Настройка репликации между контроллерами домена 2020 r2

Добавление дополнительного контроллера домена в существующий домен AD

Как вы знаете, службы Active Directory Domain Services (AD DS) устанавливаются на сервере, который называется контроллер домена (DC). В активный каталог домена AD можно добавить десятки дополнительных контроллеров для балансировки нагрузки, отказоустойчивости, уменьшения нагрузки на WAN каналы и т.д. Все контроллеры домена должны содержать одинаковую базу учетных записей пользователей, учетных записей компьютеров, групп и других объектов LDAP каталога.

Для корректной работы всем контроллерам домена необходимо синхронизироваться и копировать информацию между собой. Когда вы добавляете новый контроллер домена в существующий домен, контроллеры домена должны автоматически синхронизировать данные между собой. Если новый контроллер домена и существующий DC находятся в одном сайте, они могут легко реплицировать данные между собой. Если новый DC находится на удаленном сайте, то автоматическая репликация не так эффективна. Поскольку репликация будет идти через медленные (WAN каналы), которые как правило стоят дорого и скорость передачи данных по ним не велика.

В этой статье мы покажем, как добавить дополнительный контроллер домена в существующий домен Active Directory (Установка домена AD на примере Windows 2016).

Добавление дополнительного контроллера домена в существующий домен AD

Прежде всего, нам нужно установить роль Active Directory Domain Services на сервере, который будет новым DC.

Установка роли ADDS

Прежде всего, откройте консоль Server Manager. Когда откроется Server Manager, нажмите «Add roles and features», чтобы открыть консоль установки ролей сервера.

Пропустите страницу «Before you Begin». Выберите «Role-based or featured-based installation» нажмите кнопку «Next». На странице «Server Selection» снова нажмите кнопку «Next».

Выберите роль Active Directory Domain Services. В открывшемся окне нажмите кнопку «Add Features», чтобы добавить необходимые инструменты управления Active Directory Management Tools.

Когда процесс установки будет завершен, перезагрузите сервер, войдите в систему под администратором и выполните следующие действия.

Настройка дополнительного контроллера домена

Теперь в мастере установки ролей нажмите ссылку «Promote this server to a domain controller».

Выберите «Add a domain controller to an existing domain», ниже укажите имя вашего домена AD. Если вы авторизованы под обычным пользователем, вы можете изменить учетные данные на администратора домена. Нажмите кнопку «Select», откроется новое окно, выберите имя вашего домена и нажмите «Ok», затем «Next».

На странице Domain Controller Options, можно выбрать, что нужно установить роль DNS-сервера на вашем DC. Также выберите роль Global Catalog. Введите пароль администратора для режима DSRM и подтвердите его, затем нажмите кнопку «Next».

На странице Additional options укажите сервер, с которым вы хотите выполнить первоначальную репликацию базы Active Directory ( с указанного сервера будет скопирована схема и все объекты каталога AD). Вы можете сделать снимок (snapshot) текущего состояния Active Directory на одном из контроллеров домена и применить его на новой машине. После этого база AD этого сервера будет представлять собой точную копию имеющегося контроллера домена. Подробнее о функции Install From Media (IFM) – установки нового DC с носителя в одной из следующих статей (https://vmblog.ru/razvertyvanie-kontrollera-domena-s-pomoshhyu-install-from-media-ifm/):

На страницах «Paths and Review options» нам ничего не придется настраивать, пропустите их, нажав кнопку «Next». На странице «Prerequisite», если вы видите какую-либо ошибку, проверьте и выполните все указанные требования, затем нажмите кнопку «Install».

Настройка репликации между новым и имеющимся контроллером домена

Мы почти закончили, теперь проверим и запустим репликацию между первичным DC (DC01.vmblog.ru) и новым DC (DC02.vmblog.ru). При копировании информации между этими двумя контроллерами домена данные базы Active Directory будут скопированы из DC01.vmblog.ru в DC02.vmblog.ru. После завершения процесса все данные корневого контроллера домена появятся на новом контроллере домена.

