Systemfehler: 8209

[Lloyd Christmas]

Hallo,

mein W2k-Server spuckt mir neuerdings folgende Meldung aus, wenn ich versuchen einen neuen Benutzer im AD zu erstellen:

8209 = Es sind keine relativen Bezeichner für den Verzeichnisdienst vorhanden.

Was ist damit gemeint?

Wenn das erscheint, kann ich nicht mehr ins ADS, er findet dann die Domäne nicht und dann hilft auch wirklich nur ein neustart. Was sehr lästig ist.

[Lloyd Christmas]

Da bin ich wieder... Schade, das scheint wirklich niemand zu wissen, ich finde nämlich auch nichts dazu im gesamten WWW. Merkwürdig.

Naja, wenn ich ins Ereignisprotokoll schaue, finde ich noch folgenden Eintrag:

Die maximale Anzahl an Kontenbezeichnern wurde für diesen Domänencontroller zugewiesen. Der Domänencontroller kann keinen weiteren Bezeichnerpool erhalten. Ein möglicher Fehlergrund ist, dass der Domänencontroller keine Verbindung zu dem Hauptcontroller dieser Domäne herstellen konnte. Es können keine weiteren Konten erstellt werden, solange kein neuer Pool zugewiesen wurde. Eventuell bestehen Netzwerkverbindungprobleme in der Domäne, oder der Hauptdomänencontroller ist offline oder fehlt. Stellen sie sicher, dass der Hauptdomänencontroller läuft und über einen Netzwerkzugriff verfügt-

Dazu muss ich sagen, die ist der Hauptdomänencontroller und er geht nur in den "offline mode", wenn ich versuche einen neuen Benutzer anzulegen. Dann schießt er mir das AD ab und ich muss booten um wieder Zugriff darauf zu erhalten.

Würde mich über jeden Hinweis, Tipp etc. freuen.

[janlutmeh]

Dann werd doch bitte mal ein bisschen genauer.

Gibts im Ereignisprotokoll auch eine Quelle, oder weiterführende Angaben?

Ist das der einzige DC? Gibt es zeitgleich in anderen Logs Einträge, z. B. im DNS? Sind alle DNS-Einträge vorhanden die da sein sollten, also hat sich der DC bei sich selbst registriert, sonst findet er sich nicht. Funktioniert die Namensauflösung?

Arbeitest Du lokal am Server oder von einem Client aus?

Hast Du die Funktin des DC schon mit dcdiag überprüft.?

[Lloyd Christmas]

Dann werd doch bitte mal ein bisschen genauer.

Gibts im Ereignisprotokoll auch eine Quelle, oder weiterführende Angaben?

Ist das der einzige DC? Gibt es zeitgleich in anderen Logs Einträge, z. B. im DNS? Sind alle DNS-Einträge vorhanden die da sein sollten, also hat sich der DC bei sich selbst registriert, sonst findet er sich nicht. Funktioniert die Namensauflösung?

Arbeitest Du lokal am Server oder von einem Client aus?

Hast Du die Funktin des DC schon mit dcdiag überprüft.?

Diese Meldung habe aus dem Ereignisprotokoll - System.

Ja, das ist der einzige DC, es gibt auch keinen BDC, es existiert nur der eine PDC.

Unter DNS sind, soweit ich weiß, alle Einträge vorhanden.

Woran erkenne ich, ob sich der DC bei sich selbst anmeldet?

Die Namensauflösung funktioniert. Ich arbeite über den Terminaldienstclient daran. Kann mich aber auch direkt daran setzen

Habe nun dcdiag ausgefüht, er hat einige Fehler ausegspuckt und nun komme ich nicht mehr ins AD rein, muss also wieder neu booten.

[janlutmeh]

Dannposte doch mal die Fehler aus dem DCdiag, vielleicht kommt man dann weiter.

In der Ereignisanzeige gibts in den Details des Fehlers den Eintrag Quelle, steht rechts oben, was steht denn da als Quelle?

