Kerberos-Fehler nach Virtualisierung?

[Overjack]

Hallo Community!

Habe zum Testen einen physischen Domain-Controller, der als Anmeldeserver für die Domäne B dient, mittels VMware Comverter virtualisiert und auf einem ESXi 3.5 Host betrieben.

Rechnername, IP-Adresse und DNS-Einträge wurden vollständig übernommen. Die VM wurde natürlich erst nach Abschaltung des physischen DC ins Netzwerk integriert. Der DC hat als primären DNS-Server die IP-Adresse von dem DC aus Domäne A (Root-Server) und als sekundären DNS-Server seine eigene IP-Adresse hinterlegt.

Folgende Probleme treten nun jedoch auf:

• der Rechnername ist im gesamten Netzwerk weder von den Clients noch von den DCs auflösbar
  
• er ist nur über den Full Qualified Domain Name oder die IP-Adresse erreichbar
  
• es taucht auf dem primären DNS-Server in der Ereignissteuerung ständig ein Kerberos-Fehler auf, mit dem Hinweis, dass das Kennwort, das zum Verschlüsseln verwendet wurde, anders ist, als das Kennwort des Zielhosts (Ereignis-ID 4)
  
• Die ein- und ausgehende Replikation wurde anfangs von den anderen Domain-Controllern zurückgewiesen und musste manuell mittels dem Tool "repadmin" aktiviert werden
  

Wie ist das zu erklären? Erkennen die anderen DCs diesen virtuellen DC als Fremdsystem an und verweigern aus Sicherheitsgründen die Kommunikation?

:confused::confused:

[Soldiar]

Hallo,

ich schätze mal darauf, dass du DCs mit verschiedenen Securitystandards hast. Hört sich so an, wie in einer ADS-2000 Umgebung einen ADS-2003 (o. ADS-2008) zu migrieren.

Falls dies nicht der Fall sein sollte, trage diesen DC doch manuell ein. Ein DC ist doch eh zu 99,9% statisch und wechselt nicht, von daher sollte das doch nicht schlimm sein.

Mfg

Christian, 19, B.

[Overjack]

Danke für deine Antwort!

Sind alles Windows Server 2003 DCs.

Was meinst du genau mit statisch einstellen? Den virtualisierten DNS Server nochmal genau als DC definieren?

Kenne mich mit der Materie nicht so gut aus..

[Overjack]

HI!

Ich greife das Thema nochmal auf, da ich nich mehr weiter weiß und auch keinen kompetenten Ansprechpartner finde...

Der virtualisierte DC wird von den anderen DCs nicht mehr akzeptiert, da vermutlich das Kerberos Ticket ungültig ist (Kerberos modified error, bei replikationsversuchen von anderen dcs auf diesen: "zielprinzipalname falsch").

Ich hatte gehofft, mittels netdom.exe auf dem "defekten" DC das Computerkennwort zurücksetzen zu können und somit ein neues Kerberos Ticket von den anderen DCs anzufordern (wenn das überhaupt die ursache ist??)

netdom resetpwd /server:Replikationspartner_Servername /userd Domänenname\Administrator_ID /passwordd:*

Konto konnte jedoch nicht zurpckgesetzt werden. Liegt es daran, dass der DC ein PDC ist?

Kennt sich jemand mit Kerberos und Domain Controllern aus? Wie bringe ich die anderen DCs dazu, diesem wieder zu vertrauen? Hat das irgendetwas mit den Befehlen trust und verify zu tuen?

Ich würde das Problem sehr gerne lösen...