Hallo zusammen!

Einer meiner kleinen Aufgaben momentan besteht darin, dass ich innerhalb der Infrastruktur alle Windows NT Domänen ausfindig machen soll.

Ziel ist es, festzustellen, ob zu diesen Domänen noch Vertrauensstellungen bestehen.

Wie gehe ich hier am besten vor?

Innerhalb der Haupt-Domäne (W2K3) kann ich mittels dem Active-Directory Benutzer und Computer Snap-In mir die vertrauten Domänen anzeigen lassen. Hier erfahre ich aber nicht, ob es sich dabei um eine WinNT, W2K oder W2K3 Domäne handelt....

Ich denke, anhand der Domänenbezeichnung lässt sich erahnen, ob es sich um eine WinNT-Domäne handelt, da hier die Namenskonvention anders ist - nur Großbuchstaben möglich?

Für die Namensauflösung unter NT wird WINS eingesetzt.

Kann ich dann irgendwo auf dem WINS-Server nachsehen, welche NT-Domänen existieren?

Innerhalb der primären Domäne bekomme ich die WINS-Server über ipconfig /all raus...

Ich hoffe, ihr versteht meine Fragen einigermaßen..

Wenn Du einen Rechner mit Visio hast, dann hilft Dir der Active Directory Topology Diagrammer (ADTD) ziemlich ausführlich. Außerdem siehst Du schnell aufgrund des DFLs und/ oder FFLs, ob in der Domain noch alte DCs sind. ;-)

Danke für die Antwort!

Ich habe MS Visio 2007. Du meinst die Active Directory Vorlage?

Das setzt allerdings voraus, dass ich vorher die Infrastruktur kenne und mit Visio dann darstelle! Oder erstellt Visio automatisch die Domänenstruktur?

Habe deinen Post nicht so ganz verstanden...

1) runterladen und installieren von Download details: Microsoft Active Directory Topology Diagrammer

2) Microsoft Active Directory Topology Diagrammer starten und alles auswählen, was gewünscht (normaler AD-Benutzer genügt)

3) Rechner sperren, "Wasser abschlagen" und Kaffee holen, ggfs Kaffee trinken :-) (je nach Auswahl daaaaaaaaaaaaaaaaaaaauert das etwas länger)

4) gespeicherte Visio-Dateien anschauen. Dabei sollte AD Domains.vsd schon das Gewünschte verraten.

Und falls Du noch über DFL und FFL grübelst: Domain Functional Level und Forest Functional Level (zu finden unter dsa.msc rechte Maustaste auf die Domain und Eigenschaften, Reiter "Allgemein") sind aussagekräftig genug bzgl. der DCs, denn die müssen immer einen "kleinsten gemeinsamen Nenner" für die einzelnen Modi haben. W2K native z.B. fordert, daß alle DCs mindestens W2K sind.

OK, du scheinst wesentlich fitter zu sein als ich auf dem Gebiet...

Ich habe alle Haken bei dem Tool unter "Trusts" aktiviert - und siehe da, er liefert mir eine schicke Zeichnung!

Die Domänen mit vielen Informationen und wo bei einigen sogar der DC dargestellt wird, werden grün hinterlegt. Die übrigen Domänen, wo lediglich der NetBIOS-Name angezeigt wird, werden hellblau hinterlegt. HIer ist auch das Kästchen mit gestrichelten Linien umrandet und die Verbindungspfeile sind rot gekennzeichnet.

D.h., die "blauen Domänen" könnten meine gesuchten sein?

Unter dsa.msc auf den Eigenschaften einer der in VISO blau dargstellten Domänen sehe ich aber nur folgende Infos im Reiter "Allgemein":

- This Domain:

- Other domain:

- Trust type: External

- Direction of Trust

- Transitivity of Trust

Wo sehe ich die DCs und wo sehe ich das OS?

Die Farbe sagt erstmal nichts aus. Aber in Deinen Domains werden die OS Versionnummer bei den DCs inkl. SP angezeigt. Außerdem steht doch der Domain Mode bei jeder explizit Domain dabei.

