DFS-Namespace einrichten: ein gleichbleibender Pfad über mehrere Dateiserver
Diese Seite geht den Aufbau von der Wurzel bis zum Ordnerziel durch, erklärt, wie ein Client seinen Server aussucht, und benennt die Fälle, in denen Replikation Konflikte erzeugt statt Verfügbarkeit.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Der Pfad steht in tausend Verknüpfungen, und der Server soll umziehen
Gewachsene Dateidienste haben ein gemeinsames Muster: Der Servername steckt überall. In verbundenen Netzlaufwerken, in Verknüpfungen auf dem Desktop, in Einstellungen von Fachanwendungen, in Skripten, in Dokumenten mit eingebetteten Verweisen. Solange der Server steht, fällt das nicht auf. Sobald er ersetzt werden soll, wird aus einer Aufgabe von zwei Stunden ein Projekt über mehrere Wochenenden, weil jede dieser Stellen einzeln angefasst werden muss.
Der zweite Druckpunkt ist die Verteilung über Standorte. Eine Niederlassung soll auf dieselben Daten zugreifen wie die Zentrale, aber nicht über eine langsame Leitung. Also wird eine Kopie am Standort abgelegt, und ab diesem Moment existiert dieselbe Datei zweimal. Wer welche Fassung bearbeitet, entscheidet der Zufall, und der Abgleich der beiden Stände passiert von Hand oder gar nicht.
Beide Probleme lassen sich mit derselben Rollenfamilie lösen, aber nicht mit demselben Werkzeug. Der Namespace beantwortet die Frage nach dem gleichbleibenden Pfad und schafft dabei nebenbei Verfügbarkeit über mehrere Ziele. Die Replikation beantwortet die Frage nach der Kopie am Standort, bringt aber eine Einschränkung mit, die den größten Teil der schlechten Erfahrungen erklärt: Sie kennt keine übergreifende Sperre auf Dateiebene und kein Auschecken.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Ein Pfad, aufgeschlüsselt bis zur Freigabe dahinter
Der folgende Pfad ist alles, was die Leute im Haus zu sehen bekommen, und rechts daneben steht, wohin er tatsächlich führt. Jeder Bestandteil links hat eine eigene Bedeutung, und genau an diesen Stellen entscheidet sich später, ob ein Umzug leicht oder schwer wird.
Der Aufbau
\\firma.intern\daten\projekte\vertrieb => \\FS-MUC-01\projekte$\vertrieb - 01 Der Domänenname statt eines Servernamens
\\firma.internEin domänenbasierter Namespace beginnt mit dem Namen der Domäne, wahlweise in der DNS-Schreibweise oder als NetBIOS-Name. Genau das ist der Kern des Ganzen: In dem Pfad, den die Leute benutzen und in ihre Verknüpfungen schreiben, taucht kein Servername mehr auf. Die Beschreibung des Namespace liegt in den Verzeichnisdiensten und zusätzlich in einem Cache auf jedem Namespace-Server.
- 02 Die Wurzel des Namespace
\datenDie Wurzel ist der Einstiegspunkt und wird von einem oder besser mehreren Namespace-Servern bereitgestellt. Sie ist der Teil, den du am schwersten wieder änderst, weil er in jeder Verknüpfung steht. Halte ihn kurz und fachlich neutral. Ein Server ab Windows Server 2012 kann mehrere domänenbasierte Namespaces und zusätzlich einen eigenständigen bereitstellen.
- 03 Der Ordner mit Zielen, hier fällt die Entscheidung
\projekteAuf dieser Ebene sitzen die Ordnerziele, also die eigentlichen Freigaben. Ruft jemand diesen Ordner auf, bekommt der Client eine Umleitung mit einer geordneten Liste der Ziele und versucht das erste davon; ist es nicht erreichbar, das nächste. Ordner ohne Ziele oberhalb davon dienen nur der Gliederung. Je höher im Baum du diese Ebene ansetzt, desto weniger Einträge musst du pflegen.
