[win2k AD] Domaincontroller met een corrupte AD

[Grolsch]

Mensen,

Ik heb hier op 1 locatie een domain controller welke niet meer wil booten.
Hij komt met de volgende foutmelding:

Security Accounts Manager initialization failed because of the following error: Directory Service cannot start. Error Status: 0xc00002e1. Please click OK to shutdown this system and reboot into Directory Services Restore Mode, check the event log for more detailed information.

Wat eigenlijk zoveel betekent dat z'n winnt\NTDS folder corrupt is cq. niet meer werkt.

Bij MS KB kom ik op deze 2 artikelen uit.

http://support.microsoft....us;240655&Product=win2000

en

http://support.microsoft....aspx?scid=kb;EN-US;258007

wat zoveel betekent dat ik de rechten na moet kijken, en als dit klopt ik een authoritive restore moet doen.

Ook kwam ik op GoT dit artikel tegen:

Directory service cannot start

nu heb ik van de domain controller op zich geen backup van de system state.

Maar ik heb wel een backup van een andere domain controller z'n system state.

Nu is het volgende eigenlijk de hamvraag

kan ik een system state van een andere domain controller (andere hardware etc.) terug zetten op deze domain controller

ik ga hem dan niet authoritive restoren, want hij repliceert op een gegeven moment wel de juiste AD van de wel goed werkende DC's.

wie o wie?

[Verwijderd]

nee, system state is machine afhankelijk pus je verkanlt je active directory ermee.
Is het trouwens je Eerste domaincontroller zonee dan gewoon herinstalleren en weer domaincontroller maken is makkelijker en safer

[Grolsch]

Verwijderd schreef op 24 mei 2004 @ 11:47:
nee, system state is machine afhankelijk pus je verkanlt je active directory ermee.
Is het trouwens je Eerste domaincontroller zonee dan gewoon herinstalleren en weer domaincontroller maken is makkelijker en safer

nou, zo makkelijk is dat niet.

Je krijgt die DC nooit lekker uit je AD
+ dat de server minimaal 4 uur down is, en je daarbij ook nog een andere servernaam moet gaan gebruiken + dat je alle scripts mag gaan aanpassen.

kan ik zomaar de ntds.dit van een goedwerkende dc verplaatsen naar een slechtwerkende dc?

[Question Mark]

Grolsch schreef op 24 mei 2004 @ 11:51:
[...]

Je krijgt die DC nooit lekker uit je AD
+ dat de server minimaal 4 uur down is, en je daarbij ook nog een andere servernaam moet gaan gebruiken + dat je alle scripts mag gaan aanpassen.

kan ik zomaar de ntds.dit van een goedwerkende dc verplaatsen naar een slechtwerkende dc?

Met NTDSutil is de domaincontroller redelijk eenvoudig uit de AD te verwijderen. AD forceren om te repliceren en je kunt hem met dezelfde naam weer herinstalleren.

Als je hem al met een andere naam installeert kun je eerst een CName (met de oude naam) aanmaken in DNS die naar het ip-adres verwijst wat de server heeft. Eventuele scripts kunnen dan nog steeds de oude naam gebruiken. Ik zie het probleem hier niet zo van in.

Je meldt ook dat de server dan minimaal vier uur down is, maar dat is tie nu ook Dat kan ook geen groot probleem zijn, je weet alleen zeker dat de situatie binnen vier uur hersteld is.

Maar, heb je de info in het knowledge-base artikel al uitgevoerd en de rechten gecontroleerd?

[ Voor 4% gewijzigd door Question Mark op 24-05-2004 12:01 ]

[Grolsch]

Question Mark schreef op 24 mei 2004 @ 12:00:
[...]


Met NTDSutil is de domaincontroller redelijk eenvoudig uit de AD te verwijderen. AD forceren om te repliceren en je kunt hem met dezelfde naam weer herinstalleren.

Als je hem al met een andere naam installeert kun je eerst een CName (met de oude naam) aanmaken in DNS die naar het ip-adres verwijst wat de server heeft. Eventuele scripts kunnen dan nog steeds de oude naam gebruiken. Ik zie het probleem hier niet zo van in.

