複製故障的常見症狀
表明存在站點內部複製故障的常見症狀包括：
| 用戶和計算機沒有收到已更新的策略。 | |
| 沒有將正確的 SYSVOL 共享內容複製到所有域控制器 (DC)。 注意：FRS 故障也可能導致出現此症狀。 |
要解決這些問題，請使用下列實用工具：
| 域控制器診斷 (Dcdiag.exe) 和網絡診斷 (Netdiag.exe) 實用工具。您可以從 Windows 2000 CD-ROM 上的 Windows 2000 支持工具中獲取這些工具。 有關如何獲得和使用 Dcdiag.exe 與 Netdiag.exe 診斷實用工具的其他信息，請單擊下面的文章編號，以查看 Microsoft 知識庫中相應的文章： 265706 (http://support.microsoft.com/kb/265706/EN-US/) Windows 2000 中的 DCDiag 和 NetDiag 方便了域的加入和 DC 創建 | |
| 複製診斷實用工具 (Repadmin.exe)。使用此工具可驗證站點鏈接是否正確以及顯示入站和出站連接。您還可以使用它來顯示覆制隊列。您可以從 Windows 2000 CD-ROM 上的 Windows 2000 支持工具中獲取此工具。 有關如何獲得和使用 Repadmin.exe 實用工具的其他信息，請單擊下面的文章編號，以查看 Microsoft 知識庫中相應的文章： 229896 (http://support.microsoft.com/kb/229896/EN-US/) Using Repadmin.exe to Troubleshoot Active Directory Replication | |
| 文件複製服務實用工具 (Ntfrsutil.exe)。 | |
| Active Directory 複製監視器 (Replmon.exe)。您可以從 Windows 2000 CD-ROM 上的 Windows 2000 支持工具中獲取此工具。 |
下表介紹了在嘗試解決此類問題時需要遵循的基本步驟：
| 確保域名服務 (DNS) 配置正確。正確的目錄複製需要有正確的 DNS 配置。 | |
| 確保您可以使用 Ping.exe 實用工具從域控制器的網絡中心夥伴通過主機名和 IP 地址來“ping”該域控制器。 | |
| 確保網絡分支中的計算機能夠解析網絡中心中的名稱。例如，“ping”server1.domain1.site1.forest.com。 | |
| 確保您能夠通過事件日誌中所列的服務器的全局唯一識別符 (GUID) 來 ping 服務器。如果您能夠通過服務器的主機名來成功地 ping 服務器，但不能通過其 GUID 來成功地 ping 服務器，則存在 DNS 配置問題。 | |
| 運行 Dcdiag.exe 實用工具。此實用工具會運行一系列測試，結果不是“通過”就是“失敗”。確保所有測試均順利通過。 | |
| 在您遇到問題的網絡分支上查看事件查看器的目錄服務日誌。研究並解決所有錯誤。 | |
| 通過將 Repadmin.exe 實用工具與 /showreps 開關配合使用來驗證站點鏈接正確。 | |
| 通過將 Repadmin.exe 實用工具與 /showconn 開關配合使用來驗證入站連接。 | |
| 查看 Winnt/Debug 文件夾中的所有日誌文件。 |
特定的症狀及故障排除步驟
注意：在下列各節中，將報告問題的域控制器稱爲“目的服務器”。將目的服務器嘗試從中複製內容的域控制器稱爲“源服務器”。
“Access Denied”（拒絕訪問）錯誤
當您將 Repadmin.exe 工具與 /showreps 開關配合使用時，所返回的複製狀態信息中會列出一條或多條“Access Denied”（拒絕訪問）錯誤信息。這表明域控制器上次嘗試與其他域控制器聯繫時沒有成功。因爲域控制器是 Enterprise Domain Controllers 組的成員，它有權調用其他域控制器上的任何函數。如果您發現域控制器之間的調用導致“Access_Denied”（拒絕訪問）錯誤，則問題不在於缺少正確的憑據，而在於其中一個域控制器未正確配置。