В «Server Manager» выберите вкладку «Tools» затем пункт «Active directory sites and services».

В левой панели разверните вкладку Sites -> Default-First-Site-Name -> Servers. Оба новых DC находятся в одном сайте AD (это подразумевает, что они находятся в одной подсети, либо сетях, соединенных высокоскоростным каналом связи). Затем выберите имя текущего сервера, на котором вы сейчас работаете, затем нажмите «NTDS Settings». В моем случае DC01 является корневым контроллером домена, в данный момент консоль запущена на DC02, который будет дополнительным контроллером домена.

Читайте так же:

Как загрузить лендинг на хостинг

Щелкните правой кнопкой мыши по элементу с именем «automatically generated». Нажмите «Replicate now». Появится предупреждение о запуске репликации между корневым контроллером домена и новым контроллером домена.

Сделайте то же самое для DC01. Разверните вкладку DC01 и нажмите «NTDS Settings». Щелкните правой кнопкой мыши на «automatically generated», затем нажмите «Replicate now». Оба сервера реплицируются друг с другом, и все содержимое DC01 будет скопировано в DC02.

Итак, мы закончили! Вы успешно добавили новый DC и принудительно запустили репликацию между двумя контроллерами домена.

Information Security Squad

stay tune stay secure

Инструмент Repadminl: проверка состояния репликации Active Directory

Чтобы поддерживать домен Active Directory в исправном состоянии, следует периодически проверять репликацию между контроллерами домена с помощью инструментов repadmin и dcdiag (мы рассмотрели использование утилиты dcdiag в предыдущем руководстве.

Репликация Active Directory полностью автоматизирована и правильно планирует конфигурацию архитектуры AD, сайтов и расписания репликации практически не требует ручного управления системным администратором.

Действительно, в небольших доменах AD с несколькими контроллерами домена (2-5) проблем с репликацией обычно почти нет, но в больших инфраструктурах из десятков и сотен контроллеров домена администратору домена часто приходится вмешиваться в процесс репликации и исправлять ошибки.

Средство командной строки repadmin можно использовать для мониторинга репликации, отслеживания сбоев репликации между контроллерами домена и принудительной репликации данных.

Утилита repadmin в Windows Server 2003 была включена в пакет средств поддержки, который необходимо было загрузить и установить вручную.

В Windows Server 2008 R2 и более поздних версиях средство repadmin автоматически устанавливается на контроллере домена при установке роли ADDS (доменные службы Active Directory).

Вы можете установить repadmin на настольные версии Windows (Wndows 10 / 8.1 / 7).

Для этого установите RSAT и включите опцию AD DS и AD LDS Tools.

Чтобы использовать repadmin, откройте командную строку от имени администратора.

Вы можете перечислить полный синтаксис команды, набрав:

Как видите, команда имеет довольно много опций.

Давайте попробуем изучить некоторые полезные примеры использования repadmin.

Чтобы быстро проверить работоспособность репликации между контроллерами домена, обычно используется следующая команда:

Как видите, в домене AD есть только 2 контроллера домена, между которыми в настоящее время нет ошибок репликации.

Каждый сервер действует как исходный DSA и целевой DSA.

Чтобы проверить оставшееся количество объектов каталога AD в очереди репликации, выполните:

Используя команду Repadmin / Showrepl, вы можете отобразить состояние репликации для текущего DC.

Она отображает время последней попытки репликации разделов Active Directory.

Если вы считаете, что какой-то контроллер домена не получает обновления репликации, выполните для него эту команду.

Совет. Для отображения подробной информации в любой команде используйте параметр /verbose.

Базовую доступность каталога LDAP на конкретном контроллере домена можно проверить с помощью команды:

Вы можете принудительно выполнить репликацию указанного контроллера домена со всеми партнерами по репликации DC, используя команду:

Не рекомендуется выполнять эту команду в больших доменах Active Directory, так как это может вызвать большую нагрузку на сеть.

