Andy's Web Blog

Hallo lieber Leser.

Grundsätzlich sind Snapshots eine feine Sache. Kann man doch schnell und unkompliziert Daten Sichern oder Wiederherstellen oder in Virtuellen Welten mal schnell etwas testen. Seit heute hängt über dieser Annahme ein gewaltiges Fragezeichen. Zumindest Domain Controller können das Anwenden von Snapshots sehr übel nehmen.

In Umgebungen mit mehr als einem DC finden bekanntlich Replikationen statt. Wendet man nun einen alten Snapshot an ist dies für den betroffenen Domain Controller wie eine Wiederherstellung der AD Datenbank einer älteren Version. Grundsätzlich nimmt man nun an hier wird es zu keinen größeren Problem kommen. Durch die „Update Sequence Numbers” (USN) sollten die veralteten Einträge des „wiederhergestellten” DC einfach durch die aktuelleren überschrieben werden.

Leider falsch. Dies kann funktionieren, muss es aber nicht! Der Domain Controller kann diese Prozedur auch als „nicht unterstützte Wiederherstellung” erkennen, was einen NetLogon Dienst im Status „angehalten” und diesen Eintrag im Eventlog nach sich ziehen kann:

ActiveDirectory_DomainService / NTDS General:  Event 2103

The Active Directory database has been restored using an unsupported restoration procedure. Active Directory will be unable to log on users while this condition persists. As a result, the Net Logon service has paused. User Action See previous event logs for details. For more information, see Help and Support Center at http://…

Was auch als “USN Rollback” bezeichnet wird. Zudem finden sich zahlreiche Einträge zum Thema „Replication Lingering Object Problems (Event IDs 1388, 1988, 2042)” in den Logs.

Was war passiert?

Die Umgebung betroffene Umgebung war eine „grüne Wiese” Installation für eine größere Migration bei einem Kunden. Zwar war sie noch nicht produktiv, dennoch steckte schon eine Menge Arbeit in der Einrichtung, inklusive Exchange 2010, PKI, etc.  Zum Zeitpunkt des Vorfalls bestand die Gesamtstruktur aus 1 Root- sowie 5 Child Domains auf Basis Windows Server 2008 R2. Alle DC’s wurden als virtuelle Server in einem Hyper-V 2 Cluster bereitgestellt. Für die Root Domain sowie eine Child Domain existierte bereits ein 2., physikalischer DC auf den alle FSMO Rollen übertragen wurden.

Durch einen „Unfall” ging die LUN verloren, auf der alle Hyper-V Gastsysteme abgespeichert waren. Die LUN konnte aus einem SAN Snapshot wiederhergestellt werden. Dieser Snapshot war jedoch rund 15-30 Minuten alt. Zunächst konnten alle Systeme wieder problemlos gestartet werden. Jedoch waren die Eventlogs voll mit Replikationsproblemen (Event IDs 1388, 1988, 2042). Im Falle des virtuellen DC der Root Domain erschien auch der Event 2103. Zudem war der Dienst „NetLogon” im Zustand „paused”.

Leider finden sich auf Anhieb nicht wirklich viele Informationen in der Microsoft Knowledge Base oder einschlägigen Foren. Der allgemeine Tenor zum Event 2103 lautete: AD auf dem DC entfernen und neu installieren. Sicher eine Lösung, aber nicht unbedingt eine befriedigende.

Und an dieser Stelle gilt unser Gruß und Dank Jan Kappen, der unter Einsatz von Blut Schweiß und reichlich Kaffee dieses Problem bereits mit dem Microsoft Support gelöst und freundlicherweise dokumentiert hat!

Hier die Schritte in der Kurzfassung:

Beseitigung Event 2103:

• HKLM\System\CurrentControlSet\Services\NTDS\Parameters
  • “Dsa Not Writable” von 4 auf 0 setzen
  • REG_DWORD “Ignore USN Rollback” anlegen und auf 0 setzen
• Server neu starten (NetLogon sollte nun laufen)
• Replikation wieder aktivieren:
  • repadmin /options “Servername” -DISABLE_OUTBOUND_REPL
  • repadmin /options “Servername” -DISABLE_INBOUND_REPL

Nun waren nur noch ein par “Lingering Objects” übrig welche die Replikation blockierten. Diese Objekte können ebenfalls mit dem „repadmin” entfernet werden. Dazu gibt es aber diverse Anleitungen so dass ich es nicht näher beschreibe.

Da unser Snapshot nur 15-30 Minuten alt war mussten wir kein DC Computer Konto zurücksetzen. Dies hat Jan aber auch gut beschrieben.

Viel Erfolg!

Andy

Quelle: Hyper-V, ADS-Controller und angewendete Snapshots [Update]

Post a Comment