Диагностика контроллеров домена и репликации AD (dcdiag, repadmin)

Быстрая проверка «здоровья» контроллеров домена перед изменениями (удаление DC, миграция, обновление) и при разборе проблем репликации. На эту проверку ссылается статья Удаление контроллера домена.

dcdiag — состояние контроллера

Полная проверка локального DC:

dcdiag

Только ошибки, без успешных тестов (удобно для быстрого осмотра):

dcdiag /q

Проверка конкретного DC и ключевых подсистем:

dcdiag /s:DC01 /q
dcdiag /test:dns /v          # DNS: делегирования, записи, форвардеры
dcdiag /test:replications    # только тесты репликации
dcdiag /test:fsmocheck       # доступность держателей FSMO-ролей

На что смотреть: тесты Connectivity, Advertising, Replications, SysVolCheck, Services должны быть passed. Ошибки DNS-теста чаще всего означают неверные форвардеры или устаревшие записи NS.

repadmin — состояние репликации

Сводка по всем DC (главная команда):

repadmin /replsummary

В колонках fails/total должно быть 0. largest delta — максимальное отставание; больше часа при штатном интервале — повод разбираться.

Детали по партнёрам репликации:

repadmin /showrepl DC01
repadmin /showrepl * /csv > repl.csv    # по всем DC в CSV для анализа

Очередь входящей репликации (растущая очередь = проблема):

repadmin /queue

Принудительная репликация всех разделов со всеми партнёрами:

repadmin /syncall /AeD

(A — все разделы, e — между сайтами, D — имена в выводе; та же команда есть в шпаргалке консольных команд AD.)

Быстрый чек-лист перед изменениями в домене

1. dcdiag /q на каждом DC — пусто (нет ошибок).
2. repadmin /replsummary — нули в fails.
3. netdom query fsmo — все пять ролей отвечают и находятся там, где вы ожидаете.
4. netdom query dc — список DC совпадает с реальностью (нет «призраков»).
5. В DNS-зоне домена нет NS-записей несуществующих контроллеров.

Типовые проблемы

Симптом	Куда смотреть
The target principal name is incorrect	Рассинхронизация паролей машинного аккаунта DC — проверять Kerberos, время (см. синхронизацию времени)
Last attempt … failed, result 8524	DNS: партнёр не резолвится — чистить записи умершего DC
Растущая largest delta без ошибок	Партнёр выключен/недоступен — найти по repadmin /showrepl
SysVolCheck failed	Проблемы SYSVOL/DFSR — см. миграцию FRS → DFSR