| 如果錯誤是“ERROR_ACCESS_DENIED”，請查找 Kerberos 問題。 | |
| 如果錯誤是“ERROR_DRA_ACCESS_DENIED”，請查看一下兩個目錄上所涉及到的兩臺計算機的計算機帳戶是否都是正確的。確保域控制器的“userAccountControl”字段是正確的。 |
Repadmin.exe 或 Replmon.exe 對特定目錄分區報告“Access Denied”（拒絕訪問）
此問題通常表明存在 Kerberos 身份驗證故障，儘管有一些例外。在此情況下，要解決複製故障，請先解決身份驗證故障，然後再嘗試解決複製問題。要解決此問題，請按照下列步驟操作：
| 1. | 確保源服務器的安全策略中的“從網絡訪問這臺計算機”用戶權限包括目的服務器的機器帳戶。可以通過 Everyone 組、Enterprise Domain Controllers 組來做到這一點，也可以通過單獨對其進行指定來做到這一點。 | ||||||||
| 2. | 確保啓動了密鑰分發中心服務。您可以使用 Dcdiag.exe 通過 dcdiag /test:services 命令來測試所有域控制器上的服務故障。 注意：在此命令中，“test”和“services”之間有一個冒號。 | ||||||||
| 3. | 確保目的服務器擁有來自其他源服務器的連接對象。當它沒有來自其他源服務器的連接對象時，如果知識一致性檢查器 (KCC) 沒有自動創建連接或者已被禁用，則您可能必須創建手動連接。 | ||||||||
| 4. | 確保 KCC 拓撲是連通的。如果 KCC 尚未形成完全拓撲，則無法複製更改。要對此進行測試，請使用 dcdiag/test:topology 命令，並指定您要檢查的域拓撲。 | ||||||||
| 5. | 確保在“Active Directory 用戶和計算機”MMC 管理單元中的“域控制器屬性”對話框中，選中了“常規”選項卡上的“信任計算機作爲委派”複選框。 | ||||||||
| 6. | 如果該問題存在於不同域中的域控制器之間，請檢查信任關係。爲此，請使用“Active Directory 域和信任關係”管理單元或使用 netdom trusttrusting_domain_name/domain:trusted_domain_name/verify /kerberos 命令。 | ||||||||
| 7. | 確保每臺計算機都對配置名稱上下文 (Config NC) 進行了同步。KCC 必須知道是哪些服務器和站點。您可以使用 repadmin/syncall 命令強制服務器與整個企業保持同步。指定您要同步的名稱上下文是 Config NC。確保您的站點鏈接拓撲是正確的。強制 KCC 在每臺服務器上運行以重新生成拓撲，或者等待 15 分鐘。 | ||||||||
| 8. | 確保密鑰橋頭服務器能夠正常運行。您必須確定所做更改是否可以在整個企業中流動。爲每個站點運行一次 dcdiag/test:intersite 命令。此命令會返回這些橋頭服務器的名稱，並返回有關它們是否報告錯誤的信息。 | ||||||||
| 9. | 檢查 userAccountControl 屬性的特性。確保 UF_SERVER_TRUST_ACCOUNT 0x2000 和 UF_TRUSTED_FOR_DELEGATION 0x80000 特性已定義。例如，如果您將十進制的特性值 532480 轉換爲十六進制，該值將變爲 x82000，其中 0x8000 對應於 UF_TRUSTED_FOR_DELEGATION，而 0x2000 對應於 UF_SERVER_TRUST_ACCOUNT。 | ||||||||
| 10. | 使用 Replmon.exe 實用工具來確定多臺計算機的 pwdLastSet 和 unicodePwd 特性是否具有一致的時間/日期戳。 | ||||||||
