Fehler bei der NTDS Replikation (1864 und 1645)

Serverreplikation schlägt laut Eventlog fehl, funktioniert dennoch

Hallo an alle,

folgende Situation ist gegeben:
Server1alt (Windows Server 2003 R2): DC + Rollenmaster
Server1 (Windows Server 2003 R2): DC + Fileserver + Printserver
Server2 (Windows Server 2003 R2): DC + Fileserver + Printserver
Server3 (Windows Server 2003 R2): Exchange

Wie bereits beschrieben (DNS-Server wird unerwartet beendet), habe ich folgenden Fehler im Eventlog von Server2:

Event-ID: 1864

Der Replikationsstatus für die folgende Verzeichnispartition des lokalen Domänencontrollers ist wie folgt.

Verzeichnispartition:
DC=ForestDnsZones,DC=XXX,DC=Teil2,DC=Teil3,DC=de
n
Der lokale Domänencontroller hat in jüngster Zeit von einer bestimmten Anzahl an Domäncontrollern keine Replikationsinformationen mehr erhalten. Die > > Anzahl an Domänencontrollern wird unterteilt in die folgenden Intervalle gezeigt. n

Länger als 24 Stunden:
1
Länger als eine Woche:
1
Länger als einen Monat:
1
Länger als zwei Monate:

Längerals die Tombstone-Ablaufzeit:

Tombstone-Ablaufzeit (in Tagen):
180
Bei Domänencontrollern, die nicht rechtzeitig repliziert werden, können Fehler auftreten. Ihnen können Kennwortänderungen entgehen, und sie können > > daher ggf. nicht in authentifiziert werden. Einem Domänencontroller, der innerhalb der Tobstone-Ablaufzeit nicht repliziert wurde, kann das Löschen von > > Objekten entgehen, und er wird ggf. für die zukünftige Replikation gesperrt, bis er wieder abgestimmt wurde.

Installieren Sie die Supporttools von der Installations-CD und führen Sie dcdiag.exe aus, um Domänencontroller anhand des Namens zu identifizieren.
Sie können auch das Supporttool repadmin.exe verwenden, um Replikations- latenzzeiten der Domänencontroller in der Struktur anzuzeigen. Der Befehl
lautet "repadmin /showvector /latency <partition-dn>".

Weitere Informationen über die Hilfe- und Supportdienste erhalten Sie

Even-ID: 1654

Active Directory hat den authentifizierten Remoteprozeduraufruf (RPC) zu einer anderen Domäne nicht ausgeführt, weil der gewünschte
Dienstprinzipalname (SPN) für den Zieldomänencontroller im Schlüsselverteilungscenter (KDC)-Domänencontroller, der zum SPN gehört, nicht registriert ist.

Zieldomänencontroller:
f737c1f3-7ee4-4474-a0fa-886ca4727122._msdcs.XXX.Teil1.Teil2.de
SPN:
E3514235-4B06-11D1-AB04-00C04FC2DCD2/f737c1f3-7ee4-4474-a0fa-886ca4727122/XXX.Teil1.Teil2.de@XXX.Teil1.Teil2.de

Benutzeraktion
Stellen Sie sicher, dass die Namen des Zieldomänencontrollers und der Domäne richtig sind. Stellen Sie außerdem sicher, dass der SPN auf dem KDC
Domänencontroller registriert ist. Wenn der Zieldomänencontroller vor kurzem heraufgestuft wurde, wird es notwendig sein, für die lokalen
Domänencontroller-Computerkontodaten auf den KDC zu replizieren, bevor dieser Computer authentifiziert werden kann.

Weitere Informationen über die Hilfe- und Supportdienste erhalten Sie unter http://go.microsoft.com/fwlink/events.asp.

Diese beiden Fehlermeldungen erscheinen regelmäßig, einmal am Tag um 00:36 Uhr und wie gesagt nur auf Server2.
Wenn ich einen Benutzer auf irgendeinem DC anlege, lösche, verschiebe oder ähnliches (auch Gruppen etc.), werden diese Repliziert.
Egal auff welchem Server ich die Aktion vornehme, alle Server bekommen diese Repliziert.
Ich erhalte erst immer 5x die Fehlermeldung 1864 und anschließend einmal die Fehlermeldung 1645

Ich denke es ist wichtig zu wissen, das folgendes passiert ist:
Server1alt hieß früher Server1. - Der jetzige Server1 kam erst später
Als ein neuer Server gekommen ist, bekam der neue Server den Namen Server1 und der alte Server1 wurde in Server1alt umbenannt.
Server2 kam ebenfalls nachträglich hinzu. Der alte Server2 wurde ordnungsgemäß heruntergestuft und aus der AD genommen.
Server1alt hatte früher als er noch Server1 hieß, alle Rollen inne und hat sie nun als Server1alt immernoch. Er ist und bleibt Rollenmaster.

Kann mir jemand helfen oder einen Tipp geben?
Vielen Dank,
mit freundlichen Grüßen,
V...

