Exchange Server 2007 CCR Cluster – FSW Besonderheiten

Hallo Leutz,

Exchange Server 2007 CCR Cluster verwenden zwei Nodes und einen dritten Rechner (typischerweise einen HTS) als File Share Witness. Dieser FSW ist der Voter in dem CCR Cluster und regelt das Failoverhalten des Clusters und verhindert das sogenannte Split Brain Syndrom.

Der FSW ist nur auf einem HTS aktiv. Leider kann man den HTS nicht auf ein DFS setzen, so dass sich die Frage stellt, was bei dem Ausfall eines Datacenters in einem geographisch verteilten Cluster erfolgt, bzw. was bei einem Switch Ausfall passiert, wenn die HTS Server nicht redundant an verschiedene Switche angebunden sind.

Da der FSW der Voter ist, kann der passive Cluster Node nach einem Datacenter Ausfall die Cluster Gruppe und den CMS nicht mehr hochfahren. Der FSW ist also der SPOF. Der FSW muss manuell dem zweiten Knoten bekannt gemacht und aktiviert werden.

Wie der Passive Node zu aktivieren ist, steht hier:
http://msexchangeteam.com/archive/2007/04/25/438185.aspx
http://msexchangeteam.com/archive/2008/04/03/448615.aspx

Fuer eine CCR / HTS Anbindung in einem Datacenter gilt, die HTS Server mit NIC Teaming auf unterschiedlichen Switchen redundant anzubinden. Die beiden MBX Server brauchen kein NIC Teaming und ich habe schon gesehen, dass der EXBPA meckert, wenn NIC Teaming aktiv ist, bzw. der Failover Cluster Validation Test meckert (das bekommt man zwar weg, indem man dem NIC Team mit dem Hersteller Tool die richtige MAC setzt, muss aber nicht sein).

Wie die Einrichtung des FWS erfolgt, ist Exchange Versions spezifisch. Nachdem Exchange 2007 auf den Markt kam, war die Cluster Recommendation, den FSW in dem Datacenter zu betreiben, wo auch der Active Node liegt. Wenn dann das aktive Datacenter ausfaellt, muss das sekundaere Datacenter uebernehmen und der FSW manuell installiert, oder wenn schon installiert, manuell aktiviert werden. Siehe auch den MSEXCHANGETeam Artikel.

Eine gewisse Zeit war die Empfehlung einen CNAME Eintrag im DNS zu machen. Seit geraumer ist man davon abgegangen (wegen StrictNameChecking vom LANManServer) und empfiehlt, einfach nur den FQDN des FSW zu aendern.
In jedem Fall muss dem ehemals passiven Node, nun aktiven Node manuell beigebracht werden, wo der FSW liegt, was wie in dem Artikel beschrieben mit drei Befehlen geht.
Das Exchange Team ist davon ausgegangen, dass ein WAN Ausfall haeufiger vorkommt. Wenn dann doch das Datacenter ausfaellt, muss man halt einmal manuell umschwenken, was ja auch im Minutenbereich liegt.

Meiner Meinung nach ist das Thema SPOF bei FSW auch noch nicht hinreichend bekannt. Das Thema FSW ist eigentlich auch erst mit Windows 2008 Failover Cluster akut geworden, seitdem man mit 2008 Cluster die Nodes in unterschiedlichen Netzen betreiben kann.

Gruss Marc

Wohin mit dem alten Notebook? -iSCSI fuer arme!

Hallo Leutz,

wohin mit dem alten Notebook? Das Geraet ist noch Top in Schuss (1,83 GHz Dual Core, 4 GB RAM, 320 GB HD).

Verkaufen bei ebay kommt nicht in Frage 🙂

Heute Nachmittag kam mir die Idee, ein NAS daraus zu bauen, FreeNAS war leider keine Alternative, da mir das Notebook beim Booten immer abstuerzte.
Also ein Windows Server 2008 installiert und eine NFR Version von Starwind drauf gehauen und meine 5 USB Festplatten angeschlossen.

Jetzt stehen mir insgesamt 5,5 TB Speicherkapazitaet netto zur Verfuegung. Aus Datensicherheitsgruenden, werde ich aber nur 3,0 TB nutzen und den Rest zur Datenspiegelung verwenden. Ein entsprechendes Robocopy Skript habe ich mir erstellt, welches die Daten alle 4 Stunden synct.