| 11. | 確保服務主要名稱 (SPN) 在每臺域控制器上進行了註冊。使用 dcdiag/test:outboundsecurechannels 命令對此進行測試。您可以通過前面的 GUID 來標識用於進行復制的 SPN：E3514235-4B06-11D1-AB04-00C04FC2DCD2/b2f6f255-4446-45e8-81a3-0649d5d71a66/domain.com。 | ||||||||
| 12. | 在整個企業中強行復制所有計算機帳戶。這意味着必須將所有域控制器與其所在域的所有其他副本進行同步。對於正在報告複製錯誤（如“Access Denied”（拒絕訪問））的每臺計算機，使用 repadmin/syncall 命令強制該計算機保持同步。請注意，您必須指定您要同步的域。 | ||||||||
| 13. | 當您運行前面的 Repadmin.exe 命令時，您可能收到以下錯誤信息： The security context could not be established due to a failure in the requested quality of service. 如果您確實收到此錯誤信息，請轉向內部處理並查找“DSID”。有關如何獲得 Dsid.exe 工具的信息，請與“Microsoft 產品支持服務”(PSS) 聯繫。有關如何聯繫 Microsoft PSS 的信息，請訪問下面的 Microsoft Web 站點：http://support.microsoft.com (http://support.microsoft.com/) | ||||||||
| 14. | 確保 Enterprise Domain Controllers 組在目錄分區 ACL 上具有需要的權限：
| ||||||||
| 15. | 使用“Active Directory 站點和服務”管理單元，確保服務器對象及其相應的“NTDS 設置”子對象存在於正確的站點中。 | ||||||||
| 16. | 檢查目的服務器所擁有的票證是否對於源服務器而言已經陳舊或無效。請使用 Kerbtray、Krbtest 和 Klist Windows 2000 Resource Kit 實用工具來執行上述測試。使用 NETDOM RESETPWD 命令來重置帳戶密碼，並將此項更改寫入最近的複製夥伴。這將有效地更改密碼，將舊密碼和新密碼設置爲同一密碼，然後將此項更改寫入複製夥伴。這需要您使用以下命令或者重新啓動計算機： krbtest /system /callpackage:purge |
“The DSA Operation Is Unable to Proceed Because of a DNS Lookup Failure”（由於存在 DNS 查找故障，DSA 操作無法繼續）錯誤
要排除此錯誤，請執行以下操作：
| 1. | 使用 Nltest /dsgetdc:/pdc /force /avoidself 命令確定返回的 PDC 是否正確。 |
| 2. | 如果存在連接對象而 REPLMON 或 REPADMIN 命令沒有報告複製鏈接，則問題可能與 KCC 有關。 |
| 3. | 在 PDC 上運行下面的命令，然後將輸出提交給 Microsoft PSS 以便進一步排除故障： nltest /DBFLAG:0x2000FFFF |
| 4. | 運行 nltest /dsgetdc:/gc /force 命令以確定您是否可以與全局編錄服務器 (GC) 聯繫。 |
| 5. | 在 PDC 以及您遇到問題的服務器上檢查“上次更改密碼的時間”參數。 |
操作被排隊或者沒有顯示任何複製鏈接
當您運行 Repadmin.exe 或 Replmon.exe 實用工具時，沒有報告任何複製鏈接。要解決此問題，請啓動 KCC，並查看目錄服務日誌中是否有與 KCC 相關的事件。這通常表明在與域控制器進行通信時發生了故障。
複製訪問被拒絕或者正在刪除名稱上下文
當您嘗試啓動複製操作時，收到下列消息之一：
Replication access is denied.
- 或者 -
The naming context is in the process of being deleted.
