Sekundäre und Primäre Dienste gleichzeitig unter Windows Server 2008

[Kenpachi]

Hallo,

ich habe hier 2 Windows Server2008 R2 und beide Servern sind

DC,

DNS,

DHCP,

WSUS,

Web(IIS),

Proxy

...

Diese sollen nun Parallel in einer Domain laufen nämlich so:

Server1

Primär

DC

DNS

DHCP

...

Sekundär

WSUS

Web(IIS)

...

Server2

Sekundär

DC

DNS

DHCP

...

Primär

WSUS

Web(IIS)

...

Wenn ein Server nun Ausfällt soll der zweite sämtliche Dienste alleine übernehmen bis der erste wieder läuft.

(egal ob dies nun Sinn ergibt oder ein Sicherheitsrisiko ist, es soll so realisiert werden)

Meine erste Überlegung war es über ein Cluster mit Network Load Balancing laufen zu lassen.

Da ich mich jedoch nicht mit Clustern auskenne und nicht weiß in wie fern das realisierbar ist war meine zweite Überlegung das mit Scripten zu machen (alle paar Sekunden Anfragen ob der zweite Server läuft und wenn nicht die Sekundären Dienste Aktivieren).

Daher meine Fragen:

1. Ist es überhaupt realisierbar?

2. Funktioniert es wenn ich die Dienste einfach an und ausschalte?

3. Gibt es noch andere Möglichkeiten.

4. Kennt ihr Seiten wo ich mich über Server Scripte informieren kann?

Ich hoffe ihr könnt mir hierbei helfen.

Bearbeitet 19. Oktober 2010 von Kenpachi

[Eye-Q]

Ich glaube Du hast das Prinzip von mehreren DCs, DNS-Servern, DHCP-Servern etc. nicht verstanden.

Sekundäre DCs und DNS-Server laufen gleichzeitig mit den primären Servern, da die sich ständig replizieren (synchronisieren) müssen. Wenn diese Dienste auf dem sekundären Server deaktiviert wären, könnten die sich nicht mehr replizieren und somit auch nicht die Aufgaben übernehmen, wenn der primäre Server ausfällt.

Beim DHCP kannst Du mehrere Server im Netz haben, die sollten allerdings keine überlappenden DHCP-Bereiche besitzen (z.B. erster DHCP verteilt von .100 bis .149, der zweite von .150 bis .199, je nach Größe des Netzwerks). Die Last wird hierbei allerdings so verteilt, dass derjenige DHCP-Server, der als schnellstes antwortet, die Adresse an den Client vergibt.

Beim WSUS weiß ich es im Moment nicht, ob es da primäre und sekundäre Server gibt, allerdings ist WSUS ein eher untergeordneter Dienst, der auch mal einen Tag Ausfall "verkraftet", weil die Clients bei einem Ausfall ja immer noch einwandfrei weiterlaufen, nur eben keine Updates mehr vom WSUS beziehen können.

Der Webserver ist allerdings ein anderer Fall, da gibt es aber auch entsprechende Lösungen, die jedoch auf Webservices spezialisiert sind, da braucht man nicht unbedingt einen Windows-Cluster.

[Kenpachi]

Ich habe das Konzept nicht entwickelt, ich muss nur die Verfügbarkeit bei Ausfall sicherstellen.

Also sollte ich für jeden Dienst eine eigene Lösung erarbeiten.

Server 1 Primär Server 2 Sekundär

DC-zum Sekundären DC herabstufen

DNS-zum Sekundären DNS herabstufen

DHCP

WDS

Server 1 Sekundär Server 2 primär

WSUS

Web(IIS)

Proxy-mittels DNS Server 2 IPs auf einen Adresse

AVGA(AntiVirus)

PRTG(Monitoring)

Also DC und DNS müsste man ja herabstufen können.

DHCP, WDS, können (theoretisch) auf einem Deaktiviert werden und nur bei bedarf eingeschaltet werden (script).

