52CE 我爱测NETWORK OBSERVATORY 网络诊断 · 技术资料 · 运维工具
首页/信息库/域与目录服务
域与目录服务

事件 ID 1311 消息疑难解答 - Windows Server

· 52CE 我爱测

本文介绍如何对 Windows 域中目录服务事件日志中的事件 ID 1311 消息进行故障排除。 原始 KB 数： 307593适用于： 所有受支持的 Windows Server 版本 现象 知识一致性检查器（KCC）构造和维护 Active Directory 的复制拓扑。 为此，KCC 会检查驻留在林中的所有命名上下文的总和，以及站点、站点链接和链接成本的所有管理员定义约束。 如果无法在域控制器或站点之间复制 Active Directory 域、架

本文介绍如何对 Windows 域中目录服务事件日志中的事件 ID 1311 消息进行故障排除。

原始 KB 数： 307593适用于： 所有受支持的 Windows Server 版本

现象

知识一致性检查器（KCC）构造和维护 Active Directory 的复制拓扑。 为此，KCC 会检查驻留在林中的所有命名上下文的总和，以及站点、站点链接和链接成本的所有管理员定义约束。

如果无法在域控制器或站点之间复制 Active Directory 域、架构、配置、应用程序分区或全局目录命名上下文，则会在目录服务事件日志中记录类似于以下内容的事件 ID 1311 消息：

事件类型：错误 事件源：NTDS KCC 事件类别：知识一致性检查器 事件 ID：1311 日期：MM/DD/YYYYY 时间：HH：MM：SS AM |下午 用户：无 计算机： <domain_controller_name> 说明: 目录服务一致性检查器已确定（a）通过 Active Directory 站点和服务管理器发布的物理连接不够，无法创建跨树，连接包含林分区 CN=<分区名称>、DC=根域、DC=<com 或 （b） 复制的所有站点，以便更改传播到所有站点（通常是因为服务器是>服务器）无法访问）。

原因

如果以下一个或多个条件为 true，则会发生此行为：

  • 站点链接桥接在不支持通过 KCC 链接连接的不同站点中的两个域控制器之间的物理网络连接的网络上启用。
  • 网站链接中不包含一个或多个网站。
  • 网站链接包含所有网站，但网站链接不相互关联。 此条件称为不相交的网站链接。
  • 一个或多个域控制器处于脱机状态。
  • 桥头域控制器处于联机状态，但在尝试在 Active Directory 站点之间复制所需的命名上下文时，会发生错误。
  • 管理员定义的首选桥头处于联机状态，但它们不托管所需的命名上下文。
  • 首选桥头由管理员正确定义，但它们当前处于脱机状态。
  • 桥头服务器被重载，因为服务器大小不足，分支站点尝试从同一中心域控制器复制更改过多，或者站点链接计划过于频繁。
  • KCC 围绕站点到站点连接失败构建了不同的路径，但它每隔 15 分钟重试失败的连接，因为它处于 连接保持模式。

事件 ID 1311 消息的常见原因分为两类：逻辑配置不当和基础结构故障。 发生不正确的逻辑配置或复制错误时，将记录事件 ID 1311 消息。

  • 逻辑配置不当

    当配置命名上下文（NC）（站点和服务管理单元中可见）中的信息与托管 Active Directory 林的网络的物理拓扑不匹配时，逻辑配置不正确。 例如，网站可能未正确定义，可能包括网站链接中缺少的网站、网站链接可能不是互连的，或者管理员可能会选择错误的桥头。

  • 基础结构故障

    发生基础结构故障的原因是以下事件之一：

    • 广域网（WAN）链接失败。
    • 托管必要命名上下文的域控制器处于脱机状态。
    • 一个或多个命名上下文发生复制失败。
    • 复制的入站伙伴已禁用出站复制。

解决方法

若要对事件 ID 1311 消息进行故障排除，请使用以下方法。

  • 确定事件 ID 1311 消息是否特定于站点或林范围。
  • 确定站点链接桥接是否已打开，以及网络是否已完全路由。
  • 验证网站链接中是否定义了所有网站。
  • 检测和删除首选桥头。
  • 解决林中的 Active Directory 复制失败。
  • 确定源服务器是否重载。
  • 确定网站链接是否不相交。
  • 如果 KCC 处于“连接保留”模式，请删除连接。

