Problème de Réplication AD
Bonjour,
Je vous écris car j'ai un problème de réplication AD.
J'ai 2 DC 2008r2 en VM sur des hote hyperV 2012.
Il se trouve qu'aujourd'hui en voulant ajouter une nouvelle machine dans le domaine, je me suis rendu compte que les deux DC n'étais pas répliqué depuis 2 mois !
j'ai essayé de forcé la réplication en faisant repadmin /replicate
ou repadmin /syncall
mais cela ne fonctionne pas. j'ai un message d'erreur disant :
LDAP erreur 81 : Serveur hors connexion.
J'ai suivi plusieurs piste, j'ai finalement pu conclure que c'était une histoire de USN Rollback car le DSA not writting = 4
La solution recommandé pour ce problème c'est de Depromote le DC qui poste problème (DC1) et de le repromote.
Cependant, DC1 contient tous les roles FSMO, et lorsque j'essaye de transférer les roles, il me dit qu'il n'arrive pas à contacter le serveur...
donc d'un coté si j'éteint DC2, les gens n'arrive plus a se connecter sur les serveur le message indique un problème d'approbation avec le domaine.
Si j'éteint DC1 je me retrouve avec un DC dans role FSMO...
Je suis un peu à cours de solution là... :s
Avez-vous des conseils à me donner ?
Merci d'avance pour votre aide :)
Je vous écris car j'ai un problème de réplication AD.
J'ai 2 DC 2008r2 en VM sur des hote hyperV 2012.
Il se trouve qu'aujourd'hui en voulant ajouter une nouvelle machine dans le domaine, je me suis rendu compte que les deux DC n'étais pas répliqué depuis 2 mois !
j'ai essayé de forcé la réplication en faisant repadmin /replicate
ou repadmin /syncall
mais cela ne fonctionne pas. j'ai un message d'erreur disant :
LDAP erreur 81 : Serveur hors connexion.
J'ai suivi plusieurs piste, j'ai finalement pu conclure que c'était une histoire de USN Rollback car le DSA not writting = 4
La solution recommandé pour ce problème c'est de Depromote le DC qui poste problème (DC1) et de le repromote.
Cependant, DC1 contient tous les roles FSMO, et lorsque j'essaye de transférer les roles, il me dit qu'il n'arrive pas à contacter le serveur...
donc d'un coté si j'éteint DC2, les gens n'arrive plus a se connecter sur les serveur le message indique un problème d'approbation avec le domaine.
Si j'éteint DC1 je me retrouve avec un DC dans role FSMO...
Je suis un peu à cours de solution là... :s
Avez-vous des conseils à me donner ?
Merci d'avance pour votre aide :)
2 réponses
-
Bonjour,
merci pour votre réponse,
j'ai pu avancer un peu sur le sujet, j'ai réussi à prendre tous les roles fmso sur DC2.
Par contre impossible d'ajouter un nouveau PC dans le domaine quand DC1 n'est pas connecté sur le réseau...
il m'indique "le nom du compte cible est incorrect"
Avez-vous une idée de ce qui pourrait bloqué la jonction au domaine ?-
ContributeurC'est une erreur de résolution dns. Quel est le serveur dns ? Dc1 ou dc2 ou les deux ?
Vérifier sur dc2 les dns. Vérifier les enregistrements dns.
Dc2 est bien catalogue global...
Vous pouvez regarder ceci https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2008-R2-and-2008/cc753187(v=ws.11)?redirectedfrom=MSDN -
@bendropLes deux sont serveur DNS,
chaque DC indique sa propre IP en DNS primaire et celui de l'autre en DNS secondaire.
j'ai vérifié, les deux dc sont catalogue global.
pour l'instant j'ai déconnecté le dc1, personne ne m'a signalé de problème pour se connecter sur leur poste ce matin.
Reste ce problème d'ajout de poste au domaine, et je pourrais définitivement depromote le DC1.
Si je déconnecte DC2, les gens ne peuvent plus se connecter sur le poste mais la jonction au domaine fonctionne.
