Samba-PDC und -BDC: Manche Clients brauchen zwingend den BDC

[tomlif]

Hallo: Ich verstehs nicht:

Wir haben einen SAMBA-PDC und einen SAMBA-BDC laufen. (3.0.4) Für einen Test haben wir den BDC abgeschaltet. Danach konnten sich manche Clients (nicht alle) nicht mehr am Netzwerk anmelden. Wird der BDC wieder eingeschaltet, läuft alles wieder normal.

"Das primäre Computerkonto oder Benutzerkonto fehlt oder Password ist falsch..."

Mir ist nicht klar, wo der Fehler liegt, denn das Computer- und Benutzerkonto wurden im LDAP-Verz. gefunden. Die LDAP-Benutzerverwaltung ist auf PDC und BDC gleich. Benutzer und Maschinenkonto ist auf dem BDC vorh. Der Abgleich mit SLURPD läuft super.

Vielleicht hat jemand eine Idee?
Vielen Dank... T.

PDC:

[global]
workgroup = LRA-LIF
netbios name = srv_pdc1
server string = Samba-PDC-1
encrypt passwords = Yes
map to guest = Never
syslog = 1
log level = 2
log file = /var/log/samba/%m.log
max log size = 5000
time server = Yes
unix extensions = Yes
admin users = @"Domain Admins"
domain logons = Yes
os level = 99
preferred master = Yes
domain master = Yes
wins support = Yes
passwd chat debug = Yes
passwd program = /usr/local/bin/smbldap-passwd.pl -o %u
passwd chat = *new*password* %n\n *new*password:* %n\ *successfully*
ldap passwd sync = Yes
min passwd length = 5
add machine script = /usr/local/sbin/smbldap-useradd.pl -w "%m"
logon path =
passdb backend = ldapsam:ldap://localhost:389
ldap suffix = dc=lra-lif,dc=loc
ldap machine suffix = ou=computer
ldap user suffix = ou=user
ldap group suffix = ou=groups
ldap admin dn = cn=ldapadmin,dc=lra-lif,dc=loc
ldap ssl = no

BDC:

[global]
workgroup = LRA-LIF
netbios name = srv_pdc2
server string = Samba-PDC-2
encrypt passwords = Yes
map to guest = Never
syslog = 0
log level = 0
log file = /var/log/samba/%m.log
max log size = 5000
time server = Yes
unix extensions = Yes
admin users = @"Domain Admins"
domain logons = Yes
os level = 65
preferred master = Yes
domain master = No
wins support = Yes
logon path =
passdb backend = ldapsam:ldap://localhost:389
ldap passwd sync = Yes
ldap suffix = dc=lra-lif,dc=loc
ldap machine suffix = ou=computer
ldap user suffix = ou=user
ldap group suffix = ou=groups
ldap admin dn = cn=ldapadmin,dc=lra-lif,dc=loc
ldap ssl = no

 

[ThomasF]

Hmmm, bin jetzt nicht der Experte in Sachen BDC ...

Aber ich würde als erstes prüfen ob beide wirklich Syncron sind ...

Am einfachsten beide Verzeichisse komplett in jeweils ein LDIF File ziehen und dann ein Diff darüber laufen lassen.

Ich sehe jetzt auf die Schnelle keinen Fehler in den smb.conf aber auf der LDAP Seite (die ja auf beiden jeweils localhost laufen) mußte Du 100% dafür sorgen das auf dem BDC keine Daten geändert werden können und er sich ausschließlich am PDC syncronisieren kann.

Hoffe das hilft Dir erst mal weiter

ThomasF

PS: Es hat zwar nix mit dem Problem zu tun, aber der Serverstring und der Netbios-Name sind sehr verwirrend. Es gibt in einem Netzwerk niemals zwei PDCs also sollte der Name auch BDC sein. Zumindest für die selbe Domain ..Aber das nur am Rande ;-)

 

[ThomasF]

Zusatz:

Der Eintrag : "preferred master = Yes" sollte nach ersten Recherchen nur auf dem PDC aktiv sein. Was das bewirkt muß ich noch schauen ...

Edit: Hmm, IMHO nicht so wichtig da Du den OS Level auf dem BDC niedriger hast

 

[tomlif]

Hallo;

ich hab das LDAP-Verzeichnis nur im LDAP-Browser kontrolliert. Jetzt hab ich mal einen LDAP-Export gemacht und mit DIFF verglichen. So wie Du geschrieben hast

Es gint Änderungen. Irgendwie sind die Attribute "sambaPWDMustChange" und "sambaPWDLastSet" bei einigen User und Computerkonten unterschiedlich....
:shock:

Demzufolge konnte der BDC im LDAP-Verzeichnis ändern. Mist. Wahrscheinlich der Parameter ldap passwd sync = Yes, den ich in der SMB.CONF des BDC eingestellt hatte.


Ich werd jetzt den LDAP-Dienst des BDC leeren und dann mit den Werten des PDC neu aufbauen. Und nochmals versuchen...

Vielen Dank für die Hilfe!!!
Gruß
t.

 

[tomlif]

Hallo tomlif,

kontrollier bitte auch die ACL's in der slapd.conf des BDC. Diese müssen so eingestellt sein, das auf dem BDC keine Änderungen möglich sind. Die Replikation darf nur vom PDC erfolgen. Eine Änderung auf dem BDC würde der PDC nicht mitbekommen.

Stimmt. Die sind identisch mit dem PDC. Daran hab ich nicht gedacht...
SUPER TIPP.

Thanxxx.
t.