Чтобы начать репликацию всех разделов Active Directory по всему лесу, выполните команду:

При использовании этой команды также возможна высокая нагрузка на каналы связи.

Команда Repadmin / kcc указывает KCC (Knowledge Consistency Checker) на указанном контроллере домена немедленно пересчитать топологию входящей репликации (она запускается автоматически каждые 15 минут).

Команда Repadmin / replicate позволяет вам реплицировать определенный раздел каталога с исходного DC на целевой. Например:

Читайте так же:

На сайте регистратора доменов найдите настройки dns

Information Security Squad

stay tune stay secure

Инструмент Repadminl: проверка состояния репликации Active Directory

Вы можете установить repadmin на настольные версии Windows (Wndows 10 / 8.1 / 7).

Для этого установите RSAT и включите опцию AD DS и AD LDS Tools.

Чтобы использовать repadmin, откройте командную строку от имени администратора.

Вы можете перечислить полный синтаксис команды, набрав:

Как видите, команда имеет довольно много опций.

Давайте попробуем изучить некоторые полезные примеры использования repadmin.

Каждый сервер действует как исходный DSA и целевой DSA.

Чтобы проверить оставшееся количество объектов каталога AD в очереди репликации, выполните:

Используя команду Repadmin / Showrepl, вы можете отобразить состояние репликации для текущего DC.

Она отображает время последней попытки репликации разделов Active Directory.

Совет. Для отображения подробной информации в любой команде используйте параметр /verbose.

Базовую доступность каталога LDAP на конкретном контроллере домена можно проверить с помощью команды:

Чтобы начать репликацию всех разделов Active Directory по всему лесу, выполните команду:

При использовании этой команды также возможна высокая нагрузка на каналы связи.

Настройка репликации между контроллерами домена 2020 r2

Вопрос

Возникла проблема с репликацией между контроллерами домена.

Есть два контроллера домена: dcprimary и dcreserve. И один домен intersoleast.pro. Оба КД крутятся на виртуальных машинах Windows Server 2012.

dcreserve настраивал следующим образом:

1. установил роль AD

2. поднял уровень до КД

3. указал, что устанавливаем в существующий лес новый контроллер

4. ввел учетные данные пользователя, состоящего в группе Администраторы Домена

5. sysvol располагается по умолчанию

6. для репликации выбрал КД dcprimary

Все установилось без проблем.

Репликация DNS прошла. При создании объекта на любом из КД, он появляется на другом.

Однако если выключить dcprimary, то при попытке открыть оснастки AD на dcreserve появляется ошибка:

«Не удалось найти сведения об именах по следующей причине:

Указанный домен не существует или к нему невозможно подключиться.»

Из ошибок на dcprimary:

1. Предупреждение 2092 Этот сервер является владельцем роли FSMO, но не считает ее действительной. Для раздела, содержащего FSMO, этот сервер не выполнил успешной репликации ни с одним из партнеров репликации с момента своего перезапуска. Ошибки репликации мешают выполнению проверки этой роли.

Читайте так же:

Залить лендинг на хостинг

2. Предупреждение 2213 Служба репликации DFS остановила репликацию на томе C:. Это происходит, если рабата базы данных DFSR JET была завершена с ошибками, а автоматическое восстановление отключено. Чтобы устранить эту проблему, заархивируйте файлы в соответствующих реплицированных папках, а затем возобновите репликацию с помощью метода WMI ResumeReplication.

3. Ошибка 1202 На данном компьютере теперь расположен указанный экземпляр Active Directory, но веб-службам Active Directory не удалось обработать его запросы. Веб-службы Active Directory будут периодически пытаться повторить эту операцию.

1. Ошибка 1054 Ошибка при обработке групповой политики. Windows не удалось получить имя контроллера домена. Возможная причина: ошибка разрешения имен. Проверьте, что служба DNS настроена и работает правильно.

