Får ikke koblet til 2003-domene

[Joachim Vadseth]

Har akkurat virtualisert en eldre server vi har inn på vår nye ESXi 5.1-server.

 

Nå får vi plutselig ikke lov å koble til nye klienter til domenet. Domenet er en 2003 R2-server.

Klientene får sett shares og pinget serveren både på navn og på IP-adresse.

 

Når vi prøver å koble til domenet får vi bare beskjed om at "cannot complete this function".

Serveren kjører såklart DHCP og DNS, og klientene får serverens IP som DNS slik de skal. Serveren har dog sin egen IP-adresse som DNS og ikke 127.0.0.1 som jeg tror det skal være, og så skal IP-adressen til serveren ligge i forward lookup zone, right? Den ligger vertfall ikke i forward lookup zone, ikke får jeg lov å legge den til heller. "invalid IP address" får vi da.

 

Har prøvd å koble til domenet på en ny server og to nye klientmaskiner, uten hell. Både med IP-adresser fra DHCP og statisk.

 

For øvrig har DNS-en LDAP-records som sier hvilken server som kjører domenet. Vet ikke om det kan ha noen betydning, men måtte fjerne det gamle NIC-et i Windows Server 2003 R2 etter at den ble virtualisert og installerer et nytt. Dette fikk samme adresser som det gamle fysiske NIC-et.

Endret 9. januar 2013 av Joachim Vadseth

[DCG]

Hvordan fjernet du det gamle NIC'et etter at serveren ble virtualisert? Tok du bare vekk adapteret fra VM'en? Isåfall kan det høres ut som at du sitter igjen med en ghost card. Se gjennom denne linken og forsøk å fjerne kortet: http://kb.vmware.com/selfservice/microsites/search.do?language=en_US&cmd=displayKC&externalId=1179

[Joachim Vadseth]

Var dette vi gjorde

 

Dersom jeg skriver feil brukernavn og passord får jeg beskjed om at det er feil, så klienten finner domenet og da skal vell også DNS være riktig? Kan det være en brannmur som stenger for noe med tanke på at serveren egentlig har fått en ny MAC-adresse?

 

Ser ikke noe spesielt i loggene verken på klienten eller på serveren heller.

Endret 9. januar 2013 av Joachim Vadseth

[conundrum]

Serveren kjører såklart DHCP og DNS, og klientene får serverens IP som DNS slik de skal. Serveren har dog sin egen IP-adresse som DNS og ikke 127.0.0.1 som jeg tror det skal være, og så skal IP-adressen til serveren ligge i forward lookup zone, right? Den ligger vertfall ikke i forward lookup zone, ikke får jeg lov å legge den til heller. "invalid IP address" får vi da.

 

Det spiller ingen større rolle om domenekontrolleren har sin egen IP-adresse eller 127.0.0.1 som DNS-server i oppsettet på nettverkskortet.

 

Fordelen med 127.0.0.1 er at den alltid peker tilbake til maskinen selv, uavhengig av andre IP-adresser, link på nettverkskort etc, men 127.0.0.1 skal selvsagt ALDRI registreres i DNS.

 

En enkel måte å rette opp i alle serverrelaterte DNS-records er å kjøre "ipconfig /registerdns" på serveren. Det kan ta inntil 15 minutter før alt er re-registrert.

 

Har prøvd å koble til domenet på en ny server og to nye klientmaskiner, uten hell. Både med IP-adresser fra DHCP og statisk.

 

Hvilken DNS-server bruker disse klientene? De skal bruke domenekontrolleren. Fungerer andre DNS-oppslag (f.eks. "nslookup servernavn.domene.local") fra klientene?

 

Kan det være en brannmur som stenger for noe med tanke på at serveren egentlig har fått en ny MAC-adresse?

 

Brannmurene i Windows opererer ikke på det nivået, de konsentrerer seg om IP-adresser,

[Joachim Vadseth]

Takk for svar. Skal prøve dette i morgen.