WSUS und IIS müssten sich ja irgendwie Aktualisieren da sich sonst alle Änderungen doppelt vorgenommen werden müssen

(im Notfall nicht mein Problem das System muss nur wie gefordert laufen).

Kennt ihr da eine Möglichkeit?

Die IPs der beiden Proxy Server könnte ich ja auf eine DNS Adresse legen.

Bisher habe ich aber nur etwas zu Round-Robin gefunden, welches eine Lastverteilung vornimmt.

Gibt es da noch eine Möglichkeit das ohne Lastverteilung zu regeln?

AVGA und PRTG muss ich erst schauen wie sie Arbeiten die werden gerade Installiert.

Also nochmal die Frage sind die Methoden so in etwa möglich oder gibt es evtl. Konflikte bei einigen Lösungen?

[Eye-Q]

DC-zum Sekundären DC herabstufen

Nur mal 'ne neugierige Nachfrage: wie soll das funktionieren? Wenn man einen DC herabstuft, ist er kein DC mehr, auch kein sekundärer, sondern nur noch ein Mitgliedsserver in der Domäne.

Seit Windows Server 2003 gibt es keinen echten Primären DC mehr, sondern nur noch einen PDC-Emulator, der in den FSMO-Rollen beinhaltet ist. Wenn der Server, der diese Rollen hält, ausfällt, es aber einen oder mehrere weitere/n DC/s gibt, wird die Domäne weiterhin funktionieren, die Leute werden sich weiterhin an der Domäne anmelden können, es wird nur nicht mehr möglich sein, neue Subdomänen, User etc. anzulegen, bis die FSMO-Rollen von einem anderen Server übernommen wurden (das geht aber nicht automatisch, auch nicht mit Batch oder sonstwie, sondern nur manuell).

DNS-zum Sekundären DNS herabstufen

Habt ihr schon mehrere DNS-Server? So hört sich das nämlich an.

Einen DNS stuft man auch nicht herab, sondern gibt ihm eine primäre oder sekundäre Zone, ich habe jedenfalls im Zusammenhang mit DNS noch nie etwas von herauf- und herabstufen gehört.

DHCP

Wie gesagt, da gibt es keinen "primären" und "sekundären" DHCP, die einzige Möglichkeit, das zu realisieren, ist, auf den verschiedenen DHCP-Servern unterschiedliche Adresspools einzurichten, sonst kann es passieren, dass unterschiedlichen Rechern die selbe IP zugewiesen wird, wodurch es dann knallt.

DHCP, WDS, können (theoretisch) auf einem Deaktiviert werden und nur bei bedarf eingeschaltet werden (script).

Wozu, wenn DHCP gleichzeitig laufen kann? So hat man überhaupt keine Ausfallzeit und muss sich nicht auf ein Script verlassen, was evtl. im Fall der Fälle doch nicht läuft.

Außerdem: WDS redundant auslegen ist zwar schön, aber meiner Meinung nach nicht zwingend notwendig. Das ist ein Dienst, der meiner Meinung nach eher untergeordnet ist und somit eine gewisse Ausfallzeit verkraften kann, bis der neue Server wieder installiert/wiederhergestellt ist.

Insgesamt verrennst Du dich da in den festgelegten Rollen primär/sekundär sowie gleichzeitiger Betrieb von Diensten auf beiden Servern - es ist ohne weiteres Möglich, viele Dienste eben doch gleichzeitig auf mehreren Servern laufen und somit synchronisieren zu lassen.

Einfach mal im Netz nach <Dienstname> + "redundant auslegen" suchen oder sonstwelche passenden Suchbegriffe finden, da wird es massenhaft Tutorials etc. geben.

[Kenpachi]

Also erst mal ein großen Danke an Eye-Q du hast mir bisher schon enorm weiter geholfen.

OK dann werde ich den DC mal zum Mitgliedsserver herabstufen.

(und mich noch mal eingehend mit DC beschäftigen)

DNS - OK doofe Wortwahl kenne mich bisher auch noch nicht so damit aus.

DHCP

Hier gibt es anscheinend keine andere Lösung also werde ich die Adressbereiche einfach auf die 2 Server verteilen da ich je Subnet genug IPs habe.