Je meldt ook dat de server dan minimaal vier uur down is, maar dat is tie nu ook Dat kan ook geen groot probleem zijn, je weet alleen zeker dat de situatie binnen vier uur hersteld is.

Maar, heb je de info in het knowledge-base artikel al uitgevoerd en de rechten gecontroleerd?

de server is momenteel niet down, want vreemd genoeg is alle data gewoon beschikbaar terwijl de server momenteel in safe restore mode staat, dus ik heb geen super haast.

Het komt er opneer dat de bestanden welke in winnt/ntds staan niet goed zijn/ corrupt zijn. Kan ik deze niet stomweg van een andere DC copy/pasten?

[Koffie]

Grolsch schreef op 24 mei 2004 @ 12:08:
Het komt er opneer dat de bestanden welke in winnt/ntds staan niet goed zijn/ corrupt zijn. Kan ik deze niet stomweg van een andere DC copy/pasten?

staat er toch

Verwijderd schreef op 24 mei 2004 @ 11:47:
nee, system state is machine afhankelijk pus je verkanlt je active directory ermee.
Is het trouwens je Eerste domaincontroller zonee dan gewoon herinstalleren en weer domaincontroller maken is makkelijker en safer

[Grolsch]

Koffie schreef op 24 mei 2004 @ 12:34:
[...]


staat er toch

[...]

nou, niet helemaal.
Onder system state valt naar mijn idee veel meer als winnt/ntds folder.
Namelijk ook je hardware etc.

Als ik van 2 goed werkende domain controllers de ntds.dit vergelijk zijn deze exact het zelfde.

Alleen staat op de ene dc een extra .log file.
Ik snap dus wel dat ik niet de gehele system state kan restoren, maar wat ik mij af vroeg of ik niet alleen de ntds map kan copieeren.

Theoretisch is win2k AD een multi master omgeving, dus horen de DC's allemaal exact dezelfde beschrijfbare Directory aan boord te hebben.

[Question Mark]

Grolsch schreef op 24 mei 2004 @ 12:41:
[...]

Theoretisch is win2k AD een multi master omgeving, dus horen de DC's allemaal exact dezelfde beschrijfbare Directory aan boord te hebben.

Dit klopt in dusverre dat de INFORMATIE in de database gelijk is. Dit wil niet zeggen dat de DATABASE gelijk is. Het kopieren van de database zal misschien niet werken omdat pointers naar verschillende records kunnen wijzen.

Denk bijvoorbeeld alleen maar eens aan offline compression van je database.

[Grolsch]

dat wordt dus een format.

ik heb zo'n situatie laatst ook een keer gehad, maar ik kan de server dan onmogelijk onder dezelfde naam installeren. Zelfs met behulp NTDSutil.exe niet.

[Scorchor]

in ad restore mode kun je met ntdsutil alle fouten er uit halen, een nieuwe install is dus niet nodig

[Brahiewahiewa]

Grolsch schreef op 24 mei 2004 @ 12:08:
[...]Het komt er opneer dat de bestanden welke in winnt/ntds staan niet goed zijn/ corrupt zijn. Kan ik deze niet stomweg van een andere DC copy/pasten?

Je moet eerst effe sjekke of het niet simpel een corruptie in je registry is: als daar ergens een verkeerd pad staat naar je NTDS.DIT krijgt LSASS meestal een Access Denied error.
Verder is het idee achter AD dat het een multi master systeem is. Dus gaan knoeien met het restoren van backups is volstrekt overbodig. Je moet de DC "seizen" uit AD en z'n machine account verwijderen. Daarna de machine wipen en opnieuw Win2k installeren en DCPromo draaien.
Als je DC verder niet veel functies heeft is dat verreweg de snelste manier om 't op te lossen. Als er ook andere functionalitiet op draait (file, print, sql, exhange, sms, etc) dan kan dat natuurlijk anders zijn

edit:
.