Подскажите, пожалуйста, как это можно исправить, у меня идеи закончились 🙁

Перемещено Elina Lebedeva Moderator 19 июля 2013 г. 7:04 Windows Server 2012

Ответы

Возьмите GUID из события 2213 для тома C, и выполните из командной строки с повышенными привилегиями:

wmic /namespace:\rootmicrosoftdfs path dfsrVolumeConfig where volumeGuid=» » call ResumeReplication — в качестве подставьте значение из события.

Предложено в качестве ответа Dmitriy Razbornov 11 августа 2013 г. 14:11
Помечено в качестве ответа Иван Проданов Microsoft contingent staff, Moderator 11 октября 2013 г. 4:59

Все ответы

repadmin /showreps на dcprimary

C:UsersАдминистратор>repadmin /showreps
Default-First-Site-NameDCPRIMARY
Параметры DSA: IS_GC
Параметры сайта: (none)
DSA — GUID объекта: b4475690-4d9f-48d4-814e-59751f2a633c
DSA — код вызова: 5ee6d820-392f-451d-bb72-86104cfd9cae

DC=intersoleast,DC=pro
Default-First-Site-NameDCRESERVE через RPC
DSA — GUID объекта: e72c9ef2-569c-47fc-a3e1-7395ba1b04b9
Последняя попытка @ 2013-07-18 18:58:33 успешна.

CN=Configuration,DC=intersoleast,DC=pro
Default-First-Site-NameDCRESERVE через RPC
DSA — GUID объекта: e72c9ef2-569c-47fc-a3e1-7395ba1b04b9
Последняя попытка @ 2013-07-18 18:58:33 успешна.

CN=Schema,CN=Configuration,DC=intersoleast,DC=pro
Default-First-Site-NameDCRESERVE через RPC
DSA — GUID объекта: e72c9ef2-569c-47fc-a3e1-7395ba1b04b9
Последняя попытка @ 2013-07-18 18:58:33 успешна.

DC=DomainDnsZones,DC=intersoleast,DC=pro
Default-First-Site-NameDCRESERVE через RPC
DSA — GUID объекта: e72c9ef2-569c-47fc-a3e1-7395ba1b04b9
Последняя попытка @ 2013-07-18 18:58:33 успешна.

DC=ForestDnsZones,DC=intersoleast,DC=pro
Default-First-Site-NameDCRESERVE через RPC
DSA — GUID объекта: e72c9ef2-569c-47fc-a3e1-7395ba1b04b9
Последняя попытка @ 2013-07-18 18:58:33 успешна.

repadmin /showreps на dcreserve

C:Usersserveradmin>repadmin /showreps
Default-First-Site-NameDCRESERVE
Параметры DSA: IS_GC
Параметры сайта: (none)
DSA — GUID объекта: e72c9ef2-569c-47fc-a3e1-7395ba1b04b9
DSA — код вызова: ef157281-9424-42b1-8fee-655cf71cee68

DC=intersoleast,DC=pro
Default-First-Site-NameDCPRIMARY через RPC
DSA — GUID объекта: b4475690-4d9f-48d4-814e-59751f2a633c
Последняя попытка @ 2013-07-18 19:50:48 успешна.

CN=Configuration,DC=intersoleast,DC=pro
Default-First-Site-NameDCPRIMARY через RPC
DSA — GUID объекта: b4475690-4d9f-48d4-814e-59751f2a633c
Последняя попытка @ 2013-07-18 18:54:11 успешна.

CN=Schema,CN=Configuration,DC=intersoleast,DC=pro
Default-First-Site-NameDCPRIMARY через RPC
DSA — GUID объекта: b4475690-4d9f-48d4-814e-59751f2a633c
Последняя попытка @ 2013-07-18 18:54:11 успешна.

