Как организовать резервный контроллер домена Windows Server 2012 R2?

Question

[squidw]

По следам вопроса задаваемого мной ранее: Как лучше организовать 2 контроллера домена DC? отчастья.
Изначально в организации было 2 DC, оба виртуальных, второй отключили вместо него настраиваю новый. Домен %DOMAIN%.LOCAL
Основной контроллер домена имя DC1(192.168.0.250) является виртуальным, Windows Server 2012 Standard. Крутится на хосте Windows Hyper-V Server 2012.
Второй контроллер домена имя DC3(192.168.0.9), физический Windows Server 2016. Его пытаюсь сделать резервным в случае отказа первого. Да да я знаю что в принципе понятия с формальной точки зрения "резервный DC" не существует, лучше помогите с вопросом чем умничать некоторых советчиков попрошу.

Режим работы леса и домена windows server 2008 r2. Оба в одной локальной сети, Оба DC в домене, оба GC, на обоих установлены роли DNS, DHCP. DNS я так понимаю реплицируется из коробки, да в прямую и обратную зону на DC3 попали машины с DC1 когда я смотрел в MMC DNS. DHCP настроил в режиме горячей замены, насколько это правильно с точки зрения отказ-ти, может другой режим?
При тесте отключил DC1, попытался на клиентской машине зайти под юзером которым еще ни разу не заходил на этой машине, результат ошибка "Отсутствуют серверы, которые могли бы обработать запрос на вход в сеть". При попытке войти существующим пользователем на клиентской машине вроде всё нормально вошел. Кроме того после обратного включения DC1 я смог зайти только через 59manager пока не синхронизировался хост и DC1 который на нем висит, лишь минут так через 10-30. То есть DC3 не отрабатывает как резервный DC насколько я понял.

Пинги в оба конца есть dc1->dc3, dc3->dc1. И да я пробовал ставить DNS перекрестно, для dc1 первый dc3, для dc3 первый dc1. Вопросы в самом конце еще есть.
Я постарался подготовить вопрос собрал параметры обоих DC:
DC1:
ВЫВОД IPCONFIG:
Настройка протокола IP для Windows
Имя компьютера . . . . . . . . . : DC1
Основной DNS-суффикс . . . . . . : DOMAIN.LOCAL
Тип узла. . . . . . . . . . . . . : Гибридный
IP-маршрутизация включена . . . . : Нет
WINS-прокси включен . . . . . . . : Нет
Порядок просмотра суффиксов DNS . : DOMAIN.LOCAL
Ethernet adapter Ethernet:
DNS-суффикс подключения . . . . . :
Описание. . . . . . . . . . . . . : Сетевой адаптер Hyper-V (Майкрософт)
Физический адрес. . . . . . . . . : 00-15-5D-11-FE-01
DHCP включен. . . . . . . . . . . : Нет
Автонастройка включена. . . . . . : Да
Локальный IPv6-адрес канала . . . : fe80::c0a8:fa%12(Основной)
Локальный IPv6-адрес канала . . . : fe80::f459:f53a:6d4f:4507%12(Основной)
IPv4-адрес. . . . . . . . . . . . : 192.168.0.250(Основной)
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз. . . . . . . . . : 192.168.0.15
IAID DHCPv6 . . . . . . . . . . . : 251663709
DUID клиента DHCPv6 . . . . . . . : 00-01-00-01-1B-26-37-01-00-15-5D-11-FE-01
DNS-серверы. . . . . . . . . . . : fe80::c0a8:fb%12
fe80::c0a8:fa%12
fe80::c0a8:fd%12
192.168.0.250
192.168.0.9
NetBios через TCP/IP. . . . . . . . : Включен
Туннельный адаптер Reusable ISATAP Interface {7AC827F7-4A02-4959-9BB2-90F2B86DE671}:
Состояние среды. . . . . . . . : Среда передачи недоступна.
DNS-суффикс подключения . . . . . :
Описание. . . . . . . . . . . . . : Адаптер Microsoft ISATAP
Физический адрес. . . . . . . . . : 00-00-00-00-00-00-00-E0
DHCP включен. . . . . . . . . . . : Нет
Автонастройка включена. . . . . . : Да
Туннельный адаптер isatap.{24942D37-D692-4B32-9D16-82F8B0811DDF}:
Состояние среды. . . . . . . . : Среда передачи недоступна.
DNS-суффикс подключения . . . . . :
Описание. . . . . . . . . . . . . : Адаптер Microsoft ISATAP #2
Физический адрес. . . . . . . . . : 00-00-00-00-00-00-00-E0
DHCP включен. . . . . . . . . . . : Нет
Автонастройка включена. . . . . . : Да
Туннельный адаптер Teredo Tunneling Pseudo-Interface:
Состояние среды. . . . . . . . : Среда передачи недоступна.
DNS-суффикс подключения . . . . . :
Описание. . . . . . . . . . . . . : Teredo Tunneling Pseudo-Interface
Физический адрес. . . . . . . . . : 00-00-00-00-00-00-00-E0
DHCP включен. . . . . . . . . . . : Нет
Автонастройка включена. . . . . . : Да

