Newsgroup: it.comp.os.win.win2000
Titolo: W2K Server: dominio sparito...

Salve,
mi è successa una cosa assai brutta della quale non ho spiegazioni....
in un server W2000 SP4 di un cliente stamattina "improvvisamente" non
esisteva più il dominio...mi spiego:
entrando in "Utenti di Active Directory" il dominio non era più presente,
come tutta la lista utenti, pc, OU... sparite.
poi altre cose strane:
- non funziona più il copia-incolla di file,
- le icone sul desktop sono bloccate,
- in IE6 non funziona più il "Apri in un'altra finestra" (nn reagisce..),
- non va il Windows Update (va sul sito ma resta la pagina bianca)
- nel registro eventi ne ho una marea legati ad un servizio "MrxSmb"
cod.3034 e altri con croce rossa (mi scuso ma ora me ne sfugge il nome,
domattina me li segno..)
-  se cerco di aprirle gli eventi con doppio click, o proprietà, non si apre
la finestra dei dettagli; se però cerco di chiudere quella del registro mi
dice che prima occorre chiudere la finestra proprietà...che non si vede!
Premetto che il sistema è protetto dal SAVCE 9.1 e virus non ce ne sono (ho
fatto 3 scansioni, in modalità normale e provvisioria)
Il ripristino di AD dal backup non ha sortito effetto, ne l'avvio con
l'opzione "Usa l'ultima versione perfettamente funzionante" (o dicitura
simile...) al boot.
Non so che fare, a parte salvare i dati e riformattare, e non so da cosa
possa essere dovuta questa "catastrofe"...
Esiste qualche comando, utility (o magari reinstallarci sopra Win2000,
sperando che i vari software non debbano essere reinstallati..) per
ripristinare il tutto?
Se servono maggiori informazioni sarò senz'altro più preciso la prossima
volta, ora non ho il server davanti..
Grazie,
Lorenzo

 mi è successa una cosa assai brutta della quale non ho spiegazioni....
premetto che non voglio essere ironico , ma hai mai pensato di mettere una
webcam in sala macchine e filmare chi  armeggia coi  server quando non ci
sei ?
ps. hai provato a cercare sul sito di mamma M$ l'errore presente nella event
log ?
-- 
Everett
"..Non  chiederti cosa gli altri posson fare per te,
ma chiediti cosa tu puoi fare per gli altri.."
-----------
Membro n° 144 del database di ihggd

 wrote in message
| news:SKCIc.33570$tP4.1...@news4.tin.it...
| > Salve,
| > mi č successa una cosa assai brutta della quale non ho spiegazioni....
|
| premetto che non voglio essere ironico , ma hai mai pensato di mettere una
| webcam in sala macchine e filmare chi  armeggia coi  server quando non ci
| sei ?
|
..no, nessuna webcam, ma non credo siano cosě ne autolesionisti ne
"tecnicamente capaci" di tanto...
| ps. hai provato a cercare sul sito di mamma M$ l'errore presente nella
event
| log ?
|
si, ma l'evento 3034 di mrxsmb mi sembra sia segnalato come legato ad un
servizio di redirect di rete; l'altro evento maggiormente segnalato, il
7001,  legato al Service Control Manager, mi sembra di aver capito che siano
conseguenza dello stato attuale di casino dei protocolli di rete e del
servizio RPC disattivato (.. che non riesco a riattivare neanche da riga di
comando..)
poi mi sbaglierň, ma documentandomi ancora ho capito che il db delle AD sta
in c:\winnt\ntds nel file ntds.dit.
Ho provato la procedura ntdsutil backuppando il file .dit e recuperandolo,
ma nisba...
Ho lanciato un dcpromo, riconosce le AD installate e procede alla rimozione,
ma al momento di contattare il dominio (del quale ne riconosce perň il
nome..) segnala che non riesce a farlo e non completa l'operazione..
Cmq non so se poi il fatto del, ad esempio, mancato funzionamento di
copia-incolla dipenda da questo (per inciso, dal prompt dei comandi i file
me li copia con il "vecchio" comando copy...)
Ora sto provando a reinstallarci sopre il Win200, vediamo come va...
ciao
L.