- 04 Der Teil, der schon im Ziel liegt
\vertriebAlles unterhalb des Ordners mit Zielen kommt aus dem Dateisystem der Freigabe und wird vom Namespace nicht mehr angefasst. Das ist die eigentliche Arbeitsteilung: Der Namespace regelt den Weg bis zur Freigabe, die Struktur darin gehört der Fachabteilung. Wer jeden Unterordner in den Namespace hebt, verwaltet am Ende zwei Strukturen, die auseinanderlaufen.
- 05 Das Ordnerziel, eine ganz gewöhnliche Freigabe
\\FS-MUC-01\projekte$Hinter dem Namespace steckt keine Magie, sondern eine normale Freigabe auf einem Dateiserver, oft mit einem Dollarzeichen am Ende, damit sie beim Durchsuchen des Servers nicht auftaucht. Wichtig für das Berechtigungskonzept: Die Rechte, die den Zugriff wirklich steuern, sitzen hier an Freigabe und Dateisystem. Die Berechtigungen am Namespace-Ordner regeln ausschließlich die Sichtbarkeit.
Wenn es nicht funktioniert
Das siehst du
Leute in einer Niederlassung landen regelmäßig auf dem Server in der Zentrale, obwohl es vor Ort ein Ziel gibt.
Warum
Ziele im selben Active-Directory-Standort wie der Client stehen in der Umleitung immer vorn. Wenn das nicht greift, ist meistens das Subnetz der Niederlassung keinem Standort zugeordnet oder der Dateiserver steht im falschen Standort. Für die Ziele außerhalb entscheidet danach das eingestellte Verfahren, und in der Voreinstellung ist das eine zufällige Reihenfolge ohne Rücksicht auf die Leitung.
Was hilft
Prüf zuerst in den Active-Directory-Standorten und -Diensten, ob alle Subnetze zugeordnet sind. Stell danach für die Wurzel das Verfahren nach den günstigsten Verbindungskosten ein, damit Ziele außerhalb des Standorts nach Kosten sortiert werden. Beachte, dass die Kosten selbst nicht in der DFS-Verwaltung sichtbar sind, sondern aus den Standortverknüpfungen stammen.
Das siehst du
Dateien verschwinden scheinbar oder tauchen mit einer älteren Fassung wieder auf, obwohl die Replikation als fehlerfrei gemeldet wird.
Warum
Das ist kein Fehler, sondern die dokumentierte Konfliktbehandlung. DFS-Replikation kennt keine übergreifende Sperre auf Dateiebene und kein Auschecken. Bearbeiten zwei Personen an verschiedenen Standorten dieselbe Datei gleichzeitig, gewinnt die zuletzt gespeicherte Fassung, und die andere wandert in einen versteckten Ordner unterhalb des replizierten Ordners.
Was hilft
Kurzfristig lassen sich Dateien aus diesem Ordner mit Get-DfsrPreservedFiles und Restore-DfsrPreservedFiles zurückholen, allerdings ohne Garantie, denn der Ordner wird wie ein Cache behandelt und bei Erreichen seiner Größe aufgeräumt. Dauerhaft hilft nur, die gemeinsame Bearbeitung an einen Ort zu legen oder ein System zu nutzen, das ein Auschecken kennt. Microsoft rät ausdrücklich davon ab, DFS-Replikation für diesen Fall einzusetzen.
Das siehst du
Ein Ordner ist trotz eingeschalteter zugriffsbasierter Aufzählung erreichbar, wenn jemand den Pfad kennt.
Warum
Die zugriffsbasierte Aufzählung blendet aus, sie schützt nicht. Microsoft schreibt dazu ausdrücklich, dass sie niemanden daran hindert, eine Umleitung zu einem Ordnerziel zu bekommen, wenn der DFS-Pfad bekannt ist. Die Berechtigungen am Namespace-Ordner dienen nur der Anzeige, weshalb dort auch nur das Leserecht eine Rolle spielt.