Oh, je wil de NTDS.DIT file van een andere DC d'r in kopiëren? Gaat niet werken. In die file komt enige duizenden keren de SiD van je machine voor; die wil je niet allemaal met een Hex-editor gaan zitten bewerken

[ Voor 13% gewijzigd door Brahiewahiewa op 24-05-2004 13:15 ]

[Brahiewahiewa]

De Gesnaakte schreef op 24 mei 2004 @ 13:04:
in ad restore mode kun je met ntdsutil alle fouten er uit halen, een nieuwe install is dus niet nodig

Da's inderdaad "het pad van de krijgsman"; erg leerzaam en een redelijke kans op herstel. Maar als er gewerkt moet worden, gebruikers klagen dat aanloggen zo lang duurt, managers in je oor hijgen of "het al opgelost" is dan ga je voor zekerheid

[Grolsch]

De Gesnaakte schreef op 24 mei 2004 @ 13:04:
in ad restore mode kun je met ntdsutil alle fouten er uit halen, een nieuwe install is dus niet nodig

zelfs ntdsutil.exe kotm met allerlei foutmelding als ik een repair/integrity/recover check doe, dus ik ga nu voor een format, ff al het belangrijke backuppen

bedankt voor jullie hulp!

[Grolsch]

Okay, ik heb de dc geformat en opnieuw geinstalleerd.

Met behulp van ntdsutil.exe en adsiedit de servernaam kunnen behouden.

Nog ff de puntjes op de i zetten en dan werkt alles weer.

Dat was m'n maandag

bedankt voor jullie input!

[Verwijderd]

zal je niet vergeten nu (dagelijks...) een systemstate backup te maken? kan je schedulen, kost weinig ruimte, weinig tijd en het bespaart je enorm veel sores.
Bij ons draaien we op elke DC elke avond een systemstate, da's een keer een uurtje scripten en jaren lang profijt :-)

[Brahiewahiewa]

Verwijderd schreef op 25 mei 2004 @ 21:18:
zal je niet vergeten nu (dagelijks...) een systemstate backup te maken? kan je schedulen, kost weinig ruimte, weinig tijd en het bespaart je enorm veel sores.
Bij ons draaien we op elke DC elke avond een systemstate, da's een keer een uurtje scripten en jaren lang profijt :-)

Heb je al wel eens geprobeerd zo'n system state backup te restoren?

[Verwijderd]

non-authorative, ja

[Profidiam]

Brahiewawa, waarom die vraag ?

[Brahiewahiewa]

Profidiam schreef op 26 mei 2004 @ 12:12:
Brahiewawa, waarom die vraag ?

Omdat het terugzetten van je system state best wel een hoop werk is, waarbij je uiterst beperkt ben in je keuze mogelijkheden. Terwijl om enkel en alleen een Domain Controller terug te krijgen, het draaien van DCPROMO voldoende is.
Maar - zoals al eerder gezegd - de hele discussie hangt af van de vraag wat de machine in kwestie nog meer doet behalve DC zijn.

[Grolsch]

en de server doet na ca. 3 dagen goed te hebben gedraait, wederom exact hetzelfde

wat is het leven van een sysadmin af en toe toch kl*t*n!~

morgen weer aan de slag.

[Arfman]

Ik zou eens gaan kijken naar de hardware van dat ding. Zijn de HDD's wel lekker ? Is het medium (CD/netwerk) waarvan je installeert wel goed ? Is er misschien een corruptie in je AD die er na een paar dagen 'in synced' ?

[Verwijderd]

Als ik helemaal terug-scroll naar het begin van je problemen, dan lijkt de oplossing mij om _wel_ een authorotative restore te doen, de fout zal hoogstwaarschijnlijk inderdaad gerepliceerd worden/zijn (daarom is de eerder aangedragen "oplossing" DCpromo te draaien m.i. onzin). Daarnaast ben ik het met Arfman eens dat het op een HDD of HDD interface(driver) defect/bug zou kunnen wijzen. Geeft de eventlog melding van bad block o.i.d.?

twee opties:
1. De beste oplossing is m.i. de hele HDD vervangen en een image van de server terug zetten, auth. restore naar originele server uitvoeren en effe wachten. Dus ik hoop dat je van de kapotte server een beetje recente image hebt?

