常见AD排错工具

3、通常复制故障：

（1）拒绝访问：时钟不同步，网络故障

（2）dns查找故障，dsa操作无法继续

（3）操作被排队或没有显示任何复制链接

（4）复制访问被拒绝或正在删除名称上下文

（5）站点之间存在重复的连接对象

（6）多个域控中所应用的组策略不一致

（7）目录服务因太忙而无法完成操作

其中3-7项建议等待一段时间一般会自动解决

4、实例演示：使用工具诊断复制故障

（1）AD中通常会自动生成环形复制拓扑结构，域服务器之间的复制间隔为5分钟，3台DC之间的同步大概需要为15分钟左右（基于100M以太网），使用站点和服务来操作。

（2）若无法复制成功，可利用复制监视器工具来控制复制。

强制生成复制拓扑结构和显示复制拓扑结构，拓扑结构图中可以查看操作主机角色是否正常工作;察看复制对象的USN(update serial number);察看复制过程中的一些错误

（3）dsastat

三、Operation Master Roles(fsmo)

1、何时需要转移操作主机角色？

2、决定操作主机角色拥有者：图形化接口工具和ntdsutil

3、移转方式：transfer(在线移转）和seize(强制转移)

4、移转工具：图形化接口工具（AD用户和计算机、AD域和信任关系、AD架构）

5、命令行方式下转移FSMO角色：

ntdsutil.exe

roles

connections

connect to server servername

quit

seize pdc

       rid master

       infrastructure master

       schema master

       domain naming master

transfer

quit

尽可能使用transfer而不是seize,当中的servername是即将成为操作主机角色的服务器，图形方式下，需要先连接其他的域控制器后才可以更改操作主机角色

第三部分：Troubleshooting Case Study

1、AD的问题一般分四个层面：网络问题、活动目录的支撑服务（dns/wins/etc）、活动目录的复制问题、域控制器的个体原因。

2、典型案例：

case(1):时间源同步问题

case(2):

问题背景：用户登录或访问服务器，经常出现"由于时间差异，访问拒绝"的提示

问题解决：

与kerveros协议有关，用来代替原先的ntlm协议，所有的计算机（包括client和server,os为win2k及以上），会自动将根域的PDC模拟器作为时间服务器，W32Time服务按照一定的周期进行时钟校正：从计算机启动开始，尝试以45分钟作为间隔，联系时钟服务器，进行时钟同步；如果同步成功，以8小时为间隔，进行同步验证；如果同步失败，开始尝试进行时钟同步。为了保证时间服务器正常工作，在根域的PDC模拟器上建议设置外部时间源，指向INTERNET上的时间服务器，在其他计算机上保证Windows Time服务正常启动。

具体要求：dc之间时间相差不能超过5分钟，client与dc之间相差不能超过30分钟

问题根源：kerberos协议要求计算机时钟同步经过分析，发现客户端计算机启动某个应用程序，会在启动时与服务器（一台unix计算机）进行时钟校准，而该服务器时钟与DC始终存在约45分钟的差异，将域控制器时钟与服务器同步，并建议设定同一时间源。

CASE(3)

问题描述：某客户报告，客户端计算机启动缓慢，在出现"正在准备网络连接"提示时，会有长时间停留，经过检查发现，客户端计算机虽然已经正确配置了DNS服务器地址，但在同时作为域控制器的DNS服务器上，发现没有相应的记录，客户使用了SOMEDOMAIN形式的域名。

问题原因：Win2k sp4/winxp/2003不在顶级域下注册dns记录

解决方法：修改注册表和使用组策略（客户端本地计算机策略/管理模版/网络/DNS客户端），在客户现场，临时使用了手动加载netlogon.dns文件的方法（应该注册的dns记录）

%systemroot%/system32/config/netlogon.dns(应该写到dns服务器内的记录)，将记录复制到dns服务器数据库中，应先将集成的dns区域改成主区域，然后到dns数据库记录文件进行粘贴，然后再修改为AD集成的DNS区域（存在多个域时工作量大）

CASE(4)通过修改注册表强行卸载dc:

键值位置：hklm/system/controlsset/control/productoptions/ProductType LanmanNt修改为/ServerNT，重启机器此时然后便可以卸载dc了，原理为启动时会检查该键值，如果为ServerNT，便不启动dc所需的相应服务，但也有些副作用，如intersitemesseging服务会报错，应为它仍然会启动，而它相关联的服务均已停止故出现报错信息，此时应该将该服务设为手动或禁用，强行卸载完DC后，应该在保留的DC上利用NTDSUTIL工具中的metadata cleanup将无用的信息清除掉。

不能卸载之可能原因：网络问题，不能连通操作主机；长久没有同步等等。