[W2K3] Geen replicatie DNS partities naar 2e DC?

[Devster]

Bij een klant loop ik tegen het volgende probleem aan: Na installatie van de tweede W2K3 Domain Controller wordt (na het enabled van de Global Catalog) DNS geinstalleerd op deze machine. De replicatie van de Domain en GC informatie verloopt prima, maar de AD-integrated zones (ForestDNSZones en DomainDNSZones) worden niet gerepliceerd naar de 2e domain controller/DNS server.

dnscmd /EnlistDirectoryPartition ForestDNSZones.klant.com en dnscmd /EnlistDirectoryPartition DomainDNSZones.europe.klant.com geven beide een "Error_Access_Denied". Dit is waarschijnlijk het probleem.

In de DNS managment snap-in rechts-klikken op de server en "Create Default Application Direction Partions" klikken geeft ook de Access Denied, maar dit is dan in principe hetzelfde als het Enlisten met dnscmd.

Het KB-article 836534 lijkt een oplossing te bieden, maar de hotfix van dit article biedt geen oplossing.

In het DNS Event log verschijnt wel:

Event Type: Information
Event Source: DNS
Event Category: None
Event ID: 4502
Date: 15-10-2004
Time: 9:03:05
User: N/A
Computer: EU-DC2
Description:
The DNS added the local Active Directory to the replication scope of Application Directory Partition ForestDnsZones.klant.com. The distinguished name of the root of this Directory Partition is DC=ForestDnsZones,DC=klant,DC=com.

Maar de zones blijven leeg.

Zou deze actie als Enterprise Admin moeten worden uitgevoerd? Iemand anders een idee?

Excuses voor de brakke topic title

[ Voor 27% gewijzigd door Devster op 15-10-2004 09:46 ]

[Joop]

Het KB-article 836534 lijkt een oplossing te bieden, maar de hotfix van dit article biedt geen oplossing.

Wat bedoel je daar mee? Dat je de patch via MS hebt gekregen, hebt geïnstalleerd maar dat het nog steeds niet werkt? Of dat je er niets aan hebt omdat je de patch niet kan downen zonder een Support Call bij MS?

[Devster]

Joop schreef op 15 oktober 2004 @ 10:36:
[...]


Wat bedoel je daar mee? Dat je de patch via MS hebt gekregen, hebt geïnstalleerd maar dat het nog steeds niet werkt? Of dat je er niets aan hebt omdat je de patch niet kan downen zonder een Support Call bij MS?

Ik heb een Premier Account maar hier mag ik alleen articles bekijken en hotfixes downloaden. De hotfix heb ik dus gedownload maar lost het probleem niet op. Niet alle meldingen die genoemd worden in het article zie ik ook terug in het event log.

[Joop]

Ok. Ik heb ook een Premier account hier vandaar dat ik het vroeg.

Om dat te listen heb je volgens mij alleen Admin rechten nodig op de DNS server. Het repliceren gaat niet onder een normaal user account. Ik denk dus niet dat de twee problemen dezelfde oorzaak hebben. De gootste kans lijkt me dat er ergens op de bron DC/DNS server in de properties van de DNS server of zone een setting fout staat waardoor je iets niet toe staat. Ik moet wel zeggen dat ik niet zo zou weten welke. AD integrated heeft bijna nergens last van normaal gesproken.
Heb je in je Event Log geen Errors staan van DNS/AD?

[Devster]

Nee, geen errors... alleen die access denied (als Domain Admin overigens).

[BalusC]

Titel verduidelijkt. Alleen maar een tag is echt niet genoeg

Het is dat iemand anders het voor jou heeft gedaan, maar in principe moet je titelfixes aanvragen via topicreports en niet binnen het topic zelf. Topicreports vallen een moderator sneller op namelijk

[Grolsch]

weet je zeker dat je hele DNS voor 300% klopt over en weer, SRV records aanwezig etc.

[Devster]

@BalusC: AD en GC replicatie verloopt prima hoor, alleen de DNS partities niet, dus die topic title dekt niet echt de lading

Ik heb min of meer de volgende prodecure gebruikt:
*Installatie DC1 (child domain) waarbij de DC1 verwijst naar de DNS van het root domain
*Installatie AD integrated DNS, aanmaken forward lookup zone en reverse lookup zone
*delegatie van europe.klant.com en reverse lookup zone naar de DNS van het child domain (door enterprise admin)
*TCP/IP dns settings DC1 naar zichzelf laten verwijzen
*dcpromo DC2
*DC2 als Global Catalog Enablen
*Replicatie geheel laten verlopen
*DC2 Infrastructure Master Maken
*Installatie DNS. Deze DNS moet dan automatisch zijn configuratie ontvangen van de DC1, en doet dit ook gedeeltelijk (bijv. de roothints)

Na deze stap verschijnen er geen zones als ik naar DNS kijk op de DC2 en treden bovengenoemde verschijnselen op.

