Replication issue
DCDIAG.TXT
Testing server: Default-First-Site-NameADMAIL
Starting test: Replications
* Replications Check
[Replications Check,ADMAIL] A recent replication attempt failed:
From CAD to ADMAIL
Naming Context: DC=mst,DC=com,DC=tw
The replication generated an error (5):
存取被拒。
The failure occurred at 2008-01-23 12:20.50.
The last success occurred at 2007-12-02 01:48.16.
9009 failures have occurred since the last success.
[CAD] DsBind() failed with error -2146893022,
目標的主名稱不正確。.
[Replications Check,ADMAIL] A recent replication attempt failed:
From CAD to ADMAIL
Naming Context: CN=Schema,CN=Configuration,DC=mpi,DC=com,DC=tw
The replication generated an error (5):
存取被拒。
The failure occurred at 2008-01-23 11:50.25.
The last success occurred at 2007-12-02 01:48.16.
1263 failures have occurred since the last success.
[Replications Check,ADMAIL] A recent replication attempt failed:
From CAD to ADMAIL
Naming Context: CN=Configuration,DC=mpi,DC=com,DC=tw
The replication generated an error (5):
存取被拒。
The failure occurred at 2008-01-23 12:23.25.
The last success occurred at 2007-12-02 01:48.16.
7839 failures have occurred since the last success.
解決方法
- 確認時區時間一致
- 一般應該為security channel broken
如何使用 Netdom . exe 來重設機器帳戶密碼的 Windows 2000 網域控制站
https://support.microsoft.com/kb/260575
若是無法重設請先停用有問題DC的Kerberos Key Distribution Center服務然後重新開機，重新reset security channel
- 若是仍然不行請停用所有DC Kerberos Key Distribution Center服務重新開機在嘗試reset security channel ，然後使用repadmin /syncall 或是 ad site and services強制覆寫
完成後再將Kerberos Key Distribution Center設置為自動，重新啟動
************************************************************
repadmin.txt
==========
TPDCS01
DSA Options : IS_GC
objectGuid : 7809b003-4650-4646-949e-f25e22339a30
invocationID: 7809b003-4650-4646-949e-f25e22339a30
DsBindWithCred to localhost failed with status 1727 (0x6bf):
遠端程序呼叫失敗且不執行。(The remote procedure call failed and did not execute)
NTDS event log
========
事件類型: 警告
事件來源: NTDS KCC
事件類別目錄: 知識一致性檢查程式
事件識別碼: 2051
日期: 2008/1/7
時間: 上午 08:13:06
使用者: NT AUTHORITYANONYMOUS LOGON
電腦: DCS01
描述:
知識一致性檢查程式已偵測出可能的連線振盪。下列連線 (或與它相似的連線) 已被 重複地建立並刪除。在指出的時段內連線會持續，必須等到該時段過了之後，連線才 會再被刪除。
連線物件:
CN=04d9f039-96f1-4692-9386-a49426e47cf2,CN=NTDS Settings,CN=DCS01,CN=Servers,CN=TP,CN=Sites,CN=Configuration,DC=fp,DC=com
目的地 DSA GUID:
7809b003-4650-4646-949e-f25e22339a30
來源 DSA:
CN=NTDS Settings,CN=TPNPCENGS01,CN=Servers,CN=TP,CN=Sites,CN=Configuration,DC=fp,DC=com
來源 DSA GUID:
a53f49cc-b012-4e9f-9fde-83f1720d485a
選項:
1
保留期間 (秒):
604800
重複的刪除容錯:
3
刪除點內部識別碼:
f07023b
使用者動作:
經常建立及刪除錯誤後移轉連線可能是 bridghead 不穩定的表示。請檢查 bridgehead 的連線能力或複寫問題。也可以使用登錄來調整錯誤後移轉原則。
請在 https://go.microsoft.com/fwlink/events.asp 查看說明及支援中心，以取得其他資訊。
事件類型: 警告
事件來源: NTDS KCC
事件類別目錄: 知識一致性檢查程式
事件識別碼: 1925
日期: 2008/1/7
時間: 上午 05:53:08
使用者: NT AUTHORITYANONYMOUS LOGON
電腦: DCS01
描述:
嘗試為以下可寫入的目錄磁碟分割建立複寫連結時失敗。
目錄磁碟分割:
CN=Configuration,DC=fp,DC=com
來源網域控制站:
CN=NTDS Settings,CN=TPNPCENGS01,CN=Servers,CN=TP,CN=Sites,CN=Configuration,DC=fp,DC=com
來源網域控制站位址:
a53f49cc-b012-4e9f-9fde-83f1720d485a._msdcs.fpg.com
站台間傳輸 (如果有的話):
必須先修正此問題，否則這個網域控制站將無法以來源網域控制站進行複寫。
使用者動作
檢查來源網域控制站是否可以存取或網路連線是否可供使用。
其他資料
錯誤值:
1722 無法取得 RPC 伺服器。
請在 https://go.microsoft.com/fwlink/events.asp 查看說明及支援中心，以取得其他資訊。
事件類型: 錯誤
事件來源: NTDS Replication
事件類別目錄: 複寫
事件識別碼: 1863
日期: 2008/1/6
時間: 下午 06:20:00
使用者: NT AUTHORITYANONYMOUS LOGON
電腦: DCS01
描述:
這是本機網域控制站上，下列目錄磁碟分割的複寫狀態。
目錄磁碟分割:
DC=npceng,DC=tw,DC=fp,DC=com
本機網域控制站並未在設定的延遲間隔內，從一些網域控制站收到複寫資訊。
延遲間隔 (小時):
24
所有站台上的網域控制站數目:
5
這個站台上的網域控制站數目:
3
可以使用下列登錄機碼來修改延遲間隔。
登錄機碼:
HKLMSystemCurrentControlSetServicesNTDSParametersReplicator latency error interval (小時)
如果要依照名稱來識別網域控制站，請安裝包含在安裝 CD 中的支援工具，然後執行 dcdiag.exe。
您也可以使用支援工具 repadmin.exe 來顯示樹系中網域控制站的複寫延遲。 命令為 "repadmin /showvector /latency <partition-dn>"。
RPC網路不透通
解決方法
- 檢察135 port 是否Listen
Netstat –ano
-嘗試telnet Server IP 135
-收集網路封包
RPC連接埠
RPC TCP 135
隨機高 TCP 連接埠配置 TCP 介於 1024 - 65534 隨機連接埠號碼 *
Inbound 135要通
Outbound 1024 - 65534
有些客戶會有檔Inbound與Outbound 須特別注意
與網路連接埠需求為 Windows Server 系統服務概觀
https://support.microsoft.com/?id=832017
若是客戶一定要限制動態RPC可以參考以下文件
如何設定 RPC 動態連接埠配置以使用防火牆
https://support.microsoft.com/kb/154596/
************************************************************
NTDS Event Log:
===============================
事件類型: 警告
事件來源: NTDS KCC
事件類別目錄: (1)
事件識別碼: 1265
日期: 2008/8/27
時間: 下午 05:11:13
使用者: N/A
電腦: AD2
描述:
DC=mst,DC=com,DC=cn, 8bc74036-872f-4cbf-9d2a-6f6e03606122._msdcs.audrey.com.tw, Access is denied.