如果使用“Active Directory 站點和服務”管理單元在域控制器上啓動複製操作的用戶沒有啓動複製操作所需的適當權限，則可能發生此問題。請檢查執行此操作的用戶的憑據。
站點之間存在重複的連接對象
要解決此問題，請按照下列步驟操作： 警告：註冊表編輯器使用不當可導致嚴重問題，可能需要重新安裝操作系統。Microsoft 不能保證您可以解決因註冊表編輯器使用不當而導致的問題。使用註冊表編輯器需要您自擔風險。
| 1. | 確定是否存在以下情況：過去曾經使用站點之間的顯式橋頭並且沒有將其刪除，或者當前使用了站點之間的顯式橋頭但其配置錯誤。對此進行驗證的一種方法是：使用 LDP 工具連接到具有重複連接的站點中的站點間拓撲生成器 (ISTG)。如果您瀏覽 Config NC 以到達站點間傳輸容器，然後到達“cn=ip”，可查看此對象。如果它包含“bridgeheadServerListBL”特性，則存在顯式橋頭。 有關如何確定站點的 ISTG 的其他信息，請單擊下面的文章編號，以查看 Microsoft 知識庫中相應的文章： 224599 (http://support.microsoft.com/kb/224599/EN-US/) Determining the Inter-Site Topology Generator (ISTG) of a Site in the Active Directory | ||||||||||||||||||||
| 2. | 確定重複的連接是出現在所有站點中還是出現在特定的站點子集中。查找某種模式，如在某些特定服務器集合之間存在重複連接。在具有重複連接的站點中，查看重複連接上的 fromServer 特性。對於該“fromServer”，考慮它所在的站點。嘗試隔離該站點中的活動。該站點中有多少臺服務器？通過從 ISTG 使用 Ping 實用工具，可以到達某些服務器嗎？ | ||||||||||||||||||||
| 3. | 確保複製間隔時間的設置適當並且 ISTG 能夠完成其複製。 | ||||||||||||||||||||
| 4. | 要幫助隔離重複連接問題，請按照下列步驟操作：
|
多個域控制器中所應用的組策略不一致
您可以使用以下示例腳本來確保組策略已正確複製到您所在域的所有域控制器中。 Microsoft 提供的編程示例只是爲了進行說明，沒有任何明示或暗示保證，包括（但不限於）針對特定用途的適銷性和/或適用性的暗示保證。本文假定您熟悉所演示的編程語言以及用於創建和調試過程的工具。Microsoft 的專業支持人員可以幫助解釋某個特定過程的功能，但是他們不會修改這些示例以提供額外的功能或構建過程以滿足您的特殊需求。如果您的編程經驗不夠豐富，您可能需要與 Microsoft 認證夥伴聯繫或者撥打 Microsoft 收費諮詢電話 (800) 936-5200。有關 Microsoft 認證夥伴的更多信息，請訪問下面的 Microsoft Web 站點：
http://www.microsoft.com/partner/referral/ (http://www.microsoft.com/partner/referral/)
有關 Microsoft 提供的支持選項的其他信息，請訪問下面的 Microsoft Web 站點：
http://support.microsoft.com/default.aspx?scid=fh;EN-US;CNTACTMS (http://support.microsoft.com/default.aspx?scid=fh;en-us;cntactms)
使用 chkpolicy所在域的名稱 命令來運行此腳本：
@echo off
REM /logs/chkpolicydomain_name
set filename=sysvol/%dom_name%/Policies/{6AC1786C-016F-11D2-945F-00C04fB984F9}/Machine/Microsoft/Windows NT/SecEdit/GPTTMPL.INF
nltest /dclist:%dom_name% > dclist.tmp
del dclist1.tmp
FOR /F "eol=; tokens=1 delims=, " %%i in (dclist.tmp) do (
@echo %%i >> dclist1.tmp
)
FOR /F "eol=. tokens=1 delims=. " %%i in (dclist1.tmp) do (
@echo %%i
dir //%%i/%filename%
)
目錄服務因太忙而無法完成操作
您可能收到錯誤 8438 ERROR_DS_DRA_BUSY：“The directory service is too busy to complete the replication operation at this time”（目錄服務目前因太忙而無法完成複製操作）。如果目錄服務正在刪除名稱上下文（已刪除 500 個對象），但需要在不阻礙複製隊列的前提下一遍完成太多的對象，則會出現此錯誤。如果全局編錄清理操作使得複製無法成功，您可以創建一個批處理文件來加快該進程的速度。然後，您可以重新提升該計算機以充當全局編錄服務器。下面的示例腳本提供了此功能： Microsoft 提供的編程示例只是爲了進行說明，沒有任何明示或暗示保證，包括（但不限於）針對特定用途的適銷性和/或適用性的暗示保證。本文假定您熟悉所演示的編程語言以及用於創建和調試過程的工具。Microsoft 的支持人員可以幫助解釋某個特定過程的功能，但是他們不會修改這些示例以提供額外的功能或構建過程以滿足您的特殊需要。如果您的編程經驗不夠豐富，您可能需要與 Microsoft 認證夥伴聯繫或者撥打 Microsoft 收費諮詢電話 (800) 936-5200。有關 Microsoft 認證夥伴的更多信息，請訪問下面的 Microsoft Web 站點：
http://www.microsoft.com/partner/referral/ (http://www.microsoft.com/partner/referral/)
有關 Microsoft 提供的支持選項的其他信息，請訪問下面的 Microsoft Web 站點：
http://support.microsoft.com/default.aspx?scid=fh;EN-US;CNTACTMS (http://support.microsoft.com/default.aspx?scid=fh;en-us;cntactms)
setlocal
set destgc=__setgcnamehere__.site1.forest1.com
:domain1
repadmin /delete DC=domain1,DC=site1,DC=forest1,DC=com %destgc% /nosource
if %errorlevel% == 8438 goto :domain2
:domain2
repadmin /delete DC=domain2,DC=Site1,DC=forest1,DC=com %destgc% /nosource
if %errorlevel% == 8438 goto :domain3
REM ...
