In 14 Schritten zum perfekten Domänencontroller

Schritt 7: DNS korrekt einstellen

Nach der Eingabe des Administratorkontos zum Verbindungsaufbau zu DNS sollte die DNS-Delegierung aktiviert werden, damit die Daten von Active Directory in einer eigenen Zone unterhalb der herkömmlichen Zone gebündelt werden. Dazu legt der Assistent eine neue Zone mit dem Namen "_msdcs_<DNS-Name des Servers>" an. In der originalen DNS-Zone legt der Assistent eine Delegierung zur neu angelegten Zone an. So ist sichergestellt, dass Anpassungen an der DNS-Zone des Servers das Active Directory nicht beeinträchtigen. Wichtig ist vor allem, dass der Assistent eine Verbindung zum DNS-Server aufbauen kann, um eine Zone anzulegen.

Bildergalerie

Bildergalerie mit 11 Bildern

Auf der nächsten Seite des Assistenten zum Erstellen von Active Directory wird erkannt, dass bereits eine Zone vorhanden ist, wenn diese zuvor angelegt wurde. Der Assistent bietet an, eine neue Zone für Active Directory zu installieren und diese unterhalb der bereits vorhandenen Zone zu integrieren.

Schritt 8: Konfiguration abschließen

In den nächsten Fenstern geben Administratoren den NetBIOS-Namen der neuen Domäne an und legen den Speicherort der Datenbank und der Protokolle auf dem Server fest. Im Anschluss muss noch der Ordner festgelegt werden, der als Netlogon- und SYSVOL-Freigabe verwendet wird. In diesem Ordner werden die Anmeldeskripts und später die Gruppenrichtlinien gespeichert. Zum Abschluss testet der Assistent den Server, und ob Active Directory installiert werden kann. Danach beginnt das Heraufstufen zum Domänencontroller.

Schritt 9: DNS in Active Directory integrieren und sichere Updates konfigurieren

Die erste Maßnahme, die nach der Installation von Active Directory durchgeführt werden sollte, ist die Integration der DNS-Zonen in Active Directory. Durch diese Integration werden die kompletten Daten der DNS-Zonen über die Active Directory-Replikation verteilt und stehen sicher auch auf weiteren Servern zur Verfügung, die in Active Directory installiert werden.

Um diese Konfiguration zu überprüfen, ruft man zunächst das DNS-Snap-In über den Server-Manager oder mit "dnsmgmt.msc" auf. Um die Zone in Active Directory zu integrieren, wird folgendermaßen vorgegangen (siehe Abbildung 11):

• Klicken Sie mit der rechten Maustaste auf die Zone und wählen Sie im Kontextmenü den Eintrag "Eigenschaften".

• Auf der Registerkarte "Allgemein" können Sie durch Klicken auf die Schaltfläche "Ändern" im Bereich "Typ" die Zone in Active Directory integrieren lassen.

• Aktivieren Sie im Fenster "Zonentyp ändern" das Kontrollkästchen "Zone in Active Directory speichern" (siehe Abbildung 11).

Haben Sie diese Einstellung vorgenommen, können Sie noch im Bereich "Dynamische Updates" die Option "Nur sichere …" aktivieren. Bei dieser Einstellung können sich nur Computer, die sich erfolgreich in Active Directory authentifiziert haben, dynamisch für die DNS registrieren.

Schritt 10: DNS-Replikation festlegen

Wurde die Zone in Active Directory integriert, kann auch die Replikation der DNS-Daten angepasst werden. In den Eigenschaften einer Zone ist dazu im Bereich "Replikation" die Schaltfläche "Ändern" zu betätigen. Danach kann konfiguriert werden, auf welche Server im Netzwerk die DNS-Daten repliziert werden sollen. Standardmäßig werden die Daten einer DNS-Zone nur auf den Domänencontrollern der Windows-Domäne repliziert. Die Replikation kann jedoch auch ohne weiteres auf weitere Server ausgedehnt werden. Welche Replikation hier gewünscht ist, hängt von den Anforderungen des jeweiligen Unternehmens ab.