 

Da ich jetzt in dem Genuss eines stromsparenden “Servers” bin, habe ich den Server auch gleich noch zum Windows DHCP Server gemacht.

Gruss Marc

Vorgehensweise Active Directory DC Migration von Windows Server 2003 – 32 Bit auf Windows Server 2008 – 64 Bit

Hallo Leutz,

hier die Vorgehensweise fuer eine DC Migration:

Voraussetzung:
Pro Domaene mindestens zwei Domaenencontroller
Die Gesamtstruktur und die Domaenen muessen bereits mit ADPREP /FORESTPREP und ADPREP /DOMAINPREP  /GPPREP und ggfs. /RODCPREP vorbereitet werden.

Installierte Software auf Windows Server 2008 Tauglichkeit pruefen
DC sichern
Funktionsweise pruefen (AD Health Check, Logdateien)
Ermittlung der installierten Software – Dokumentation / Sicherung
Windows Server Funktionen ermitteln, sichern und ggfs. auf einer anderen Maschine zur Verfuegung stellen (DHCP/WINS beachten)
FSMO Rollen auf den gerade nicht zu migrierenden Server verschieben (macht der DCPROMO Prozess auch, aber sicher ist sicher)
Ausfuehrung von DCPROMO auf dem zu migrierenden Server
Server booten
Bereinigung alter Verweise auf den Server im Active Directory (Active Directory Standorte und Dienste)
Server umbenennen
IP Adresse des Servers aendern
Server mit Windows Server 2008 64 Bit mit Hilfe der Serverbereitstellungstools des Herstellers neu installieren
Aufnahme des Servers in die eingesetzten Management-Systeme (Whatsup etc.)
Installation der notwendigen Agents (SCOM, Antvirus, Backup)
Servername und IP Adresse wie der alte Server
DNS Server auf den zweiten DC als primaeren DNS setzen
Ausfuehrung von DCPROMO
DNS + GC installieren
Server booten
IP Adresse des DNS Server umstellen auf sich selbst und sekundaer der zweite DC
FSMO Rollen zurueck verschieben
Ereignisanzeige + AD Replikation und -Funktion pruefen
Reinstallation der vorherigen Server Funktionen, Funktionspruefung
Reinstallation etwaiger vor dem Update installierter Third Party Software
Domaenen und Gesamtstrukturfunktionseben heraufstufen auf Windows 2008
FRS Replikation auf DFS Replikation umstellen
Funktionspruefung des gesamten Systems
Dokumentation

Hier findet Ihr die Doku: http://www.it-training-grote.de/download/Vorgehensweise%20Active%20Directory%20Migration%202003%20zu%202008%20Migration.pdf

Gruss Marc

ADPREP /RODCPREP schlaegt fehl

Hallo Leutz,

In einer Windows Server 2003 Domaenenumgebung wurde der FSMO Rolleninhaber der (FRD = Forest Root Domain) neu installiert, ohne vorher DCPROMO durchzufuehren.
Mit Hilfe von …
NTDSUTIL – ROLES – und dem SEIZE Befehl wurden die Rollen vom Offline DC auf einen anderen DC uebertragen.

Bei dem Update der Domaene auf Windows Server 2008 wurden die Befehle ADPREP /FORESTPREP und ADPREP /DOMAINPREP /GPPREP durchgefuehrt.

Der Befehl ADPREP /RODCPREP – zur Vorbereitung der moeglichen Aufnahme eines RODC (Read Only DC), jedoch erst spaeter. Die Ausfuehrung von RODCPREP in der Forest Root Domaene schlug jedoch fehl. Warum? Lest Ihr hier:
http://www.it-training-grote.de/download/ADPREP-rodcprep.pdf

Gruss Marc

Domaenen Upgrade auf Windows Server 2008 – Part I

Hallo Leutz,

es ist bei mir wieder spannend geworden: Seit gestern migriere ich das Active Directory bei einem Kunden auf Windows Server 2008. Insgesamt muessen 9 Domaenencontroller migriert und zwei neue Domaenencontroller an zwei Standorten mit zwei Subdomaenen installiert und migriert werden.