[Lloyd Christmas]

Dannposte doch mal die Fehler aus dem DCdiag, vielleicht kommt man dann weiter.

In der Ereignisanzeige gibts in den Details des Fehlers den Eintrag Quelle, steht rechts oben, was steht denn da als Quelle?

Also ich hab 2 Screenshots gemacht, aber jetzt macht er nur die hälfte, die er vorher gemacht hat. Die meisten Fehler tachen plötzlich nicht mehr auf.

Bild1

Bild2

Dann habe ich unter Directory Servicein der Ereignisanzeige noch folgenden Hinweis gefunden:

15.02.2005 - Quelle NTDS General - Kategorie: Globaler - Typ: Fehler - Benutzer: Jeder

Die Verbindung mit dem globalenKatalog konnte nicht hergestellt werden.

Und nun zu der anderen Fehlermeldung:

15.02.2005 - Quelle: SAM - Kategorie: Keine - Typ: Fehler - Benutzer: Nicht zutreffend

Und dann halt die Nachricht mit der maximalen Anzahl der Kontenbezeichner

[Lloyd Christmas]

Also für mich sieht es so aus, als würde er hochfahren, die meisten Dienste ausführen, aber sich selbst nicht als PDC erkennen... könnte das sein? Und wie sag ich ihm, ohne das irgendwelche Einstellung verloren gehen, dass er doch der DC ist???

[janlutmeh]

Deinen Bildern entnehme ich das das kein einzelstehender Server ist / war (Er versucht ja vergeblich zu replizieren). So schaut das aus als ob er den globalen Catalog nicht findet, vielleicht weil der eigentlich auf einem anderen Server ist.

Gibt es mehrere DC´s? Welche der Server halten dann welche FSMO Rollen? Sind vielleicht mehrere DC´s vorhanden und auf diesem Server laufen GC und Infrastrukturmaster gleichzeitig (soll nicht so sein)?

Sind die Einträge für den GC im DNS korrekt und eindeutig?

[Lloyd Christmas]

Deinen Bildern entnehme ich das das kein einzelstehender Server ist / war (Er versucht ja vergeblich zu replizieren). So schaut das aus als ob er den globalen Catalog nicht findet, vielleicht weil der eigentlich auf einem anderen Server ist.

Gibt es mehrere DC´s?

Nein, es gibt nur den einen. Es gibt zwar einen weiteren, aber der ist nicht am Netz und der hat auch nichts damit zu tun. Also es gibt nur diesen einen.

Welche der Server halten dann welche FSMO Rollen?

Hmm, keine Ahnung... weiß ja nicht mal wirklich was FSMO sind???

Sind vielleicht mehrere DC´s vorhanden und auf diesem Server laufen GC und Infrastrukturmaster gleichzeitig (soll nicht so sein)?

Nein, es ist nur ein DC vorhanden und das ist dieser, mit Namen SERVER

Sind die Einträge für den GC im DNS korrekt und eindeutig?

Woher sehe ich, obs nicht korrekt ist? DNS scheint zu laufen, wenn ich nämlich von hier im Browser SERVER eingebe, komme ich auf unser Intranet, was dort abgelegt ist.

[janlutmeh]

Im dcdiag hat man gesehen das der DC versucht hat sich mit nem Server namens Backup Server zu verbinden, was nicht geklappt hat.

Daher auch die Frage obs der einzige ist.

FSMO sind die Betriebsmasterrollen. Das sind Funktionen die in jeder Domäne bzw. jedem Active Directory nur einmal vorhanden sein dürfen.

Die Einträge für die Domänencontroller findest Du in der DNS-Konsole in den Forward-Lookupzonen. Unter _msdcs.DeineDomäne. Dort findest Du unter DC alle Einträge für die Domänencontroller, unter GC die Einträge für die globalen Katalogserver.

[Lloyd Christmas]

Im dcdiag hat man gesehen das der DC versucht hat sich mit nem Server namens Backup Server zu verbinden, was nicht geklappt hat.

Daher auch die Frage obs der einzige ist.

