VMs nach Update auf 7.0.2 d nahezu unbrauchbar

[denkis]

Hallo Zusammen und guten Abend,

nach einem Problem mit der Bootbank unseres vSphere 7 Hosts (Fujitsu RX2540 M5 mit Dual-SD), haben wir nach Rücksprache mit dem Herstellersupport von 7.0.2 auf 7.0.2 d aktualisiert. Update 3 ist leider noch nicht freiggeben. Wir verwenden nur diese eine Maschine und haben ebenfalls kein vCenter.
Das Update lief fehlerfrei. Empfehlungen des Herstellers in Punkto Scratchpartition und Transfer der VMwareTools zur RAMDisk haben wir befolgt.

Nach dem Update wurden die VMwaretools in den VMs schrittweise aktualisiert und neu gestartet.

Nun zum eigentlichen Problem:
Auf dem Server läuft eine kleine Domain, vom Controller, Mailserver, bis hin zu RDS Hosts und Filediensten. Die Server teilen sich 3 Netzwerksegmente (VLANs), was vor dem Update alles wunderbar lief.
Seit dem Update ist auf den Servern keine Domainanemeldung mehr möglich. DNS löst zwar alles auf, Pings laufen aber gegen die Wand, salopp gesagt. Die Server zeigen vermeintlichen connect zur Domain, den sie nicht wirklich haben. Berechtigungsgruppen werden nur mit SID angezeigt, was auch ein Hinweis mangelnder Verbindung zum DC ist.
Es scheint so, als blockt das vm -Netzwerk alle Pakete weg.
Habt Ihr hier soetwas schon mal gehabt oder Erfahrung mit so einem Szenario?

Vielen Dank und Grüße
Denkis

[~thc]

Schau doch mal im DC, ob die NLA (Network Location Awareness) das Domänen-Netzwerk selbst erkannt hat: Wird rechts unten beim Hovern über dem Netzwerk-Symbol die Domäne angezeigt?

[denkis]

Hallo thc,

Danke für Deinen Beitrag.
Den NLA Dienst hatten wir auch in verdacht gezogen und mehrfach neu gestartet. Dafür läuft auch ein Job, der Diesen regelmäßig überprüft. Der ist quasi "sauber".

Grüße
denkis

[~thc]

Sind das Windows Server 2012R2? 2016? 2019? Per Standard kommen Pings eigentlich durch - daran habt ihr nichts geändert?

Wie ganau sieht das ESXi-Netzwerksetup aus? vSwitches? Portgruppen? VLANs?

Habt ihr, wenn sich keine kurzfristige Lösung findet, ein Rollback beim Booten in Erwägung gezogen?

[denkis]

- Wir haben teils 2012R2, aufgrund einer älternen SQL Anwendung und 2019er.
- 1 vSwitch mit drei Portgruppen (ein VLAN je Portgruppe)
- 5 Server in Portgruppe 10
- 2 Server in Portgruppe 20
- 1 Server in Portgruppe 1

- Vor dem Update alles Prima
- Jetzt läuft alles im Notbetrieb, Filedienste, Drucken usw. ohne Domain
- Backups sind auch da.
- Bevor wir jedoch zurückrollen, wollen wir gerne den Fehler finden und verstehen, um zukünftig gegensteuern zu können.

Grüße
denkis

[~thc]

Das bedeutet, die Maschinen sind gegeneinander in ihren VLANs/Portgruppen vollständig isoliert? Die drei VLANs kommunizieren dann nach draußen (-> pSwitch -> andere Teilnehmer der VLANs) ?

Innerhalb des VLANs mit dem DC: Wenn die VMs sich untereinander anpingen, ist dann der ARP-Eintrag ("arp -a") korrekt?

[denkis]

Hallo nochmal in die Runde,

wir haben nochmals den VMware Support bemüht und eine umfassende Netzwerkanalyse durchführen lassen. Klar ist jetzt, das es nicht am vSphere lag.
Daraufhin ging es Weiter zur Gastebene... und dort fand sich das Problem in einer GPO, welche kurz vor dem Failover geändert wurde. Hier war ein IP Bereich eingegrenzt worden, der wiederum empfindliche Änderungen in der Windows Defender Firewall einstellte. Mit angepasstem Bereich funktioniert nun wieder alles wie gewohnt.
Vielen Dank für alle Beiträge.

Grüße
denkis