DC=DomainDnsZones,DC=intersoleast,DC=pro
Default-First-Site-NameDCPRIMARY через RPC
DSA — GUID объекта: b4475690-4d9f-48d4-814e-59751f2a633c
Последняя попытка @ 2013-07-18 18:54:11 успешна.

DC=ForestDnsZones,DC=intersoleast,DC=pro
Default-First-Site-NameDCPRIMARY через RPC
DSA — GUID объекта: b4475690-4d9f-48d4-814e-59751f2a633c
Последняя попытка @ 2013-07-18 18:54:12 успешна.
Процесс DsReplicaGetInfo() завершился ошибкой с кодом состояния 8453 (0x2105):
Доступ к репликации отвергнут.
Процесс DsReplicaGetInfo() завершился ошибкой с кодом состояния 8453 (0x2105):
Доступ к репликации отвергнут.

Изменено Socialist Administrator 18 июля 2013 г. 15:54 опечатка

Возьмите GUID из события 2213 для тома C, и выполните из командной строки с повышенными привилегиями:

wmic /namespace:\rootmicrosoftdfs path dfsrVolumeConfig where volumeGuid=» » call ResumeReplication — в качестве подставьте значение из события.

Предложено в качестве ответа Dmitriy Razbornov 11 августа 2013 г. 14:11
Помечено в качестве ответа Иван Проданов Microsoft contingent staff, Moderator 11 октября 2013 г. 4:59

Возьмите GUID из события 2213 для тома C, и выполните из командной строки с повышенными привилегиями:

wmic /namespace:\rootmicrosoftdfs path dfsrVolumeConfig where volumeGuid=» » call ResumeReplication — в качестве подставьте значение из события.

Дима, реально пора собирать воркшоп «AD for dummies». Очень много однотипных проблем от непонимания базовых механизмов работы AD — уже утомляет.

Active Directory? Ask me how.

Ошибки на обоих КД, кажется, удалось победить.

Читайте так же:

Хостинг за рубежом

Теперь все уперлось в репликацию.

При отключении dcprimary второй КД все так же не может работать с оснастками АД.

dcprimary

C:UsersАдминистратор>repadmin /syncall /aes
СООБЩЕНИЕ ОБРАТНОГО ВЫЗОВА: Сейчас выполняется следующая репликация:
От: e72c9ef2-569c-47fc-a3e1-7395ba1b04b9._msdcs.intersoleast.pro
Кому: b4475690-4d9f-48d4-814e-59751f2a633c._msdcs.intersoleast.pro
СООБЩЕНИЕ ОБРАТНОГО ВЫЗОВА: Репликация остановлена по запросу пользователя:
От: e72c9ef2-569c-47fc-a3e1-7395ba1b04b9._msdcs.intersoleast.pro
Кому: b4475690-4d9f-48d4-814e-59751f2a633c._msdcs.intersoleast.pro
СООБЩЕНИЕ ОБРАТНОГО ВЫЗОВА: Завершена операция SyncAll.

Функция SyncAll сообщает о следующих ошибках:
Репликация остановлена по запросу пользователя:
От: e72c9ef2-569c-47fc-a3e1-7395ba1b04b9._msdcs.intersoleast.pro
Кому: b4475690-4d9f-48d4-814e-59751f2a633c._msdcs.intersoleast.pro

dcreserve

C:Windowssystem32>repadmin /syncall /aes
СООБЩЕНИЕ ОБРАТНОГО ВЫЗОВА: Сейчас выполняется следующая репликация:
От: b4475690-4d9f-48d4-814e-59751f2a633c._msdcs.intersoleast.pro
Кому: e72c9ef2-569c-47fc-a3e1-7395ba1b04b9._msdcs.intersoleast.pro
СООБЩЕНИЕ ОБРАТНОГО ВЫЗОВА: Репликация остановлена по запросу пользователя:
От: b4475690-4d9f-48d4-814e-59751f2a633c._msdcs.intersoleast.pro
Кому: e72c9ef2-569c-47fc-a3e1-7395ba1b04b9._msdcs.intersoleast.pro
СООБЩЕНИЕ ОБРАТНОГО ВЫЗОВА: Завершена операция SyncAll.