Was hilft
Den Zugriff regelst du ausschließlich an der Freigabe und im Dateisystem des Ordnerziels. Die zugriffsbasierte Aufzählung setzt du zusätzlich ein, wenn die Übersichtlichkeit es rechtfertigt. Beachte dabei, dass sie einen domänenbasierten Namespace im neueren Modus voraussetzt und in manchen Umgebungen zu hoher Prozessorlast und langsamen Antworten führen kann.
Das siehst du
Ein neuer Ordner mit Zielen lässt sich nicht mehr anlegen, oder die Verwaltung wird spürbar langsam.
Warum
Der Namespace läuft im älteren Modus, in dem das Objekt im Verzeichnis unter fünf Megabyte bleiben soll. Das entspricht etwa fünftausend Ordnern mit Zielen. Die Grenze ist keine harte Sperre, sondern eine Empfehlung zur Verträglichkeit, aber die Auswirkungen zeigen sich lange bevor irgendetwas abbricht.
Was hilft
Prüf die Größe des Namespace in den Eigenschaften der Verwaltungskonsole. Wenn die Umgebung die nötigen Funktionsebenen mitbringt, führt der Weg über die Migration in den neueren Modus, der bis zu fünfzigtausend Ordner mit Zielen empfiehlt. Wenn nicht, bleibt der eigenständige Namespace als Ausweg, der ebenfalls mehr Ordner verträgt, dafür aber wieder mit einem Servernamen beginnt.
Das siehst du
Nach dem Zurücksetzen einer virtuellen Maschine auf einen Prüfpunkt repliziert der Server keine Dateien mehr.
Warum
Microsoft schließt das Wiederherstellen eines DFS-Replikationsservers aus Momentaufnahmen oder gespeicherten Zuständen für alles außer der Replikation des SYSVOL-Ordners ausdrücklich aus. Die Datenbank des Dienstes passt danach nicht mehr zum Dateibestand, und der Dienst verweigert die Arbeit. Auch das Exportieren, Klonen und Kopieren solcher Maschinen ist nicht vorgesehen.
Was hilft
Sichere die Daten eines replizierten Ordners immer aus der virtuellen Maschine heraus und nicht vom Wirtssystem aus. Ist der Fall bereits eingetreten, hilft nur die dokumentierte Wiederherstellung der Datenbank. Plane bei großen Beständen ohnehin mit einer vorbereiteten Erstbefüllung, statt die erste Replikation über die Leitung laufen zu lassen.
Von der Freigabe zum tragfähigen Namespace
- 01 Soll der Pfad mit dem Domänennamen beginnen? Dann ist es ein domänenbasierter Namespace.
- 02 Wie viele Ordner mit Zielen werden es? Die Antwort entscheidet über den Modus.
- 03 Auf wie vielen Namespace-Servern soll die Wurzel liegen?
- 04 Nach welchem Verfahren sollen Clients außerhalb ihres Standorts ihr Ziel auswählen?
- 05 Wird an mehreren Orten dieselbe Datei bearbeitet? Dann ist Replikation der falsche Weg.
Der Aufbau in sechs Schritten
Der Namespace ist schnell erstellt, die Entscheidungen davor sind das Eigentliche. Zwei davon lassen sich später nur mit Aufwand ändern: die Art des Namespace und sein Modus.
Zwischen domänenbasiert und eigenständig entscheiden
Ein domänenbasierter Namespace beginnt mit dem Domänennamen, legt seine Beschreibung im Verzeichnis ab und lässt sich auf mehreren Namespace-Servern gleichzeitig betreiben. Genau das verbirgt den Servernamen und macht den Austausch eines Servers unauffällig. Ein eigenständiger Namespace beginnt mit einem Servernamen, kommt ohne Verzeichnis aus und lässt sich als Ressource in einem Failovercluster betreiben. Für die meisten Häuser ist der domänenbasierte der richtige.