确定事件 ID 1311 消息是否特定于站点或林范围

确定事件 ID 1311 消息是记录在林中的所有站点间拓扑生成器（ISTG）域控制器上，还是仅记录在特定于站点的 ISTG 域控制器上。 若要查找 ISTG 域控制器，请使用Ldp.exe工具来搜索以下属性：

  • 基本 DN：CN=Sites，CN=Configuration，DC=RootDomainName，DC=com
  • 筛选器：（cn=NTDS 网站设置）
  • 范围：子树
  • 属性：InterSiteTopologyGenerator

若要确定事件的范围，请使用以下方法之一：

  • 检查林中适当数量的 ISTG 域控制器的目录服务事件日志。
  • 使用Eventcombmt.exe工具（Microsoft产品支持服务中提供）在林中适当数量的 ISTG 域控制器上搜索事件 ID 1311 消息。

确定站点链接桥接是否已打开，以及网络是否已完全路由

在 Active Directory 站点和服务管理单元中启用站点链接桥接时，必须确保 Active Directory 中定义的任何站点都具有与管理员定义的任何其他站点的完全路由网络连接。 如果 KCC 在启用站点链接桥接的两个未连接站点之间生成连接链接，可能会记录事件 ID 1311 消息。

如果满足以下条件，则会在 Active Directory 中启用站点链接桥接：

  • “ 桥接所有站点链接 ”复选框已选中 Active Directory 站点和服务管理单元中的 IP 协议和服务管理单元中的 SMTP 协议。

  • IP 协议和 SMTP 协议的 Options 属性为 NULL，或设置为以下域名 （DN） 路径的 0（零）：

    • CN=IP，CN=站点间传输，CN=站点，CN=配置，DC= 林的根域
    • CN=SMTP，CN=站点间传输，CN=站点，CN=配置，DC= 林的根域

若要确定两个站点之间是否存在完全路由的网络连接，请联系 NOS 管理员、网络管理员或 Active Directory 架构师。

如果在非路由环境中启用了站点链接桥接，请使网络完全路由，或者禁用站点链接桥接，然后创建必须使用的站点链接和站点链接桥。 等待林中最长复制间隔的两倍。 如果事件 ID 1311 消息继续记录，或者站点链接桥接在完全路由网络中启用，请继续执行“验证站点链接中定义的所有站点”方法。

默认情况下，站点链接桥接处于打开状态。 此外，最佳做法指南建议保持站点链接桥接处于打开状态。

下图使用加号（+）和减号（-）来说明 Active Directory 站点之间的物理网络连接。 站点 AZ 列在站点链接 WEST 中，站点 GA 列在站点链接 EAST 中，但站点 AZ 和 GA 未在启用站点链接桥接的 Active Directory 配置中完全路由到站点 WA 和 NY。

                  WA <-- Site Link WANY --> NY  
                  +-                        +-
                 +  -                      +  -  
                +    -                    +    -
               +      -                  +      -
             CA + + + AZ               IL + + + GA

            Site Link WEST           Site Link EAST

验证网站链接中是否定义了所有网站

Active Directory 中定义的每个站点都必须托管或驻留在站点链接中。 例如，如果定义了站点 WA、CA、AZ、NY、IL 和 GA，并且定义了站点链接 WEST、EAST 和 WANY，则记录事件 ID 1311 消息（例如 AZ 或 GA）未列在站点链接中（例如 AZ 或 GA）。 当已删除的网站链接中的网站未添加到适当的现有网站链接时，网站是孤立的。

                  WA -- Site Link WANY -- NY  
                 /                        /
                /                        /
               /                        /
              CA    (AZ)               IL    (GA)

            Site Link WEST           Site Link EAST

由于站点 AZ 和 GA 未在任何站点链接中列出，因此它们是孤立的，KCC 在构造 Active Directory 的复制拓扑时不考虑它们。

此命令 repadmin /showism 可用于查找配置不当的站点。 该命令的 repadmin /showism 输出类似于名为 corp 的林中的以下示例：

=} TRANSPORT CN=IP，CN=站点间传输，CN=Sites，CN=Configuration，DC=corp，DC=com CONNECTIVITY INFORMATION FOR 3 SITES： == 0, 1, 2 （0） CN=US-NC，CN=Sites，CN=Configuration，DC=corp，DC=com 0：0：0， 100：15：0， 200：15：0 （1） CN=US-TX，CN=Sites，CN=Configuration，DC=corp，DC=com 100：15：0， 0：0,100：15：0 （2） CN=US-WA，CN=Sites，CN=Configuration，DC=corp，DC=com 200：15：0， 100：15：0， 0：0：0

