试试我们的虚拟代理 - 它可以帮助你快速识别和修复常见的 Active Directory 复制问题
概要
Active Directory 复制可确保目录对象更改的传播覆盖到环境中的所有域控制器。 复制失败时，目录数据变得不一致，这可能会影响身份验证、授权和其他依赖目录的服务。
本文可帮助你诊断和修复常见的 Active Directory 复制问题。 它包括系统性的故障排除清单、常见问题的说明以及指向详细解决方案的链接。
在开始故障排除之前，请确保对受影响的域控制器具有管理访问权限，并了解基本的 Active Directory 概念。
故障排除清单
使用以下清单来排查这些复制问题：
-
目录服务事件日志中的错误和警告事件指示了导致源或目标域控制器上复制失败的特定约束。 如果事件消息建议了解决方案步骤，请尝试事件中所述的步骤。
-
Repadmin等诊断工具也提供可帮助解决复制失败问题的信息。 为了帮助监视复制和诊断错误，请下载并运行Microsoft 支持部门和恢复助手工具。 -
排除有意中断或硬件故障。
-
在一种方案中：域控制器在暂存站点中构建。 域控制器当前处于离线状态，正在等待在最终生产站点（分支机构等远程站点）中部署。
当另一个域控制器尝试复制到域控制器时，它会报告复制错误。 你可以解释此类复制错误。
-
复制问题可能是由硬件故障引起的。
-
Active Directory 复制远程过程调用 (RPC) 是通过端口 135 上的 RPC 端点映射程序 (RPCSS) 动态发生的。 确保正确配置具有高级安全性和其他防火墙的 Windows 防火墙以启用复制。
排除了有意断开连接和硬件故障后，复制问题可能由以下原因之一造成：
- 网络连接： 网络连接可能不可用，或者可能无法正确配置网络设置。
- 名称解析： 域名系统（DNS）配置错误是复制失败的常见原因。
- 复制引擎： 如果站点间复制计划的时间间隔太短，则复制队列可能过大，无法在出站复制计划所需的时间内处理。 在这种情况下，某些更改的复制可能会无限期停滞，或者复制时间过长，超过逻辑删除的生存期。
- 复制拓扑： 域控制器必须在 Active Directory 域服务（AD DS）中具有站点间链接，这些链接映射到真正的广域网（WAN）或虚拟专用网络（VPN）连接。 如果在 AD DS 中为网络的实际站点拓扑不支持的复制拓扑创建对象，则要求配置错误的拓扑的复制将失败。
- 身份验证和授权： 当域控制器尝试连接到复制伙伴时，身份验证和授权问题会导致“访问被拒绝”错误。
- 目录数据库存储： 目录数据库可能无法以足够快的速度进行事务处理，以便能够跟上复制操作的超时。
Active Directory 复制问题的常见解决方案
- 每天监视复制运行状况，或使用
Repadmin每天检索复制状态。 - 尝试使用事件消息和本指南中所述的方法及时解决报告的任何故障。 如果软件导致此问题，请先卸载软件，然后再继续尝试其他解决方案。
- 如果导致复制失败的问题无法由任何已知方法解决，请从服务器中删除 AD DS，然后重新安装它。 有关重新安装 AD DS 的详细信息，请参阅取消域控制器授权。
- 如果在服务器连接到网络时无法以典型方式删除 AD DS，请使用以下方法之一来解决问题：
- 在目录服务还原模式 (DSRM) 下强制删除 AD DS，清理服务器元数据，然后重新安装 AD DS。
- 重新安装操作系统，并重新生成域控制器。
常见问题和解决方案
目录服务事件日志中记录的事件消息中标识了大部分的复制问题。 复制问题也可能以 repadmin /showrepl 命令输出中的错误消息的形式进行标识。
事件 ID 2042
Repadmin 消息：
The time since last replication with this server has exceeded the tombstone lifetime.
域控制器长时间未能从指定的源域控制器成功进行入站复制，以至于某些删除项已经从 AD DS 中经过墓碑化、复制并被垃圾回收。 请参阅 Active Directory 复制事件 ID 2042。
事件 ID 1925
Repadmin 消息：
No inbound neighbors
如果生成的输出 repadmin /showrepl 的“入站邻居”部分未显示任何项，则域控制器无法建立到另一个域控制器的复制链接。 请参阅 Active Directory 复制事件 ID 1925。
错误代码 5
Repadmin 消息：
Access is denied.
两个域控制器之间存在复制链接，但由于身份验证失败，无法正确执行复制。 请参阅 Active Directory 复制失败并出现错误 5：访问被拒绝。
错误代码 49
Repadmin 消息：
LDAP Error 49.
域控制器计算机帐户可能未与密钥分发中心 (KDC) 同步。 修复复制安全问题。
事件 ID 1925 和事件 ID 2087
Repadmin 消息：
Cannot open LDAP connection to local host.
管理工具无法访问 AD DS。 请参阅以下文章：
事件 ID 1925、事件 ID 2087 和事件 ID 2088
Repadmin 消息：
Last attempt at <date - time> failed with the "Target account name is incorrect."
此问题可能与连接、DNS 或身份验证问题相关。 如果此错误是 DNS 错误，则本地域控制器无法解析其复制伙伴的基于全局唯一标识符（GUID）的 DNS 名称。 请参阅以下文章：
数据收集
如果需要Microsoft支持方面的帮助，建议按照使用 TSS 收集 Active Directory 复制问题的信息中所述的步骤收集信息。