endlocal
高級故障排除技巧
知識一致性檢查器和 ISTG
您可以爲知識一致性檢查器創建一個包含更多診斷信息的事件日誌。爲此，請在出現重複連接的站點的 ISTG 上執行下列步驟：
| 1. | 保存事件日誌的內容，然後清除該事件日誌。 |
| 2. | 將以下註冊表子項中的“1 Knowledge Consistency Checker”註冊表雙字節值設置爲 5： HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/NTDS/Diagnostics |
| 3. | 通過運行 repadmin /kcc 命令來運行知識一致性檢查器。 |
| 4. | 將“1 Knowledge Consistency Checker”註冊表雙字節值重設爲 0（零）。 |
| 5. | 保存新的事件日誌。 |
要獲取新的基準度量，請按照下列步驟操作：
| 1. | 確保計算機具有指向網絡中心的站點鏈接。如果不存在這樣的鏈接，請創建之。 |
| 2. | 刪除所有進入該計算機的連接對象。 |
| 3. | 通過運行 repadmin /kcc 命令來運行知識一致性檢查器。 |
| 4. | 通過運行 repadmin /showconn 命令來確保上述命令已創建所需的連接。 |
| 5. | 在目錄服務事件日誌中查找錯誤。您可能看到表明無法爲名稱上下文X添加副本的錯誤（例如，事件 ID 1265）以及錯誤Y。確定此錯誤是否與 DNS 問題有關，或者它是否爲連接錯誤，然後嘗試糾正相應的問題。如果該錯誤表明某個目標帳戶名不正確，或者如果它是一個 SPN 錯誤，則解決起來可能更加困難。 |
| 6. | 如果事件日誌報告成功添加了副本，請通過運行“repadmin /showreps”命令對此進行檢查。 |
在調整站點鏈接複製時間間隔後，請等待配置更改複製到其他網絡中心服務器，然後重新啓動各個網絡中心服務器以清除複製隊列。您可以使用“repadmin/sync”命令或“Active Directory 站點和服務器”管理單元來強行復制配置名稱上下文，以便在重新啓動各個網絡中心服務器之前，能夠在這些服務器上看到更新後的站點鏈接。使用 Dcdiag.exe 實用工具來評估各個站點的複製是否完好。該工具可以通過腳本遠程運行，並且分析輸出中是否存在“fail”。您可以使用下面的示例腳本作爲示例： Microsoft 提供的編程示例只是爲了進行說明，沒有任何明示或暗示保證，包括（但不限於）針對特定用途的適銷性和/或適用性的暗示保證。本文假定您熟悉所演示的編程語言以及用於創建和調試過程的工具。Microsoft 的支持人員可以幫助解釋某個特定過程的功能，但是他們不會修改這些示例以提供額外的功能或構建過程以滿足您的特殊需要。如果您的編程經驗不夠豐富，您可能需要與 Microsoft 認證夥伴聯繫或者撥打 Microsoft 收費諮詢電話 (800) 936-5200。有關 Microsoft 認證夥伴的更多信息，請訪問下面的 Microsoft Web 站點：
http://www.microsoft.com/partner/referral/ (http://www.microsoft.com/partner/referral/)
有關 Microsoft 提供的支持選項的其他信息，請訪問下面的 Microsoft Web 站點：
http://support.microsoft.com/default.aspx?scid=fh;EN-US;CNTACTMS (http://support.microsoft.com/default.aspx?scid=fh;en-us;cntactms)
REM check replications in sitesite1dcdiag /s:dc1 /test:replications /a /n:domain1dcdiag /s:dc1 /test:replications /a /n:domain2dcdiag /s:dc1 /test:replications /a /n:domain3REM check replications in sitesite2REM continue Dcdiag statements for domains insite2
文件複製服務 (FRS)
