Пытаюсь сделать миграцию с 2003 на 2012?

Question

[bugzi]

Ничего понять не могу. пытаюсь сделать миграцию с 2003 на 2012. сделал из 2012 gc (роли перекинул, завожу новых пользователей все работает), вырубаю 2003 все пропадает.

Comments

[Роман Безруков]

припозднились вы, однако, с миграцией...
1. 2012 какой - обычный или R2 ?
2. что говорит netdom query fsmo? все роли перенесены на новый КД?
3. со старого КД сняли галку GC (Global Catalog)?

[Роман Безруков]

дополнительно возникает вопрос миграции FRS на DFS

[bugzi]

server 2012r2 ( у меня был зоопарк, 2008 r2 перевел на 2019, 2003 с 2012 реплицировал и оставил, думал потом убью без проблем. что б с ним поковыряться нужно оставаться после работы)
C:\Windows\system32>netdom query fsmo
Хозяин схемы server2012.fguz.local
Хозяин именования доменов server2012.fguz.local
PDC server2012.fguz.local
Диспетчер пула RID server2012.fguz.local
Хозяин инфраструктуры server2012.fguz.local
Команда выполнена успешно.

[bugzi]

первая штанга была когда пробовал еще один сделать только на 2019. 2019 сказал пока лес не подымешь не видать тебе счастья. и тут я пробую выключить 2003 и ни чего не выходит.

[bugzi]

Роман Безруков, это я читал, но прежде чем это сделать сначала нужно убедиться что домен работает.

[bugzi]

Роман Безруков,
галка стоит вроде стоит. и тут написано то мол всё хорошо

[Роман Безруков]

bugzi,

нужно убедиться что домен работает

КД видят друг друга, пинги ходят? DCDIAG запускали - какие ошибки есть? В системных логах что есть?
сразу выключать старый КД не надо - сначала он понижается до рядового сервера, после этого выводится из эксплуатации

[bugzi]

обнаружил что нет репликации
Исходный DSA наиб. дельта сбоев/всего %% ошибка
SERVER1 25d.04h:29m:37s 5 / 5 100 (8457) Конечный сервер в нас
тоящий момент отвергает запросы на репликацию.
SERVER2012 25d.02h:32m:43s 5 / 5 100 (2148074274) Главное конечно
е имя неверно.

[bugzi]

Microsoft Windows [Version 6.3.9600]
(c) Корпорация Майкрософт (Microsoft Corporation), 2013. Все права защищены.

C:\Users\murtazin>dcdiag

Диагностика сервера каталогов

Выполнение начальной настройки:
Выполняется попытка поиска основного сервера...
Основной сервер = server2012
* Определен лес AD.
Сбор начальных данных завершен.

Выполнение обязательных начальных проверок

Сервер проверки: fguz\SERVER2012
Запуск проверки: Connectivity
......................... SERVER2012 - пройдена проверка Connectivity

