Hallo Freunde

Ich habe eine hier eine zweite Test-domäne hochgezogen. Heute morgen konnte sich ein Mitarbeiter an meiner Domäne anmelden, obwohl er für diese Domäne gar keinen User hat!?!

Ich schildere euch mal meine Umgebung...

Haupt-Domäne:
DC = 172.40.30.1/255.255.0.0

Test-Domäne:
DC = 192.168.1.10/255.255.255.0

Wie kann es sein das sich jemand mit einem User von der Haupt-domäne an meiner Test-domäne anmelden kann?

Ich nehme mal an, dass Du Active Directory Domänen einsetzt oder?

Falls ja, gibt es dafür eigentlich nur eine Erklärung:

in einer AD Domain sind alle Domänen Server gleichberechtigt, d.h. jeder Domänencontroller (DC) tauscht regelmässig mit seinen Nachbarn die Daten aus.. .(standardmässig alle 15 Minuten, wenn nichts konfiguriert ist) somit scheint offensichtlich der Testserver mit dem Haupt DC eine Replikation durchgeführt zu haben, was dann dazu führt, dass nun der 2. DC ebenfalls die gleiche Userdatenbank bereitstellt..

In gewissen Fällen ist das von grossen Vorteil: z.B wenn im Hauptsitz der Firma X der Haupt DC steht und irgendwo in Asien ein 2.ter DC, der dann ermögllicht, dass sich die dortigen USer (sofern gewollt) theoretisch auch am AD im Hauptsitz anmelden können (und den 2. DC dazu benutzen, was die Anmeldung und das eventuelle Laden von Roaming Profilen beschleunigt)

Ich würde Dir empfehlen, zwei komplette (am besten durch Router getrennt) getrennte Netze aufzubauen, so kommen sich die beiden Server nicht in die Quere oder den einen Server als Member Server zu konfigurieren (bedingt leider Neuinstallation des Rechners), damit dieser keinen Abgleich mit dem Active Directory macht

Ja

Und die Replikationen funktionieren auch wenn ich die Server durch Subnetze abgetrennt habe?
Wie kann das sein? Ich habe ja gar keine Verbindung zwischen diesen Servern?

Ja, Replikation funktioniert auch über verschiedene Subnetze... Windows bzw. Active Directory erstellt bei der Installation von ADS automatische Replikationsverbindungen, die man aber getrost entfernen kann..
wie gesagt gibt es auch die Möglichkeit den einen Server als Member Server zu konfigurieren, dadurch kann dieser komplett autonom von der Hauptdomäne laufen.. und dort können dann ggf. lokal separate Rechte vergeben werden

PS das Ganze ist ja zu finden über "Active Directory Standorte und Dienste"

Ok das hab ich nicht gewusst. Heute Morgen konnte ich mir das echt nicht erklären!

Danke für deine Hilfe!