Migration Day: Windows Active Directory → Samba AD DC
Modul 158 – Software Migration
Heute war einer dieser Tage wo nichts so läuft wie geplant — und genau deshalb hat man am Ende mehr gelernt als erwartet.
Was war das Ziel?
Im Rahmen meiner Ausbildung zum Informatiker EFZ haben wir ein Migrationsprojekt durchgeführt: Den bestehenden Windows Server 2022 Domain Controller (NXN-DC01) durch einen Linux-basierten Samba AD DC (NXN-SAMBADC01) ersetzen. Das Ganze läuft auf unserem eigenen Proxmox-Homelab-Cluster.
Der Auslöser war realistisch: Windows Server 2022 läuft Ende 2026 aus dem Mainstream Support — ein Upgrade auf Windows Server 2025 hätte erneut Lizenzkosten verursacht. Stattdessen: Samba 4.x auf Debian 12, kostenlos, Open Source, nativ in unserer Linux-Infrastruktur.
Was ist schiefgelaufen
Eigentlich alles — aber auf lehrreiche Art.
Problem 1 — Schema-Inkompatibilität
Samba 4.17 (Standard auf Debian 12) unterstützt nur Schema Level 88. Unser Windows Server 2022 hatte ebenfalls Level 88 — sollte also passen. Tat es aber nicht. Stundenlange Fehlersuche führte dazu, dass wir Samba via Backports auf Version 4.22.6 aktualisiert haben.
Problem 2 — Forest Functional Level
Auch mit Samba 4.22 schlug der Domain Join fehl. Der Fehler WERR_DS_INCOMPATIBLE_VERSION liess sich erst durch das Senken des Forest Levels von Windows2016 auf Windows2012R2 beheben.
Problem 3 — Schema Level manuell anpassen
Zusätzlich mussten wir das Schema Level von 88 auf 69 senken — direkt in der AD-Datenbank via PowerShell. Das ist in einer Produktivumgebung keine Option, aber für unser Lab-Projekt war es die pragmatische Lösung.
Problem 4 — smb.conf Überrest
Nach all den Versuchen lag noch eine alte smb.conf rum die den Join blockierte. Gelöscht — und plötzlich funktionierte alles.
Was hat funktioniert
Nach 3 Stunden Fehlersuche lief der Domain Join durch:
Joined domain sh-nxn (SID S-1-5-21-...) as a DC
Danach lief die AD-Replikation automatisch:
- 28 Benutzer repliziert
- 58 Gruppen repliziert
- 11 GPOs repliziert
FSMO-Rollen wurden auf NXN-SAMBADC01 übertragen, DNS Forwarder auf 8.8.8.8 gesetzt — und der Windows 11 Client hat sich problemlos über den neuen Samba DC authentifiziert.
Was ich heute gelernt habe
Technisch:
- Samba AD DC als Secondary DC in eine Windows-Domain joinen ist möglich, aber anspruchsvoller als erwartet
- Schema Level und Functional Level sind zwei verschiedene Dinge — beide können Probleme verursachen
- samba-tool drs showrepl ist dein bester Freund um Replikation zu verifizieren
- FSMO Rollen lassen sich in Sekunden transferieren sobald der Join klappt
Methodisch:
- Fehlermeldungen genau lesen lohnt sich — der echte Fehler steckt meistens tiefer in den Logs
- Fallback-Szenario vorbereiten bevor man anfängt ist kein Overkill, es ist Pflicht
- Ein Snapshot vor der Migration ist das Günstigste das man tun kann
Aktueller Stand
NXN-DC01 (Windows Server 2022) läuft noch parallel als Fallback. Nach der Abnahme durch die Lehrperson wird er als Snapshot archiviert und gestoppt.
NXN-SAMBADC01 ist jetzt der Primary Domain Controller von int.sh-nxn.dev — auf Debian 12, in einem LXC Container, mit 1GB RAM statt 4GB.