Выполнение основных проверок

Сервер проверки: fguz\SERVER2012
Запуск проверки: Advertising
Внимание: DsGetDcName вернул сведения для \\server1.fguz.local при
попытке получения доступа к SERVER2012.
СЕРВЕР НЕ ОТВЕЧАЕТ или НЕ СЧИТАЕТСЯ ПРИЕМЛЕМЫМ.
......................... SERVER2012 - не пройдена проверка
Advertising
Запуск проверки: FrsEvent
За последние 24 часа после предоставления SYSVOL в общий доступ
зафиксированы предупреждения или сообщения об ошибках. Сбои при
репликации SYSVOL могут стать причиной проблем групповой политики.
......................... SERVER2012 - пройдена проверка FrsEvent
Запуск проверки: DFSREvent
......................... SERVER2012 - пройдена проверка DFSREvent
Запуск проверки: SysVolCheck
......................... SERVER2012 - пройдена проверка SysVolCheck
Запуск проверки: KccEvent
Возникла ошибка. Код события (EventID): 0xC0000466
Время создания: 12/16/2024 21:31:48
Строка события:
Доменным службам Active Directory не удается подключиться к глобальн
ому каталогу.
Возникло предупреждение. Код события (EventID): 0x8000082C
Время создания: 12/16/2024 21:32:48
Строка события:
......................... SERVER2012 - не пройдена проверка KccEvent
Запуск проверки: KnowsOfRoleHolders
......................... SERVER2012 - пройдена проверка
KnowsOfRoleHolders
Запуск проверки: MachineAccount
......................... SERVER2012 - пройдена проверка
MachineAccount
Запуск проверки: NCSecDesc
......................... SERVER2012 - пройдена проверка NCSecDesc
Запуск проверки: NetLogons
Не удается подключиться к общему ресурсу NETLOGON.
(\\SERVER2012\netlogon)
[SERVER2012] Сбой операции net use или LsaPolicy с ошибкой 67,
Не найдено сетевое имя..
......................... SERVER2012 - не пройдена проверка NetLogons
Запуск проверки: ObjectsReplicated
......................... SERVER2012 - пройдена проверка
ObjectsReplicated
Запуск проверки: Replications
[Проверка репликации,Replications Check] Входящая репликация
отключена.
Для исправления выполните "repadmin /options SERVER2012
-DISABLE_INBOUND_REPL"
[Проверка репликации,SERVER2012] Исходящая репликация отключена.
Для исправления выполните "repadmin /options SERVER2012
-DISABLE_OUTBOUND_REPL"
......................... SERVER2012 - не пройдена проверка
Replications
Запуск проверки: RidManager
......................... SERVER2012 - пройдена проверка RidManager
Запуск проверки: Services
Не удалось открыть службу NTDS в SERVER2012, ошибка 0x5
"Отказано в доступе."
......................... SERVER2012 - не пройдена проверка Services
Запуск проверки: SystemLog
Возникла ошибка. Код события (EventID): 0x40000004
Время создания: 12/16/2024 20:38:06
Строка события:
Клиент Kerberos получил ошибку KRB_AP_ERR_MODIFIED с сервера server2
019v2$. Использовалось целевое имя cifs/server2019v2.fguz.local. Это означает, ч
то целевому серверу не удалось расшифровать билет, предоставленный клиентом. Это
возможно, когда целевое SPN-имя зарегистрировано на учетную запись, отличную от
учетной записи, используемой конечной службой. Убедитесь, что целевое SPN-имя з
арегистрировано только на учетную запись, используемую сервером. Эта ошибка такж
е может возникать, если пароль целевой службы отличается от пароля, заданного дл
я нее в центре распространения ключей Kerberos. Убедитесь, что пароли в службе н
а сервере и в центре распространения ключей совпадают. Если имя сервера задано н
е полностью и конечный домен (FGUZ.LOCAL) отличается от домена клиента (FGUZ.LOC
AL), проверьте эти два домена на наличие учетных записей серверов с одинаковыми
именами или используйте для идентификации сервера полное имя.
Возникло предупреждение. Код события (EventID): 0x00001695
Время создания: 12/16/2024 21:09:36
Строка события:
Ошибка при динамической регистрации или удалении одной или нескольки
х записей DNS, связанных с доменом DNS "fguz.local.". Эти записи используются д
ругими компьютерами для поиска данного сервера как контроллера домена (если указ
ан домен Active Directory) или как сервера LDAP (если указанный домен является р
азделом приложений).
Возникло предупреждение. Код события (EventID): 0x00001695
Время создания: 12/16/2024 21:09:36
Строка события:
Ошибка при динамической регистрации или удалении одной или нескольки
х записей DNS, связанных с доменом DNS "DomainDnsZones.fguz.local.". Эти записи
используются другими компьютерами для поиска данного сервера как контроллера до
мена (если указан домен Active Directory) или как сервера LDAP (если указанный д
омен является разделом приложений).
Возникло предупреждение. Код события (EventID): 0x00001695
Время создания: 12/16/2024 21:09:36
Строка события:
Ошибка при динамической регистрации или удалении одной или нескольки
х записей DNS, связанных с доменом DNS "ForestDnsZones.fguz.local.". Эти записи
используются другими компьютерами для поиска данного сервера как контроллера до
мена (если указан домен Active Directory) или как сервера LDAP (если указанный д
омен является разделом приложений).
Возникла ошибка. Код события (EventID): 0xC0001067
Время создания: 12/16/2024 21:09:36
Строка события:
В системе обнаружен конфликт IP-адреса 192.168.110.134 с системой, и
меющей адрес сетевого устройства 38-60-77-36-F2-4E. В результате могут быть нар
ушены сетевые операции на этих системах.
Возникло предупреждение. Код события (EventID): 0x00001696
Время создания: 12/16/2024 21:10:22
Строка события:
Не удалось выполнить динамическую регистрацию или отмену регистрации
одной или нескольких DNS-записей из-за следующей ошибки:
......................... SERVER2012 - не пройдена проверка SystemLog
Запуск проверки: VerifyReferences
......................... SERVER2012 - пройдена проверка
VerifyReferences