Das spannende hierbei: 6 DC sind gleichzeitig DHCP Server, ein DC ist die Enterprise Root CA, ein DC eine Subordinate CA und zwei DC sind primaerer und sekundaerer WSUS Server, so dass hier einige Vorarbeiten zu beachten sind.

Im ersten Teil habe ich gestern einen AD Health Check durchgefuehrt und alle DC auf Fehler geprueft. Folgende Tools wurden verwendet:
NTDSUTIL, DCDIAG, REPLMON, FRSDIAG, EventViewer.
Fuer ein Worst case Szenario eines fehlgeschlagenen Updates haben wir alle DC mit IDR (Intelligent Desaster Recovery) gesichert und wir haben noch einen virtuellen DC als VM eingerichtet, welcher vom Netz getrennt wurde und als Failback verwendet werden kann.
Nach einer Dokumentation aller DC und deren Konfiguration/Rollen ging es an das Schema Update (ADPREP /FORESTPREP). Nach der Replikation des AD Schema wurde in den drei Domaenen das Domaenen Prep mit ADPREP /DOMAINPREP /GPPREP ausgefuehrt und danach die Ereignisanzeige aller Server kontrolliert.

Heute geht es an die Herunterstufung der einzelnen Windows 2003 DC, der Installation von Windows Server 2008 (Teaming, SCOM Agent, Antivirus, Einbindung in die Management-Systeme) und der darauf installierten Applikationen.

Bis Freitag Abend soll der erste Standort umgestellt sein. Der andere Standort wird naechste Woche umgestellt. Zur PKI und DHCP Server Migration werde ich nochmal separat bloggen.

Gruss Marc

ISA Server 2006 – Common Criteria – EAL 4+ erreicht

Hallo Leutz;

ISA Server 2006 hat nach einem langen Evaluierungsverfahren CC EAL 4+ erreicht:
http://download.microsoft.com/download/A/3/3/A33D3307-025E-49AD-A276-DCF0F29E28B0/isa2006-cc-certificate.pdf
BSI Info:
http://www.bsi.de/zertifiz/zert/reporte.htm#Firewalls.
Allgmeine Informationen:
http://www.microsoft.com/forefront/edgesecurity/isaserver/en/us/common-criteria.aspx.

Gruss Marc

Endpunkte? Wie ist der Spielstand?

Tach Allerseits,

heute lächelte mir eine spaßige Fehlermeldung entgegen (In der Endpunktezuordnung sind keine weiteren Endpunkte verfügbar), als ich versuchte die MMC vom TMG-MBE zu öffnen:

Keine Ahnung wie hoch mein Punktestand war. 😉 Ein beherzter Neustart linderte die Situation und die MMC ließ sich wieder öffnen.

Karsten Hentrup aka Jens Mander…

|<-|

NLB in VMware ESX im Unicast Mode…

Tach Allerseits,

Frank Pusch hat heute in der deutschen ISA-Newsgroup ein interessantes Posting zum oben genannten Thema verfasst:

**************************************************

Heute möchte ich mal keine Frage stellen, sondern eine Info geben.

Problem: ISA 2006 EE mit integriertem NLB im Unicast Mode (Standard) in
VMware ESX-Umgebungen funktioniert nicht.

Ich habe oft gelesen, dass dann Multicast Mode genommen werden muss/soll.
Das hat aber auch seine Nachteile und ist nicht leicht zu konfigurieren.

Bei uns hat es gereicht, die virtuellen Switche im ESX Server 3.5 (bzw. der
Portgruppe im vSwitch) so zu konfigurieren, dass es auch im Unicast Mode
funktioniert. Es muss nur “Switche benachrichtigen: NEIN” eingestellt sein.
siehe hierzu KB1556 in kb.wmware.com
(http://kb.vmware.com/selfservice/microsites/search.do?language=en_US&cmd=displayKC&externalId=1556).

(Umgebung bei uns: Mitglieder eines Array liegen auf unterschiedlichen
ESX-Server).

Vielleicht findet diese Info der eine oder andere ebenso nützlich wie ich.

MfG,
Frank Pusch

**************************************************

Vielen Dank für die nützliche Info Frank!

Karsten Hentrup aka Jens Mander…

|<-|