DC遇到的問題解決紀錄(2)

經過上次調整後所有複寫也恢復正常,接下來要進行微軟建議最後要將_msdcs獨立出來,且複寫整個樹系DNS(win2003 後新建立的網域就會自動做,通常沒有的原因是網域升級上來)

msdcs-1

建立一個主要區域存放在AD

msdcs-2

選  整個樹系

msdcs-3

輸入 _msdcs.dommain.com

msdcs-4

允許安全性動態更新

msdcs-5

建立完成後 重新啟動netlogon 服務

msdcs-6

接著應該會看到原來_msdcs 變成委派 (反灰色)

msdcs-7

過一些時間會複寫到所有樹系網域控制站DNS,可以看到下圖,兩台DC 中的DNS

雖然有複寫 但是不完全就是異常現象,

正常來說 _msdcs.sys-adm.local 下 會有 dc、 domain、gc、pdc ,可是一台有缺 一台啥東沒有XD

msdcs-8

在等一下時間後,本來 dc domain gc  都沒有的主機,也重另一台複寫回來

所以兩台都同步,但是還是不正常的狀態

msdcs-9

將其中一台DNS 服務重新啟動後,有很多錯誤 evenid 4010

msdcs-10

內容就是如下DNS 無法建立 XXXXXXXX

msdcs-11

msdcs-12

此時打開ADSI

連線設定輸入 DC=DomainDNSZones,DC=sys-adm,DC=local (依照自己公司的domin)

msdcs-14

連線後點選, CN=MicrosoftDNS => DC=sys-adm.local自己的domain)

msdcs-15

接下來比對一下event log  如下圖紅框,有異常的紀錄 就把她刪除(所有的4010 都要看)msdcs-13

確定刪完後,重新啟動一次netlogon 服務(有可能需要重啟兩次)

就可以看到其中一台資訊已經都出現了

msdcs-16

在等待一些時時間另一台DC DNS 也同步過來了,且DNS 錯誤event 4010 也沒有再出現

msdcs-17

以上是在我LAB 先模擬做過一次,然後在我實際環境做的時候確實出現相同的4010錯誤訊息,由於公司樹系環境 總共有15台DC,所以修改到手軟。不過最終也把它修正OK,持續觀察中。

PS1: 之前有個需求,公司同仁從轉調 子公司轉回總公司,有沒有辦法把帳號搬回來總公司不用重建,e-mail 可以繼續使用等等。

因為在相同樹系下 可以使用ADMT來移轉父、子 網域AD帳號。實際我嘗試移轉一個測試帳號發現會失敗,錯誤訊息如下。

ADMTERR

經過測試 AD DNS 調整後,我再次測試就可以成功遷移帳號。

PS2: 在調整過程中也有發現某各子網域的DC sysvol 無法同步(event id : 13568)則參考之前連結作法處理將它解決:https://blog.pmail.idv.tw/?p=16555

接下來的調整可能會做個測試:

1.本來子網域中都有一個父網域的zone 且是次要區域(有父網域DC DNS 轉送下來),所以我會測試一下將子網域下的 DNS 父網域Zone 刪除後測試子網域查詢父網域主機是否可以正常轉送,若OK 應該就沒問題,另外子網域中有父網域Zone是沒有問題的。

因為之前經驗子網域是沒有特別再去加父網域zone都是可以正常轉寄查詢,只是現有環境發現有設定且資訊也不完全,從事件檢視上看到許多錯誤訊息甚至還有找不到DC的事件。

另外AD環境下DNS 很重要,會影響AD複寫 查詢 甚至在網域間遷移AD帳號也會有影響的。

參考:

https://social.technet.microsoft.com/Forums/Lync/en-US/55c7a4cd-2932-4b0e-bfd2-b043490df000/eventid-4010-dns-the-active-directory-definition-of-this-resource-record-is-corrupt-or-contains-an?forum=winserverDS&prof=required

https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2008-R2-and-2008/dd349580(v=ws.10)?redirectedfrom=MSDN



本篇瀏覽人數: 167
分類: Directory Services。這篇內容的永久連結

發佈留言

發佈留言必須填寫的電子郵件地址不會公開。 必填欄位標示為 *