服务器运维中Active Directory故障如何排查

Active Directory故障排查实战手册

一 快速定位路径

• 明确症状：是客户端加域失败、域用户无法登录、组策略不生效、还是DC间复制异常。
• 先易后难：先做连通性与DNS验证，再做服务与事件日志检查，随后用dcdiag/repadmin做健康检查，最后定位到具体DC/站点/复制链路。
• 最小闭环：每个环节都要有“可复现的验证命令”和“明确的修复动作”，避免只停留在观察层面。

二 通用排查流程

• 网络与DNS
  • 使用ping测试DC的IP与FQDN可达性；检查子网掩码/网关/DNS配置；排查交换机/路由器/防火墙是否阻断AD相关流量（如TCP/UDP 53、88、135、389、445、3268/3269）。
  • 在客户端与DC上用nslookup验证解析：正向解析DC主机名，反向解析IP；重点检查**_msdcs.<域>与<域>区域中的SRV记录**（如_ldap、_kerberos）是否齐全；必要时在DNS管理器里目视检查**_msdcs**文件夹与站点相关条目。
• 服务与基础组件
  • 在“服务”或PowerShell中确认关键服务：Active Directory Domain Services（NTDS）、DNS Server、Netlogon处于Running；若异常，先排查依赖与日志再重启服务。
• 事件与日志
  • 打开事件查看器：系统、DNS、目录服务、文件复制服务日志；用事件ID快速缩小范围（如目录服务/复制错误）。
• 命令行健康检查
  • 使用dcdiag /v做全量健康检查；用repadmin /showrepl查看复制状态与错误；用repadmin /syncall触发全量同步；用nltest /dsgetdc:<域>验证DC定位与站点关联；用netdom query fsmo核对五大操作主机位置。
• 客户端验证
  • 在客户端执行nltest /sc_verify:<域>；用ldapsearch或简单绑定测试LDAP/Kerberos连通；确认已加入正确的站点与子网。

三 常见症状与处置要点

四 关键命令与操作清单

• 连通与定位
  • 网络/解析：ping、tracert、nslookup（正向/反向、_msdcs与SRV）。
  • DC定位：nltest /dsgetdc:<域>；netdom query fsmo。
• 健康检查
  • dcdiag /v（全量）；repadmin /showrepl（复制状态）、/replsum（摘要）、/syncall（全量同步）。
• 服务与目录服务
  • 服务：services.msc 或 PowerShell 检查/启动NTDS/DNS/Netlogon；必要时net stop/start netlogon重注册SRV记录。
• 事件与复制细节
  • 事件查看器：系统、DNS、目录服务、文件复制服务；结合错误ID定位。
  • 复制修复：repadmin /replsum、/syncall；检查站点与子网配置、连接对象与开销。
• 清理残留
  • 异常降级后的元数据清理（metadata cleanup）：使用ntdsutil或系统工具移除对离线DC的引用，避免“延迟对象”影响复制。

五 预防与最佳实践

• 时间同步：全林统一NTP源，PDC Emulator作为权威时间服务器；定期执行w32tm /resync并监控偏移。
• DNS治理：客户端与DC优先使用域内DNS；确保**_msdcs与SRV**记录完整；定期审计区域与记录。
• 监控与备份：启用审核日志与性能监控（CPU/内存/磁盘/目录服务计数器）；对系统状态与关键DC做定期备份，并验证可恢复性。
• 变更管控：涉及FSMO/架构变更前先备份与在测试环境验证；严格权限与变更流程。
• 容量与拓扑：合理规划站点与子网、站点链接开销与复制频率；避免跨广域不必要复制。