Wenn Du nach NT4 DCs (im Visio dann vermutlich als DC-Name 4.0 (Buildno.) (Service Pack X) tituliert) suchst, dann hat die Domain den DFL "Windows 200 mixed" oder "Windows 2003 interim". Alle DFL danach akzeptieren (zu recht) keine NT 4.0 DCs mehr.

[edit]hast Du dsa.msc als Domain Admin gestartet?[/edit]

Richtig.

In Visio werden bei den Domänen der NetBIOS Name, Domain Functional level (z.B. Windows Server 2003 oder Windows 2000 Mixed Mode)

angezeigt. Nur bei den 2003-Domänen werden alle Infos (Total DCs, fsmoPDC, fsmoINFRA, fsmoRID) angezeigt. Auch bei Windows 2000 native Mode.

Bei Windows 2000 Mixed Mode steht lediglich diese Info und der NetBIOS Name.

Bei den anderen, "blauen" Domäne steht NUR der NetBIOS name, noch nicht mal der Domain functional level!

Heisst das also, dass es sich hierbei um ältere OS als Windows 2000 handelt?

Das Viso-Tool und dsa.msc werden als Domain-Admin ausgeführt!

Kann ich Dir nicht sagen, denn ich habe hier nur Domains ohne NT 4.

Aber wenn es W2K Mixed Mode Domains sind, solltest Du davon ausgehen, daß noch NT 4 DCs vorhanden sind.

Außerdem kannst Du im dsa.msc nach Rechner suchen lassen, deren Betriebssystemversion mit 4 beginnt. (Aber das darfst jetzt mal allein machen - lol)

Ich habe mit dsa.msc nach Rechnern mit OS-version 4 gesucht und einige Systeme gefunden. Dies sind aber nur Clientsysteme und keine DCs.

Hmm.....kann ich über den WINS-Server diese Infos irgendwie rauskriegen?

Ich greif das Thema nochmal auf:

- Hat keiner von euch eine Idee, wie ich die Infos zu den NT-Domänen herbekomme und die bestehenden Vertrauensstellungen auflösen kann?

@Tiro:

Please help....

Ahoi!

Das Problem ist, daß ich meinen letzten NT4 DC vor *überleg* 7 Jahren "in echt" gesehen habe. :-)

Such auch mal im "AD Users and Computers" nach allen DCs. Notfalls mußt Du die Liste manuell abarbeiten und Dich auf jeden DC verbinden, um zu schauen, ob es ein NT 4 ist.

Und für die Vertrauensstellungen gibt es "AD Domains and Trusts".

Ja, das ist soweit klar, nur wird es schwierig, wenn man die NT4-DC nicht kennt ;-)

Was ich bis jetzt herausgefunden habe, ist:

Auf dem DC mit W2K3R2 mit der Domäne A wird eine Domäne aufgelistet unter dem Punkt "Domänen, die dieser Domäne vertrauen" mit dem Namen B.

Von dieser Domäne weiß ich den DC. Dies ist auch ein NT4 Server. Schau ich mir auf dem NT4-DC die vertrauten Domänen an, so existiert hier auch ein Eintrag mit der Domäne A.

Der Vertrauensstyp von Domäne A (W2K3R2) -> Domäne B (NT4) ist extern, nicht-transitiv.

Von allen anderen verdächtigen Windows-NT Domänen, die mir der Microsoft Active Directory Topology Diagrammer auflistet, weiß ich den DC nicht.

Versuche ich hier über das Active Directory Users and Computers ein Connect zu diesen Domänen herzustellen, kommt nach einem Timeout die Fehlermeldung: "Cannot connect to the pre-Windows 2000 domain: XXX".

Aber dieses Wort "pre-Windows 2000" deutet doch daraufhin, dass es sich hier um NT4-Domänen handelt? Meine Vermutung ist, dass diese garnicht mehr existieren...

Letzter Pfeil im Köcher: faq-o-matic.net » José: Version 3.1

Sonst bin ich erstmal "raus" ;-)