Exchange Server 2010 no usa un DC que está en el mismo Site AD

En la empresa Technology Labs contamos con tres sites AD (Figura 1):

• East (East)
• Midwest (Midwest)
• Saint Nicholas (StNic)

También hay tres dominios

• LabmsgRoot.Techlab.net
• LabmsgMid.Techlab.net
• LabmsgStn.Techlab.net

Para que Exchange Server 2010 tenga acceso al AD, pusimos dos DC en el site Midwest. Uno es DC de LabmsgMid y otro es DC de LabmsgStn.

Figura 1

Cuando por mantenimiento se necesito apagar uno de los DC, los servicios de Exchange dejaron de funcionar. Sabiendo que había otro DC en el mismo sitio comenzamos a buscar que podría estar mal.

Lo primero fue verificar que DC utilizaba el servidor de Exchange (Figura 2).

Figura 2

Ese comando de PowerShell nos reveló que Exchange utilizaba el equipo que habíamos apagado, pero que adicionalmente no tenía otro equipo a donde conectarse.

Buscamos en el Even Viewer el Event ID 2080 para ver información relativa al acceso al AD que tiene el equipo de Exchange Server 2010 (Figura 3), nos encontramos que se reflejaban los dos DC del sitio.

Figura 3

Sin embargo, un pequeño detalle nos dió una pista de donde podría estar el problema. El equipo que no era listado por Exchange Server 2010 nos marcaba un CERO (Figura 4) en el campo SACL Rights.

Figura 4



Este indicador nos avisa que el servidor de Exchange no tiene permisos de "Manage auditing and security logs" en ese DC, permiso necesario para todos los Exchange Server 2010. Después de que el equipo de Administración de AD confirmó que este equipo no contaba con ese permiso y se lo asignó correctamente (Figura 5), volvimos a buscar el Event ID 2080 (Figura 6). 

Figura 5

Figura 6

Ahora se podía ver que ambos DC reportaban un UNO en SACL Rights (Figura 6), y finalmente verificamos con el mismo comando PowerShell que al principio, cuales DC podía utilizar el servidor de Exchange 2010 (Figura 7).

Figura 7

Apagando cualquiera de los DC, Exchange Server 2010 continúa funcionando si el otro DC se encuentra activo.