 ha scritto nel messaggio
news:SKCIc.33570$tP4.1...@news4.tin.it...
| Salve,
| mi è successa una cosa assai brutta della quale non ho spiegazioni....
| in un server W2000 SP4 di un cliente stamattina "improvvisamente" non
| esisteva più il dominio...mi spiego:
[self-cut]
| Se servono maggiori informazioni sarò senz'altro più preciso la prossima
| volta, ora non ho il server davanti..
|
| Grazie,
| Lorenzo
Allora, forse ho risolto...
cercando e ricercando su google, Ms, ecc...
mi sono imbattuto in un documento che suggeriva di riattivare il servizio
RPC (effettivamente come detto era Disabilitato)
tramite modifiche al registro di windows, più precisamente:
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\RpcSs\Start = 2
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\RpcSs\Start = 2
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RpcSs\Start = 2
modificato e  riavviato, sembra essere tornato tutto a posto, le icone non
son più bloccate, entra in Utenti di Active Directory e riconosce il
dominio, mi fa il LiveUpdate Symantec, mi apre il dettaglio eventi, scarica
gli aggiornamenti di Windows, è tornato a fare il copia-incolla dei file.
Quindi tutto sembrerebbe essere stato legato al servizio RPC disattivato...
Ora mi chiedo chi/cosa possa averlo disattivato, mi ricordo del virus
Blaster che faceva ciò, ma il sistema è già aggiornato da un anno con le
fix, il SP4, senza dimenticare che in azienda la rete e protetta da firewall
hw...
Adesso mi piacerebbe capire l'origine di tutto ciò...
Lorenzo

 sono (ho fatto 3 scansioni, in modalità normale e provvisioria)
[CUT]
L'antivirus è agiornato all'ultima definizione?
Prova a controllare anche eventuali sw firewall..
Ciao!
-- 
_______________________________
        Microsoft® Technical Advice
         news://
news.microsoft.com
http://support.microsoft.com/newsgroups

| Dovresti saperlo che siamo affamati di codici di errore noi :-)
con tutti questi casini....buon appetito, allora! :-)
cmq in un mio post di oggi dicevo appunto che "l'evento 3034 di mrxsmb mi
sembra sia segnalato come legato ad un
servizio di redirect di rete; l'altro evento maggio rmente segnalato, il
7001,  legato al Service Control Manager, mi sembra di aver capito che siano
conseguenza dello stato attuale di casino dei protocolli di rete e del
servizio RPC disattivato (.. che non riesco a riattivare neanche da riga di
comando..)"
| Il servizio RPC è in esecuzione?
..infatti...
no, non era attivo, era disattivato e, come da mio post precedente, sono
riuscito a riattivarlo con quelle 3 chiavi di registro. modificato e
riavviato tutto è ricomparso "magicamente"!
[cut]
Scusa se tralascio gli altri punti che mi hai suggerito di controllare, non
per superficialità ma perchè credo sia ormai tutto a posto (cmq in ogni caso
il SAVCE era aggiornato,  sistema operativo con aggiornamenti automatici
sempre attivi, sw firewall non ce ne sono, solo hw e aggiornati), ma ti
posso chiedere perchè mi è successo tutto ciò?
Bella domanda dirai, non hai certo la sfera di cristallo!
Più che altro mi chiedevo come è possibile che si fermino quei servizi "da
soli" (magari ci saranno mille motivi, ma che so, i più ricorrenti..) e che
nesso hanno col fatto dei mancati copia-incolla, icone bloccate, dominio
inesistente....
Naturalmente se poi sai dove posso trovare documenti da studiarmi (..in
italiano, spero..) te ne sono ugualmente grato.
A me ricordava tanto Blaster, ma di virus non ce ne è nemmeno l'ombra...
Grazie per l'aiuto,
Lorenzo