WDS

Es ist vlt nicht zwingend Notwendig aber der Auftrag lautet nun mal auch ihn redundant zu gestalten. Aber in der Theorie kann der WDS doch auf beiden Servern Aktiv laufen ohne das sie sich daran stören oder?

WSUS

Hier gibt es ja einen sogenannten Replikationsmodus wobei der Server sich die Daten vom WSUS holt und dann als zusätzliche Verteilstation fungiert.

Funktioniert diese zusätzliche Verteilstation auch ohne den ersten WSUS?

Kann ich dies im Nachhinein noch ändern oder muss ich den WSUS nun neu Installieren?

Proxy Server

Kann ich hier eine Weiterleitung im DNS einrichten in dem immer auf beide/den Aktuellen Server verwiesen wird(Round-Robin eignet sich hier ja nicht da hierbei ja auch auf den Server verwiesen wird wenn dieser Nicht Funktioniert)? (das Programm was auf dem Server läuft ist im übrigen "FreeProxy")

Das nun noch größte Problem ist der IIS (über ihn läuft nichts sonderlich wichtiges er kann ruhig einige Minuten ausfallen).

Ich habe bereits etwas zu NLB gefunden weiß jedoch nicht ob ich das einfach so realisieren kann(einen gemeinsamen Storage/DB Server auf den der Webserver zugreifen kann habe ich auch nicht zur Verfügung).

Sieht hier jemand eine Möglichkeit ihn parallel laufen zu lassen oder abzuschalten?

Den PRTG Monitor lasse ich einfach auf beiden laufen dies schadet ja nicht.

[Kenpachi]

DNS - OK doofe Wortwahl kenne mich bisher auch noch nicht so damit aus.

sry hatte hier nen Satz vergessen und kann es nicht mehr editieren.

Ich habe in etwa das gemeint als ich herabstufen schrieb.

Also werde ich ihn zur Sekundären Zone hinzufügen.

[Chief Wiggum]

OK dann werde ich den DC mal zum Mitgliedsserver herabstufen.

(und mich noch mal eingehend mit DC beschäftigen)

Wenn du einen DC herabstufst, ist es kein DC mehr - jegliche Redundanz fällt dann weg.

(Den zweiten Satz in der Klammer ist wichtig, das solltest du dir wirklich vornehmen, bevor du am AD herumbastelst.)

[Kenpachi]

So nochmal zum DC

Wenn ich ihn zum Mitgliedsserver herabstufe und der PDC fällt aus wars das und nix geht mehr.

Wenn ich den zweiten DC nun in die Domaine mit einfüge ist er dann automatisch ein Mitgliedsserver oder fungiert er dann quasi als Sekundärer Domain Controller?

[Chief Wiggum]

Das harte Schema Primärer Domaincontroller / Backup Domaincontroller stammt von NT 4.0. Seit der Einführung des Active Directory mit Windows 2000 Server sind alle Domaincontroller gleichberechtigt. Wichtig ist "nur", auf welchem Server die FSMO Rollen liegen.

[Kenpachi]

OK dann werde ich das mal so umsetzen.

Kennst du vlt noch eine Lösung zu mienem Proxy/IIS Problem?

[Chief Wiggum]

OK dann werde ich das mal so umsetzen.

Ich hoffe mal ganz stark, dass du das nicht gleich an einem Produktivnetz ausprobierst!

[Kenpachi]

Von beiden Servern wurde ein Backup erstellt und sie sie befinden sich bisher nur in einem Testnetzwerk bevor sie dann die alten Server ersetzen werden.

[Chief Wiggum]

Von beiden Servern wurde ein Backup erstellt

Ein AD kann man nicht so einfach sichern und wiederherstellen.

http://www.tecchannel.de/server/windows/438000/active_directory_wiederherstellen/

[Kenpachi]

Es wurde kein einfaches Datenbackup erstellt sonder eine 1:1 Kopie der Gesamten Festplatten im Server mit dem sich der Originalzustand jederzeit wiederherstellen lässt.

