Архив форумов ЦИТФорума

[Moore]

Здравствуйте! подскажите пожалуйста, что нужно для того, чтобы резервный контроллер домена взял на себя задачу авторизации пользователей домена? У него роли хозяина всех операций, а всёравно, если выключаем первый контроллер, пользователи почему-то не могут залогиниться. Может есть какая-то тонкость? Читал в форумах про перенос контроллера на другой сервер, пишут: поднять второй контроллер, передать ему роли хозяина на всё, что можно, поднять днс. Затем выключить основной, посмотреть работает ли... Затем понизить роль основного и вывести его из домена. Всё правильно или что-то путаю? Домен Win2003

[San_dok]

[Moore]

А вот меня смущает такой момент: действительно ли он (второй контроллер) сможет выполнять функции по авторизации пользователей. А то страшновато как-то, опустим первого, а второй не заработает Хорошая штука - бэкап...

[Moore]

Вероятно, проблема с авторизацией косвенно связана именно с тем, что при передаче роли хозяина всех операций небыл своевременно понижен в статусе первый контроллер. Читал в support.microsoft.com что это может приводить к различным проблемам

[San_dok]

Вы пилите Шура... пилите... (с)пёр


Вот сюда ещё посматривай
"жевали" долго.
_________________
В тёмной комнате завсегда имеются тёмные грабли.

[And]

Сам переустанавливал много раз контроллеры. Поднимал с нуля из бекапов. Небыло таких проблем что один авторизует пользователе а другой нет. Немного напомню как происходит авторизация в AD. Когда компьютер пользователя загружается, то контроллер домена он ищет по соответствующим записям на DNS сервере. Нет записи, ни туда указывает или недоступен сервер - нет авторизации. Копай DNS. Половина граблей там. И время проверь на сервере и на клиенте.

[Moore]

Время абсолютно синхронно. А насчет днс, даже не знаю, где там может скрываться проблема... Но всёравно спасибо, буду искать. Мне важно понять, какие процессы происходят при понижении роли основного контроллера. Пишут, что могут возникнуть проблемы если в сети бывший хозяин операций существует параллельно с нынешним. При понижении бывшего какие нибудь изменения происходят с нынешним? Вот если б найти информацию об этом...

[San_dok]

[Moore]

Спасибо. Теперь более понятно. Значит можно попробовать понизить глючный контроллер. Попробую сделать. Просто боязно было, в домене несколько десятков серверов, на которых крутятся важные сервисы. Если эта система рухнет, мне несдобровать Досталось по наследству, что ж поделать...

[And]

В догонку важное замечание по поводу хозяев операций. Существует два варианта поменять хозяина операций. Первый, если есть доступ к существующему хозяину, передать роль другому серверу. Второй способ, если помер хозяин, то все эти роли можно захватить. Теперь грабли! Никогда не реанимируйте умершого старого хозяина операций если вы захватили роль с помощью другого контроллера. Только полная переустановка со сносом всей старой системы (установка с нуля) на рухнувшем хозяине. Если вы воскресите старого хозяина и он попробует побороться с нынешнем за свои права начнутся глюки и причем серьезные. Кстати на этих рекомендациях настаивает Микрософт.

[Moore]

Выяснились довольно любопытные подробности. Как оказалось при выключенном бывшем хозяине в домен не возможно залогиниться только на машинах, на которых установлена win2000. На WinXP всё нормально проходит, хотя и днс сервер в настройках сети указан старый... Смотрел в логи на Win2000, ошибка eventID 5719, не найдено контроллера домена Windows NT или Windows 2000 для домена <имя_домена>. Обнаружена следующая ошибка:
Отсутствуют серверы, которые могли бы обработать запрос на вход в сеть. Видимо у WinXP и Win2k серьезно отличается алгоритм поиска контроллера домена... Пока вижу как решение перезавести эти машины в домен заново.
Копался в днсах. Обнаружил, что машины, у которых проблемы с логоном при выключенном первом контроллере, не имеют записей в днс. В настройках сетевого соединения одинаково у обоих прописан днс-сервером первый контроллер.

[And]

Я настаиваю что это проблемы в DNS. Скорее всего приходит не верный список контроллеров домена к клиенту и он их найти не может. Если ты утверждаешь что второй контроллер жив. XP скорее всего логинились с помощью локльного кеша.

[Moore]

Спасибо всем! Всё разрешилось. У них в настройках подключений был указан неверный днс-сервер. После переписывания днс на всех глючных машинах они стали нормально работать.