ВЫВОД NETDOM QUERY FSMO:
Хозяин схемы DC1.DOMAIN.LOCAL
Хозяин именования доменов DC1.DOMAIN.LOCAL
PDC DC1.DOMAIN.LOCAL
Диспетчер пула RID DC1.DOMAIN.LOCAL
Хозяин инфраструктуры DC1.DOMAIN.LOCAL
Команда выполнена успешно.

ВЫВОД NETDOM QUERY TRUST:
Направление доверенный\Доверяющий домен Тип доверия
=========== ============================ ==========
Команда выполнена успешно.

ВЫВОД NSLOOKUP до DC3:
DNS request timed out.
timeout was 2 seconds.
Сервер: UnKnown
Address: fe80::c0a8:fb
DNS request timed out.
timeout was 2 seconds.
DNS request timed out.
timeout was 2 seconds.
DNS request timed out.
timeout was 2 seconds.
Сервер: UnKnown
Address: fe80::c0a8:fb
DNS request timed out.
timeout was 2 seconds.
DNS request timed out.
timeout was 2 seconds.
DNS request timed out.
timeout was 2 seconds.
DNS request timed out.
timeout was 2 seconds.
DNS request timed out.
timeout was 2 seconds.
Сервер: UnKnown
Address: fe80::c0a8:fb
DNS request timed out.
timeout was 2 seconds.

ВЫВОД REPADMIN:
СООБЩЕНИЕ ОБРАТНОГО ВЫЗОВА: Сейчас выполняется следующая репликация:
От: 7ea06dd2-f3cf-4990-b0ec-7ecaae12c8bd._msdcs.DOMAIN.LOCAL
Кому: f97b0f16-427e-49e5-a480-36f0a3b35506._msdcs.DOMAIN.LOCAL
СООБЩЕНИЕ ОБРАТНОГО ВЫЗОВА: Следующая репликация успешно завершена:
От: 7ea06dd2-f3cf-4990-b0ec-7ecaae12c8bd._msdcs.DOMAIN.LOCAL
Кому: f97b0f16-427e-49e5-a480-36f0a3b35506._msdcs.DOMAIN.LOCAL
СООБЩЕНИЕ ОБРАТНОГО ВЫЗОВА: Завершена операция SyncAll.
Команда SyncAll завершена без ошибок.