Bildergalerie

Bildergalerie mit 11 Bildern

Schritt 11: DNS-IP-Einstellungen anpassen

Gibt man nach der Fertigstellung der Installation von Active Directory auf dem Domänencontroller in der Eingabeaufforderung "nslookup" ein, erhält man unter Umständen eine etwas verwirrende Ausgabe: Der Server gibt als Adresse ":1" zurück. Diese Ausgabe wird durch eine Konfiguration der Netzwerkverbindungen verursacht. Um das Problem zu beheben, wird folgendermaßen vorgegangen:

• Rufen Sie zunächst die Verwaltung Ihrer Netzwerkverbindungen mit "ncpa.cpl" auf.

• Rufen Sie die Eigenschaften des IPv6-Protokolls auf. Aktivieren Sie die Option "DNS-Serveradresse automatisch beziehen". Durch diese Konfiguration vermeiden Sie die irreführende Meldung in Nslookup. In den meisten Netzwerken wird ohnehin mit IPv4 gearbeitet. Nutzen Sie IPv6 im Unternehmen, tragen Sie an dieser Stelle die IPv6-Adresse des Servers ein.

• Rufen Sie als nächstes die Eigenschaften für das IPv4-Protokoll auf. Auch hier hat der Assistent als bevorzugten DNS-Server die Adresse des lokalen Hosts hinterlegt (127.0.0.1). In diesem Fall funktionieren zwar Abfragen per DNS, aber diese Konfiguration ist nicht sauber und resultiert in einer fehlerhaften Ausgabe bei Nslookup. Tragen Sie auch hier die richtige IPv4-Adresse des Servers ein. Anschließend sollte die Eingabe von "nslookup" in der Eingabeaufforderung keine Fehler mehr ausgeben.

Schritt 12: Notwendige Nacharbeiten nach der Integration eines zusätzlichen Domänencontrollers

Haben Administratoren einen neuen Domänencontroller in die Domäne aufgenommen, sollten sie noch einige Nacharbeiten durchführen, um den Domänencontroller optimal einzubinden:

• Überprüfen Sie, ob die Daten der DNS-Zonen auf den neuen Domänencontroller repliziert wurden, wenn zusätzliche Domänencontroller integriert wurden.

• Tragen Sie in den IP-Einstellungen der einzelnen Domänencontroller jeweils den anderen Domänencontroller als bevorzugten Server und als alternativen Domänencontroller den lokalen Server ein, zumindest dann, wenn sich beide am selben Standort befinden. Dadurch wird sichergestellt, dass die Namensauflösung im Netzwerk funktioniert. Es ist wichtig für Active Directory, dass die Namensaulösung auf den PCs und den Servern im Netzwerk funktioniert. Besonders wichtig ist die Namensauflösung zwischen den Domänencontrollern, damit die Daten von Active Directory repliziert werden können.

Nach einigen Minuten sollten Sie die Replikation der beiden Domänencontroller überprüfen. Starten Sie dazu das Snap-In "Active Directory-Standorte und -Dienste" über das Menü "Tools" im Server-Manager. Navigieren Sie zum Knoten des Namens des Standorts und öffnen Sie den Knoten "Servers". An dieser Stelle sollten alle Domänencontroller angezeigt werden.

Klicken Sie bei den Servern auf das Pluszeichen, sehen Sie darunter einen weiteren Eintrag mit der Bezeichnung "NTDS-Settings". Klicken Sie auf diesen, wird auf der rechten Seite jeder Replikationspartner des Domänencontrollers angezeigt.

Klicken Sie auf diese automatisch erstellten Verbindungen mit der rechten Maustaste, können Sie im Kontextmenü die Option "Jetzt replizieren" auswählen. Im Anschluss daran erscheint ein Fenster, das Sie über die erfolgreiche Replikation informiert.

