DNS/Kerberos Fehler am Windows Server

[Michi777]

Liebe Community!

Ich habe aktuell Probleme am Server (DC und EMS Server, AD stammt aus SBS Zeiten), was sich wie folgt äußert:
-DNS Probleme/keine Namensauflösung (Netzlaufwerk kann z.B. nur via IP statt DNS nur abgerufen werden)
-Forticlient EMS Dienst kann nicht gestartet werden (VPN Tunnel manuell geht aber)
-MAC's können nicht der Domäne hinzugefügt werden
-Veeam Backupjob sehr langsam (1MB/s) obwohl HDD performant und OK und bricht dann nach vielen Stunden ab

Auffälligkeiten/Indize:
Das interne Serverzertifikat (Kerberos) ist nach 5 Jahren genau mit dem Datum abgelaufen als die Probleme auftraten, kann jedoch wegen "wrong credentials ldap meldung" nicht neu ausgestellt werden.

Als ich heute früh wegen des EMS Erreichbarkeitsproblems mich hinverbindete war m Lockscreen das "Netzwerksymbol mit Rufzeichen" ala eingeschränkt, Internet war aber vorhanden
Nachdem Serverneustart kam die Netzwerkmeldung "neues netzwerk, möchten sie gefunden werden, obwohl nichts gepatched wurde.

In der Ereignisanzeige sind Fehler dazu zu finden (siehe Screenshots im Anhang).
Neugestartet wurde der Server bereits.

Lösungsversuche:
Bin auch schon mit Systemhaus dran, aber selbst nach Stunden noch nicht gelöst.
Neuen CES Nutzer erstellen wäre denke ich auch etwas kritisch für vl. Folgeprobleme/Verknüpfungen.
https://www.vkernel.ro/blog/install...cate-enrolling-on-non-domain-joined-computers

Bereits versucht:
-Server neustarten
-VEEAM Update
-HDD Zustand auslesen (ist gut)
-Es wurden keine Systemzugänge geändert/gelöscht im AD
-Neues Zertifikat (Computerzertifikate-Personal-AD Enrollment Policy) ausstellen versucht (ldp: authent. fehler)
-Sicherheitsgruppen/Systemnutzer die in andere OU verschoben wurden wieder zurückgeschoben
-Acronis Fileconnect deinstalliert (damit wurde in Vergangenheit AFP:/ Zugriff ermöglicht von MAC's and Server)

Habt ihr da eine Idee?

Vielen Dank im Voraus!

 

[wern001]

Wenn man DNS probleme hat als erstes überprüfen ob der richtige DNS verwendet wird und ob er auch richtig funktioniert.
Hatte mal einen Helden der hat den Telekom DNS als Primären AD-DNS eingetragen.... tztztz...

 

[Michi777]

@wern001
Ja, der Server hat nach wie vor seine manuellen korrekten Netztwerkeinstellungen vergeben.
Er ist auch DNS Servers selbst und hat die Firewall als Default Gateway drinnen.
Daran liegts leider nicht.

 

[qiller]

Ohne korrekte DNS-Auflösung funktioniert ein AD nunmal nicht. Ich würde auch mal behaupten, dass sogut wie alle Fehler ein Folgeproblem der nicht existenten DNS-Auflösung ist. Natürlich funktionieren dann diverse AD gekoppelte Dienste nicht mehr. Ich würde mir den DNS-Server genauer anschauen bzw. die DNS-Auflösung checken.

 

[wern001]

Funktioniert der DNS auch richtig?
hatte schon mal einen AD DNS der keine neuen einträge mehr angenommen hat. Egal was man anstellte.
Funktioniert ping auf FQDN oder FQDN ohne server domain.local (muss Primäre AD antworten)

Wenn der Server gestartet wurde Zeigt der AD-Dienst fehler?

 

[Michi777]

Problem gelöst:
Das lokale Computerkonto (servername$) per Einzeilerbefehl zurückgesetzt und die Lizenzverlängerung neu gemacht.
War trickey und erstmals, aber jetzt geht wieder alles.

Warum sich das Computerzertifikat (für Kerberos) nicht selbst erneuerte und warum die Zugangsdaten vom servername$ nicht mehr stimmten, bleibt ein Mysterium halt.