van c:\winnt\sysvol\sysvol\policies_ntfrs_18936719ad.
Als we ntfrs.exe even stoppen en de staging directory leeggooien en die dubbele policy directories ook, en daarna ntfrs weer starten, begint alles weer te vullen.

Uit de NTFRS log blijkt dat de directories in de originele policy folder blijkbaar veranderd worden ofzo:

3/24-12:18:08 :T: CoG: c608d867 CxtG: e977e593 [LclCo ] Name: BRANDING
3/24-12:18:08 :T: EventTime: Mon Mar 24, 2003 10:59:02 Ver: 366
3/24-12:18:08 :T: FileG: 4181d8e6-213f-46f5-b493076d8bbb8776 FID: 00050000 0000a78f
3/24-12:18:08 :T: ParentG: aff19aab-18f0-4947-93385fe51444eb92 Size: 00000000 00000000
3/24-12:18:08 :T: OrigG: 37c0517e-6008-41bd-9ab9f3ce0caf8555 Attr: 00002030
3/24-12:18:08 :T: LocnCmd: NoCmd State: IBCO_COMMIT_STARTED ReplicaName: DOMAIN SYSTEM VOLUME (SYSVOL SHARE) (1)
3/24-12:18:08 :T: CoFlags: 01000024 [Content LclCo CmpresStage ]
3/24-12:18:08 :T: UsnReason: 00000800 [Security ]
3/24-12:18:08 :T: CoG: 71e6ba2d CxtG: e977e593 [LclCo ] Name: DESKTOP
3/24-12:18:08 :T: EventTime: Mon Mar 24, 2003 10:59:02 Ver: 366
3/24-12:18:08 :T: FileG: d3cfb533-8b60-4ab8-a9ad3708455bdc26 FID: 00090000 0000a790
3/24-12:18:08 :T: ParentG: aff19aab-18f0-4947-93385fe51444eb92 Size: 00000000 00000000
3/24-12:18:08 :T: OrigG: 37c0517e-6008-41bd-9ab9f3ce0caf8555 Attr: 00002030
3/24-12:18:08 :T: LocnCmd: NoCmd State: IBCO_COMMIT_STARTED ReplicaName: DOMAIN SYSTEM VOLUME (SYSVOL SHARE) (1)
3/24-12:18:08 :T: CoFlags: 01000024 [Content LclCo CmpresStage ]
3/24-12:18:08 :T: UsnReason: 00000800 [Security ]
3/24-12:18:08 :T: CoG: 709442fa CxtG: e977e593 [LclCo ] Name: Scripts
3/24-12:18:08 :T: EventTime: Mon Mar 24, 2003 10:59:02 Ver: 366
3/24-12:18:08 :T: FileG: e160bbdb-4602-4c2c-9f41e9c8ae573703 FID: 00050000 0000a791
3/24-12:18:08 :T: ParentG: 91b9c152-f275-4b29-bf85628ce36d22a7 Size: 00000000 00000000
3/24-12:18:08 :T: OrigG: 37c0517e-6008-41bd-9ab9f3ce0caf8555 Attr: 00002030
3/24-12:18:08 :T: LocnCmd: NoCmd State: IBCO_COMMIT_STARTED ReplicaName: DOMAIN SYSTEM VOLUME (SYSVOL SHARE) (1)
3/24-12:18:08 :T: CoFlags: 01000024 [Content LclCo CmpresStage ]
3/24-12:18:08 :T: UsnReason: 00000800 [Security ]

We hebben de sysvol al een keer helemaal weggegooid en opnieuw laten synchroniseren met het domein, maar kort daarna gaat het toch weer fout.
Iemand enig idee wat we hier aan kunnen doen?

[mutsje]

heb je evenid's voor ons? system,application , directory service.

bijvoorbaad dank.

misschien ook handig om auditing aan te zetten op je DC's.

[Microkid]

mutsje schreef op 24 maart 2003 @ 20:28:
heb je evenid's voor ons? system,application , directory service.

bijvoorbaad dank.

misschien ook handig om auditing aan te zetten op je DC's.

Helaas zijn er geen event ID's. Alle domain controllers lopen prima. Da's nou juist het vreemde (en ook een pluspunt). Replicatie werkt gewoon. Maar en zijn gewoon geen event meldingen, ook niet in file replication service.
De enige aanwijzing is de NTFRS log die hierboven staat.
Er was op internet een suggestie dat een virusscanner wellicht de ACL van bestanden zou kunnen aanpassen, maar de virusscanner staat ook al uit.

Die auditing tip ga ik morgen meteen uitvoeren, eens kijken wie/wat/waar de ACL van bestanden veranderd. Thanks!

[Verwijderd]

Heb je toevallig een Active Directory Disaster Recovery uitgevoerd, misschien enige tijd geleden?

[mutsje]

Zet wel auditing op Domain Controller niveau aan.(geloof ik is alweer 3 weken geleden dat ik het examen gemaakt heb