注意

与 repadmin 命令的其他参数不同，无法从远程计算机运行 repadmin /showism 该命令。 必须从要检查的域控制器的控制台运行 repadmin /showism 命令（在大多数情况下，这是 ISTG 域控制器）。

对于配置为基于 IP 的复制或基于 SMTP 的复制（未显示）的每个站点， repadmin /showism 该命令返回一个站点矩阵，表示与林中的所有站点的连接。 站点矩阵中的每个条目都包含三个由冒号分隔的数字（:)表示 Active Directory 林中另一个站点的每个复制链接的成本、复制间隔和选项）。 条目中的数字按以下顺序显示：成本 ： 复制间隔 ： 选项

  • 成本值指示用于在站点之间复制目录信息的网络链接的首选项。 管理员使用 Active Directory 站点和服务管理单元来定义 每个网站链接的成本 值。

  • 复制 间隔 值指示链接的复制频率（以分钟为单位）。

  • “ 选项” 值指示网站链接的选项，包括网站链接通知。

    注意

    对事件 ID 1311 消息进行故障排除时，可以忽略 “选项” 值。

在林中的 corp.com 示例中，已启用站点链接桥接，林包含三个 Active Directory 站点：

  • 站点 0：US-NC，一个发现的网站，它使用 TX-NC<> 链接连接到站点 1（US-TX）。
  • 站点 1：托管两个域控制器的 US-TX。
  • 站点 2：US-WA，一个涵盖的网站，它使用 TX-WA<> 链接连接到站点 1（US-TX）。

每个网站矩阵都包含一个引用自身的 0：0：0 条目。 包含成本值和复制间隔值的正数（例如，200：15：0 或 100：15：0）的条目表示站点连接良好。 -1：0：0 条目指示站点连接不起作用。 如果满足以下一个或多个条件，则会发生这种情况：

  • 不使用复制协议。 例如，如果未配置 SMTP 复制，则矩阵的 SMTP 部分中的 /SHOWISM 条目全部显示为 -1：0：0。
  • 该网站不托管任何域控制器（这称为 已 发现的站点）。
  • 网站链接中不包含该网站。

如果启用了站点链接桥接，并且 repadmin /showism 命令返回一个或多个涵盖的 Active Directory 站点的 -1：0：0 条目，请确保受影响的站点列在网站链接中。

除非发现站点（没有域控制器驻留在该站点中），否则将孤立包含 -1：0：0 条目和一个 0：0：0 条目的站点。 对事件 ID 1311 消息进行故障排除时，请记录所有孤立站点的名称，但不记录已发现站点的名称。

如果已禁用站点链接桥接，则 -1：0：0 条目没有意义。 如果是这种情况，则必须手动确定每个网站是否包含在网站链接中。 为此，请记下网站和网站链接的列表，并将每个网站手动映射到站点链接。

注意

该 repadmin /showism 命令始终返回已发现网站的 -1：0：0 条目。

在以下示例repadmin /showism中，站点链接桥接在林中corp.com启用，并删除了站点链接 TX-WA<>。 站点 2（US-WA）从林中的所有其他站点孤立，必须添加到适当的站点链接。

=} TRANSPORT CN=IP，CN=站点间传输，CN=Sites，CN=Configuration，DC=corp，DC=com CONNECTIVITY INFORMATION FOR 3 SITES： == 0， 1， 2 （ 0） CN=US-NC，CN=Sites，CN=Configuration，DC=corp，DC=com 0：0：0， 100：15：0， -1：0：0 （1） CN=US-TX，CN=Sites，CN=Configuration，DC=corp，DC=com 100：15：0， 0：0， -1：0：0 （2） CN=US-WA，CN=Sites，CN=Configuration，DC=corp，DC=com -1：0：0， -1：0：0， 0：0：0

检测和删除首选桥头

由于在多域林中，正确的桥头选择比较困难，并且由于 DC 在 KCC 选择的桥头脱机时具有良好的故障转移逻辑，因此Microsoft强烈建议不要定义首选桥头服务器。

若要搜索首选桥头服务器，请执行以下步骤：

  1. 使用Ldp.exe命令行工具对以下条件执行 LDAP 搜索： DN 路径：cn=sites，cn=configuration，dc=<root 域林> ObjectClass： server 属性：bridgeheadTransportList