Beim Modus die Grenze im Blick behalten
Für domänenbasierte Namespaces gibt es zwei Modi. Der ältere hält die Beschreibung im Verzeichnis in einem Objekt, das unter fünf Megabyte bleiben sollte, was etwa fünftausend Ordnern mit Zielen entspricht. Der neuere Modus hebt diese Grenze auf und empfiehlt bis zu fünfzigtausend Ordner mit Zielen; er setzt eine Gesamtstrukturfunktionsebene ab Windows Server 2003 und eine Domänenfunktionsebene ab Windows Server 2008 voraus. Nimm bei neuen Namensräumen den neueren Modus, wenn die Umgebung ihn hergibt.
Die Struktur flach halten und nur dort Ordner mit Zielen anlegen, wo es nötig ist
Ordner ohne Ziele geben dem Namespace Struktur, Ordner mit Zielen liefern die Inhalte. Jeder Ordner mit Zielen bedeutet für den Client eine eigene Umleitung und für dich einen eigenen Eintrag, der gepflegt werden will. Halte die Ebene, auf der die Umleitung passiert, so hoch wie möglich und lass die feinere Struktur im Ziel entstehen. Ein Namespace ist keine zweite Ordnerstruktur, sondern eine Landkarte.
Den Namespace auf mehrere Server legen
Ein domänenbasierter Namespace lässt sich von mehreren Namespace-Servern derselben Domäne bereitgestellt bekommen, und genau darin liegt seine Verfügbarkeit. Jeder dieser Server braucht ein NTFS-Volume und muss Mitgliedsserver oder Domänencontroller in dieser Domäne sein. Als geclusterte Ressource ist ein domänenbasierter Namespace nicht vorgesehen; das ist der Fall, für den es den eigenständigen Namespace gibt.
Die Reihenfolge der Ziele bewusst festlegen
Ziele im selben Active-Directory-Standort wie der Client stehen immer vorn. Für alles darüber hinaus wählst du zwischen drei Verfahren: zufällige Reihenfolge, Sortierung nach den günstigsten Verbindungskosten oder Ausschluss aller Ziele außerhalb des Standorts. Das dritte Verfahren bedeutet, dass ein Client ohne Ziel am eigenen Standort gar keine Umleitung bekommt und den Bereich nicht erreicht; das ist manchmal genau das Gewünschte und manchmal ein Ausfall.
Erst danach entscheiden, ob überhaupt repliziert wird
Replikation ist kein Bestandteil des Namespace, sondern eine eigene Rolle. Sie lohnt sich für Bestände, die an einem Ort geschrieben und an anderen gelesen werden, etwa Softwareverteilung, Vorlagen oder Archive. Für gemeinsam bearbeitete Dateien ist sie ausdrücklich nicht gedacht. Wer diese Reihenfolge einhält, hat im schlechtesten Fall einen Namespace ohne Replikation, und das ist ein brauchbarer Zustand.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Die vier Bausteine und wie sie zusammenhängen
Ein Namespace besteht aus vier Teilen, die Microsoft klar voneinander abgrenzt. Der Namespace-Server stellt den Namespace bereit und kann ein Mitgliedsserver oder ein Domänencontroller sein. Die Wurzel ist der Einstiegspunkt und gibt dem Ganzen seinen Namen. Ordner geben Struktur, wenn sie keine Ziele haben, und liefern Inhalte, wenn sie Ziele haben. Ordnerziele schließlich sind die UNC-Pfade der eigentlichen Freigaben oder eines weiteren Namespace.
Für den Betrieb gibt es kaum Voraussetzungen. Ein Namespace-Server braucht ein NTFS-Volume, und für einen domänenbasierten Namespace muss er Mitgliedsserver oder Domänencontroller in derselben Domäne sein. Die Rollen selbst gehören zu den Datei- und Speicherdiensten, die Verwaltungswerkzeuge kommen getrennt mit den Remoteserver-Verwaltungstools. Neben der Verwaltungskonsole gibt es ein PowerShell-Modul und das Kommando dfsutil.