Выполнение проверок разделов на: ForestDnsZones
Запуск проверки: CheckSDRefDom
......................... ForestDnsZones - пройдена проверка
CheckSDRefDom
Запуск проверки: CrossRefValidation
......................... ForestDnsZones - пройдена проверка
CrossRefValidation

Выполнение проверок разделов на: DomainDnsZones
Запуск проверки: CheckSDRefDom
......................... DomainDnsZones - пройдена проверка
CheckSDRefDom
Запуск проверки: CrossRefValidation
......................... DomainDnsZones - пройдена проверка
CrossRefValidation

Выполнение проверок разделов на: Schema
Запуск проверки: CheckSDRefDom
......................... Schema - пройдена проверка CheckSDRefDom
Запуск проверки: CrossRefValidation
......................... Schema - пройдена проверка
CrossRefValidation

Выполнение проверок разделов на: Configuration
Запуск проверки: CheckSDRefDom
......................... Configuration - пройдена проверка
CheckSDRefDom
Запуск проверки: CrossRefValidation
......................... Configuration - пройдена проверка
CrossRefValidation

Выполнение проверок разделов на: fguz
Запуск проверки: CheckSDRefDom
......................... fguz - пройдена проверка CheckSDRefDom
Запуск проверки: CrossRefValidation
......................... fguz - пройдена проверка CrossRefValidation

Выполнение проверок предприятия на: fguz.local
Запуск проверки: LocatorCheck
Внимание! Сбой при вызове функции DcGetDcName(GC_SERVER_REQUIRED),
ошибка 1355
Не удается найти сервер глобального каталога - все глобальные каталоги
отключены.
......................... fguz.local - не пройдена проверка
LocatorCheck
Запуск проверки: Intersite
......................... fguz.local - пройдена проверка Intersite

C:\Users\murtazin>

[bugzi]

C:\Users\murtazin>ping server1

Обмен пакетами с server1.fguz.local [192.168.110.2] с 32 байтами данных:
Ответ от 192.168.110.2: число байт=32 время<1мс TTL=128
Ответ от 192.168.110.2: число байт=32 время<1мс TTL=128
Ответ от 192.168.110.2: число байт=32 время<1мс TTL=128
Ответ от 192.168.110.2: число байт=32 время<1мс TTL=128

Статистика Ping для 192.168.110.2:
Пакетов: отправлено = 4, получено = 4, потеряно = 0
(0% потерь)
Приблизительное время приема-передачи в мс:
Минимальное = 0мсек, Максимальное = 0 мсек, Среднее = 0 мсек

C:\Users\murtazin>

[bugzi]

