1enable ndsi diagnostics log:
hklm\system\currentcontrolset\services\ntds\diagnostics
取值范围:0-3
可在事件查看器目录服务中查看,3为上限,日志量相当大,应注意调整日志文件大小。
2dcdiag
dcdiag /v(详细输出) /c(开启所有项的测试) /a(对站点内所有DC进行测试)
3netdom
对客户机加入域及信任关系管理
Example:
netdom query dc
netdom query fsmo
5%-10%的错误是由于对网络结构的错误认识。
4netdiag
Example:
netdiag /debug >netdiag041218.txt (加debug参数为最详细记录)
notepad netdiag0411218.txt
5%错误是由网络配置造成的
第二部分:AD维护中三种常见故障:
一、DNS配置相关故障
1、综述:ADDNS起到路标和指示灯的作用,至少50%AD故障源于DNS.
DNS中最重要的是SRV纪录而不是A纪录,通常SRV纪录对应有一个A纪录
SRV Record example: _ldap._tcp,dc._msdcs.xyz.com.600 IN srv 0 100 389 dcserver1.xyz.com
用户登录域时通过dns服务器找寻dc的,_msdcs区域中包含所有dc的服务纪录,作用就是为了定位域控制器和全局编目服务器,win2k中若有多个域则只有根域中有该区域,子域中没有。
2、几个验证和修复工具
1)使用nslookup来记录dns记录是否完整
2)若dns记录缺失,可通过:
a:重新启动Net Logon服务
b:使用nltest.exe /seregdns (安装support tools工具后才会有)
注意dns配置要求:允许动态更新,区域名称和AD域名相一致,dns服务器本身需要配置dns域名后缀
3、实例演示:验证和修复dns故障
2003_msdcs区域作为独立一个区域存在,若出现机器登录域非常慢,90%dns出了问题。
1)若出现记录缺失情况:
stop netlogon & start netlogon 重新启动该服务,其实每次关机重启时均会重新启动该服务。
2)若无任何记录区域
则新建记录区域,若操作过程中出现无法删除和拒绝提示时,则可能是因为多台DC之间状态没有同步,只需稍等片刻即可。
多域环境中,_msdcs区域必须分开创建,否则只能找到本域的dc,而找不到森林中其它域的gc服务器
3)修复工具
nltest.exe /dzregdns
特点:速度快且不会对用户有影响
从安全角度考虑,最好将dns配置成活动目录集成区域,2003中新添条件转发特性。
二、关于DC之间的复制故障
nt4单向复制,PDC->BDC,存在很多弊端。
DC之间复制的内容:
1)目录服务复制:主要是数据库的复制(AD对象,包括用户,计算机等)
2)文件复制服务(FRS)sysvol文件夹,包括组策略实体。
2、排错工具
(1)AD replication monitor图形工具
a.检查ad复制
b.图形化显示复制拓扑
c.强制复制
2)命令行工具repadmin
a.诊断dc间复制故障
b.确认复制伙伴
c.确认活动目录对象复制来源
d.强制复制
dc之间的文件复制服务
dc之间复制sysvol共享文件夹
1netlogon共享:低版本客户端的登录脚本和系统策略
2sysvol共享:为win2k及以后客户端提供组策略,导致组策略分发不成功
命令行排错工具:ntfsutil
3、通常复制故障:
1)拒绝访问:时钟不同步,网络故障
2dns查找故障,dsa操作无法继续
3)操作被排队或没有显示任何复制链接
4)复制访问被拒绝或正在删除名称上下文
5)站点之间存在重复的连接对象
6)多个域控中所应用的组策略不一致
7)目录服务因太忙而无法完成操作
其中3-7项建议等待一段时间一般会自动解决
4、实例演示:使用工具诊断复制故障
1AD中通常会自动生成环形复制拓扑结构,域服务器之间的复制间隔为5分钟,3DC之间的同步大概需要为15分钟左右(基于100M以太网),使用站点和服务来操作。
2)若无法复制成功,可利用复制监视器工具来控制复制。
强制生成复制拓扑结构和显示复制拓扑结构,拓扑结构图中可以查看操作主机角色是否正常工作;察看复制对象的USN(update serial number);察看复制过程中的一些错误
3dsastat
三、Operation Master Roles(fsmo)
1、何时需要转移操作主机角色?
