In 12 Schritten zum perfekten Domänen-Controller

Schritt 6: DNS korrekt einstellen

Auf der nächsten Seite des Assistenten zum Erstellen von Active Directory wird erkannt, dass bereits eine Zone vorhanden ist, wenn diese zuvor angelegt wurde. Der Assistent bietet an, eine neue Zone für Active Directory zu installieren und diese unterhalb der bereits vorhandenen Zone zu integrieren.

Bildergalerie

Bildergalerie mit 7 Bildern

Diese DNS-Delegierung sollte aktiviert werden, damit die Daten von Active Directory in einer eigenen Zone unterhalb der herkömmlichen Zone gebündelt werden (siehe: Abbildung 5). Dazu legt der Assistent eine neue Zone mit der Bezeichnung„_msdcs_<DNS-Name des Servers>“ an. In der originalen DNS-Zone legt der Assistent eine Delegierung zur neu angelegten Zone an. So ist sichergestellt, dass Anpassungen an der DNS-Zone des Servers das Active Directory nicht beeinträchtigen.

Schritt 7: Konfiguration abschließen

In den nächsten Fenstern geben Administratoren den NetBIOS-Namen der neuen Domäne an und legen den Speicherort der Datenbank und der Protokolle fest. Im Anschluss muss noch der Ordner festgelegt werden, der als Netlogon- und SYSVOL-Freigabe verwendet wird. In diesem Ordner werden die Anmeldeskripts und später die Gruppenrichtlinien gespeichert. Zum Abschluss testet der Assistent den Server, und ob Active Directory installiert werden kann. Danach beginnt das Heraufstufen zum Domänen-Controller.

Schritt 8: DNS in Active Directory integrieren und sichere Updates konfigurieren

Die erste Maßnahme, die nach der Installation von Active Directory durchgeführt werden sollte, ist die Integration der DNS-Zonen in Active Directory. Durch diese Integration werden die kompletten Daten der DNS-Zonen über die Active Directory-Replikation verteilt.

Um diese Konfiguration zu überprüfen, ruft man zunächst das DNS-Snap-In über den Server-Manager auf. Um die Zone in Active Directory zu integrieren, wird folgendermaßen vorgegangen (siehe: Abbildung 6):

• Klicken Sie mit der rechten Maustaste auf die Zone und wählen Sie im Kontextmenü den Eintrag „Eigenschaften“.

• Auf der Registerkarte „Allgemein“ können Sie durch Klicken auf die Schaltfläche „Ändern“ im Bereich „Typ“ die Zone in Active Directory integrieren lassen.

• Aktivieren Sie im Fenster „Zonentyp ändern“ das Kontrollkästchen „Zone in Active Directory speichern“.

Haben Sie diese Einstellung vorgenommen, können Sie noch im Bereich „Dynamische Updates“ die Option „Nur sichere …“ aktivieren. Bei dieser Einstellung können sich nur Computer, die sich erfolgreich in Active Directory authentifiziert haben, dynamisch für die DNS registrieren.

Schritt 9: DNS-Replikation festlegen

Wurde die Zone in Active Directory integriert, kann auch die Replikation der DNS-Daten angepasst werden (siehe: Abbildung 7). In den Eigenschaften einer Zone ist dazu im Bereich „Replikation“ die Schaltfläche „Ändern“ zu betätigen. Danach kann konfiguriert werden, auf welche Server im Netzwerk die DNS-Daten repliziert werden sollen. Standardmäßig werden die Daten einer DNS-Zone nur auf den Domänen-Controller der Windows-Domäne repliziert. Die Replikation kann jedoch auch ohne weiteres auf mehr Server ausgedehnt werden.

Bildergalerie

Bildergalerie mit 7 Bildern

Schritt 10: DNS-IP-Einstellungen anpassen

Gibt man nach der Fertigstellung der Installation von Active Directory auf dem Domänencontroller in der Eingabeaufforderung „nslookup“ ein, erhält man unter Umständen eine etwas verwirrende Ausgabe: Der Server gibt als Adresse „:1“ zurück.

Diese Ausgabe wird durch eine Konfiguration der Netzwerkverbindungen verursacht. Um das Problem zu beheben, wird folgendermaßen vorgegangen:

• Rufen Sie zunächst die Verwaltung Ihrer Netzwerkverbindungen mit „ncpa.cpl“ auf.