Je ne peux me résoudre à supprimer l'un des deux DC dans ces conditions, existe-t-il un moyen de réconcilier les deux DC ? -
-
@bendropVoici le résultat du dcdiag /a :
Diagnostic du serveur d'annuaire
Exécution de l'installation initiale :
Tentative de recherche de serveur associé...
Serveur associé : DC2 Forêt AD identifiée.
[DC1] La liaison LDAP a échoué avec l'erreur 8341,
Une erreur de service d'annuaire s'est produite..
Erreur obtenue lors de la vérification que le contrôle de domaine utilise
FRS ou DFSR. Erreur : Une erreur de service d'annuaire s'est produite.Il se
peut que les tests VerifyReferences, FrsEvent et DfsrEvent échouent en
raison de cette erreur.
Collecte des informations initiales terminée.
Exécution des tests initiaux nécessaires
Test du serveur : ROSNY\DC1
Démarrage du test : Connectivity
Erreur obtenue lors de la vérification de la connectivité LDAP et RPC.
Vérifiez les paramètres du pare-feu.
......................... Le test Connectivity
de DC1 a échoué
Test du serveur : ROSNY\DC2
Démarrage du test : Connectivity
......................... Le test Connectivity
de DC2 a réussi
Exécution des tests principaux
Test du serveur : ROSNY\DC1
Tests ignorés car le serveur DC1 ne répond pas aux demandes du
service d'annuaire.
Test du serveur : ROSNY\DC2
Démarrage du test : Advertising
......................... Le test Advertising
de DC2 a réussi
Démarrage du test : FrsEvent
......................... Le test FrsEvent
de DC2 a réussi
Démarrage du test : DFSREvent
Erreurs ou avertissements détectés au cours des dernières 24 heures
après le partage de SYSVOL. Des problèmes liés à l'échec de la
réplication SYSVOL peuvent provoquer des problèmes de Stratégie de
groupe.
......................... Le test DFSREvent
de DC2 a échoué
Démarrage du test : SysVolCheck
......................... Le test SysVolCheck
de DC2 a réussi
Démarrage du test : KccEvent
......................... Le test KccEvent
de DC2 a réussi
Démarrage du test : KnowsOfRoleHolders
......................... Le test KnowsOfRoleHolders
de DC2 a réussi
Démarrage du test : MachineAccount
......................... Le test MachineAccount
de DC2 a réussi
Démarrage du test : NCSecDesc
......................... Le test NCSecDesc
de DC2 a réussi
Démarrage du test : NetLogons
......................... Le test NetLogons
de DC2 a réussi
Démarrage du test : ObjectsReplicated
......................... Le test ObjectsReplicated
de DC2 a réussi
Démarrage du test : Replications
[Replications Check,DC2] Une tentative de réplication récente a
échoué :
De DC1 vers DC2
Contexte de nommage : DC=ForestDnsZones,DC=domain,DC=local
La réplication a généré une erreur (1256) :
Le système distant n'est pas disponible. Pour obtenir des informations à propos du dépannage réseau, consulter l'Aide Windows.
L'échec s'est produit à 2017-02-21 11:54:48.
La dernière réussite s'est produite à 2016-12-15 17:07:24.
6496 échecs se sont produits depuis la dernière réussite.
[Replications Check,DC2] Une tentative de réplication récente a
échoué :
De DC1 vers DC2
Contexte de nommage : DC=DomainDnsZones,DC=domain,DC=local
La réplication a généré une erreur (1256) :
Le système distant n'est pas disponible. Pour obtenir des informations à propos du dépannage réseau, consulter l'Aide Windows.
L'échec s'est produit à 2017-02-21 11:54:48.
La dernière réussite s'est produite à 2016-12-15 17:07:24.
10976 échecs se sont produits depuis la dernière réussite.
[Replications Check,DC2] Une tentative de réplication récente a
échoué :
De DC1 vers DC2
Contexte de nommage : CN=Schema,CN=Configuration,DC=domain,DC=local
La réplication a généré une erreur (1722) :
Le serveur RPC n'est pas disponible.
L'échec s'est produit à 2017-02-21 11:55:30.
La dernière réussite s'est produite à 2016-12-15 17:07:24.
