[Çözüldü] ROOTDC Çökmesi Hk.

Merhaba, dump dosyasını alabiliyorsanız windebug aracı ile kök nedeni araştırabilirsiniz. Aksi durumda dediğiniz gibi vakit kaybetmeye gerek yok. FSMO rolleri size ile taşıyın, sonra metadata ile bu dc ye ait kayıtları güncelleyin, dns leri güncelleyin ve tekrar kurulum yapın. Tabi bu sırada DNS olarak DC olarak bu makineyi gören istemcilerin de sorun yaşayacağını aklınızdan çıkarmayın.

Aklıma gelen tek şey,

Farklı sanalda çalışan driver dosyasını manuel olarak mavi ekran veren sanalın ilgili konumuna atmak. Bir de o şekilde deneyebilirsiniz. Ya da ilgili sürücü dosyasını tamamen silerek deneyebilirsiniz. 

Gönderen: @hakanuzuner

↑

Merhaba, dump dosyasını alabiliyorsanız windebug aracı ile kök nedeni araştırabilirsiniz. Aksi durumda dediğiniz gibi vakit kaybetmeye gerek yok. FSMO rolleri size ile taşıyın, sonra metadata ile bu dc ye ait kayıtları güncelleyin, dns leri güncelleyin ve tekrar kurulum yapın. Tabi bu sırada DNS olarak DC olarak bu makineyi gören istemcilerin de sorun yaşayacağını aklınızdan çıkarmayın.

Merhaba Hakan Bey

Ekstradan bir başlık açıp karışıklık yaratmamak için buradan sormayı arzu ediyorum.

Bu acil durum senaryosunun denemelerini, kendi test ortamımda deniyorum. 

Konu :  DC ve ADC olarak replike çalışan 2 sunucum var. DC'nin çalışmaz durumda olmasına karşın , Adc'nin DC'ye çevirilme işlemi

Dc'yi bilerek down hale getirdim

Dc :192.168.1.2

Adc:192.168.1.3

Çözümpark'tan okuduğum makaleler ve forum soru/cevap kısımları neticesinde  , ntdsutil aracı ile , FSMO rollerinin tamamını Adc'e  taşıdım,Metadata ile DC'yi komple Domain'den çıkardım. "netdom

query fsmo" ile teyit ettim, sorun yok. 

Dns kayıtlarında DC:192.168.1.2 'yi sildim ,bununla ilgili NS kaydını sildim.Sorun yok 

Benim şu aşamadan sonra ADC'yi tam anlamıyla DC yapmak için bir tek Dns düzenlemesi yapmam gerekiyor.

Ama tam da burada takıldım.

Bu aşamada da 2 seçeneğim var.

1. İç networkteki tüm clientlar da mevcut Dns : 192.168.1.2 (ikinci Dns girmedim)

200 terminal var.Hepsinde tek tek 192.168.1.3' e çevirmek gerekiyor değil mi ? 

Bazı bilgisayarlar,Dc sunucunun çökmesinden sonra açılır ise, kullanıcı hiç login olma şansı da olmaz(192.168.1.2 down durumda) buda dns'i değiştirememe/düzeltememe gibi bir duruma neden olur sanki ?  (Siz de zaten DNS olarak DC'i gören makinelerin sorun yaşayacağını belirttiniz.)

2. Hiç ulaşılamayan DC sunucusuna istinaden , ADC 'in ip adresini DC ile değiştirip dns kayıtlarında düzeltip , kullanıcı terminallerinde hiçbir değişiklik yapmadan ortamın ayağa kalkması sağlanmış olur sanki ?

Veya bu 2 maddeden farklı olarak böyle bir senaryoda DNS ile ilgili nasıl bir işlem yapılırsa en az hasarsız ve zaman kaybı ile atlatılabileceğine dair fikirleriniz paylaşırsanız çok sevinirim.

Bir diğer sorum ise , konudan biraz sapan gibi olacak ama konuyla paralel olarak, kullanıcıları domainden çıkarıp geri domaine alma ihtiyacı bile olabilecek bu durum için;

Kullanıcı bilgisayarlarinin,  ilk kez kurulumu esnasında domaine alır iken,  Workgroup/Administrator veya workgroup/user hesaplarından birinin kesinlikle disable konuma getirilmemesi gerekir sanırım, dogru mu düşünüyorum?

Değerli görüşlerinizi rica ediyorum

Saygılarımla

Merhaba,

Öncelikle işletim sistemlerinde birden çok DNS ip adresi girebilmenizin ana sebebi çökme dışında windows yama yüklemesi sonrasındaki kapama açma, geçici elektrik kesintisi, o sunucunun üzerindeki hostun kapanması gibi pek çok örnek senaryo ile ilgili sunucu kapanabilir. Bundan sebep zaten ADC ekliyorsanız mutlaka ortamda ikinci DNS olarak bu ip anons edilmeli.

Client tarafı kolay malum genelde DHCP den aldığı için bunu yapabilirsiniz, sunucularda ise bunu genelde elle yaparız.

Bir DC ve ADC genelde ortamda diğer tüm sunuculardan önce var olduğu için ortama daha sonra eklenen her sunucuya da ikinci dns i eklemek gerekli.

Özetle ikinci DNS tanımlı ise ki öyle olmalı sorun yaşamazsınız. Ancak değil ise zaten ADC makinesine çökmüş olan PDC makine ip adresini ikinci ip adresi olarak verebilirsiniz, bu durumda bir sorun çıkmaz.

Not: aslında kerberos authentication desteği olan ama NTLM kullanmayan makinelerde ilgili ip adresine karşılık dns ismi güncellene kadar sorun olur ama %99 ortamınızda full kerberos sistemler yoktur, pek çok sistem NTLM failback destekler.

Makineleri domainden çıkarmak veya almak gerekmez, sonuçta domain hala duruyor, ancak PDC 100 makine için secure channel bilgisi tutuyor, ADC ise bu sorundan önce eğer replikasyon sorunu yaşıyor ise 60 makine için secure channel password bilgisi tutuyor ise bu geçişten sonra o 40 makine domainden düşer, onda da domain den çıkarıp almanız gerekli.

Sunucularda zaten local admin kaldırmıyorsunuz genelde, istemciler de ise administrator zaten windows 10 ile beraber kapalı geliyor, bu nedenle çoğu organizasyon bu tür durumlar için local admin için ayrı bir hesabı GPO ile tanımlamış oluyorlar, güvenliğini ise LAPS ile sağlıyorlar.

Merhaba Hakan Bey

Bilgilendirme için çok teşekkür ederim, çok güzel bilgiler.

Saygılarımla

Rica ederim.