, CN=NTDS Settings,CN=THAD,CN=Servers,CN=Taichung,CN=Sites,CN=Configuration,DC=mst,DC=com,DC=tw, CN=IP,CN=Inter-Site Transports,CN=Sites,CN=Configuration,DC=mst,DC=com,DC=tw.
資料:
0000: 05 00 00 00 ....
事件類型: 警告
事件來源: NTDS KCC
事件類別目錄: (1)
事件識別碼: 1265
日期: 2008/8/27
時間: 下午 05:11:08
使用者: N/A
電腦: AD2
描述:
CN=Schema,CN=Configuration,DC=mst,DC=com,DC=tw, 8bc74036-872f-4cbf-9d2a-6f6e03606122._msdcs.audrey.com.tw, Access is denied.
, CN=NTDS Settings,CN=THAD,CN=Servers,CN=Taichung,CN=Sites,CN=Configuration,DC=mst,DC=com,DC=tw, CN=IP,CN=Inter-Site Transports,CN=Sites,CN=Configuration,DC=mst,DC=com,DC=tw.
資料:
0000: 05 00 00 00 ....
DCDiag:
===================================
Testing server: ThailandAD2
Starting test: Replications
* Replications Check
[Replications Check,AD2] A recent replication attempt failed:
From AD1 to AD2
Naming Context: DC=mst,DC=com,DC=cn
The replication generated an error (5):
Win32 Error 5
The failure occurred at 2008-08-27 15:54.44.
The last success occurred at 2008-08-27 12:18.51.
11 failures have occurred since the last success.
[Replications Check,AD2] A recent replication attempt failed:
From AD1 to AD2
Naming Context: DC=sing,DC=com,DC=cn
The replication generated an error (5):
Win32 Error 5
The failure occurred at 2008-08-27 15:54.44.
The last success occurred at 2008-08-27 12:18.52.
11 failures have occurred since the last success.
[Replications Check,AD2] A recent replication attempt failed:
From AD1 to AD2
Naming Context: DC=mst,DC=com,DC=tw
The replication generated an error (5):
Win32 Error 5
The failure occurred at 2008-08-27 16:11.25.
The last success occurred at 2008-08-27 12:18.50.
61 failures have occurred since the last success.
......................... AD2 passed test Replications
Repadmin:
==== INBOUND NEIGHBORS ======================================
DC=mst,DC=com,DC=cn
ThailandAD1 via RPC
objectGuid: 67d58b07-39c3-47be-9c73-0cde28b00169
Last attempt @ 2008-08-27 15:54.44 failed, result 5:
Can't retrieve message string 5 (0x5), error 1815.
Last success @ 2008-08-27 12:18.51.
11 consecutive failure(s).
DC=sing,DC=com,DC=cn
ThailandAD1 via RPC
objectGuid: 67d58b07-39c3-47be-9c73-0cde28b00169
Last attempt @ 2008-08-27 15:54.44 failed, result 5:
Can't retrieve message string 5 (0x5), error 1815.
Last success @ 2008-08-27 12:18.52.
11 consecutive failure(s).
DC=mst,DC=com,DC=tw
ThailandAD1 via RPC
objectGuid: 67d58b07-39c3-47be-9c73-0cde28b00169
Last attempt @ 2008-08-27 16:11.25 failed, result 5:
Can't retrieve message string 5 (0x5), error 1815.
Last success @ 2008-08-27 12:18.50.
61 consecutive failure(s).
解決方式
有關於此問題,經確認後為DC的時間差超過5分鐘所導致的
參考資料
Troubleshooting Active Directory Replication Problems
https://technet.microsoft.com/en-us/library/bb727057.aspx
在該文件中提到的Event ID 1265中的檢查項目之一就是系統時間
在KB https://support.microsoft.com/kb/837361 中說明了
預設如果超過5分鐘的時間差會造成KDC Failed 的issue
確認時間差異大約8分鐘.修正時間後,DC複寫恢復正常
************************************************************