  2. 对 CN=Sites，CN=Configuration 容器中的 LDIFDE 导出文件使用 FINDSTR 命令： LDIFDE CN=SITES，CN=CONFIGURATION，DC=<林> SITEDUMP 中的根域。LDF FINDSTR /i “bridgeheadTransportList” SITEDUMP.LDF

    如果搜索返回任何结果，请注意桥头TransportList 属性填充的域名路径中的服务器名称。

    如果找到任何首选桥头服务器，请使用 站点和服务 管理单元将其删除：

    1. 导航到域控制器所在的站点。
    2. 右键单击 域控制器 ，然后单击“ 属性”。
    3. 在“常规**”选项卡的下半部分，从服务器列表中删除 IP/SMTP 是以下传输**框的首选桥头服务器。
    4. 选择“确定”。
    5. 等待林中最大复制间隔的两倍。 如果事件 ID 1311 消息继续记录，请继续下一个方法。

解决林中的 Active Directory 复制失败

Active Directory 复制需要将林中所有命名上下文的可传递复制复制到复制公共分区的所有域控制器。

尽快解决联机域控制器的复制失败，尤其是那些在林中托管一种命名上下文的域控制器（例如，林中特定域的唯一域控制器）。 作为最后手段，如果无法复制域控制器，请将其从林中删除。

如果域控制器的脱机天数少于逻辑删除生存期号（默认情况下为 60），请使域控制器联机并强制其复制，或者作为最后手段将其从林中删除。

如果域控制器处于脱机状态或未复制入站更改的天数超过逻辑删除生存期号，请不要恢复。 而是立即将其从林中删除。

有关 TombstoneLifetime 值的详细信息，请单击以下文章编号以查看Microsoft知识库中的文章：

  • 216993 Active Directory 的系统状态备份的有用保质期
  • 将过时的全局目录服务器重新联机后，314282挥之不去的对象可能会保留

若要发现和排查复制失败，可以使用以下工具：

  • repadmin /failcache：从林中每个 ISTG 域控制器的控制台运行以下命令，发现该 ISTG 站点中桥头的复制失败。

    注意

    还可以针对林中的其他 ISTG 域控制器远程运行此命令。

  • repadmin /showreps：从林中每个 ISTG 域控制器的控制台运行以下命令，以分析命令公开 repadmin /failcache 的特定域控制器的复制。

  • dcdiag /test:intersite /e /q：此命令测试林中桥头域控制器的站点间连接。 结果集仅限于遇到开关错误的 /q 域控制器。

  • dcdiag /test:connectivity /e /q：此命令测试与林中的所有域控制器的名称解析和 ldap/rpc 连接。 结果集仅限于遇到开关错误的 /q 域控制器。

  • 使用 NTDS 诊断级别的以下设置检查 ISTG 域控制器和 Bridgehead 服务器上的目录服务事件日志：

    • 一个知识一致性检查器：3
    • 五个复制事件：3
    • 内部处理：1

该 repadmin /failcache 命令列出了 KCC 知道的复制失败。 命令的 repadmin /failcache 输出分为两个部分：

KCC 链接失败缓存列出了现有连接链接的错误。 ISTG 域控制器为站点中的每个桥头服务器导入 showreps （repsfroms） 数据。 但是，ISTG 域控制器不会列出错误。 链接失败缓存在每次 KCC 运行开始时清空，并在当前运行过程中重新填充。

KCC 连接失败缓存列出了在域控制器之间生成连接对象的失败尝试（代表或代表指向）。 从 ISTG 域控制器运行 repadmin /failcache 命令时，它会列出从站点中的桥头导入的条目。 在每个 KCC 运行开始时，KCC 会检查连接故障缓存中的每个条目，并尝试将 DsBind 连接到失败的服务器。 如果绑定成功，则会删除该条目。

该 repadmin /failcache 命令与命令有两种不同 repadmin /showreps 之处：

  • 该 repadmin /showreps 命令显示失败的命名上下文。 该 repadmin /failcache 命令没有。
  • repadmin /failcache此命令中的数据不会在域控制器之间复制。

以下示例演示命令的示例输出 repadmin /failcache 。

Z:\>repadmin /failcache
==== KCC CONNECTION FAILURES > ============================  
(none)  

==== KCC LINK FAILURES > ==================================  
USA-WA-24\C-24-DC03
      DC object GUID: 134244cd-26be-4944-82a7-ac3eb74fc02f
      No Failures.
  USA-WA-24\B-24-DC02
      DC object GUID: 21b050d6-33b5-424d-aa9b-060fe209233d
      No Failures.
  USA-WA-24\Z-24-DC-05
      DC object GUID: bfb3b008-3849-4e5d-81d8-53dbb76d587a
      No Failures.