:\Documents and Settings\murtazin>ping server2012

Обмен пакетами с server2012.fguz.local [192.168.110.3] с 32 байт данных:

Ответ от 192.168.110.3: число байт=32 время<1мс TTL=128
Ответ от 192.168.110.3: число байт=32 время<1мс TTL=128
Ответ от 192.168.110.3: число байт=32 время<1мс TTL=128
Ответ от 192.168.110.3: число байт=32 время<1мс TTL=128

Статистика Ping для 192.168.110.3:
Пакетов: отправлено = 4, получено = 4, потеряно = 0
(0% потерь)
Приблизительное время приема-передачи в мс:
Минимальное = 0мсек, Максимальное = 0 мсек, Среднее = 0 мсек

C:\Documents and Settings\murtazin>

[bugzi]

когда делаю пинг почему -то только 192.168.110.1 отображается, а 192.168.110.3 как будто и нету

C:\Documents and Settings\murtazin>ping fguz.local

Обмен пакетами с fguz.local [192.168.110.1] с 32 байт данных:

Ответ от 192.168.110.1: число байт=32 время<1мс TTL=64
Ответ от 192.168.110.1: число байт=32 время<1мс TTL=64
Ответ от 192.168.110.1: число байт=32 время<1мс TTL=64
Ответ от 192.168.110.1: число байт=32 время<1мс TTL=64

Статистика Ping для 192.168.110.1:
Пакетов: отправлено = 4, получено = 4, потеряно = 0
(0% потерь)
Приблизительное время приема-передачи в мс:
Минимальное = 0мсек, Максимальное = 0 мсек, Среднее = 0 мсек

C:\Documents and Settings\murtazin>

[bugzi]

вручную привязал и отобразился нужный сервер

C:\Users\murtazin>net use
Новые подключения будут запомнены.

Состояние Локальный Удаленный Сеть

-------------------------------------------------------------------------------
OK \\SERVER2012\ipc$ Microsoft Windows Network
Команда выполнена успешно.

C:\Users\murtazin>ping fguz.local

Обмен пакетами с fguz.local [192.168.110.3] с 32 байтами данных:
Ответ от 192.168.110.3: число байт=32 время<1мс TTL=128
Ответ от 192.168.110.3: число байт=32 время<1мс TTL=128
Ответ от 192.168.110.3: число байт=32 время<1мс TTL=128
Ответ от 192.168.110.3: число байт=32 время<1мс TTL=128

Статистика Ping для 192.168.110.3:
Пакетов: отправлено = 4, получено = 4, потеряно = 0
(0% потерь)
Приблизительное время приема-передачи в мс:
Минимальное = 0мсек, Максимальное = 0 мсек, Среднее = 0 мсек

[bugzi]

делал по этой статье https://habr.com/ru/companies/microsoft/articles/2...
но у меня почему то тут не показывает как там.

[Роман Безруков]

bugzi, это после отключения GC на старом КД?

Доменным службам Active Directory не удается подключиться к глобальному каталогу.

Внимание! Сбой при вызове функции DcGetDcName(GC_SERVER_REQUIRED), ошибка 1355
Не удается найти сервер глобального каталога - все глобальные каталоги отключены.

тут точно есть права Domain Admin и запуск DCDIAG был от админа?

Не удалось открыть службу NTDS в SERVER2012, ошибка 0x5 "Отказано в доступе."

если КД 2003 SERVER1 - это 192.168.110.2, КД 2012R2 - это 192.168.110.3, то кто это?

192.168.110.1 отображается

[Роман Безруков]

bugzi, напишите мне в ТГ - в профиле есть...

[MVV]

Роман Безруков,

припозднились вы, однако, с миграцией...

Не сломалось - не чини. А мигрировать на современную версию надо черезо что-то, напряму не выйдет: на 2K3 - FRS, и она пререстала поддерживаться на WinSrv2019/

3. со старого КД сняли галку GC (Global Catalog)?