Функция SyncAll сообщает о следующих ошибках:
Репликация остановлена по запросу пользователя:
От: b4475690-4d9f-48d4-814e-59751f2a633c._msdcs.intersoleast.pro
Кому: e72c9ef2-569c-47fc-a3e1-7395ba1b04b9._msdcs.intersoleast.pro

NTDS вроде реплицировался без проблем, а вот SYSVOL на dcreserve пустой(только папки, без содержания).

И еще вопрос. В настройках сети на втором КД в качестве DNS основным должен быть указан 127.0.0.1 а альтернативным ip первого КД, верно?

Диагностика репликации домена

Утилита Repadmin

REPADMIN /SHOWREPL
показывает состояние репликации для контроллера домена

REPADMIN /REPLSUMMARY
сводка репликации для всех DC леса

REPADMIN /SYNCALL
Запускает репликацию между DC и партнерами по репликации

Для более глубокого анализа можно задействовать команду:
REPADMIN *
(звездочка вместо использования имени DC).

Утилита FRSDiag

Диагностика с помощью утилиты FRSdiag.exe: в центре загрузки Microsoft есть утилиты «Windows 2003 support tools». Среди этих утилит (а возможно и отдельно от них) есть утилита «File Replication Service Diagnostics Tool» — FRSdiag.exe. Скачайте утилиту и запустите ее. Никаких настроек менять не надо, достаточно нажать «GO». Утилита произведет диагностику и выдаст массу информации.

Восстановление репликации между контроллерами домена

Если по каким-то причинам один из контроллеров домена не работал более 60 дней, то прекращается синхронизация между контроллерами домена. Появляются разные сообщения об ошибках в логах. Чтобы восстановить синхронизацию, необходимо произвести несколько действий:

провести диагностику с помощью утилиты FRSdiag.exe;
удалить объекты, которые различаются на контроллерах домена. Обычно это устаревшие и уже давно удаленные объекты;
разрешить репликацию с серверами, которых давно не было в сети;
произвести репликацию, убедиться, что она успешная, и снова запретить репликацию с серверами, которых давно не было в сети.

1. Диагностика с помощью утилиты FRSdiag.exe

Скачайте утилиту и запустите ее. Никаких настроек менять не надо, достаточно нажать «GO». Утилита произведет диагностику и выдаст массу информации. Если там будут следующие строки, переходите к следующим пунктам:

«Error 2042 It has been too long since this machine last replicated with the named source machine. The time between replications with this source has exceeded the tombstone lifetime.»
«Use the «repadmin /removelingeringobjects» tool to remove inconsistent deleted objects and then resume replication.»

2. Удаление объектов, которые различаются на контроллерах домена

для этого служит команда:
Repadmin /removelingeringobjects
Не торопитесь ее выполнять! Там масса других параметров.
Описание здесь:
http://support.microsoft.com/kb/870695/en-us
НО! там тоже описано далеко не все! Вот более точная инструкция:
http://blogs.technet.com/b/glennl/archive/2007/07/26/clean-that-active-directory-forest-of-lingering-objects.aspx Что необходимо сделать: сначала надо «очистить» один из контроллеров домена, а потом будем использовать его в качестве эталона. Для этого сначала проводим инспекцию (что надо удалить). С этой целью используется опция /advisory_mode:

repadmin /removelingeringobjects Destination_domain_controller Source_domain_controller_GUID Directory_partition /advisory_mode
где:
Destination_domain_controller — имя контроллера, который будем «чистить».
Source_domain_controller_GUID — идентификатор контроллера, который будет использоваться в качестве «образца» для чистки.
Directory_partition — это разделы Active Directory (их можно посмотреть с помощью adsiedit.msc).