| 1. | 如果您覺得目錄服務複製起作用，但 FRS 出現故障，請確保將 FRS 後 Service Pack 1 (SP1) 修復程序安裝在所有複製夥伴中。此更新程序包含在 Windows 2000 Service Pack 2 和 Service Pack 3 中。 | ||||||||||||||||||
| 2. | 運行 Ntfrsutil ds 命令以驗證以下事項：
| ||||||||||||||||||
| 3. | 運行 Ntfrsutil 命令來檢查下列事項：
| ||||||||||||||||||
| 4. | 提高 FRS 日誌記錄級別。爲此，請向 HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/NtFrs/Parameters 註冊表子項添加以下註冊表值： 數值名稱：Debug Log Severity 數值名稱：Debug Maximum Log Messages 數值名稱：Debug Log Files | ||||||||||||||||||
| 5. | 爲幫助排除故障，您可以將域控制器上的 FRS 的狀態“轉儲”到文件中。可使用以下示例腳本作爲如何操作的示例： Microsoft 提供的編程示例只是爲了進行說明，沒有任何明示或暗示保證，包括（但不限於）針對特定用途的適銷性和/或適用性的暗示保證。本文假定您熟悉所演示的編程語言以及用於創建和調試過程的工具。Microsoft 的支持人員可以幫助解釋某個特定過程的功能，但是他們不會修改這些示例以提供額外的功能或構建過程以滿足您的特殊需要。如果您的編程經驗不夠豐富，您可能需要與 Microsoft 認證夥伴聯繫或者撥打 Microsoft 收費諮詢電話 (800) 936-5200。有關 Microsoft 認證夥伴的更多信息，請訪問下面的 Microsoft Web 站點： http://www.microsoft.com/partner/referral/ (http://www.microsoft.com/partner/referral/) 有關 Microsoft 提供的支持選項的其他信息，請訪問下面的 Microsoft Web 站點：http://support.microsoft.com/default.aspx?scid=fh;EN-US;CNTACTMS (http://support.microsoft.com/default.aspx?scid=fh;en-us;cntactms) @echo off REM FRS_CHECK.CMD - Records the state of FRS SETLOCAL ENABLEEXTENSIONS SET FRSCK=C:/FRS_CHECK if NOT EXIST %FRSCK% (md %FRSCK%) REM run dcdiag dcdiag > %FRSCK%/dcdiag.txt REM For FRS ntfrsutl ds > %FRSCK%/ntfrs_ds.txt ntfrsutl sets > %FRSCK%/ntfrs_sets.txt ntfrsutl inlog > %FRSCK%/ntfrs_inlog.txt ntfrsutl outlog > %FRSCK%/ntfrs_outlog.txt ntfrsutl version > %FRSCK%/ntfrs_version.txt regdmp HKEY_LOCAL_MACHINE/system/currentcontrolset/services/NtFrs/Parameters > %FRSCK%/ntfrs_reg.txt dir //./sysvol /s > %FRSCK%/ntfrs_sysvol.txt REM scan the frs debug logs for errors. findstr /i ":SO: error invalid fail abort warn" %windir%/debug/ntfrs_*.log | findstr /v "IO_PEND ERROR_SUCCESS FrsErrorSuccess" > %FRSCK%/ntfrs_errscan.txt REM For DS replication repadmin /showreps > %FRSCK%/ds_showreps.txt repadmin /showconn > %FRSCK%/ds_showconn.txt |