Зачем. GC - не роль FSMO, в лесу им может быть хоть каждый КД (собственно, начиная с какого-то момента MS стала рекомендовать делать именно так).

[bugzi]

Роман Безруков, 192.168.110.1 это инет, где то прочитал что его тоже добавить нужно в зону

[Роман Безруков]

MVV, да, видимо, сломалось, не работает и потребовалось что-то более современное...шифрование, требования софта, требования всяких органов, хотелка начальства ("чо мы, как лохи, на 2003...") и т.д.

на современную версию надо черезо что-то, напряму не выйдет

это уже было озвучено...

Зачем

все верно, GC может быть любой и каждый - но на 2003 КД он нам не нужен :)

[bugzi]

MVV,

Зачем. GC - не роль FSMO, в лесу им может быть хоть каждый КД (собственно, начиная с какого-то момента MS стала рекомендовать делать именно так).

включил опять GC

[bugzi]

[MVV]

все верно, GC может быть любой и каждый - но на 2003 КД он нам не нужен :)

Роман Безруков, да, но для начала неплохо бы заставить работать 2012 КД. И есть обоснованные подозрения, что с ним там совсем плохо, сносить придется, см. мой ответ.

[bugzi]

Не вздумайте выполнять эту рекомендацию!
Это может быть признаком USN Rollback (из образа КД не восстанавливали случаем?). Я писал в свое время статью - проверьте остальные признаки по ней.
Если USN Rollback, то AD на SERVER2012 придется сносить, с принудительным понижением, захватом ролей FSMO на существующем КД и чисткой AD от его следов.

нет, изначально в виртуалке завел и в ней танцевал, ту рекомендацию уже применил

[MVV]

Что - нет? Сейчас этот КД в виртуалке или на физическом сервере? Есть ошибки при перезагрузке в журнале службы каталогов? Наверняка ведь есть, с чего бы это репликации базы AD отключаться?

[bugzi]

MVV,

Что - нет?

это видимо не сюда что-то ....
нет кд на железе, я не смог его завиртуалить, мышь отваливается и сеть . перепробовал разные, и гипер и бокс тот же эффект. плюнул. вот и не могу с ней пока ничего сделать, боюсь старая железка совсем умрет, и пытаюсь победить.

[RStarun]

bugzi, а просто через disk2vhd и запустить в качестве 1го поколения на hyper-v? Вроде не было таких проблем с 2003

[bugzi]

RStarun, я через него и делал. не получилось. сеть и мышка отваливается напрочь. неделю сидел. по разному пробовал. не хочет

Answer 1

[MVV]

Сначла не дочитал. Увидел ошибку куда серьезнее:

Запуск проверки: Replications
[Проверка репликации,Replications Check] Входящая репликация
отключена.
Для исправления выполните "repadmin /options SERVER2012
-DISABLE_INBOUND_REPL"
[Проверка репликации,SERVER2012] Исходящая репликация отключена.
Для исправления выполните "repadmin /options SERVER2012
-DISABLE_OUTBOUND_REPL"
......................... SERVER2012 - не пройдена проверка

Не вздумайте выполнять эту рекомендацию!
Это может быть признаком USN Rollback (из образа КД не восстанавливали случаем?). Я писал в свое время статью - проверьте остальные признаки по ней.
Если USN Rollback, то AD на SERVER2012 придется сносить, с принудительным понижением, захватом ролей FSMO на существующем КД и чисткой AD от его следов.