6496 échecs se sont produits depuis la dernière réussite.
La source reste arrêtée. Vérifiez l'ordinateur.
[Replications Check,DC2] Une tentative de réplication récente a
échoué :
De DC1 vers DC2
Contexte de nommage : CN=Configuration,DC=domain,DC=local
La réplication a généré une erreur (1722) :
Le serveur RPC n'est pas disponible.
L'échec s'est produit à 2017-02-21 11:55:09.
La dernière réussite s'est produite à 2017-02-20 16:28:31.
79 échecs se sont produits depuis la dernière réussite.
La source reste arrêtée. Vérifiez l'ordinateur.
[Replications Check,DC2] Une tentative de réplication récente a
échoué :
De DC1 vers DC2
Contexte de nommage : DC=domain,DC=local
La réplication a généré une erreur (1722) :
Le serveur RPC n'est pas disponible.
L'échec s'est produit à 2017-02-21 11:54:48.
La dernière réussite s'est produite à 2016-12-15 17:08:16.
28532 échecs se sont produits depuis la dernière réussite.
La source reste arrêtée. Vérifiez l'ordinateur.
......................... Le test Replications
de DC2 a échoué
Démarrage du test : RidManager
......................... Le test RidManager
de DC2 a réussi
Démarrage du test : Services
......................... Le test Services
de DC2 a réussi
Démarrage du test : SystemLog
Un événement d'erreur s'est produit. ID de l'événement : 0x40000004
Temps généré : 02/21/2017 11:09:06
Chaîne d'événement :
Le client Kerberos a reçu une erreur KRB_AP_ERR_MODIFIED du serveur DC2$. Le nom cible utilisé était GC/DC2.domain.local/domain.local@domain.local. Cela indique que le serveur cible n'a pas réussi à déchiffrer le ticket fourni par le client. Cela risque de se produire lorsque le nom principal du serveur (SPN) cible est inscrit sur un compte différent de celui utilisé par le service cible. Veuillez vous assurer que le SPN est inscrit sur, et uniquement sur, le compte utilisé par le serveur. Cette erreur peut aussi se produire lorsque le service cible utilise un mot de passe pour le compte du service cible qui diffère par rapport à celui que possède le centre de distribution de clés Kerberos pour le compte du service cible. Veuillez vous assurer que le service sur le serveur et le centre de distribution de clés Kerberos sont tous deux mis à jour pour utiliser le mot de passe actuel. Si le nom de serveur n'est pas pleinement qualifié, et que le domaine cible (domain.local) diffère du domaine client (domain.local), vérifiez s'il existe des comptes de serveur de même nom dans ces deux domaines, ou utilisez le nom pleinement qualifié pour identifier le serveur.
Un événement d'erreur s'est produit. ID de l'événement : 0x000003EE
Temps généré : 02/21/2017 11:10:14
Chaîne d'événement :
Échec du traitement de la stratégie de groupe. Windows n'a pas pu s'authentifier auprès du service Active Directory d'un contrôleur de domaine. (Échec de l'appel de fonction de liaison LDAP). Consultez l'onglet des détails pour plus d'informations sur le code d'erreur et la description.
Un événement d'erreur s'est produit. ID de l'événement : 0x40000004
Temps généré : 02/21/2017 11:12:24
Chaîne d'événement :
Le client Kerberos a reçu une erreur KRB_AP_ERR_MODIFIED du serveur DC2$. Le nom cible utilisé était ldap/DC2.domain.local. Cela indique que le serveur cible n'a pas réussi à déchiffrer le ticket fourni par le client. Cela risque de se produire lorsque le nom principal du serveur (SPN) cible est inscrit sur un compte différent de celui utilisé par le service cible. Veuillez vous assurer que le SPN est inscrit sur, et uniquement sur, le compte utilisé par le serveur. Cette erreur peut aussi se produire lorsque le service cible utilise un mot de passe pour le compte du service cible qui diffère par rapport à celui que possède le centre de distribution de clés Kerberos pour le compte du service cible. Veuillez vous assurer que le service sur le serveur et le centre de distribution de clés Kerberos sont tous deux mis à jour pour utiliser le mot de passe actuel. Si le nom de serveur n'est pas pleinement qualifié, et que le domaine cible (domain.local) diffère du domaine client (domain.local), vérifiez s'il existe des comptes de serveur de même nom dans ces deux domaines, ou utilisez le nom pleinement qualifié pour identifier le serveur.