Im Notfall Existiert das gesamte AD noch auf anderen Servern.

Bearbeitet 21. Oktober 2010 von Kenpachi

[Chief Wiggum]

Es wurde kein einfaches Datenbackup erstellt sonder eine 1:1 Kopie der Gesamten Festplatten im Server mit dem sich der Originalzustand jederzeit wiederherstellen lässt.

Du hast den verlinkten Artikel nicht gelesen.

Im Notfall Existiert das gesamte AD noch auf anderen Servern.

Du arbeitest doch an einem Produktivsystem?

[Kenpachi]

Ich bin noch am Lesen.

Die AD ist hier aber auch nicht so riesig, man kann es einfach neu erstellen, da das gesamte System durch das neue ersetzt werden soll.

Da aber 1 Server erst mal unberührt bleibt kann ich es im Notfall von dem aus wieder replizieren.

Bearbeitet 21. Oktober 2010 von Kenpachi

[Kenpachi]

So habe jetzt den DC, DNS und DHCP konfiguriert und erfolgreich getestet.

Meine Idee war es nun Proxy und IIS parallel laufen zu lassen.

Dabei soll der DNS auf beide IPs verweisen also:

z.b.

proxy.domain.de == 192.168.1.1 oder 192.168.1.2

website.domain.de == 192.168.1.1 oder 192.168.1.2

Dies würde mit dem "Round-Robin" verfahren funktionieren, jedoch wird dabei auf einen Server verwiesen, selbst wenn dieser nicht Existiert/nicht erreichbar ist.

Daher meine Frage kennt jemand ein verfahren mit dem die Ausfallsicherheit gewährleistet ist oder eine komplett andere Möglichkeit dies zu realisieren?

[Kenpachi]

So hier nochmal ein Post um zu erkläre wie ich alles gelöst habe falls jemand mal so ein ähnliches Problem habe.

DC- Der erste Server ist der PDC und der zweite ist ein normaler DC in der Domaine und er wird erst genutzt wenn der PDC ausfällt.

DNS- Die DNS Zonen wurden auf dem ersten Server eingerichtet und auf dem zweiten Server als Sekundäre Zone hinzugefügt

(Wichtig hierbei Zonenübertragung vom Primären Server zulassen)

DHCP- auf beiden Servern wird nun ein unterschiedlicher IP Bereich vergeben.

(Beispiel:

Erster Server 192.168.1.1-192.168.1.50

Zweiter Server 192.168.1.51-192.168.1.100)

WDS- kann wie gesagt auf beiden Servern laufen schadet aber auch nicht wen er eine Zeit lang nicht erreichbar ist.

WSUS- Der erste Server ist der Upstream Server welcher seine Updates von Microsoft bezieht und der zweite ist ein Downstream Server im Replikationsmodus welcher seine Updates Einstellungen usw vom ersten Server bezieht.

AVGA- Antivir Guard Admin Konsole

Hier ist es relativ Simpel man lässt einfach beide Server parallel laufen und trägt überall (Clients+Adminkonsole) Beide Server und AvG Update Seiten als Bezugsquelle ein.

PRTG Server Monitor- Kann einfach Parallel auf mehreren Servern laufen.

größte Probleme waren/sind immer noch der IIS und der Proxy.

Hierbei sehe ich keine andere Lösung als über "Round-Robin" einer Adresse zwei IPs zuzuweisen.

z.B. proxy.domain.de == 192.168.1.1 oder 192.168.1.2

zur Ausfallsicherheit kann man nun ein Script schreiben was den zustand der Server überprüft und im Notfall den DNS Eintrag ändert.

[Chief Wiggum]

DC- Der erste Server ist der PDC und der zweite ist ein normaler DC in der Domaine und er wird erst genutzt wenn der PDC ausfällt.

PDC und BDC (primärer Domaincontroller und Backup Domaincontroller) ist ein Konzept von Windows NT 4.0 und seit der Einführung von Windows 2000 Server mit Active Directory obsolet.