# Hyper-V Cluster Migration & Setup Erkenntnisse (Juli 2026)

## 1. Das Double-Hop / Kerberos Problem bei Hyper-V Migrationen
Wenn per WinRM (`Invoke-Command`) ein Skript auf einem Hyper-V Host ausgeführt wird, das eine VM auf einen *anderen* Host verschieben soll (`Move-VM`), schlägt dies standardmäßig fehl ("Double-Hop"). 
**Lösung:** Die Migration per `schtasks` als lokaler Task im Hintergrund ausführen lassen. Dadurch wird eine interaktive Logon-Session simuliert, die den Zugriff auf das Netzwerk (Kerberos) erlaubt. Wichtig: Die Aufgabe muss unter einem Domain-Admin-Konto (`CONSORO\Administrator`) mit Passwort-Übergabe erstellt werden.

## 2. AD Trust und DNS Einstellungen für Hyper-V Hosts
Damit ein Hyper-V Host sich mit der Active Directory authentifizieren kann (und Kerberos Delegation zulässt), **muss** als primärer DNS-Server ein lokaler Domain Controller eingetragen sein.
**Fehlerbild:** Wenn z.B. Google-DNS (`8.8.8.8`) auf dem vEthernet-Adapter des Hosts konfiguriert ist, verliert der Host seine "Secure Channel" Trust-Verbindung zur AD. Commands wie `Move-VM` scheitern dann mit "Ihre Domäne ist nicht verfügbar", und `nltest /sc_verify:consoro.de` liefert `ERROR_NO_LOGON_SERVERS`.
**Fix:** Immer die IPs der internen Domain Controller (`192.172.0.10` für dc1, `192.172.0.20` für dc2) in die vEthernet (intern) Konfiguration des Hosts übernehmen.

## 3. FQDN bei Move-VM
Bei `Move-VM` darf nicht nur der Hostname (`consoro-hyperv4`) verwendet werden, wenn Kerberos-Authentifizierung aktiv ist. Es muss der FQDN (`hyperv4.consoro.de`) genutzt werden, damit der SPN für WinRM und Kerberos erfolgreich gematched werden kann.

## 4. Live Migration zwischen AMD und Intel
Live Migrationen (Memory-State Übertragung im laufenden Betrieb) zwischen Hosts mit AMD-Prozessoren (z.B. `HyperV2`) und Intel-Prozessoren (z.B. `HyperV4`) werden von Hyper-V hart blockiert:
`"Ein virtueller Computer, der ausgeführt wird oder gespeichert ist, kann nicht zu einem physikalischen Computer migriert werden, der einen Prozessor eines anderen Herstellers besitzt."`
**Workaround:** Die VM muss **ausgeschaltet** (`Off`) sein, bevor sie verschoben werden kann.

## 5. Veeam Setup & Replikation
- Bei Host-Leerungen (`HyperV2`) müssen betroffene Hosts aus den Veeam-Jobs ausgeschlossen werden.
- Eine Replikation des Veeam-Management-Servers (`Veeam.consoro.de` auf `HyperV1`) sollte auf einem separaten Host (`HyperV4`) eingerichtet werden, um im Fall eines Ausfalls von `HyperV1` Zugriff auf Backups zu behalten.

## 6. OPNsense Routing & DHCP
(Ergänzend zu vorherigen Tasks)
- Interne IP-Zuordnungen, Mac-Adressen und Tunnels werden standardmäßig über den Mailcow-Server oder das Consoro-Network geregelt und müssen in Firewall-NAT und DHCP-Reservations festgehalten werden.