确定源服务器是否重载

使用大量直接复制合作伙伴重载的域控制器或过于激进的复制计划可能会创建积压工作，其中一些合作伙伴永远不会收到来自中心域控制器的更改。 在命令的输出中 repadmin /showreps ，重载源域控制器的合作伙伴域控制器显示为 “永不 ”状态。

若要解决此问题，请调整硬件大小，重新配置站点链接，并根据需要重新配置站点链接或连接计划，以减少重载域控制器上的负载。

确定网站链接是否不相交

非连续站点链接 是一种 Active Directory 配置，其中拓扑分为两个部分，或者某些站点不会复制，因为网站定义和站点链接定义不正确。 例如，下图显示了一个配置，其中Sitelink_ABC包含站点 A、B 和 C，Sitelink_DEF包含站点 D、E 和 F，但站点链接不会将Sitelink_ABC中的任何站点连接到Sitelink_DEF中的任何站点。 若要解决不连续的网站链接条件，新网站链接必须连接Sitelink_ABC中至少有一个站点，Sitelink_DEF中至少有一个网站（例如，网站 A 和网站 D 之间的新网站链接）。

                  A                        D  
                 / \                      / \
                /   \                    /   \
               /     \                  /     \
              B       C                E       F

            Sitelink_ABC              Sitelink_DEF

下图显示了另一种可能的不连续站点链接配置。 在这种情况下，新网站链接必须加入Sitelink_ABDC中的任何网站，Sitelink_FG中至少有一个网站（例如，网站 A 和网站 F 之间的新网站链接）来解决不连续的网站链接条件。

                  A                  F  
                 / \                  \
                /   \                  \
               /     \                  \
              B       C                  \
               \     /                    \
                \   /                      \
                 \ /                        \
                  D                          G

            Sitelink_ABDC            Sitelink_FG

不相邻的站点链接是最难以进行故障排除的不当配置。 仅在排除所有其他已知原因后查找不相交的网站链接。 使用铅笔和纸张绘制站点拓扑图并查找孤立站点。

如果 KCC 处于“保持连接”模式，请删除连接

如果 KCC 围绕站点到站点连接失败生成了不同的路径，但它每隔 15 分钟重试失败的连接，因为它处于 连接保持模式，请删除所有断开的连接，让 KCC 重新生成它们。 等待林中最长的复制计划两次。

术语和概念

  • 桥头服务器：Active Directory 站点中将 Active Directory 分区（例如架构、配置、域、应用程序分区或全局目录）复制到另一个 Active Directory 站点中的域控制器的任何域控制器。

    为 Active Directory 站点中的每个唯一目录分区、域或应用程序分区选择桥头，因此托管三个不同的域的站点具有三个站点内桥头服务器。

    域控制器复制与其直接复制伙伴共同保存的所有命名上下文，因此“corp.com”域中的域控制器除了使用站点间桥头合作伙伴的“corp.com”域命名上下文外，还会复制 CN=SCHEMA 和 CN=CONFIGURATION。

  • 站点间拓扑生成器（ISTG）：对于每个 Active Directory 站点，一个称为 ISTG 的服务器被提名用于生成站点间复制拓扑。

  • 发现的网站：站点和服务管理单元中定义的 Active Directory 站点，当前不包含任何域控制器。 发现的网站可能正在等待其域控制器从过渡站点到达。 此外，还可以将网站定义为已发现，以便为客户端操作提供站点首选项。

数据收集

如果需要Microsoft支持方面的帮助，建议按照使用 TSS 收集 Active Directory 复制问题的信息中所述的步骤收集信息。

资料来源与适用范围

资料来源
微软官方中文故障文档
适用范围
适用于： 所有受支持的 Windows Server 版本
内容语言
中文；命令、路径和错误标识保留技术原文
本地收录日期
2026-10-26
授权说明
CC BY 4.0

正文与所需资源由本站本地存储。查看来源及更新记录 ↗

请按适用版本和实际日志确认原因；本站没有对每一种系统或设备逐项执行文中的操作。