Un événement d'erreur s'est produit. ID de l'événement : 0x40000004
Temps généré : 02/21/2017 11:13:24
Chaîne d'événement :
Le client Kerberos a reçu une erreur KRB_AP_ERR_MODIFIED du serveur DC2$. Le nom cible utilisé était LDAP/DC2. Cela indique que le serveur cible n'a pas réussi à déchiffrer le ticket fourni par le client. Cela risque de se produire lorsque le nom principal du serveur (SPN) cible est inscrit sur un compte différent de celui utilisé par le service cible. Veuillez vous assurer que le SPN est inscrit sur, et uniquement sur, le compte utilisé par le serveur. Cette erreur peut aussi se produire lorsque le service cible utilise un mot de passe pour le compte du service cible qui diffère par rapport à celui que possède le centre de distribution de clés Kerberos pour le compte du service cible. Veuillez vous assurer que le service sur le serveur et le centre de distribution de clés Kerberos sont tous deux mis à jour pour utiliser le mot de passe actuel. Si le nom de serveur n'est pas pleinement qualifié, et que le domaine cible (domain.local) diffère du domaine client (domain.local), vérifiez s'il existe des comptes de serveur de même nom dans ces deux domaines, ou utilisez le nom pleinement qualifié pour identifier le serveur.
Un événement d'erreur s'est produit. ID de l'événement : 0x000003EE
Temps généré : 02/21/2017 11:15:15
Chaîne d'événement :
Échec du traitement de la stratégie de groupe. Windows n'a pas pu s'authentifier auprès du service Active Directory d'un contrôleur de domaine. (Échec de l'appel de fonction de liaison LDAP). Consultez l'onglet des détails pour plus d'informations sur le code d'erreur et la description.
Un événement d'erreur s'est produit. ID de l'événement : 0x40000004
Temps généré : 02/21/2017 11:16:11
Chaîne d'événement :
Le client Kerberos a reçu une erreur KRB_AP_ERR_MODIFIED du serveur DC2$. Le nom cible utilisé était DNS/DC2.domain.local. Cela indique que le serveur cible n'a pas réussi à déchiffrer le ticket fourni par le client. Cela risque de se produire lorsque le nom principal du serveur (SPN) cible est inscrit sur un compte différent de celui utilisé par le service cible. Veuillez vous assurer que le SPN est inscrit sur, et uniquement sur, le compte utilisé par le serveur. Cette erreur peut aussi se produire lorsque le service cible utilise un mot de passe pour le compte du service cible qui diffère par rapport à celui que possède le centre de distribution de clés Kerberos pour le compte du service cible. Veuillez vous assurer que le service sur le serveur et le centre de distribution de clés Kerberos sont tous deux mis à jour pour utiliser le mot de passe actuel. Si le nom de serveur n'est pas pleinement qualifié, et que le domaine cible (domain.local) diffère du domaine client (domain.local), vérifiez s'il existe des comptes de serveur de même nom dans ces deux domaines, ou utilisez le nom pleinement qualifié pour identifier le serveur.
Un événement d'erreur s'est produit. ID de l'événement : 0x000003EE
Temps généré : 02/21/2017 11:20:16
Chaîne d'événement :
Échec du traitement de la stratégie de groupe. Windows n'a pas pu s'authentifier auprès du service Active Directory d'un contrôleur de domaine. (Échec de l'appel de fonction de liaison LDAP). Consultez l'onglet des détails pour plus d'informations sur le code d'erreur et la description.
