GPO SYSVOL-Replikation (DFRS) funktioniert nicht

[hpxw]

Hallo,

ich hatte 2x 2012 R2 DC's gehabt. Habe dann um zwei weitere 2022er DC's erweitert. Soweit funktioniert alles.

In der Gruppenrichtlinienverwaltung zeigt er aber immer 3 DC's mit Replikation, die momentan ausgeführt wird. DC-1 ist der Basisdomänencontroller

Was ich probiert habe:
- dcdiag /testdcs

alle DC's erfolgreich

- dcdiag /test:dfsrevent

DC-1 erfolgreich, der Rest ist fehlgeschlagen

- auf DC-1 echo "Test" > \Windows\SYSVOL\domain\scripts\test.txt

auf anderen DC's ist die Datei drauf

Auf den DC-2,3 und 4 sehe ich bei der DFS-Replikation Ereignis-ID 5002 und 5004

Wie könnte ich jetzt weiter vorgehen?

 

[qiller]

Evt. hast du das Problem mit den doppelten Domain-Admin Berechtigungen. Es gab in der Vergangenheit mit irgendnem Patch einen Bug, der versteckte Berechtigungen bei den GPOs hinzufügte (sind nur mit icacls sichtbar). Die Replikation sieht das aber nicht, erkennt aber diese Inkonsistenzen und der GPMC meckert halt rum, dass nicht richtig repliziert sei bzw. die Replikation noch im Gange sei. Das war zumindest bei uns das Problem. Evt ist es auch bei dir so.

https://www.escde.net/blog/gpo-repl...-gruppenrichtlinienobjekt-sind-nicht-synchron

 

[hpxw]

ist nicht der Fall

 

[Syagrius]

Sind die alle am gleichen Standort? Auf welcher Funktionsebene ist deine Domäne? 2016 wird z.b. von Server 2012 nicht mehr unterstützt.

 

[redjack1000]

Welche Fehlermeldungen gibt es im DFSR Eventlog?

Beschreibe die Fehler genau!

CU
redjack

 

[hpxw]

alle am gleichen Standort

Windows2012R2Domain

Ereignis-ID 5002
"Fehler beim DFS-Replikationsdienst bei der Kommunikation mit Partner "DC-1" für Replikationsgruppe "Domain System Volume".

Partner-DNS-Adresse: DC-1.domain.name

Optionale Daten, falls verfügbar:
Partner-WINS-Adresse: DC-1
Partner-IP-Adresse: 10.x.x.x

Der Dienst versucht regelmäßig, die Verbindung erneut herzustellen.

Weitere Informationen:
Fehler: 1753 (In der Endpunktzuordnung sind keine weiteren Endpunkte verfügbar.)
Verbindungs-ID: C64CCC34-4E15-496A-BE56-D6278B462F65
Replikationsgruppen-ID: AD6763E7-766B-4349-9C03-5988F9165EDE"

 

[redjack1000]

Das ist alles?

Cu
redjack

 

[Syagrius]

Vielleicht mal durcharbeiten:

https://learn.microsoft.com/en-us/w...-endpoints-available-from-the-endpoint-mapper

 

[snaxilian]

https://learn.microsoft.com/en-us/w...-endpoints-available-from-the-endpoint-mapper
Da wird noch ein Prozess hängen der die Nutzung des relevanten Ports blockiert.

 

[qiller]

https://kb.eventtracker.com/evtpass/evtpages/EventId_5002_DFSR_52042.asp
Hier schreiben sie auch, dass es ein Firewall- oder DNS-Problem sein könnte. Sind die neuen DCs auch korrekt in den DNS-Einträgen hinterlegt? Welche DNS-Server Einträge sind denn in den Netzwerkadaptern der DCs hinterlegt?

 

[hpxw]

https://learn.microsoft.com/en-us/w...-endpoints-available-from-the-endpoint-mapper
Da wird noch ein Prozess hängen der die Nutzung des relevanten Ports blockiert.

• REPADMIN /SHOWREPL
• REPADMIN /SHOWREPS

alles erfolgreich

dc-1 und -2 haben sich selber in dns servern eingetragen
dc-3 und -4 haben dc-3 und dc-4 drin

DNS Replikation funktioniert einwandfrei

dcdiag /test:dns /v /e
DC-4 PASS PASS PASS PASS PASS PASS n/a
DC-3 PASS PASS PASS PASS PASS PASS n/a
DC-1 PASS PASS PASS PASS PASS PASS n/a
DC-2 PASS PASS PASS PASS PASS PASS n/a

......................... domain.name hat den Test DNS bestanden.

 

[snaxilian]

Hast du die Tests von allen DCs aus probiert oder nur von einem? Ich würde alle Tests einmal von allen DCs ausführen um auszuschließen, dass ggf. nur ein DC abweichend konfiguriert ist oder ein Problem hat.

 

[hpxw]

REPADMIN /SHOWREPL
REPADMIN /SHOWREPS
dcdiag /test:dns /v /e

auf allen DCs erfolgreich

Ergänzung (20. September 2023)

Evt. hast du das Problem mit den doppelten Domain-Admin Berechtigungen. Es gab in der Vergangenheit mit irgendnem Patch einen Bug, der versteckte Berechtigungen bei den GPOs hinzufügte (sind nur mit icacls sichtbar). Die Replikation sieht das aber nicht, erkennt aber diese Inkonsistenzen und der GPMC meckert halt rum, dass nicht richtig repliziert sei bzw. die Replikation noch im Gange sei. Das war zumindest bei uns das Problem. Evt ist es auch bei dir so.

https://www.escde.net/blog/gpo-repl...-gruppenrichtlinienobjekt-sind-nicht-synchron

ich habe es trotzdem probiert obwohl keine doppelte Domänen Admins auftauchten

Auf DC-3 (2022er Server) folgenden Script ausgeführt und danach waren alle DCs synchron.

$Policies = Get-ChildItem C:\Windows\SYSVOL\domain\Policies -Name -Filter "{*}"
foreach ($Policy in $Policies) {
icacls "C:\Windows\SYSVOL\domain\Policies\$policy" /remove:g "<DomainName>\Domain Admins"
icacls "C:\Windows\SYSVOL\domain\Policies\$policy" /grant "<DomainName>\Domain AdminsOI)(CI)(F)"
icacls "C:\Windows\SYSVOL\domain\Policies\$policy"
}


Vielen Dank
#closed

 

[qiller]

ich habe es trotzdem probiert obwohl keine doppelte Domänen Admins auftauchten

Ja in den normalen Dateieigenschaften zeigt der das auch nicht an, nur mit icacls sieht man das (so war es zumindest bei mir). Aber scheint ja doch daran gelegen zu haben und Problem ist behoben.

 

[hpxw]

Auch mit icals wurde auch nur einmal angezeigt.