 A me ricordava tanto Blaster, ma di virus non ce ne è nemmeno
Se la patch è installata (riverifica eventualmente la versione dei file) e
il sistema risulta pulito all'antivirus, credo che la causa sia solo
qualcosa di "accidentale"
MS03-039: Un sovraccarico del buffer nell'interfaccia RPCSS può consentire
l'esecuzione del codice
http://support.microsoft.com/?kbid=824146


[cut]
| Nel caso degli errori Service Control Manager è importante la descrizione
| dov'è contenuto il nome del servizio e la causa del problema.
ok, dovesse ricapitare sarò più preciso, vedo se riesco e reperire
l'informazione, ma non riuscivo ad aprire le proprietà dell'evento...
| >> Il servizio RPC è in esecuzione?
| > no, non era attivo, era disattivato e, come da mio post precedente,
| > sono riuscito a riattivarlo con quelle 3 chiavi di registro.
| > modificato e riavviato tutto è ricomparso "magicamente"!
|
| Quale valore era stato impostato prima del tuo intervento?
prima erano così:
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\RpcSs\Start = 4
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\RpcSs\Start = 4
mentre il terzo era già a "2".
ho cambiato i "4" in "2", non so cosa voglia dire ma funziona (in realtà
l'ho trovato su un documento che parla di come rimuove Blaster e dei servizi
RPC)
| E' possibile quindi che qualcuno abbia inopportunamente modificato le
| impostazioni del servizio...?
..oddio...il personale addetto non lo ritengo in grado di "smanettare" così
tanto (poi non si sa mai, ma lo escluderei..),
l'unica cosa che è successa è che era saltata la corrente e anche l'ups ha
esaurito le batterie prima che qualcuno lo spegnesse (..ok, ora ho
aggiornato il PowerChute APC..)
|
http://www.microsoft.com/windows2000/techinfo/reskit/en-us/regentry/46715.asp
|
| [CUT]
| > sono, solo hw e aggiornati), ma ti posso chiedere perchè mi è
| > successo tutto ciò?
| > Bella domanda dirai, non hai certo la sfera di cristallo!
|
| Appunto :-)
| Vedi quanto detto sopra
|
| > Naturalmente se poi sai dove posso trovare documenti da studiarmi
| > (..in italiano, spero..) te ne sono ugualmente grato.
|
| Puoi cominciare da qui
| 
http://support.microsoft.com
| 
http://technet.microsoft.com
|
| > A me ricordava tanto Blaster, ma di virus non ce ne è nemmeno
|
| Se la patch è installata (riverifica eventualmente la versione dei file) e
| il sistema risulta pulito all'antivirus,
..confermo..
|credo che la causa sia solo qualcosa di "accidentale"
..solita fortuna, eh..
| MS03-039: Un sovraccarico del buffer nell'interfaccia RPCSS può consentire
| l'esecuzione del codice
| 
http://support.microsoft.com/?kbid=824146
|
| Ciao!
| -- 
Grazie per le dritte, mi documenterò senz'altro a dovere!
Ciao!
Lorenzo

 e dei servizi RPC)
2=automatico
4=disabilitato
Vedi qui come già detto prima
http://www.microsoft.com/windows2000/techinfo/reskit/en-us/regentry/46715.asp


[cut]
| 2=automatico
| 4=disabilitato
...ah, ecco, ora mi torna...
| Vedi qui come già detto prima
|
http://www.microsoft.com/windows2000/techinfo/reskit/en-us/regentry/46715.asp
si, scusa, hai ragione, non avevo ancora avuto tempo di leggerlo..
|
| Ciao!
| -- 
Ciao e grazie ancora!
Lorenzo