2. Een "chkdsk /f" draaien (of zelfs een hele fysieke disk-check, maar dat kan wel ff duren), daarna een auth. restore doen op de DC waar je die systemstate gemaakt had en even rustig de replicatie afwachten.

[Brahiewahiewa]

Verwijderd schreef op 27 mei 2004 @ 16:55:
Als ik helemaal terug-scroll naar het begin van je problemen, dan lijkt de oplossing mij om _wel_ een authorotative restore te doen, de fout zal hoogstwaarschijnlijk inderdaad gerepliceerd worden/zijn (daarom is de eerder aangedragen "oplossing" DCpromo te draaien m.i. onzin). Daarnaast ben ik het met Arfman eens dat het op een HDD of HDD interface(driver) defect/bug zou kunnen wijzen. Geeft de eventlog melding van bad block o.i.d.?

twee opties:
1. De beste oplossing is m.i. de hele HDD vervangen en een image van de server terug zetten, auth. restore naar originele server uitvoeren en effe wachten. Dus ik hoop dat je van de kapotte server een beetje recente image hebt?

2. Een "chkdsk /f" draaien (of zelfs een hele fysieke disk-check, maar dat kan wel ff duren), daarna een auth. restore doen op de DC waar je die systemstate gemaakt had en even rustig de replicatie afwachten.

Sorry hoor, maar dit is puur gezwets. Corrupties in AD repliceren niet en al helemaal niet terug naar waar ze oorspronkelijk vandaan kwamen. Hoe stel je je dat überhaupt voor serverA raakt corrupt, repliceert die corruptie op magische wijze naar serverB, serverB heeft daar om een zelfde soort magische redenen geen last van, maar slaagt er wel in de corrupties terug te repliceren naar de nieuw ingerichte serverA? Leuk dat je zo'n rijke fantasie hebt, maar dit is PNS waar we ons bij voorkeur aan feiten proberen te houden.

@ Grolsch: die server van jou, da's toch niet toevallig een wat oudere DL580, hè?
Als dat wel het geval is, moet je even het serienummer van het machien bekijken, als dat lager is dan x126xxxxxxxx heb je een versie met een bug op het mobo. Die bug helpt Jet databases (AD, Exchange, WINS, DHCP) om zeep. HP bellen en vragen om een nieuw mobo.

[Verwijderd]

*zucht*
Nee dit is geen gezwets.
Om te beginnen met de replicatie: replicatie tussen DC's is een van de bouwstenen van het win2k DC model. Replicatie zal altijd plaatsvinden en wordt net zolang geprobeerd tot het slaagt, dit is essentieel voor de werking van AD!!
Als er ergens een verkeerde identifier, een foute registrysleutel van een policy of wat dan ook in AD komt, dan wordt dat uiteraard gerepliceerd als ware het een correcte setting.
Een DC zal uiteraard niet zelf kiezen een goede setting wel en een foute niet te repliceren!
Ten tweede, waarom het op de ene wel en op de andere niet voor komt is ook logisch, als je weet dat de ene DC de andere niet is.
Een DC kan meerdere rollen hebben. De rollen/services die door een DC worden aangeboden zullen per DC verschillen. Er zijn meerdere services die door een DC worden aangeboden, maar bijvoorbeeld een IM role en een Global Catalog zal je niet op 1 machine tegenkomen. Weer een andere kan PDC emulator zijn. Het is dus zeer wel mogelijk dat er een corruptie is, waar een service op vastloopt op de ene DC, terwijl de andere daar geen last van lijkt te hebben.

Onderstaande artikelen zijn een goed startpunt om hier meer over te leren:
http://support.microsoft....aspx?scid=kb;EN-US;197132
http://support.microsoft....aspx?scid=kb;en-us;223346
http://support.microsoft....aspx?scid=kb;en-us;255504
http://support.microsoft....aspx?scid=kb;en-us;297230
http://support.microsoft....aspx?scid=kb;en-us;235617

[Question Mark]

Verwijderd schreef op 28 mei 2004 @ 09:10:
Als er ergens een verkeerde identifier, een foute registrysleutel van een policy of wat dan ook in AD komt, dan wordt dat uiteraard gerepliceerd als ware het een correcte setting.

