netlogon 5719

[tophe59760]

Bonjour,

J'ai migré un DC sous W2008 vers W2016 en installant une machine secondaire, en migrant les rôles puis en dépromouvant l'ancienne machine.


Actuellement le W2016 est le seul DC de sa forêt et les niveaux fonctionnels sont en 2016, il fait office de DNS
Le DC a comme DNS primaire sa propre IP
Les postes clients ont comme seul DNS l'IP du DC
Les zones DNS ont les mises à jour dynamiques activées
Une zone de recherche inverse a été crée et elle possède les enregistrement PTR du DC
Les redirecteurs du DC pointent vers nos serveurs DNS

Le dcdiag n'a qu'une seule erreur au test du systemlog 0x0000168E

"L'inscription dynamique de l'enregistrement DNS 'f6f25dc1-......_msdcs.domaine.fr 600 IN CNAME nom du domaine DNS a échoué sur le serveur DNS

L'ouverture de session des postes clients est beaucoup plus longue qu'auparavant (80 secondes à partir du moment où l'user tape son mot de passe), j'ai une erreur 5719 de Netlogon (cet ordinateur n'a pas pu configurer une session sécurisée avec un contrôleur de domaine..).

La seule différence que j'ai pu observer dans la console dns du serveur en le comparant avec un autre serveur identique en tous points (mais d'un autre domaine), c'est l'absence du sous-dossier _msdcs dans la branche correspondant à mon domaine elle-même située dans la zone de recherches directes. Je ne sais pas si il y a là une piste à exploiter. Sinon j'ai parcouru le reste des branches du DNS et chaque fois il y a les enregistrements correspondant à mon DC avec le bon nom et la bonne IP, il n'y a pas de vieilles références liées à l'ancien serveur ...

Je préfère vous demander conseil car je ne maîtrise pas suffisamment.

Merci

[Timil]

Salut

J'ai migré un DC sous W2008 vers W2016 en installant une machine secondaire, en migrant les rôles puis en dépromouvant l'ancienne machine.

Et quels vérifications avait vous fait avant de supprimer le 2008?
Un

Code : Tout sélectionner

Repadmin /replsummary

ou

Code : Tout sélectionner

Repadmin /Showrepl

a été fait?

Le DC a comme DNS primaire sa propre IP

Non, pas primaire: Seul et unique.

Pour la zone msdcs, pas de panique:
1. créez la zone _msdcs
2. Sur votre DC lancez les commande dans l'ordre:

Code : Tout sélectionner

ipconfig /flushdns
ipconfig /registerdns
net stop netlogon
net start netlogon

3. Allez vous prendre un café/thé (très important, le résultat n'est pas immédiat inutile de rester coller devant en disant "ca marche pas pu****")
4. Validez que la zone est peuplée.

Sinon lancez après un ptit

Code : Tout sélectionner

dcdiag /fix

[Timil]

Oopps j'ai loupé ca:

La seule différence que j'ai pu observer dans la console dns du serveur en le comparant avec un autre serveur identique en tous points (mais d'un autre domaine)

Même forêt?

[tophe59760]

Bonjour Timil,

Merci à toi de t'être penché sur mon problème.
Je vais me faire taper sur les doigts, je n'ai pas fait de vérification avant de dépromouvoir le 2008.
Il n'y avait pas d'erreur sur le dcdiag du 2008 avant la promotion du 2016, et les objets de l'annuaire s'étaient répliqués à priori sans problème.
Je tâcherai de faire plus attention la prochaine fois, je note les commandes.

Pour l'autre contrôleur de domaine qui m'a servi de comparaison, il est le seul DC de sa forêt également.
Le DC a bien sa propre IP comme unique DNS (je re-précise).

Pour la création du "dossier" _msdcs, lorsque je clique droit sur la branche de mon domaine (elle-même sous branche de la zone de recherche directes) => que dois-je faire car il y a plusieurs choix et j'avoue ne pas savoir que prendre ?