Un événement d'erreur s'est produit. ID de l'événement : 0x40000004
Temps généré : 02/21/2017 11:51:01
Chaîne d'événement :
Le client Kerberos a reçu une erreur KRB_AP_ERR_MODIFIED du serveur DC2$. Le nom cible utilisé était cifs/DC2.domain.local. Cela indique que le serveur cible n'a pas réussi à déchiffrer le ticket fourni par le client. Cela risque de se produire lorsque le nom principal du serveur (SPN) cible est inscrit sur un compte différent de celui utilisé par le service cible. Veuillez vous assurer que le SPN est inscrit sur, et uniquement sur, le compte utilisé par le serveur. Cette erreur peut aussi se produire lorsque le service cible utilise un mot de passe pour le compte du service cible qui diffère par rapport à celui que possède le centre de distribution de clés Kerberos pour le compte du service cible. Veuillez vous assurer que le service sur le serveur et le centre de distribution de clés Kerberos sont tous deux mis à jour pour utiliser le mot de passe actuel. Si le nom de serveur n'est pas pleinement qualifié, et que le domaine cible (domain.local) diffère du domaine client (domain.local), vérifiez s'il existe des comptes de serveur de même nom dans ces deux domaines, ou utilisez le nom pleinement qualifié pour identifier le serveur.
Un événement d'erreur s'est produit. ID de l'événement : 0x40000004
Temps généré : 02/21/2017 11:55:24
Chaîne d'événement :
Le client Kerberos a reçu une erreur KRB_AP_ERR_MODIFIED du serveur DC2$. Le nom cible utilisé était LDAP/DC2.domain.local/domain.local@domain.local. Cela indique que le serveur cible n'a pas réussi à déchiffrer le ticket fourni par le client. Cela risque de se produire lorsque le nom principal du serveur (SPN) cible est inscrit sur un compte différent de celui utilisé par le service cible. Veuillez vous assurer que le SPN est inscrit sur, et uniquement sur, le compte utilisé par le serveur. Cette erreur peut aussi se produire lorsque le service cible utilise un mot de passe pour le compte du service cible qui diffère par rapport à celui que possède le centre de distribution de clés Kerberos pour le compte du service cible. Veuillez vous assurer que le service sur le serveur et le centre de distribution de clés Kerberos sont tous deux mis à jour pour utiliser le mot de passe actuel. Si le nom de serveur n'est pas pleinement qualifié, et que le domaine cible (domain.local) diffère du domaine client (domain.local), vérifiez s'il existe des comptes de serveur de même nom dans ces deux domaines, ou utilisez le nom pleinement qualifié pour identifier le serveur.
Un événement d'erreur s'est produit. ID de l'événement : 0x40000004
Temps généré : 02/21/2017 11:55:24
Chaîne d'événement :
Le client Kerberos a reçu une erreur KRB_AP_ERR_MODIFIED du serveur DC2$. Le nom cible utilisé était ldap/DC2.domain.local/domain.local@domain.local. Cela indique que le serveur cible n'a pas réussi à déchiffrer le ticket fourni par le client. Cela risque de se produire lorsque le nom principal du serveur (SPN) cible est inscrit sur un compte différent de celui utilisé par le service cible. Veuillez vous assurer que le SPN est inscrit sur, et uniquement sur, le compte utilisé par le serveur. Cette erreur peut aussi se produire lorsque le service cible utilise un mot de passe pour le compte du service cible qui diffère par rapport à celui que possède le centre de distribution de clés Kerberos pour le compte du service cible. Veuillez vous assurer que le service sur le serveur et le centre de distribution de clés Kerberos sont tous deux mis à jour pour utiliser le mot de passe actuel. Si le nom de serveur n'est pas pleinement qualifié, et que le domaine cible (domain.local) diffère du domaine client (domain.local), vérifiez s'il existe des comptes de serveur de même nom dans ces deux domaines, ou utilisez le nom pleinement qualifié pour identifier le serveur.
Un événement d'erreur s'est produit. ID de l'événement : 0x000003EE
Temps généré : 02/21/2017 11:55:25
Chaîne d'événement :
Échec du traitement de la stratégie de groupe. Windows n'a pas pu s'authentifier auprès du service Active Directory d'un contrôleur de domaine. (Échec de l'appel de fonction de liaison LDAP). Consultez l'onglet des détails pour plus d'informations sur le code d'erreur et la description.
