Replikations-Status pruefen
# Schnell-Uebersicht aller DCs
repadmin /showrepl
# Replikations-Zusammenfassung (alle DCs)
repadmin /replsummary
# Fehler anzeigen
repadmin /showrepl * /errorsonly
# Replikation erzwingen
repadmin /syncall /AdeP
# A = All partitions
# d = Identify servers by Distinguished Name
# e = Enterprise (auch andere Sites)
# P = Push changes outbound
# Zwischen zwei DCs
repadmin /replicate DC02 DC01 "DC=firma,DC=local"
dcdiag – Comprehensive DC-Test
# Alle Tests auf lokalem DC
dcdiag /test:replications
# Spezifischer Test
dcdiag /test:NetLogons
dcdiag /test:DNS
dcdiag /test:Services
dcdiag /test:SysVolCheck
# Alle Tests, Ausgabe in Datei
dcdiag /test:All /v /f:C:\dcdiag-bericht.txt
# Auf remote DC
dcdiag /s:DC02 /test:replications
Haeufige Replikationsfehler
# Fehler 8606: Insufficient Attributes
# Ursache: Attribute auf verschiedenen DCs inkompatibel
# Loesung: Metadata Cleanup
# Fehler 8453: Replication access denied
netdom resetpwd /server:DC01 /userd:firmaadministrator /passwordd:*
# Fehler 1722: RPC server unavailable
# Diagnose:
portqry -n DC02 -e 135 -p tcp # RPC Endpoint Mapper
portqry -n DC02 -p tcp -e 49152-65535 # Dynamic Ports
Test-NetConnection DC02 -Port 135
# Fehler 5: Access denied
# Secure Channel pruefen:
Test-ComputerSecureChannel -Verbose
Repair-ComputerSecureChannel -Credential firmaadministrator
Event-Log-Analyse
# AD-Replikationsfehler im Event-Log
Get-EventLog -LogName "Directory Service" -EntryType Error -Newest 20 |
Select-Object TimeGenerated, EventID, Message
# Haeufige Event-IDs:
# 1311: Replikationskonfigurationsproblem
# 1308: Replikationsverbindungsproblem
# 2087: DNS-Aufloesung fehlgeschlagen
# NetLogon-Log
Get-Content "C:Windowsdebug
etlogon.log" | Select-Object -Last 50
USN Rollback beheben
# USN Rollback: DC aus altem Snapshot wiederhergestellt
# Event 2095: USN Rollback erkannt
# DC offline nehmen (sofort!)
# Metadata Cleanup auf einem anderen DC:
ntdsutil
metadata cleanup
connections
connect to server DC01 # Gesunder DC
quit
select operation target
list sites
select site 0
list servers in site
select server 0 # Fehlerhafter DC
quit
remove selected server
quit
quit
# DC neu aufsetzen und als neuen DC joinen
FAQ
Was ist ein "tombstone lifetime" in AD?
Standard 180 Tage. Wenn ein DC laenger offline war und dann zurueckkehrt, koennen geloeschte Objekte nicht mehr korrekt repliziert werden → Metadaten-Bereinigung noetig.
Fazit
AD-Replikationsprobleme mit repadmin /showrepl und dcdiag systematisch diagnostizieren - dann gezielte Reparatur statt blinder Neuinstallation.
Active Directory Troubleshooting fuer KMU in Heidelberg, Mannheim und der Rhein-Neckar-Region. Beratung anfragen.