[BalusC]

Titel nogmaals aangepast .. Ik had de topicstart niet doorgenomen en de nieuwe titelsuggestie rechtstreeks uit de topicreport gecopypasted. Anders kom je even zelf met een topictitel

[Devster]

offtopic:
BalusC: Dank je voor deze aanpassing. Volgende keer doe ik wel een report, ik had nu een mailtje naar jss gestuurd.

Ik heb de DC2 ook al enige malen opnieuw gedemoted/gepromoted. Ook valt me op dat LDAP (via een LDAP browser) op die server erg traag is, terwijl de DC1 (identieke hardware, HP Blades), zeer snel is.

[Kabouterplop01]

Als je kijkt in de properties van je 1e en 2e DC waar "luistert" de server op.
Van welke groepen is die domain admin lid? of is het een echte "standalone" domain admin.

[Devster]

Als ik met replmon.exe kijk, zie ik dat de DC2 niet voorkomt als replication partner van de DC1 voor de ForestDNSZones en de DomainDNSZones partities. De DC1 repliceert de forestdnszones wel met de DC van het Forest Root Domain. Het enlisten gaat dus niet goed in de configuration partitions.

Hopelijk kan een van de Enterprise Admins snel de enlist proberen, want volgens mij moet het probleem dan opgelost zijn.

[Verwijderd]

Joop schreef op 15 oktober 2004 @ 11:05:
Ok. Ik heb ook een Premier account hier vandaar dat ik het vroeg.

ff off-topic, ik werk ook voor een ms partner, met allerlei statussen en weet ik niet wat nog meer MS partner gebied, echter heb ik geen premier account...

Ik heb altijd vernomen dat dit gewoon te duur is, maar zijn er misschien meerdere manieren om zo'n account te krijgen?

[Verwijderd]

Verwijderd schreef op 15 oktober 2004 @ 17:03:
[...]


ff off-topic, ik werk ook voor een ms partner, met allerlei statussen en weet ik niet wat nog meer op MS partner gebied, echter heb ik geen premier account...

Ik heb altijd vernomen dat dit gewoon te duur is, maar zijn er misschien meerdere manieren om zo'n account te krijgen?

[Verwijderd]

Devster schreef op 15 oktober 2004 @ 10:45:
[...]

Ik heb een Premier Account maar hier mag ik alleen articles bekijken en hotfixes downloaden. De hotfix heb ik dus gedownload maar lost het probleem niet op. Niet alle meldingen die genoemd worden in het article zie ik ook terug in het event log.

kan je dan niet een call loggen als je toch een premier account hebt?

[Joop]

Natuurlijk kun je zonder Premier account wel een support call maken bij MS, je moet er dan alleen voor betalen. En ja een Premier contract is nogal prijzig. Je krijgt er wel veel voor terug. Ik wil geen exacte bedragen noemen, maar reken maar op de orde van grootte van minimaal 2 jaar salarissen van een leuk verdienende IT beheerder. En dat betaal je dus per jaar. Dus ja dat is alleen te doen voor grote bedrijven met een serverparkje van minimaal een stuk of 400 (Windows) servers en een boel (10.000+) gebruikers.

[Wijnands]

Er is een tool om dat hele replicatie gebeuren te checken. damn, hoe heet dat ook alweer? nlist, dlist, dlist geloof ik, ff de kb doorzoeken, krijg je misschien meer een idee waar het probleem zit.

[Devster]

Het probleem is opgelost, of beter.. heeft zichzelf opgelost. Na het weekend bleek alles te werken. De nogal gecompliceerde replicatie- en sitetopologie van de klant heeft tot gevolg dat je lang moet wachten voordat alles doorgerepliceerd is. Een nacht bleek niet genoeg, een weekend wel.

[Zwelgje]

Wijnands schreef op 16 oktober 2004 @ 21:52:
Er is een tool om dat hele replicatie gebeuren te checken. damn, hoe heet dat ook alweer? nlist, dlist, dlist geloof ik, ff de kb doorzoeken, krijg je misschien meer een idee waar het probleem zit.

sonar.exe