FSMO sind die Betriebsmasterrollen. Das sind Funktionen die in jeder Domäne bzw. jedem Active Directory nur einmal vorhanden sein dürfen.

Die Einträge für die Domänencontroller findest Du in der DNS-Konsole in den Forward-Lookupzonen. Unter _msdcs.DeineDomäne. Dort findest Du unter DC alle Einträge für die Domänencontroller, unter GC die Einträge für die globalen Katalogserver.

Den gibts zwar, der ist aber nie an... Bzw. war er heute mal an, aber das Problem bestand schon vorher. Ich dachte nur, vielleicht kann ich was mit dem Back-Server was anfangen. Aber das war nichts. Jedenfalls kann man den nicht dazuzählen...

Und was muss da sethen in den DNS Einträgen bzw. GC???

[janlutmeh]

Na wenn der nie an ist wundert mich nicht das es zu Fehlern kommt wenn die Jungs sich nicht replizieren können. Überprüf doch mal welche FSMO Rollen auf welchen Servern liegen. Welchher der Server war denn zu erst da?

Die Betriebsmaster kann man sich anzeigen lassen wie folgt:

Active Directory Benutzer und Computer - Eigenschaften der Domäne - Betriebsmaster

dort findet man RID, PDC und Infrastrukturmaster

Active Directory Domänen und Vertrauensstellungen - Eigenschaften (nicht der Domäne sondern Verzeichnis root) - Betriebsmaster

dort findet man den DomainNamingMaster

Um den Schemamaster anzu zeigen muss zunächst das Schema Snapin registriert werden, asuführen regsvr32 schmmgmt.dll, anschliessend eine mmc öffnen und das AD Schema SnapIn hinzufügen

Dort findet man dann unter den Eigenschaften des Schema wieder den Betriebsmaster.

Den Globalen Katalog kann man über die DNS Einträge oder mit Ntdsutil identifizieren.

Waren ggf. Standorte definiert?

Irgendeinen Zweck muss dieser Backup Server ja schliesslich auch mal gehabt haben.

Im DNS soltte dann unter GC die IP Adresse eines Servers auftauchen der im Netz steht und DC der Domäne ist.

[Tabara]

Active Directory- Benutzer und Computer - rechtsklick auf das Active Directory und dort auf Betriebsmaster - nun siehst du 3 der 5 Rollen aufgelistet und kannst nachschauen welcher Server dafür eingetragen ist.

Active Directory - Domänen und -Vertrauensstellungen - rechtsklick und Betriebsmaster - usw.

Die Kontrolle des Schemamasters ist mir nun zu aufwändig zu erläutern..

Active Directory - Standorte und Dienste - rechtsklick auf die NTDS-Settings deines Servers innerhalb deines Standortes - Eigenschaften und gucken ob der Haken für den Global Catalog noch gesetzt ist.

[Lloyd Christmas]

Also, zum ersten Punkt über die RIP, PDC und Infrastrukturmaster:

Das ist jeweils der server.lbzh

Zu den Vertrauensstellungen:

Es gibt dort keine Einträge über Vertrauenseinstellung, außer welcher Domänenmodus es ist. (gemischt)

Hmm, und zu den anderen Punkten:

Der Hacken beim GC ist noch gesetzt...

[hades]

Was steht im AD unter Domain Controllers?

[Lloyd Christmas]

Was steht im AD unter Domain Controllers?

Joar, nur der eine SERVER... und dann halt einige Unterpunkte...

[hades]

Fuer mich sieht Dein Szenario wie folgt aus:

SERVER - DC mit allen FSMO-Rollen und GC

Backup Server - war mal ein DC, der aus dem AD nicht sauber entfernt wurde

D.h. der Replikationsdienst versucht erfolglos den nicht mehr vorhandenen DC zu erreichen.

Ein einfaches Loeschen des Computerkontos im AD reicht nicht, um einen DC zu entfernen.

Der richtige Weg waere das Nutzen von dcpromo auf dem Backup Server, um diesen von einem DC auf einen Memberserver herunterzustufen.