Kom op zeg! Een corrupte database wordt niet gerepliceerd. Punt. Wat je in bovenstaand voorbeeld aanhaalt zijn verkeerde POLICY-settings die gerepliceerd worden, geen CORRUPTE entry's.

Replicatie wordt indien niet succesvol inderdaad continue geprobeerd, maar dit heeft meer te maken met connectivity problemen, niet op database errors.

Grolsch meldt hierboven dat de server niet eens op wil starten en jij beweert glashard dat er gerepliceerd wordt vanaf deze server?

[ Voor 9% gewijzigd door Question Mark op 28-05-2004 09:24 ]

[Verwijderd]

Verwijderd schreef op 28 mei 2004 @ 09:10:
*zucht*
Nee dit is geen gezwets.
Om te beginnen met de replicatie: replicatie tussen DC's is een van de bouwstenen van het win2k DC model. Replicatie zal altijd plaatsvinden en wordt net zolang geprobeerd tot het slaagt, dit is essentieel voor de werking van AD!!
Als er ergens een verkeerde identifier, een foute registrysleutel van een policy of wat dan ook in AD komt, dan wordt dat uiteraard gerepliceerd als ware het een correcte setting.
Een DC zal uiteraard niet zelf kiezen een goede setting wel en een foute niet te repliceren!
Ten tweede, waarom het op de ene wel en op de andere niet voor komt is ook logisch, als je weet dat de ene DC de andere niet is.
Een DC kan meerdere rollen hebben. De rollen/services die door een DC worden aangeboden zullen per DC verschillen. Er zijn meerdere services die door een DC worden aangeboden, maar bijvoorbeeld een IM role en een Global Catalog zal je niet op 1 machine tegenkomen. Weer een andere kan PDC emulator zijn. Het is dus zeer wel mogelijk dat er een corruptie is, waar een service op vastloopt op de ene DC, terwijl de andere daar geen last van lijkt te hebben.

Onderstaande artikelen zijn een goed startpunt om hier meer over te leren:
http://support.microsoft....aspx?scid=kb;EN-US;197132
http://support.microsoft....aspx?scid=kb;en-us;223346
http://support.microsoft....aspx?scid=kb;en-us;255504
http://support.microsoft....aspx?scid=kb;en-us;297230
http://support.microsoft....aspx?scid=kb;en-us;235617

lees die artikelen inderdaad maar eens goed, want je zwets echt.

zowieso een authorative restore doen van een server die niet boot omdat er iets corrupt is, is wel het domste wat je kan doen. je helpt dan je andere dc's ook om zeep...

wat roles betreft. als je die kwijt zou zijn kan je ze opnieuw seizen... im en gc op 1 dc kom je zeker wel tegen en is ook totaal geen probleem als je maar 1 domain hebt. in een forest met meerdere domains moet je die zelf scheiden...

[Taigu]

Verwijderd schreef op 28 mei 2004 @ 09:10:
Onderstaande artikelen zijn een goed startpunt om hier meer over te leren:
http://support.microsoft....aspx?scid=kb;EN-US;197132
http://support.microsoft....aspx?scid=kb;en-us;223346
http://support.microsoft....aspx?scid=kb;en-us;255504
http://support.microsoft....aspx?scid=kb;en-us;297230
http://support.microsoft....aspx?scid=kb;en-us;235617

Het zegt al genoeg dat je dit zegt tegen brahiewahiewa...

[Arfman]

Brahiewahiewa schreef op 28 mei 2004 @ 00:20:
[...]

Sorry hoor, maar dit is puur gezwets. Corrupties in AD repliceren niet en al helemaal niet terug naar waar ze oorspronkelijk vandaan kwamen. Hoe stel je je dat überhaupt voor serverA raakt corrupt, repliceert die corruptie op magische wijze naar serverB, serverB heeft daar om een zelfde soort magische redenen geen last van, maar slaagt er wel in de corrupties terug te repliceren naar de nieuw ingerichte serverA? Leuk dat je zo'n rijke fantasie hebt, maar dit is PNS waar we ons bij voorkeur aan feiten proberen te houden.