For faktisk alt for lenge sidne sa min foreleser at en aldri skulle bruke serverens IP på NIC-et, men 127.0.0.1 og så sette IP-en i DNS forwarderes. Så samt det er en DNS-server. Kunne resultere i tregere oppstart også vistnok, noe som jeg har tro på ettersom det tar gruelig lang tid å "preppering network adapter" på login screen..

 

Har ikke prøvd nslookup men får pinget både IP og netBIOS-navn samt sett samba sharene med netBIOS-navnet.

 

Var ikke Windows Firewall jeg tenkte på, mer enn regel noe i den dur som kanskje var spesifikt for "den tidligere" MAC-adressen (NIC-et). Ikke vi som styrer brannmurene - det er fylkeskommunen.

[Joachim Vadseth]

Samme feilmeldinge, "Cannot complete this function" etter å ha kjørt ipconfig /registerdns på begge nodene). Ingen meldinger i Event Viewer heller.

 

Dersom jeg skriver brukernavn og passord feil når jeg prøver å logge på domenet, får jeg beskjed om at det er feil, så DNS er vell da riktig? Pluss at jeg får sett sharene ved bruk av netBIOS-navn.

[conundrum]

Det er litt uklart for meg eksakt hva situasjonern er, og hva som fremprovoserer feilmeldingen. Når du sier at du ikke kan "koble nye klienter til domenet", mener du da at du ikke kan melde nye maskiner inn i domenet?

 

Hva slags shares er det du kan se og hvilken brukerkonto er du da logget på med?

 

Du nevner også Samba. Er dette et miljø med flere forskjellige domener?

[Joachim Vadseth]

Ja, mener melde nye maskiner inn i domenet.

 

Vanlige Windows-shares, logget inn med samme brukernavn og passord som jeg bruker for å melde inn nye maskiner. Har fungert helt til virtualiseringen av domene-kontrolleren.

 

Har ikke flere miljø enn Windows. Skrev Samba for å kanskje forklare bedre hva det var snakk om (kunne selvsagt bare sagt Windows-shares, er vell ikke helt det samme uansett)

 

Edit:

 

Muligesn det kan være problemer med replikering. Litt for lite research på P2V av domenekontrollere fra vår side. Kan også nevne at vi har 2x2TB disker (som kun er brukt 15% av) i den fysiske serveren. Reduserte ned diskstørrelsen til 100GB i VM-en.

 

Forsøker dette nu.

 

Vi har også en server til som tydligvis er backup DC. Denne har jeg aldri vært borti og er enda mer klurete enn main DC.

Endret 11. januar 2013 av Joachim Vadseth

[Rune_says]

ipconfig /all

kjør dette på serveren. Det skal vise alle adaptere (NIC og virtuelle NIC) og IP-adresser.

 

127.0.0.1 er alltid der for alle maskiner - denne adressen betyr "meg selv" - dvs

ping 127.0.0.1 = ping "meg selv" og det skal alltid virke. Man skal aldri sette adressen til en server manuelt til denne adressen, for da vil den aldri kunne snakke med andre enn seg selv...

neste test er å ping maskinens egen IP-adresse og den skal også alltid svare ellers må det feilsøkes.

neste test er å pinge en annen maskin (f.eks. klienten du forsøker å melde inn i domenet)

 

For å spare tid kan man begynne motsatt - dvs pinge serveren fra klienten. Får man svar så er nettverket OK. Hvis ikke - begynn evt fra enkleste test (ping 127.0.0.1) og gå oppover.

 

Noen Windows versjoner kan ha hardkodet maks 10 klienter. Hvis License Logging service går så vil server kunne stoppe klient-forbindelser dersom antall lisenser er oversteget.

[Joachim Vadseth]

Fyrer opp igjen den gamle fysiske serveren vår og setter opp en ny AD-server i ESXi og dcpromo-er den gamle i stedenfor tenker jeg.