DC3:
ВЫВОД IPCONFIG:
Настройка протокола IP для Windows
Имя компьютера . . . . . . . . . : DC3
Основной DNS-суффикс . . . . . . : DOMAIN.LOCAL
Тип узла. . . . . . . . . . . . . : Гибридный
IP-маршрутизация включена . . . . : Нет
WINS-прокси включен . . . . . . . : Нет
Порядок просмотра суффиксов DNS . : DOMAIN.LOCAL
Адаптер Ethernet Ethernet 2:
DNS-суффикс подключения . . . . . :
Описание. . . . . . . . . . . . . : Realtek PCIe GBE Family Controller
Физический адрес. . . . . . . . . : 40-61-86-96-A3-92
DHCP включен. . . . . . . . . . . : Нет
Автонастройка включена. . . . . . : Да
Локальный IPv6-адрес канала . . . : fe80::cd10:1e51:e505:3c0b%2(Основной)
IPv4-адрес. . . . . . . . . . . . : 192.168.0.9(Основной)
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз. . . . . . . . . : 192.168.0.1
IAID DHCPv6 . . . . . . . . . . . : 121659782
DUID клиента DHCPv6 . . . . . . . : 00-01-00-01-20-58-B4-CC-C8-3A-35-D6-55-CC
DNS-серверы. . . . . . . . . . . : ::1
192.168.0.9
192.168.0.250
NetBios через TCP/IP. . . . . . . . : Включен
Адаптер Ethernet Ethernet:
Состояние среды. . . . . . . . : Среда передачи недоступна.
DNS-суффикс подключения . . . . . :
Описание. . . . . . . . . . . . . : Realtek RTL8139/810x Family Fast Ethernet NIC
Физический адрес. . . . . . . . . : C8-3A-35-D6-55-CC
DHCP включен. . . . . . . . . . . : Да
Автонастройка включена. . . . . . : Да
Туннельный адаптер isatap.{9D1F1299-3017-449D-9CB2-575EFA08964F}:
Состояние среды. . . . . . . . : Среда передачи недоступна.
DNS-суффикс подключения . . . . . :
Описание. . . . . . . . . . . . . : Microsoft ISATAP Adapter
Физический адрес. . . . . . . . . : 00-00-00-00-00-00-00-E0
DHCP включен. . . . . . . . . . . : Нет
Автонастройка включена. . . . . . : Да
Туннельный адаптер isatap.{0DD4A79E-C561-4B45-85EE-00BFDE69A870}:
Состояние среды. . . . . . . . : Среда передачи недоступна.
DNS-суффикс подключения . . . . . :
Описание. . . . . . . . . . . . . : Microsoft ISATAP Adapter #2
Физический адрес. . . . . . . . . : 00-00-00-00-00-00-00-E0
DHCP включен. . . . . . . . . . . : Нет
Автонастройка включена. . . . . . : Да

ВЫВОД NETDOM QUERY FSMO:
Хозяин схемы DC1.DOMAIN.LOCAL
Хозяин именования доменов DC1.DOMAIN.LOCAL
PDC DC1.DOMAIN.LOCAL
Диспетчер пула RID DC1.DOMAIN.LOCAL
Хозяин инфраструктуры DC1.DOMAIN.LOCAL
Команда выполнена успешно.

ВЫВОД NETDOM QUERY TRUST:
Направление доверенный\Доверяющий домен Тип доверия
=========== ============================ ==========
Команда выполнена успешно.

ВЫВОД NSLOOKUP до DC1:
Сервер: UnKnown
Address: ::1
Имя: dc1.DOMAIN.LOCAL
Address: 192.168.0.250
Сервер: UnKnown
Address: ::1
Имя: dc1.domain.local
Address: 192.168.0.250
Сервер: UnKnown
Address: ::1
Имя: dc1.domain.local
Address: 192.168.0.250

ВЫВОД REPADMIN:
СООБЩЕНИЕ ОБРАТНОГО ВЫЗОВА: Сейчас выполняется следующая репликация:
От: f97b0f16-427e-49e5-a480-36f0a3b35506._msdcs.DOMAIN.LOCAL
Кому: 7ea06dd2-f3cf-4990-b0ec-7ecaae12c8bd._msdcs.DOMAIN.LOCAL
СООБЩЕНИЕ ОБРАТНОГО ВЫЗОВА: Следующая репликация успешно завершена:
От: f97b0f16-427e-49e5-a480-36f0a3b35506._msdcs.DOMAIN.LOCAL
Кому: 7ea06dd2-f3cf-4990-b0ec-7ecaae12c8bd._msdcs.DOMAIN.LOCAL
СООБЩЕНИЕ ОБРАТНОГО ВЫЗОВА: Завершена операция SyncAll.
Команда SyncAll завершена без ошибок.

Вопросы которые читал в нете самостоятельно, но интерпретировать инфу пока не могу не мой уровень:
Нужна ли настройка в MMC DNS "передача зон " в моем случае. Для чего нужна вообще не понятно?
"Серверы пересылки" тоже самое?
Нужно ли настраивать доверительные отношения в MMC "домены и доверие", я пробовал у меня не получилось, см скриншот ниже

Comments

[squidw]

неужели никто не проверял свой резервный DC или вам хватает и того что компики в MMC DNS попали "ну и ладно"? Вопрос так-то еще открыт.

Answer 1

[Ltonid]

Вроде всё прочитал, но мог пропустить: какие dns на компьютере? Чтобы компьютер мог юзать второй dc нужно его в днс указать, желательно первым, но иногда винда раздупляется. Тоже самое касается и DC, самого себя и соседа. В пересылке указываются внешние днсы.