Старый ответ.
Ключевая ошибка:

Запуск проверки: FrsEvent
За последние 24 часа после предоставления SYSVOL в общий доступ
зафиксированы предупреждения или сообщения об ошибках. Сбои при
репликации SYSVOL могут стать причиной проблем групповой политики.
......................... SERVER2012 - пройдена проверка FrsEvent

(из комментариев).
SERVER2012 не смог реплицировать себе содержимое SYSVOL, поэтому он не объявляет себя контроллером домена.
Где именно ошибка - смотреть для начала в журнали событий Службы репликации файлов на SERVER2012. По опыту: проблема почти наверняка на старом сервере под Win2K3: пока онбыл один, репликация SYSVOL была никому не нужна, и, скорее всего, она когда-то тихо померла (например, она не переживает внезапное отключение питания). Поэтому, при малейшем подозрении (а можно даже сразу) перезапустите на 2K3 Службу репликации файлов, подождите минут 5-15 и посмотрите в ее журнал событий: скорее всего, там ошибка, может быть даже - с рекомендациями по ее исправлению.
Внимание! Прежде чем пытаться исправлять эту ошибку обязательно сделайте резервную копию содержимого SYSVOL: бывает, что при попытке исправления оно пропадает.
Если затрудняетесь исправить сами - пишите в комментарии, помогу.
PS Снимать галку с Global Catalog(GC) не надо: GC в лесу могут быть хоть все КД (собственно, в наше время нет оснований не делать GC на каждом КД), хотя для леса с одним доменом это, в общем-то, безразлично.

Comments

[bugzi]

вот такую штуку пишет, после ребута службы
Тип события: Ошибка
Источник события: NtFrs
Категория события: Отсутствует
Код события: 13559
Дата: 16.12.2024
Время: 22:45:20
Пользователь: Н/Д
Компьютер: SERVER1
Описание:
Служба репликации файлов обнаружила что путь к корню репликации изменен с "c:\windows\sysvol\domain" на "c:\windows\sysvol\domain". Если это сделано умышленно, то в новом корне необходимо создать файл с именем NTFRS_CMD_FILE_MOVE_ROOT.
Это было обнаружено для следующего набора реплик:
"DOMAIN SYSTEM VOLUME (SYSVOL SHARE)"

Изменение пути к корню реплики является двухэтапным процессом, который запускается при создании файла NTFRS_CMD_FILE_MOVE_ROOT file.

[1] Во время первого опроса, который происходит в течение 5 минут, этот компьютер будет удален из набора реплик.
[2] Во время следующего опроса, этот компьютер будет вновь добавлен к набору реплик с новым путем к корню. Повторное добавление запустит полную синхронизацию дерева для данного набора реплик. После этой синхронизации все файлы будут находится на новом месте. Удалять те же файлы из их прежнего местоположения зависит от того, нужны они еще там или нет.

Дополнительные сведения можно найти в центре справки и поддержки, в "go.microsoft.com/fwlink/events.asp".

[MVV]

bugzi, У вас там есть след ошибки куда опаснее (сразу не увидел) - см. исправленный вариант ответа.
И ещё, что это за ерунда:

server2
019v2$. Использовалось целевое имя cifs/server2019v2.fguz.local.

? Нет ли у вас в сети сервера под WinSrv2019 с AD? Если, есть AD с него надо убирать. Думаю это стоит сделать (если надо) после решения проблемы с сервером под WinSrv2012 - если этого КД нет, там удалить его будет проще - из AD Sites&Services, на 2K3 понадобится ntdsutil.
SYSVOL на 2K3 нужно будет чинить, лучше - не так, как написано в событии(объясню чуть позже, только резервную копию сделать не забудьте!). Но сначала разберитесь с 2012, USN Rollback - штука очень нехорошая.

[MVV]

Лечить FRS на 2K3 лучше всего IMHO по этой статье. В вашем случае на нем нужно выполнить полномочное (authoritative) восстановление с BurFlags = D2. На другом КД (если он вообще останется), как я понимаю, начальная репликация SYSVOL не прошла, так что там ничего лечить не надо.
Если AD на 2012 придется сносить, то вылечить FRS нужно до его повторного повышения.

[bugzi]

MVV, server2019v2 'это сервер виртуалок
ок почитаю завтра. уже мозг спит...