Schritt 13: Active Directory-Domänencontroller testen und Fehler beheben

In Active Directory müssen sich die Domänencontroller fehlerfrei replizieren können. In der grafischen Oberfläche ist allerdings nicht zu erkennen, wie man die Server testen und die Synchronisierung überprüfen kann.

Domänencontroller und deren Replikation überprüfen Sie am besten in der Befehlszeile der Server. Mit "dcdiag /v" starten Sie eine gründliche Überprüfung von Active Directory. Erscheinen hier Fehlermeldungen, haben Sie oft schon die Ursache für Replikationsfehler gefunden. Geben Sie die Fehler in Google ein, erhalten Sie meist einige Hinweise zur Fehlerbehebung. Wollen Sie nur Fehler angezeigt bekommen, verwenden Sie "dcdiag /q". Wollen Sie nur einen einzelnen Domänencontroller über das Netzwerk testen, verwenden Sie "dcdiag /s:<Name des Domänencontrollers>".

"Repadmin /showreps" zeigt die Replikationen der Domänencontroller an. Können sich einzelne Domänencontroller nicht replizieren, sehen Sie recht schnell welcher Domänencontroller die Quelle des Problems ist. Mit "repadmin /showreps >c:\rep.txt" lassen sich die Daten in eine Textdatei umleiten.

Zusätzlich sollten Sie überprüfen, ob alle Domänencontroller korrekt in AD registriert sind. Dazu verwenden Sie den Befehl "nltest /dclist:<NetBios-Name der Domäne>". Überprüfen Sie für die einzelnen Domänencontroller ferner, ob sie ihren eigenen Standort kennen. Der zugehörige Befehl lautet "nltest /dsgetsite". Nur wenn der Standort richtig aufgelöst wird, und die Domänencontroller problemlos funktionieren ist davon auszugehen, dass Active Directory funktioniert.

Bildergalerie

Bildergalerie mit 11 Bildern

Schritt 14: Uhrzeit konfigurieren

In Active Directory sollten die Uhren der Rechner und Server nicht mehr als fünf Minuten voneinander abweichen. Da Active Directory bei der Authentifizierung mit Kerberos arbeitet, ein System das stark auf Tickets, Zeitstempel und damit gültige Uhrzeiten aufbaut, besteht die Gefahr, dass Authentifizierungsaufgaben nicht funktionieren, wenn die Uhren einzelner Rechner deutlich voneinander abweichen.

Der PDC-Master einer Active Directory-Domäne ist der autorisierende Zeitserver der Domäne und für die Uhrzeiten aller anderen Domänencontroller, Mitgliedsserver und Arbeitsstationen in der Gesamtstruktur verantwortlich.

Setzen Unternehmen eine verschachtelte Struktur mit mehreren Domänen ein, synchronisieren sich die einzelnen PDC-Master der Domänen jeweils mit dem PDC-Master der übergeordneten Domäne. Der PDC-Master der Stammdomäne ist schließlich der Server, von dem sich alle anderen Server die Zeit holen. Dieser sollte seine Uhrzeit am besten über einen Zeitserver im Internet synchronisieren. Dazu werden in der Befehlszeile auf dem ersten Domänencontroller, also dem Domänencontroller mit der PDC-Masterrolle, die folgenden Befehle eingegeben:

Als Zeitserver wird hier der Zeitserver der Physikalisch-Technischen Bundesanstalt in Braunschweig verwendet. Alle anderen Domänencontroller, Arbeitsstationen und Server synchronisieren ihre Zeit mit dem PDC-Master. Um sicherzustellen, dass alle anderen Domänencontroller ihre Uhrzeit mit diesem Domänencontroller synchronisieren, wird auf den einzelnen Domänencontrollern der folgende Befehl eingegeben:

Anmerkung der Redaktion: Dieser Beitrag stammt ursprünglich aus dem Oktober 2016 und wurde zum 27.10.2017 komplett überarbeitet, aktualisiert und umfassend ergänzt!

(ID:44978305)