DFS, FRS, DFRS, SYSVOL, NETLOGON

Anmeldeskripte und Gruppenrichtlinien müssen auf allen Anmeldeservern einer Domain identisch sein, ehe Sie als "SYSVOL" und "NETLOGON" per SMB freigegeben werden. Bei Windows kümmert sich schon seit langem der "File Replication Service darum. Bei Samba-Domains gibt es den Service nicht aber kann mit eigenen Skripten wie RSYNC nachgebaut werden. Hier beschreibe ich meine Erfahrungen und Erkenntnisse vieler Jahre Troubleshooting.

Beachten Sie dazu auch die Seiten SYSVOL, NETLOGON und SysvolReady und SYSVOL Initialisierung

FRS oder DFRS

Bis Windows 2003 hat Microsoft mit dem klassischen "File Replication Service" den Abgleich der Systemverzeichnisse zwischen den Anmeldeservern umgesetzt. Diese Funktion ist bis Windows 2012R2 auch nutzbar aber seit Windows 2008 gibt es mit DFRS einen Nachfolger, der einige Probleme des klassischen FRS beseitigt. Mittlerweile sollte FRS gar nicht mehr relevant sein. Es sei denn, Sie migrieren von Windows 2003 Domain Controllern oder vielleicht Samba-Servern. Dennoch finden sich sogar auf einem Windows 2022 Server noch beide Funktionen.

Die beiden DFS-Dienste (Namespare und Replikation) sind die neue Technik während die "File Replication" mittlerweile auf "Disabled" steht.

FRS/DFRS wird aber nicht nur für den Abgleich von SYSVOL/NETLOGON genutzt, sondern kann auch beliebige Dateien zwischen Servern synchron halten und dann per DFS auch unter einem gemeinsamen Namen freigeben. Das ist natürlich keine Gute Idee für Dateien, die mit Dateisperren arbeiten, z.B. Access Datenbanken, PST-Dateien etc. Wenn Sie aber Informationen primär zum Lesezugriff bereithalten, die nur an einer Stelle geändert werden, dann ist DFS in Verbindung mit DFRS eine interessante Option zur Lastverteilung, Verfügbarkeit und WAN-Optimierung.

DFS Management und Tools

Durch die Nutzung als Domain Controller wird auf dem Server automatisch auch DFS Replikation aktiviert. Allerdings ist das eher "versteckt", denn die entsprechenden Rollen und Features und insbesondere die Admin-Tools werden mit nicht sichtbar installiert. Wenn Sie daher neben einer GUI auch die PowerShell und Kommandozeilentools wie DFSDIAG etc. nutzen wollen, dann sollten sie die Rolle nachinstallieren. Hier am Beispiel von Windows 2022

Das geht natürlich auch per PowerShell:

Die Management Tools lassen sich dann wie folgt schnell und ohne Maus installieren:

Add-WindowsFeature RSAT-DFS-Mgmt-Con

Allerdings sehen Sie die SYSVOL-Replikation dann dennoch nicht in der GUI. Allerdings gibt es schon nützliche Kommandozeilenwerkzeuge wie DFSDIAG

Sie haben damit aber auch eine GUI, um den DFS-Status zu kontrollieren. Eventuell müssen Sie Namespaces und Replikationen erst addieren. Diese Daten liest die MMC aus dem Active Directory aus. Selbst wenn die DFSR-Dienste gestoppt sind, zeigt die MMC weiterhin die konfigurierten Namespaces an.

FRS zu DFRS Migration

Wenn ihre Active Directory Domain noch Windows 2012R2-Server oder älter hat und von Windows 2003 oder älter gekommen ist, dann kann es sein, dass sie immer noch die alte FRS-Replikation nutzen. Sie müssen dann vor der Installation des ersten neuen Windows 2016 DC oder höher den Umzug zu DFRS durchführen. Prüfen Sie dies mit:

C:> dfsrmig.exe /GetGlobalState

Die Rückmeldung sagt entweder aus, dass der aktuelle globale Status "Eliminated" oder noch nicht migriert ist. Wir müssen auf DFRS migrieren um später einen Windows 2016 DC oder höher ins die Domain aufzunehmen. Bei der Umstellung müssen natürlich alle Informationen , d.h. Anmeldeskripte und Gruppenrichtlinien mitkommen. Daher ist der Prozess mehrstufig und kann durch aus länger, teilweise auch Stunden dauern und durchläuft mehrere Phasen, die sie als Administrator aktiv per Kommandozeile pro Domain steuern müssen.

Es gibt einen "globalen" Status und zudem den Status pro Domain Controller. Den Status können Sie mit folgendem Befehl in Erfahrung bringen

C:> dfsrmig.exe /GetMigrationState

Es zeigt ihnen den globalen Status und den Status pro DC an. Das folgende Bild möchten Sie sicher niemals sehen:

Hier ist der globale Status schon auf "Eliminated" aber die beiden DCs verharren noch in "Start". Es gibt insgesamt vier Status und bei jeder Änderung sollten sie den Migrationsstatus kontrollieren. Ich habe schon Umgebungen gesehen, in denen der Status der Server noch auf "START" stand, aber die FRS->DFSR-Migration laut globalen Eintrag schon abgeschlossen war. In der Registrierung jedes DCs können Sie nachschauen, ob DFSR schon die Kontrolle übernommen hat.