Der praktische Gewinn zeigt sich beim ersten Serverwechsel. Statt tausend Verknüpfungen anzufassen, legst du ein zweites Ordnerziel auf dem neuen Server an, sorgst dafür, dass die Daten dort sind, und nimmst das alte Ziel heraus. Für die Leute im Haus bleibt der Pfad derselbe. Genau dafür ist diese Rolle gebaut, und das rechtfertigt den Aufwand schon dann, wenn du sie sonst für nichts weiter nutzt.
Wie ein Client sein Ziel aussucht
Eine Umleitung, in der Dokumentation Referral genannt, ist eine geordnete Liste von Zielen, die ein Client von einem Domänencontroller oder einem Namespace-Server bekommt, sobald er die Wurzel oder einen Ordner mit Zielen anspricht. Der Client versucht das erste Ziel der Liste; ist es nicht erreichbar, geht er zum nächsten. Die Reihenfolge ist damit die eigentliche Steuerung, und die erste Regel steht fest: Ziele im selben Standort wie der Client stehen immer vorn.
Für die Ziele außerhalb gibt es drei Verfahren. In der zufälligen Reihenfolge werden sie ohne Rücksicht auf die Leitung gemischt; steht am eigenen Standort kein Ziel bereit, landet der Client irgendwo. Bei der Sortierung nach den günstigsten Kosten werden sie nach den Kosten der Standortverknüpfungen geordnet, wobei gleich teure Ziele als Gruppe zusammengefasst und darin gemischt werden. Das dritte Verfahren schließt Ziele außerhalb des Standorts vollständig aus.
Beim dritten Verfahren lohnt ein zweiter Blick, denn es hat eine Nebenwirkung, die im Störfall unangenehm wird: Gibt es am Standort des Clients kein Ziel, bekommt er gar keine Umleitung und erreicht diesen Teil des Namespace nicht. Das kann gewollt sein, wenn eine schmale Leitung unter keinen Umständen belastet werden darf. Es ist aber kein Standardfall. Einzelne Ziele lassen sich unabhängig davon über eine Priorität an den Anfang oder das Ende stellen, und diese Priorität greift auch dann noch.
Wo Replikation hilft und wo sie Schaden anrichtet
DFS-Replikation gleicht Ordner zwischen Servern ab und ist dabei sparsam mit der Leitung, weil sie über die Remotedifferenzialkomprimierung nur die geänderten Blöcke überträgt. Standardmäßig kommt dieses Verfahren bei Dateien ab 64 Kilobyte zum Einsatz. Sie ist derselbe Dienst, den Active Directory für die Replikation des SYSVOL-Ordners nutzt, sobald die Domäne auf einer Funktionsebene ab Windows Server 2008 läuft, und in dieser Rolle also millionenfach erprobt.
Die Grenze steht ebenso deutlich in der Dokumentation. Der Dienst bietet keine übergreifende Sperre auf Dateiebene und kein Auschecken. Wenn zwei Personen dieselbe Datei gleichzeitig auf verschiedenen Servern ändern, gewinnt die zuletzt gespeicherte Fassung, die andere wandert in einen versteckten Ordner für Konflikte und gelöschte Dateien. Microsoft rät ausdrücklich davon ab, den Dienst in Umgebungen einzusetzen, in denen mehrere Personen dieselben Dateien gleichzeitig auf verschiedenen Servern bearbeiten.
Dazu kommen einige Eigenheiten, die man kennen sollte. Eine Datei, die eine Anwendung mit einer Sperre offen hält, wird erst nach dem Schließen repliziert. Mit dem verschlüsselnden Dateisystem verschlüsselte Dateien werden gar nicht repliziert und beim nachträglichen Verschlüsseln sogar auf den anderen Mitgliedern entfernt. Persönliche Ordnerdateien von Outlook und Datenbankdateien von Access lassen sich nur dann gefahrlos replizieren, wenn sie zur Archivierung liegen und nicht über das Netz geöffnet werden. Und Richtlinien, die Dateiberechtigungen erneut anwenden, gehören nicht auf replizierte Ordner, weil sie bei jeder Aktualisierung Freigabekonflikte auslösen können.