Узнать идентификатор контроллера несложно, есть 2 метода:

At a command prompt, type repadmin /showrepl /v name of the authoritative server, and then press ENTER. The object GUID of the domain controller is listed in the DC object GUID field.
Use the Active Directory Sites and Services tool to locate the object GUID of the source domain controller. To do this, follow these steps:
1. Click Start, point to Administrative Tools, and then click Active Directory Sites and Services.
2. Expand Sites, expand the site where your authoritative domain controller is located, expand Servers, and then expand the domain controller.
3. Right-click NTDS Settings, and then click Properties.
4. View the value in the DNS Alias box. The GUID that appears in front of _msdcs.forest_root_name.com is the object GUID of the domain controller. The Repadmin tool only requires the GUID. Do not include the _msdcs.forest_root_domain_name.com component in the Repadmin syntax.

Читайте так же:

Как узнать ip адрес через стим

Разделы Active Directory — как написано в инструкции:
?Domain directory partition (dc=domain_DN)
?Configuration directory partition (cn=Configuration,dc=forest_root_DN)
?Application directory partition or partitions
(cn=Application_directory_partition_name,dc=domain_DN)
(cn=Application_directory_partition_name,dc=forest_root_DN)
?Schema directory partition (cn=Schema, cn=Configuration,dc=,dc=forest_root_DN)

Итак, пример. У нас есть 3 контроллера домена: DC1, DC2, DC3, домен mydom.com. Сначала мы «почистим» DC1, используя в качестве образцов DC2 и DC3, а потом «почистим» DC2 и DC3, используя в качестве образца DC1: сначала берем «образец» для DC1 с DC2:
repadmin /removelingeringobjects DC1 ff4d1971-a0ed-4915-a297-b25041a10c74 DC=MYDOM,DC=COM /advisory_mode
repadmin /removelingeringobjects DC1 ff4d1971-a0ed-4915-a297-b25041a10c74 CN=Configuration,DC=MYDOM,DC=COM /advisory_mode
repadmin /removelingeringobjects DC1 ff4d1971-a0ed-4915-a297-b25041a10c74 CN=Schema,CN=Configuration,DC=MYDOM,DC=COM /advisory_mode
repadmin /removelingeringobjects DC1 ff4d1971-a0ed-4915-a297-b25041a10c74 CN=Schema,CN=Configuration,DC=MYDOM,DC=COM /advisory_mode
repadmin /removelingeringobjects DC1 ff4d1971-a0ed-4915-a297-b25041a10c74 DC=ForestDNSZones,DC=MYDOM,DC=COM /advisory_mode
repadmin /removelingeringobjects DC1 ff4d1971-a0ed-4915-a297-b25041a10c74 DC=DomainDNSZones,DC=MYDOM,DC=COM /advisory_mode

потом залезаем в логи (Directory Service, источник NTDS Replication) и смотрим:

«Active Directory has completed the verification . Source domain controller: .
Number of objects examined and verified:
0
. «

Если количество объектов не 0, смотрим что это за объекты, и если все ок, грохаем (то же самое, но без advisory_mode):
repadmin /removelingeringobjects DC1 224d1971-a0ed-4915-a297-b25041a10c74 DC=MYDOM,DC=COM
repadmin /removelingeringobjects DC1 224d1971-a0ed-4915-a297-b25041a10c74 CN=Configuration,DC=MYDOM,DC=COM
repadmin /removelingeringobjects DC1 224d1971-a0ed-4915-a297-b25041a10c74 CN=Schema,CN=Configuration,DC=MYDOM,DC=COM
repadmin /removelingeringobjects DC1 224d1971-a0ed-4915-a297-b25041a10c74 CN=Schema,CN=Configuration,DC=MYDOM,DC=COM
repadmin /removelingeringobjects DC1 224d1971-a0ed-4915-a297-b25041a10c74 DC=ForestDNSZones,DC=MYDOM,DC=COM
repadmin /removelingeringobjects DC1 224d1971-a0ed-4915-a297-b25041a10c74 DC=DomainDNSZones,DC=MYDOM,DC=COM