- Charger à nouveau
- Nouvel hôte (A ou AAAA)
- Nouvel alias (CNAME)
- Nouveau domaine
- Nouvelle délégation
- Nouveaux enregistrements
...
.

Merci

[Timil]

Salut

Nouveau domaine.

[tophe59760]

OK
Quand tu dis "attendre que la zone se peuple", lorsque je regarde sur l'autre DC qui va bien, il n'y a qu'un seul enregistrement dans son dossier _msdcs => un enregistrment NS serveur de noms avec l'ip et le nom du DC

C'est normal à priori ?

[tophe59760]

En plus des lenteurs d'ouverture de session ... il y a certains utilisateurs qui m'appellent ce matin me disant qu'ils ne parviennent pas à ouvrir leur session user, la machine leur répond "mot de passe incorrect", çà fait la 4ème (à priori pas tout le monde). En redémarrant leur poste, çà passe ...

Je ne comprends pas le mécanisme de ce problème. Les postes clients ayant comme unique DNS l'IP du DC, comment se fait-il qu'ils ne parviennent pas à le joindre ?

[Timil]

Salut

Les postes sont dans le même subnet que le DC?
Le DC n'a qu'une seule carte réseau?

Non, votre zone n'est pas saine, il faut les enregistrements suivants:

Untitled.png (19.96 Kio) Consulté 786 fois

[Timil]

J'ai deux sites, mais c'est quand même un bon exemple.

[tophe59760]

Il y a malentendu je crois, ce n'est pas la branche _msdcs qui est absente mais le "sous-dossier" _msdcs de mon domaine.

Zone de recherche directe
|
|__ _msdcs."mondomaine.fr" => OK
|
|___"mondomaine.fr" => OK
======= |
======= |___ => dossier _msdcs => absent

[Timil]

Pas grave, il faut simplement le recréer aussi et faire le netlogon comme indiqué.
Il ne contient que les enregistrements NS des contrôleurs de domaine (donc une seule entrée pour vous)

Si le domaine _msdcs est présent, alors ne ce n'est pas la ou est le problème.


Pouvez-vous répondre à mes autres questions?

[tophe59760]

Oui le DC n'a qu'une carte réseau.
Oui les postes sont dans le même subnet.

J'ai crée le "dossier" _msdcs (en faisant clic droit nouveau domaine) puis j'ai tapé les commandes indiqué, cela fait 15 mn toujours rien ...

L'image que j'ai uploadé correspond au DC qui va bien et c'est ce dossier encadré en rouge qui manque, c'est la seule différence notable que j'ai remarqué entre les 2 DC. Voilà après peut-être que le problème de lenteur et de connexion des postes clients ne vient pas de là .. ce n'était qu'une supposition.

[tophe59760]

Voici une copie d'écran du DC qui va "mal" sur lequel les postes clients ont du mal à se connecter.
En rouge la zone que j'ai crée à la main sur tes conseils (l'icône du dossier n'est pas la même que sur le DC qui va "bien")

[Timil]

Si ton DC est maintenant visible dedans en tant que NS ca devrait aller mieux.

Si le problème persiste:
Les postes sont enregistrés dans le réseau via DHCP ou IP Fixe?
Une des possibilité est que leur compte soient hors de sync avec le domaine, ce qui peut être corrigé en les retirant du domaine/remettre dans le domaine (tant qu'on parle de postes clients bien sur, pas de serveurs)

[tophe59760]

Non le serveur n'est toujours pas visible en tant que serveur de noms dans le dossier _msdcs, et quand je tente de l'ajouter manuellement jene vois pas dans la liste nouvel enregistrement NS ....

Postes clients sont en ip fixe

Voici la seule erreur que j'ai dans mes logs de mon DC qui va "mal"



Il cherche à s'enregistrer sur le DNS de la boite.