Grenzen, Alternativen und der Blick nach vorn
Für die Kapazität nennt Microsoft geprüfte Richtwerte, an denen sich eine Planung ausrichten lässt: bis zu 100 Terabyte replizierter Dateien je Server, bis zu 70 Millionen replizierte Dateien je Volume und eine maximale Dateigröße von 250 Gigabyte. Eine Begrenzung der Anzahl von Replikationsgruppen, replizierten Ordnern, Verbindungen oder Mitgliedern gibt es nicht mehr. Bei großen Erstbefüllungen empfiehlt Microsoft, die Datenbank zu klonen und die Daten vorab bereitzustellen, statt die erste Replikation über die Leitung laufen zu lassen.
Es gibt Fälle, in denen der Aufwand für eine Replikation zwischen Standorten nicht lohnt. Microsoft weist in der eigenen Dokumentation auf Azure File Sync als Alternative hin, bei der die vollständige Kopie in der Cloud liegt und die Server vor Ort nur einen Cache halten. Das ist ein Cloudthema mit eigenen Voraussetzungen und gehört inhaltlich in den Cloudbereich; für die Entscheidung hier reicht der Hinweis, dass eine dritte Möglichkeit existiert.
Für den Alltag bleibt eine einfache Reihenfolge. Bau zuerst den Namespace, denn er löst das Problem mit den Pfaden und schafft Verfügbarkeit über mehrere Ziele. Prüf danach je Bestand einzeln, ob eine Replikation überhaupt gebraucht wird, und wenn ja, ob dort wirklich nur an einer Stelle geschrieben wird. Bestände, die diese Prüfung nicht bestehen, gehören nicht repliziert, sondern an einen Ort, und die Beschleunigung kommt dann aus der Leitung oder aus einem anderen Werkzeug.
Dazu passende Kurse
Wenn hinter dem Namespace auch Cluster, Speicherplätze und Failover stehen sollen, führen Kurse zu Speicher und Hochverfügbarkeit unter Windows Server 2022 beides zusammen.
Für den Einstieg in die Rollen rund um Datei- und Speicherdienste sind Kurse zu Dateidiensten und DFS-Namespaces der passende Ausgangspunkt.
Wie sicher bist du beim Thema wirklich?
Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.
Wo du genau das übst
Danke an Trainer Sven, welcher ein sehr detailliertes und fachliches KnowHow besitzt.
Ich beziehe mich hier nur auf die Nachschlung durch Herrn Marco Jachmann. Herr Jachmann ist überaus kompetent und hat alle Inhalte professionell vermittelt.
Sehr sehr gut aufbereitete Nachschulung mit genau dem notwendigen Engagement und der erforderlichen Vorbereitung innerhalb von 48 Stunden.
Häufige Fragen
Brauche ich für einen DFS-Namespace zusätzliche Hardware oder Lizenzen?
Kann ich einen bestehenden Namespace nachträglich in den neueren Modus überführen?
Ersetzt DFS-Replikation eine Datensicherung?
Wie viele Namespace-Server sollten es sein?
Kann ich DFS in einer Arbeitsgruppe ohne Active Directory nutzen?
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem Windows Server-Programm den passenden Kurs für deinen Stand zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.
Dateidienste über mehrere Standorte zusammenführen
In den Kursen zu Windows Server bei cmt baust du Namensräume, Ordnerziele und Replikationsgruppen an einer eigenen Umgebung auf und siehst an Beispielen, wo ein Client seine Umleitung herbekommt und warum sie so aussieht, wie sie aussieht.
Passt dazu
- Dateiserver umziehen, ohne Berechtigungen und Freigaben zu verlieren
- NTFS-Berechtigungen und Freigaben planen, statt Rechte einzeln zu setzen
- Dateiserver läuft voll: Kontingente, Dateiprüfung und Deduplizierung nutzen
- ReFS oder NTFS: welches Dateisystem für welchen Server