Oeehh, mijn excuses dat ik jou, als uber-alles-van-windhoos-wetende persoon van je ongetwijfeld kostbare tijd heb gehouden met mijn gezwets. Ik probeerde slechts te helpen, ik ben zelf een Novell/Linux persoon met ervaring in NDS en eDirectory. Aangezien AD op hetzelfde X500 protocol is gebaseerd dacht ik een enigszins nuttige bijdrage te kunnen leveren, blijkbaar werkt AD anders dan ik gedacht had. Nogmaals mijn excuses.

Even ter info: in eDirectory kunnen kleinschalige fouten wel degelijk door de tree gesynchroniseerd worden (denk hierbij aan foutieve timestamps enzo). Gaan deze van server A naar server B, en je haalt de fouten op server A weg, komen ze net zo hard weer terug na een paar minuten. Ik kan me eigenlijk niet voorstellen dat dat met AD veel anders werkt, maargoed, jij zult het wel weten.

Bovenstaande is echter neit van toepassing op TS en derhalve offtopic. Gezien de aard van het probleem, en het feit dat het zich herhaalt zonder aanwijsbare redenen, lijkt het mij verstandig om eens naar de hardware te kijken. Wat Brahiewahie zegt over de DL580 zou zomaar een reden kunnen zijn, net zoals eencorrupte disk, bad memory, enzovoort. Is het een HP systeem ? Zijn de health drivers geinstalleerd ? Memtest gedraaid ?

[ Voor 14% gewijzigd door Arfman op 28-05-2004 23:09 ]

[Grolsch]

onder het motto van beter laat als nooit toch even een mededeling.

Toen die DC weer gecrasht was heb ik de DC wederom geformateerd.

Maar nu kon ik zelfs win2k niet meer installeren, wat voor mij een indicatie was dat er iets met de hardware niet klopte.

Ook deed mijn beeldscherm vreemd, dus heb ik de videokaart geswopt, en er een balkje geheugen uitgesloopt.

Na dit gedaan te hebben draait alles weer als een tiet.
Ik heb de server alleen GEEN DC meer gemaakt, daar heb ik een andere server voor gepakt nu.

Het is een kloon, dus geen HP brahawiewa (oid).

Toch nog bedankt dat jullie met mij mee dachten.

[Verwijderd]

Brahiewahiewa schreef op 28 mei 2004 @ 00:20:
[...]
@ Grolsch: die server van jou, da's toch niet toevallig een wat oudere DL580, hè?
Als dat wel het geval is, moet je even het serienummer van het machien bekijken, als dat lager is dan x126xxxxxxxx heb je een versie met een bug op het mobo. Die bug helpt Jet databases (AD, Exchange, WINS, DHCP) om zeep. HP bellen en vragen om een nieuw mobo.

Misschien off-topic maar heb je daar meer informatie over ? Niet dat ik zo een DL580 heb staan ofzo, maar het lijkt me enorm onwaarschijnlijk dat een hardware probleem enkel en alleen Jet databases zou corrupten. Als er daardwerkelijk een probleem is met die moederborden, dan moet heel die server toch onbetrouwbaar werken ?

Indien te off-topic mag je me gerust meer info mailen als je die hebt.

En nee, dit is niet eigenwijs bedoelt, het interesseert me gewoon om meer te weten over die problemen.

[Brahiewahiewa]

Verwijderd schreef op 10 juni 2004 @ 17:50:
[...]Misschien off-topic maar heb je daar meer informatie over ?

Ik ken de precieze technische details niet. 'k Ben het probleem tegengekomen op de Exchange servers van een grote financiële instelling. Begrijpelijkerwijze maakte men zich toen ernstig zorgen over de SQL servers die "productie" draaiden maar we kregen de verzekering van (destijds nog) Compaq dat SQL- en file servers er geen last van hadden.