Comments

[squidw]

писал выше "выводы ipconfig" для dc1 и для dc3:
для dc1 DNS: 192.168.0.250 второй 192.168.0.9
для dc3 DNS: 192.168.0.9 второй 192.168.0.250
Пробовал перекрестно не помогает
для dc1 DNS: 192.168.0.9 второй 192.168.0.250
для dc3 DNS: 192.168.0.250 второй 192.168.0.9

Не пойму откуда уже примерно 10 лет судя по публикациям на различных ресурсах по интернету ходит холивар по поводу настройки DNS основной свой-> альтернативный сосед или основной сосед-> альтернативный свой. Насколько я понимаю из общего потока информации никто толком не может подтвердить слова, и тот и тот вариант рабочий.

[Ltonid]

Я не про DC говорю, а про компьютер пользователя где не смогли зайти.

На DC основной всегда только он, иначе проверка на ошибки не проходит + кеш криво чистится.

[squidw]

Ltonid:
В "параметрах DHCP сервера" а также в "параметрах области DHCP сервера " добавлены DNS сервера, соотвественно на клиенты раздается автоматом DNS 192.168.0.250 и 192.168.0.9

[bassoon48]

squidw, холивара нет есть человеческая тупость и отсутствие логики.

У DNS есть понятие РЕПЛИКАЦИЯ. И она происходит НЕ мгновенно.

Иными словами первый вариант: когда указываем сначала самого себя а потом соседа.
У нас сервера работают параллельно независимо.

Плюс в том что когда один из них сдохнет - домен НЕ будет тупить. Но НИКТО не мешает тебе зайти и сменить настройки сетевой карты и всё будет гуд на время аварии.

Другой вопрос если сервер сдох а данные НЕ УСПЕЛИ отреплицироваться и ты попал братишшшка.)))

А в перекрестном такого НЕ БУДЕТ. DNS сервера постоянно опрашивают друг друга и работают в паре. минус в чуть большей задержки Resolv внешних DNS имён но по факту получаем железобетонную защиту.

не важно какой из DC упадёт - все данные будут на месте

Answer 2

[Денис]

По косвенным уликам (DC1, DC3 есть, а где DC2?) и то что режим работы домена 2008R2, при серверах на 2012 и 2016 рискну предположить, что возможно дело в FSMO (когда-то что-то не так удалили и понеслось).
Не совсем ваш случай, но почитайте для общего развития, может быть поможет в решении вашей проблемы.

Comments

[squidw]

нет DC1, всегда на нем были роли FSMO, по словам предыдущего админа.
Какая разница где DC2 если он обычный DC без FSMO, как раз ему на замену DC3 такой же мной готовится.
Вы правы не мой случай, зачем мне перенос ролей FSMO, это имеет смысл лишь тогда когда DC1 полностью выйдет из строя и мне нужно будет принудительно назначать FSMO на DC3 а с DC1 снять. Для случаев когда DC1 просто на короткое время [ от1час : до4дня] вышел из строя я не вижу применения в статье.

[Vladimir Zhurkin]

> Да да я знаю что в принципе понятия с формальной точки зрения "резервный DC" не существует, лучше помогите с вопросом чем умничать некоторых советчиков попрошу.

Вот тут очень зря, что с формальной точки зрения нет. Он есть, так как куча народа огребает граблей когда дохнет основной DC с FSMO, а резервной копии нет. Вот тут начинаются пляски с бубном.

>нет DC1, всегда на нем были роли FSMO, по словам предыдущего админа.
Лучше не по словам, а посмотреть.
Хотя вы это уже сделали.

>DHCP настроил в режиме горячей замены, насколько это правильно с точки зрения отказ-ти, может другой режим?

Это хорошо работает. Проверенно не раз.

>Основной DNS-суффикс . . . . . . : DOMAIN.LOCAL

local не рекомендуется использовать, он зарезервирован по RFC и используется в самонастраеваемых сетях. Как вариант loc. Ну если у вас только не для примера.

попробуйте сделать на машине клиенте
dcdiag /s:dc01 /u:local\uZer /p:Password

Для одного и для другого.

ну или как вариант /e /v /f:c:\logs\adtest.log
пройдется по всем, расширенный режим и в логи. Потом чтение ну и тут опубликовать, если там нет тайн.