Wie gross ist die Domaene?

[Lloyd Christmas]

Fuer mich sieht Dein Szenario wie folgt aus:

SERVER - DC mit allen FSMO-Rollen und GC

Backup Server - war mal ein DC, der aus dem AD nicht sauber entfernt wurde

D.h. der Replikationsdienst versucht erfolglos den nicht mehr vorhandenen DC zu erreichen.

Ein einfaches Loeschen des Computerkontos im AD reicht nicht, um einen DC zu entfernen.

Der richtige Weg waere das Nutzen von dcpromo auf dem Backup Server, um diesen von einem DC auf einen Memberserver herunterzustufen.

Wie gross ist die Domaene?

Aha... klingt interessant.

Also eins vorweg noch:

Wenn ich den BACKUP-SERVER versuche über die Konfiguarationsmaske als Mitgliedsserver zu konfigurieren, kommt eine Fehlermeldung, dass der Dienst nicht installiert wurde...

OK, weiter zu Deinem Vorschlag.

In der Domäne befinden sich ca. 40 Rechner.

Es sind ca. 200 Benutzerkonten angelgt.

Kann man die Gruppenrichtlinien und die ganzen Berechtigungen, die man per Hand auf bestimmte Konten ausgeführt hat sichern und irgendwie zurückspielen???

[hades]

Zu Deinem Problem gibt es neben dcdiag noch folgende Analysetools:

MPSReport_DirSvc

MPSReport_SetupPerf

Beide findest Du hier:

http://www.microsoft.com/downloads/details.aspx?FamilyID=cebf3c7c-7ca5-408f-88b7-f9c79b7306c0&displaylang=en

Gruppenrichtlinien lassen sich mit der GPMC sichern.

http://www.microsoft.com/downloads/details.aspx?FamilyId=0A6D4C24-8CBD-4B35-9272-DD3CBFC81887&displaylang=de

[Lloyd Christmas]

Hallo Leude,

gibt es ein Tool womit man die Integrietät der AD Datenbank überprüfen kann??? Irgendwas in der Richtung????????

Thnx

[Lloyd Christmas]

Hallo,

also der Server scheint nach Wiederherstellungsversuchen total hinüber zu sein.

Was jetzt nicht mehr geht:

Ist die Benutzeranmeldung der Servergespeicherten Profile

Die Drucker lassen sich nur noch per Hand ansteuern

Die Gruppenrichtlinien werden nicht übernommen.

Also ich habe nun ein ziemliches Problem vor dem ich stehe. Die Wiederherstellungskonsole von Windows taugt nichts, da dadurch alles nur noch schlimmer geworden ist. Ich wollte ein älteres Backup laden und damit hat er mir dann die Gruppenrichtlinie abgeschossen. Beim Versuch das letzte Backup wieder einzuspielen, was vorgestern Nacht um 2 gelaufen ist, wurde es noch schlimmer, denn dann konnte er den Verzeichnisdienst mit mehr laden.

Tja, setz ich den Server jetzt neu und mach die Arbeit von 2 1/2 Jahren mit einigen Mausklicks zu nichte oder gibts noch irgendwo ganz tolle "IT-Profi-Backup-Recovery-Sicherheits-Tools-Programme-Utilities" die alles wieder von selbst reparieren???

[hades]

Von selbst repariert sich nichts.

Datensicherung und erst dann das System neu aufsetzen.

Auch solltest Du Dein Backup ab und an auf einem Testsystem testen.

[Lloyd Christmas]

Von selbst repariert sich nichts.

Datensicherung und erst dann das System neu aufsetzen.

Auch solltest Du Dein Backup ab und an auf einem Testsystem testen.

Jo, aber diesmal wird von Hand gesichert, dass ich auch weiß, was gesichert und das es überhaupt gesichert wird.

Nochmal lasse ich mich auf dieses Würfeln nicht ein.

Ich sehe auch leider keine andere Lösung. Mist, naja wenigstens bin ich dann schlauer

Thnx @ all