2、决定操作主机角色拥有者:图形化接口工具和ntdsutil
3、移转方式:transfer(在线移转)和seize(强制转移)
4、移转工具:图形化接口工具(AD用户和计算机、AD域和信任关系、AD架构)
5、命令行方式下转移FSMO角色:
ntdsutil.exe
roles
connections
connect to server servername
quit
seize pdc
       rid master
       infrastructure master
       schema master
       domain naming master
transfer
quit
尽可能使用transfer而不是seize,当中的servername是即将成为操作主机角色的服务器,图形方式下,需要先连接其他的域控制器后才可以更改操作主机角色
第三部分:Troubleshooting Case Study
1AD的问题一般分四个层面:网络问题、活动目录的支撑服务(dns/wins/etc)、活动目录的复制问题、域控制器的个体原因。
2、典型案例:
case(1):时间源同步问题
case(2):
问题背景:用户登录或访问服务器,经常出现"由于时间差异,访问拒绝"的提示
问题解决:
kerveros协议有关,用来代替原先的ntlm协议,所有的计算机(包括clientserver,oswin2k及以上),会自动将根域的PDC模拟器作为时间服务器,W32Time服务按照一定的周期进行时钟校正:从计算机启动开始,尝试以45分钟作为间隔,联系时钟服务器,进行时钟同步;如果同步成功,以8小时为间隔,进行同步验证;如果同步失败,开始尝试进行时钟同步。为了保证时间服务器正常工作,在根域的PDC模拟器上建议设置外部时间源,指向INTERNET上的时间服务器,在其他计算机上保证Windows Time服务正常启动。
具体要求:dc之间时间相差不能超过5分钟,clientdc之间相差不能超过30分钟
问题根源:kerberos协议要求计算机时钟同步经过分析,发现客户端计算机启动某个应用程序,会在启动时与服务器(一台unix计算机)进行时钟校准,而该服务器时钟与DC始终存在约45分钟的差异,将域控制器时钟与服务器同步,并建议设定同一时间源。
CASE(3)
问题描述:某客户报告,客户端计算机启动缓慢,在出现"正在准备网络连接"提示时,会有长时间停留,经过检查发现,客户端计算机虽然已经正确配置了DNS服务器地址,但在同时作为域控制器的DNS服务器上,发现没有相应的记录,客户使用了SOMEDOMAIN形式的域名。
问题原因:Win2k sp4/winxp/2003不在顶级域下注册dns记录
解决方法:修改注册表和使用组策略(客户端本地计算机策略/管理模版/网络/DNS客户端),在客户现场,临时使用了手动加载netlogon.dns文件的方法(应该注册的dns记录)
%systemroot%/system32/config/netlogon.dns(应该写到dns服务器内的记录),将记录复制到dns服务器数据库中,应先将集成的dns区域改成主区域,然后到dns数据库记录文件进行粘贴,然后再修改为AD集成的DNS区域(存在多个域时工作量大)
CASE(4)通过修改注册表强行卸载dc:
键值位置:hklm/system/controlsset/control/productoptions/ProductType LanmanNt修改为/ServerNT,重启机器此时然后便可以卸载dc了,原理为启动时会检查该键值,如果为ServerNT,便不启动dc所需的相应服务,但也有些副作用,如intersitemesseging服务会报错,应为它仍然会启动,而它相关联的服务均已停止故出现报错信息,此时应该将该服务设为手动或禁用,强行卸载完DC后,应该在保留的DC上利用NTDSUTIL工具中的metadata cleanup将无用的信息清除掉。
不能卸载之可能原因:网络问题,不能连通操作主机;长久没有同步等等。