Un événement d'erreur s'est produit. ID de l'événement : 0x000003EE
Temps généré : 02/21/2017 12:00:26
Chaîne d'événement :
Échec du traitement de la stratégie de groupe. Windows n'a pas pu s'authentifier auprès du service Active Directory d'un contrôleur de domaine. (Échec de l'appel de fonction de liaison LDAP). Consultez l'onglet des détails pour plus d'informations sur le code d'erreur et la description.
Un événement d'erreur s'est produit. ID de l'événement : 0x000003EE
Temps généré : 02/21/2017 12:05:27
Chaîne d'événement :
Échec du traitement de la stratégie de groupe. Windows n'a pas pu s'authentifier auprès du service Active Directory d'un contrôleur de domaine. (Échec de l'appel de fonction de liaison LDAP). Consultez l'onglet des détails pour plus d'informations sur le code d'erreur et la description.
Un événement d'erreur s'est produit. ID de l'événement : 0x40000004
Temps généré : 02/21/2017 12:06:16
Chaîne d'événement :
Le client Kerberos a reçu une erreur KRB_AP_ERR_MODIFIED du serveur DC1$. Le nom cible utilisé était ldap/DC1.domain.local. Cela indique que le serveur cible n'a pas réussi à déchiffrer le ticket fourni par le client. Cela risque de se produire lorsque le nom principal du serveur (SPN) cible est inscrit sur un compte différent de celui utilisé par le service cible. Veuillez vous assurer que le SPN est inscrit sur, et uniquement sur, le compte utilisé par le serveur. Cette erreur peut aussi se produire lorsque le service cible utilise un mot de passe pour le compte du service cible qui diffère par rapport à celui que possède le centre de distribution de clés Kerberos pour le compte du service cible. Veuillez vous assurer que le service sur le serveur et le centre de distribution de clés Kerberos sont tous deux mis à jour pour utiliser le mot de passe actuel. Si le nom de serveur n'est pas pleinement qualifié, et que le domaine cible (domain.local) diffère du domaine client (domain.local), vérifiez s'il existe des comptes de serveur de même nom dans ces deux domaines, ou utilisez le nom pleinement qualifié pour identifier le serveur.
......................... Le test SystemLog
de DC2 a échoué
Démarrage du test : VerifyReferences
......................... Le test VerifyReferences
de DC2 a réussi
Exécution de tests de partitions sur ForestDnsZones
Démarrage du test : CheckSDRefDom
......................... Le test CheckSDRefDom
de ForestDnsZones a réussi
Démarrage du test : CrossRefValidation
......................... Le test CrossRefValidation
de ForestDnsZones a réussi
Exécution de tests de partitions sur DomainDnsZones
Démarrage du test : CheckSDRefDom
......................... Le test CheckSDRefDom
de DomainDnsZones a réussi
Démarrage du test : CrossRefValidation
......................... Le test CrossRefValidation
de DomainDnsZones a réussi
Exécution de tests de partitions sur Schema
Démarrage du test : CheckSDRefDom
......................... Le test CheckSDRefDom
de Schema a réussi
Démarrage du test : CrossRefValidation
......................... Le test CrossRefValidation
de Schema a réussi
Exécution de tests de partitions sur Configuration
Démarrage du test : CheckSDRefDom
......................... Le test CheckSDRefDom
de Configuration a réussi
Démarrage du test : CrossRefValidation
......................... Le test CrossRefValidation
de Configuration a réussi
Exécution de tests de partitions sur hvmgp
Démarrage du test : CheckSDRefDom
......................... Le test CheckSDRefDom
de hvmgp a réussi
Démarrage du test : CrossRefValidation
......................... Le test CrossRefValidation
de hvmgp a réussi
Exécution de tests d'entreprise sur domain.local
Démarrage du test : LocatorCheck
......................... Le test LocatorCheck
de domain.local a réussi
Démarrage du test : Intersite
Test de réplication intersite entrante sur le site ROSNY :
......................... Le test Intersite
de domain.local a réussi -
Contributeur@helrighQue retourne la commande:
nslookup depuis dc2
-