• Rufen Sie die Eigenschaften des IPv6-Protokolls auf. Aktivieren Sie die Option „DNS-Serveradresse automatisch beziehen“. Durch diese Konfiguration vermeiden Sie die irreführende Meldung in Nslookup.

• Rufen Sie als nächstes die Eigenschaften für das IPv4-Protokoll auf. Auch hier hat der Assistent als bevorzugten DNS-Server die Adresse des lokalen Hosts hinterlegt (127.0.0.1). In diesem Fall funktionieren zwar Abfragen per DNS, aber diese Konfiguration ist nicht sauber und resultiert in einer fehlerhaften Ausgabe bei Nslookup. Tragen Sie auch hier die richtige IPv4-Adresse des Servers ein. Anschließend sollte die Eingabe von nslookup in der Eingabeaufforderung keine Fehler mehr ausgeben.

Schritt 11: Notwendige Nacharbeiten nach der Integration eines zusätzlichen Domänen-Controller

Haben Administratoren einen neuen Domänen-Controller in die Domäne aufgenommen, sollten sie noch einige Nacharbeiten durchführen, um den Domänen-Controller optimal einzubinden:

• Überprüfen Sie, ob die Daten der DNS-Zonen auf den neuen Domänen-Controller repliziert wurden.

• Tragen Sie in den IP-Einstellungen der einzelnen Domänen-Controller jeweils den anderen Domänen-Controller als bevorzugten Server und als alternativen Domänen-Controller den lokalen Server ein, zumindest dann, wenn sich beide am selben Standort befinden.

Bildergalerie

Bildergalerie mit 7 Bildern

Nach einigen Minuten sollten Sie die Replikation der beiden Domänencontroller überprüfen. Starten Sie dazu das Snap-In „Active Directory-Standorte und -Dienste“ über das Menü "Tools" im Server-Manager. Navigieren Sie zum Knoten des Namens des Standorts und öffnen Sie den Knoten „Servers“. An dieser Stelle sollten alle Domänen-Controller angezeigt werden.

Klicken Sie bei den Servern auf das Pluszeichen, sehen Sie darunter einen weiteren Eintrag mit der Bezeichnung „NTDS-Settings“. Klicken Sie auf diesen, wird auf der rechten Seite jeder Replikationspartner des Domänen-Controller angezeigt.

Klicken Sie auf diese automatisch erstellten Verbindungen mit der rechten Maustaste, können Sie im Kontextmenü die Option „Jetzt replizieren“ auswählen. Im Anschluss daran erscheint ein Fenster, das Sie über die erfolgreiche Replikation informiert.

Schritt 12: Active Directory-Domänen-Controller testen und Fehler beheben

In Active Directory müssen sich die Domänen-Controller fehlerfrei replizieren können. In der grafischen Oberfläche ist allerdings nicht zu erkennen, wie man die Server testen und die Synchronisierung überprüfen kann.

Domänen-Controller und deren Replikation überprüfen Sie am besten in der Befehlszeile der Server. Mit „dcdiag /v“ starten Sie eine gründliche Überprüfung von Active Directory. Erscheinen hier Fehlermeldungen, haben Sie oft schon die Ursache für Replikationsfehler gefunden.

Geben Sie die Fehler in Google ein, erhalten Sie meist einige Hinweise zur Fehlerbehebung. Wollen Sie nur Fehler angezeigt bekommen, verwenden Sie „dcdiag /q“. Wollen Sie nur einen einzelnen Domänen-Controller über das Netzwerk testen, verwenden Sie „dcdiag /s:<Name des Domänencontrollers>“.

„Repadmin /showreps“ zeigt die Replikationen der Domänencontroller an. Können sich einzelne Domänen-Controller nicht replizieren, sehen Sie recht schnell welcher Domänen-Controller die Quelle des Problems ist. Mit „repadmin /showreps >c:\rep.txt“ lassen sich die Daten in eine Textdatei umleiten.

Zusätzlich sollten Sie überprüfen, ob alle Domänen-Controller korrekt in AD registriert sind. Dazu verwenden Sie den Befehl „nltest /dclist:Contoso“. Überprüfen Sie für die einzelnen Domänen- Controller ferner, ob sie ihren eigenen Standort kennen. Der zugehörige Befehl lautet „nltest /dsgetsite“.

*Der Autor:

Thomas Joos ist freier Autor und schreibt Fachartikel und -bücher. Auf DataCenter-Insider hält er in seinem Blog „Toms Admin-Blog“ zahlreiche Tipps für Administratoren bereit.

(ID:44323165)