теперь берем «образец» для DC1 с DC3:
repadmin /removelingeringobjects DC1 3303F24A-14FC-44A3-A120-C810E1017053 DC=MYDOM,DC=COM /advisory_mode
repadmin /removelingeringobjects DC1 3303F24A-14FC-44A3-A120-C810E1017053 CN=Configuration,DC=MYDOM,DC=COM /advisory_mode
repadmin /removelingeringobjects DC1 3303F24A-14FC-44A3-A120-C810E1017053 CN=Schema,CN=Configuration,DC=MYDOM,DC=COM /advisory_mode
repadmin /removelingeringobjects DC1 3303F24A-14FC-44A3-A120-C810E1017053 CN=Schema,CN=Configuration,DC=MYDOM,DC=COM /advisory_mode
repadmin /removelingeringobjects DC1 3303F24A-14FC-44A3-A120-C810E1017053 DC=ForestDNSZones,DC=MYDOM,DC=COM /advisory_mode
repadmin /removelingeringobjects DC1 3303F24A-14FC-44A3-A120-C810E1017053 DC=DomainDNSZones,DC=MYDOM,DC=COM /advisory_mode

точно так же проверяем и выполняем те же команды, но уже без advisory_mode.

DC1 «очищен». Теперь так же «чистим» DC2 и DC3, но уже в качестве «образца» выступает DC1.
Для этого логинимся на DC2 (а потом на DC3) и выполняем:
Сначала с advisory_mode:
repadmin /removelingeringobjects DC2 114d1971-a0ed-4915-a297-b25041a10c74 DC=MYDOM,DC=COM /advisory_mode
repadmin /removelingeringobjects DC2 114d1971-a0ed-4915-a297-b25041a10c74 CN=Configuration,DC=MYDOM,DC=COM /advisory_mode
repadmin /removelingeringobjects DC2 114d1971-a0ed-4915-a297-b25041a10c74 CN=Schema,CN=Configuration,DC=MYDOM,DC=COM /advisory_mode
repadmin /removelingeringobjects DC2 114d1971-a0ed-4915-a297-b25041a10c74 CN=Schema,CN=Configuration,DC=MYDOM,DC=COM /advisory_mode
repadmin /removelingeringobjects DC2 114d1971-a0ed-4915-a297-b25041a10c74 DC=ForestDNSZones,DC=MYDOM,DC=COM /advisory_mode
repadmin /removelingeringobjects DC2 114d1971-a0ed-4915-a297-b25041a10c74 DC=DomainDNSZones,DC=MYDOM,DC=COM /advisory_mode

А потом то же самое без advisory_mode.

И то же самое повторяем для DC3: логинимся на него, запускаем эти команды с advisory_mode, смотрим логи, а потом запускаем без advisory_mode.

3. Разрешить/запретить репликацию с серверами, которых давно не было в сети

Для этого есть 2 ключа в реестре. Их необходимо выставить на каждом из контроллеров домена, чтобы между ними проходила репликация. После успешной синхронизации/репликации и (желательно неоднократной) проверки того, что все работает, указанные ключи проще всего удалить.

Содержимое REG файла:

После запуска разрешена синхронизация между контроллерами домена. Чтобы проверить, что контроллеры синхронизираются, необходимо на одном из них открыть: «Active Directory Sites and Services» -> Sites -> Default-First-Site-Name -> Servers Теперь по очереди открываем КАЖДЫЙ контроллер домена, у него — NTDS Settings, после чего кликаем правой кнопкой на имени контроллера домена (внутри NTDS Settings) и выбираем Replicate Now. Все должно синхронизироваться.

Теперь удаляем ключи из реестра (на всех контроллерах домена!):

голоса

Рейтинг статьи