AD复制故障

标签：ad复制故障排查

复制故障的常见症状

表明存在站点内部复制故障的常见症状包括：

要解决这些问题，请使用下列实用工具：

下表介绍了在尝试解决此类问题时需要遵循的基本步骤：

特定的症状及故障排除步骤

注意：在下列各节中，将报告问题的域控制器称为“目的服务器”。将目的服务器尝试从中复制内容的域控制器称为“源服务器”。

“Access Denied”（拒绝访问）错误

当您将 Repadmin.exe 工具与 /showreps 开关配合使用时，所返回的复制状态信息中会列出一条或多条“Access Denied”（拒绝访问）错误信息。这表明域控制器上次尝试与其他域控制器联系时没有成功。因为域控制器是 Enterprise Domain Controllers 组的成员，它有权调用其他域控制器上的任何函数。如果您发现域控制器之间的调用导致“Access_Denied”（拒绝访问）错误，则问题不在于缺少正确的凭据，而在于其中一个域控制器未正确配置。

Repadmin.exe 或 Replmon.exe 对特定目录分区报告“Access Denied”（拒绝访问）

此问题通常表明存在 Kerberos 身份验证故障，尽管有一些例外。在此情况下，要解决复制故障，请先解决身份验证故障，然后再尝试解决复制问题。要解决此问题，请按照下列步骤操作：

“The DSA Operation Is Unable to Proceed Because of a DNS Lookup Failure”（由于存在 DNS 查找故障，DSA 操作无法继续）错误

要排除此错误，请执行以下操作：

操作被排队或者没有显示任何复制链接

当您运行 Repadmin.exe 或 Replmon.exe 实用工具时，没有报告任何复制链接。要解决此问题，请启动 KCC，并查看目录服务日志中是否有与 KCC 相关的事件。这通常表明在与域控制器进行通信时发生了故障。

复制访问被拒绝或者正在删除名称上下文

当您尝试启动复制操作时，收到下列消息之一：

Replication access is denied.

- 或者 -

The naming context is in the process of being deleted.

如果使用“Active Directory 站点和服务”管理单元在域控制器上启动复制操作的用户没有启动复制操作所需的适当权限，则可能发生此问题。请检查执行此操作的用户的凭据。

站点之间存在重复的连接对象

要解决此问题，请按照下列步骤操作： 警告：注册表编辑器使用不当可导致严重问题，可能需要重新安装操作系统。Microsoft 不能保证您可以解决因注册表编辑器使用不当而导致的问题。使用注册表编辑器需要您自担风险。

多个域控制器中所应用的组策略不一致

您可以使用以下示例脚本来确保组策略已正确复制到您所在域的所有域控制器中。 Microsoft 提供的编程示例只是为了进行说明，没有任何明示或暗示保证，包括（但不限于）针对特定用途的适销性和/或适用性的暗示保证。本文假定您熟悉所演示的编程语言以及用于创建和调试过程的工具。Microsoft 的专业支持人员可以帮助解释某个特定过程的功能，但是他们不会修改这些示例以提供额外的功能或构建过程以满足您的特殊需求。如果您的编程经验不够丰富，您可能需要与 Microsoft 认证伙伴联系或者拨打 Microsoft 收费咨询电话 (800) 936-5200。有关 Microsoft 认证伙伴的更多信息，请访问下面的 Microsoft Web 站点：

http://www.microsoft.com/partner/referral/ (http://www.microsoft.com/partner/referral/)

有关 Microsoft 提供的支持选项的其他信息，请访问下面的 Microsoft Web 站点：

http://support.microsoft.com/default.aspx?scid=fh;EN-US;CNTACTMS (http://support.microsoft.com/default.aspx?scid=fh;en-us;cntactms)

使用 chkpolicy所在域的名称 命令来运行此脚本：

@echo off

REM /logs/chkpolicydomain_name

set filename=sysvol/%dom_name%/Policies/{6AC1786C-016F-11D2-945F-00C04fB984F9}/Machine/Microsoft/Windows NT/SecEdit/GPTTMPL.INF

nltest /dclist:%dom_name% > dclist.tmp

del dclist1.tmp

FOR /F "eol=; tokens=1 delims=, " %%i in (dclist.tmp) do (

     @echo %%i >> dclist1.tmp

)

FOR /F "eol=. tokens=1 delims=. " %%i in (dclist1.tmp) do (

      @echo %%i

     dir  //%%i/%filename%

)

目录服务因太忙而无法完成操作

您可能收到错误 8438 ERROR_DS_DRA_BUSY：“The directory service is too busy to complete the replication operation at this time”（目录服务目前因太忙而无法完成复制操作）。如果目录服务正在删除名称上下文（已删除 500 个对象），但需要在不阻碍复制队列的前提下一遍完成太多的对象，则会出现此错误。如果全局编录清理操作使得复制无法成功，您可以创建一个批处理文件来加快该进程的速度。然后，您可以重新提升该计算机以充当全局编录服务器。下面的示例脚本提供了此功能： Microsoft 提供的编程示例只是为了进行说明，没有任何明示或暗示保证，包括（但不限于）针对特定用途的适销性和/或适用性的暗示保证。本文假定您熟悉所演示的编程语言以及用于创建和调试过程的工具。Microsoft 的支持人员可以帮助解释某个特定过程的功能，但是他们不会修改这些示例以提供额外的功能或构建过程以满足您的特殊需要。如果您的编程经验不够丰富，您可能需要与 Microsoft 认证伙伴联系或者拨打 Microsoft 收费咨询电话 (800) 936-5200。有关 Microsoft 认证伙伴的更多信息，请访问下面的 Microsoft Web 站点：

http://www.microsoft.com/partner/referral/ (http://www.microsoft.com/partner/referral/)