Wenn auf HKLM\SYSTEM\CurrentControlSet\service\DFSR\Parameters\SysVols\Migrating SysVols\Local State:REG_DWORD = 3 steht, dann ist DFSR auf dem Server aktiv. Die globale Einstellung ist allerdings an einer anderen Stelle codiert:

Folgende Werte habe ich gesehen. (Bitte nur lesen!)

Achtung:
Ändern Sie diese Werte nie manuell sondern nur über "DFSMIG /SetGlobalState 1|2|3". Ein Rollback ist nicht immer supported!

0   Start
16  Prepared
32  Redirected
48  Eliminated

Ich habe auch schon (neuere) Umgebungen gesehen, in denen die neuen DCs gar nicht mehr erscheinen aber dafür mit aktiviertem Password Hash Sync (PHS) ein "Azure AD Domain Controller (RODC)" erscheint.

Es kann durchaus auch Stunden dauern, dass DFRS bei Fehlern auch mal 15 Min "Pause" einlegt, um z.B. eine AD-Replikation abzuwarten da die Information zu SYSVOL m AD hinterlegt ist. Viele DCs und geografisch verteilte Domains mit Sitelinks (default 180 Min, min 15 Min Replikation) können den Prozess auf Stunden erweitern. Vielleicht ist es jetzt ein guter Moment einmal über AD Sitelink Replication Notification nachzudenken.

Während der Umstellung wird SYSVOL einmal kopiert, d.h. der Platzbedarf auf den DCs verdoppelt sich! Wenn Sie in SYSVOL also auch komplette MSI-Pakete per Gruppenrichtlinie abgelegt haben, dann dauert dies lange und könnte an Platzmangel scheitern.

Die vier Phasen sind:

Phase Beschreibung Status

Start

Die Ausgangssituation ist eine Domain mit FRS, die noch nicht migriert ist. Alle Windows 2003 oder ältere DCs sind mittlerweile durch Windows 2008 oder neuer ersetzt worden und der Forest unctional Level ist auf mindestens Windows 2008 angehoben worden.

Prepare

Sie starten die Umstellung durch diesen Befehl auf einem Domain Controller der Domain. 

DFSRMIG.EXE /Prepare

Das ist das Signal, dass der DC im Hintergrund mit "ROBOCOPY" eine Kopie des aktuellen Verzeichnis C:\WINDOWS\SYSVOL auf C:\WINDOWS\SYSVOL_DFRS anlegt wird. Dabei werden auch Berechtigungen und symbolische Links berücksichtigt.  Versuchen Sie also besser nicht dies manuell zu beschleunigen. Dies passiert auf allen DCs und den Erfolg sollten Sie entsprechend mit DFSRMIG /GetMigrationState prüfen, dass alle DCs den gleichen Status haben.

Redirect

Nachdem alle DCs ebenfalls auf "Prepare" stehen, starten Sie die nächste Stufe mit:

DFSRMIG.EXE /Redirect

Nun wird die Freigabe von SYSVOL/NETLOGON auf das neue Verzeichnis umgestellt. Auch das müssen alle DCs mitbekommen.

Eliminate

Wenn alle DCs ihre Freigaben auf die neuen Pfade gelegt haben, dann können Sie die alten Verzeichnisse aufräumen lasen, indem Sie die letzte Stufe einläuten.

DFSRMIG.EXE /Eliminate

Damit wird der globale Status auf Eliminate gestellt und alle DCs räumen FRS und SYSVOL auf und deaktivieren den FRS Dienst. Sie können ihn auch nicht mehr starten. Im "File Replication Service" Eventlog landet die passende Meldung mit der EventID 13575.

Eine genauere Beschreibung der einzelnen Schritte erspare ich mir hier, denn ich vermute mal, dass die allermeisten Domains mittlerweile schon DFRS nutzen.

DfsrMachineConfig.XML

Neben all den Einträgen im Active Directory und Registrierung gibt es auch noch eine Datei auf jedem Volume. DFSR nutzt erweiterte NTFS-Funktionen (ChangeNotifications und USNs) um Änderungen zu erkennen und sehr schnell zu replizieren. Idealerweise sofort. In Der Registrierung finden Sie z.B. den Hinweis auf so eine Datei

Wenn wir dann in die Datei "C:\System Volume Information\DFSR\Config\DfsrMachineConfig.XML" schauen, dann sehen Wir hier eine XML-Datei.

Bitte ändern Sie dies Datei nicht und nutzen Sie auch keinen Editor, der Dateien sperrt.
Es ist immer eine gute Idee, solche Dateien zuerst zu kopieren und die Kopien zu nutzen.

Debugging

Für die Suche nach Fehlern kennen Sie sicher schon folgenden Befehl

dcdiag /v /c /e /q

Wenn Sie aber tiefer einsteigen wollen, dann sollten Sie wissen, dass Sie auch mit DFSR das Debugging hochschrauben können

REM Debugging auf Max setzen
wmic /namespace:\\root\Microsoftdfs path dfsrmachineconfig set debuglogseverity=5

REM Debugging wieder auf normal 
wmic /namespace:\\root\Microsoftdfs path dfsrmachineconfig set debuglogseverity=4

Weitere Links