有关 Microsoft 提供的支持选项的其他信息，请访问下面的 Microsoft Web 站点：

http://support.microsoft.com/default.aspx?scid=fh;EN-US;CNTACTMS (http://support.microsoft.com/default.aspx?scid=fh;en-us;cntactms)

setlocal

set destgc=__setgcnamehere__.site1.forest1.com

:domain1

repadmin /delete DC=domain1,DC=site1,DC=forest1,DC=com %destgc% /nosource

if %errorlevel% == 8438 goto :domain2

:domain2

repadmin /delete DC=domain2,DC=Site1,DC=forest1,DC=com %destgc% /nosource

if %errorlevel% == 8438 goto :domain3

REM ...

endlocal

高级故障排除技巧

知识一致性检查器和 ISTG

您可以为知识一致性检查器创建一个包含更多诊断信息的事件日志。为此，请在出现重复连接的站点的 ISTG 上执行下列步骤：

要获取新的基准度量，请按照下列步骤操作：

在调整站点链接复制时间间隔后，请等待配置更改复制到其他网络中心服务器，然后重新启动各个网络中心服务器以清除复制队列。您可以使用“repadmin/sync”命令或“Active Directory 站点和服务器”管理单元来强行复制配置名称上下文，以便在重新启动各个网络中心服务器之前，能够在这些服务器上看到更新后的站点链接。使用 Dcdiag.exe 实用工具来评估各个站点的复制是否完好。该工具可以通过脚本远程运行，并且分析输出中是否存在“fail”。您可以使用下面的示例脚本作为示例： Microsoft 提供的编程示例只是为了进行说明，没有任何明示或暗示保证，包括（但不限于）针对特定用途的适销性和/或适用性的暗示保证。本文假定您熟悉所演示的编程语言以及用于创建和调试过程的工具。Microsoft 的支持人员可以帮助解释某个特定过程的功能，但是他们不会修改这些示例以提供额外的功能或构建过程以满足您的特殊需要。如果您的编程经验不够丰富，您可能需要与 Microsoft 认证伙伴联系或者拨打 Microsoft 收费咨询电话 (800) 936-5200。有关 Microsoft 认证伙伴的更多信息，请访问下面的 Microsoft Web 站点：

http://www.microsoft.com/partner/referral/ (http://www.microsoft.com/partner/referral/)

有关 Microsoft 提供的支持选项的其他信息，请访问下面的 Microsoft Web 站点：

http://support.microsoft.com/default.aspx?scid=fh;EN-US;CNTACTMS (http://support.microsoft.com/default.aspx?scid=fh;en-us;cntactms)

REM check replications in sitesite1dcdiag /s:dc1 /test:replications /a /n:domain1dcdiag /s:dc1 /test:replications /a /n:domain2dcdiag /s:dc1 /test:replications /a /n:domain3REM check replications in sitesite2REM continue Dcdiag statements for domains insite2

文件复制服务 (FRS)

@echo off

REM FRS_CHECK.CMD - Records the state of FRS

SETLOCAL ENABLEEXTENSIONS

SET FRSCK=C:/FRS_CHECK

if NOT EXIST %FRSCK% (md %FRSCK%)

REM  run dcdiag

dcdiag  >  %FRSCK%/dcdiag.txt

REM For FRS

ntfrsutl  ds  > %FRSCK%/ntfrs_ds.txt
ntfrsutl  sets  > %FRSCK%/ntfrs_sets.txt
ntfrsutl  inlog  > %FRSCK%/ntfrs_inlog.txt
ntfrsutl  outlog  > %FRSCK%/ntfrs_outlog.txt
ntfrsutl  version  > %FRSCK%/ntfrs_version.txt
regdmp HKEY_LOCAL_MACHINE/system/currentcontrolset/services/NtFrs/Parameters > %FRSCK%/ntfrs_reg.txt
dir //./sysvol /s > %FRSCK%/ntfrs_sysvol.txt

REM scan the frs debug logs for errors.

findstr /i ":SO: error invalid fail abort warn" %windir%/debug/ntfrs_*.log   |  findstr /v "IO_PEND ERROR_SUCCESS FrsErrorSuccess" > %FRSCK%/ntfrs_errscan.txt

REM For DS replication

repadmin /showreps  >  %FRSCK%/ds_showreps.txt
repadmin /showconn  >  %FRSCK%/ds_showconn.txt

本文出自 “王吉IT成长路” 博客，转载请与作者联系！

AD复制故障

标签：ad复制故障排查

原文地址：http://1192581.blog.51cto.com/1182581/1928113