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 92508

Url: https://administrator.de/forum/fehler-bei-der-ntds-replikation-1864-und-1645-92508.html

Ausgedruckt am: 29.04.2025 um 23:04 Uhr

6 Kommentare

Neuester Kommentar

Hi,

hast du "dcdiag.exe /s server2" schon mal ausprobiert und irgendwelche Fehlermeldungen erhalten?

Hallo,

Na ja, das habe ich von Server1alt zu den beiden andern gemacht, hat ohne Probleme funktioniert. Hab jetzt auch mal die anderen getestet. Funktioniert alles einwandfrei, bis auf:

Server1 zu Server1alt:
"Anmeldung fehlgeschlagen, der Zielkontoname ist ungültig ..."
The KDC could not find the SPN for the server Server2_NEU. This can be for several reasons:

Ich denke da habe ich den Server den er nicht finden kann.
Es handelt sich wohl um den Server2_NEU. Den gab es mal kurzfristig, bis er in Server2 umbenannt wurde. Hierzu habe ich den alten Server 2 herabgestuft, aus der Domäne genommen und dann den Server2_Neu in Server2 umbenannt. Hier ist wohl irgendwo ein Fehler entstanden.

Hilft dir das weiter? Mir sagt es nur, dass da wohl was nicht stimmt, aber derzeit nicht wie ich es beheben kann

Danke + Gruß,
V...

guckt doch mal mit "ntdsutil", ob du dort noch den "Server2_NEU" findest und lösch diesen. Guckt dir das Programm vorher genau an und probier es mal in einer Testumgebung aus. Es kann dir auch behilflich sein für die Migration der Masterrollen von einem auf den anderen Server!

ADS aufräumen: http://ex201.de/faq/index.php?action=artikel&cat=9&id=65&ar ...
FSMO verschieben: http://ex201.de/faq/index.php?action=artikel&cat=9&id=4&art ...

Du kannst dir mit dem Toll "repelmon" auch mal die Replikationswege ansehen und welche Versionsstände die einzelnen Server haben.

Also, folgendes Ergebnis bekomme ich bei dcdiag.exe heraus:

Z:\>dcdiag.exe /s:Server2

Z:\>dcdiag.exe /s:Server1

Domain Controller Diagnosis

Performing initial setup:
Done gathering initial info.

Doing initial required tests

Testing server: Standardname-des-ersten-Standorts\Server1
Starting test: Connectivity
......................... Server1 passed test Connectivity

Doing primary tests

Testing server: Standardname-des-ersten-Standorts\Server1
Starting test: Replications
[Replications Check,Server1] A recent replication attempt failed:
From Server2_NEU to Server1
Naming Context: DC=ForestDnsZones,DC=XXX,DC=Teil1,DC=Teil2,DC=de
The replication generated an error (1256):
Der Remotecomputer ist nicht verfügbar. Weitere Informationen zur Behebung von Netzwerkproblemen finden Sie in der Windows-Hilfe.
The failure occurred at 2008-07-23 09:51:31.
The last success occurred at 2008-06-13 16:58:21.
955 failures have occurred since the last success.
[Server_NEU] DsBindWithSpnEx() failed with error 5,
Zugriff verweigert.
[Replications Check,Server1] A recent replication attempt failed:
From Server2_NEU to SERVER1
Naming Context: DC=DomainDnsZones,DC=XXX,DC=Teil1,DC=Teil2,DC=de
The replication generated an error (1256):
Der Remotecomputer ist nicht verfügbar. Weitere Informationen zur Behebung von Netzwerkproblemen finden Sie in der Windows-Hilfe.
The failure occurred at 2008-07-23 09:51:31.
The last success occurred at 2008-06-13 16:58:21.
955 failures have occurred since the last success.
[Replications Check,Server1] A recent replication attempt failed:
From Server2_NEU to Server1
Naming Context: CN=Schema,CN=Configuration,DC=XXX,DC=Teil1,DC=Teil2,DC=de
The replication generated an error (1396):
Anmeldung fehlgeschlagen: Der Zielkontoname ist ungültig.
The failure occurred at 2008-07-23 09:51:32.
The last success occurred at 2008-06-13 16:58:21.
955 failures have occurred since the last success.
Kerberos Error.
The KDC could not find the SPN for the server Server2_NEU.
This can be for several reasons:

(1) - The SPN is not registered on the KDC (usually Server1).
Check that the SPN is registered on at least one other server
besides Server2_NEU, and that replication is progressing
between this server and the KDC. The tool repadmin/syncall can
be used for this purpose.
(2) - This server could be a deleted server (and deleted DSA
object), and this deletion has not replicated across the
enterprise yet. This will rectify itself within the general
replication latency plus the latency of the KCC. Should be less
than a day.
(3) - It's possible that this server was reclaimed, but it's
DSA object was not deleted and an old DNS record representing
the server is present. This can result in this error for the
duration of a DNS record lease. Often about 2 weeks. To fix
this, please clean up the DSA's metadata with ntdsutil.
(4) - Finally, it's possible that this server has acquired a
new IP address, the server's old IP address has been reused, and
DNS hasn't been updated to reflect the new IP address. If this
problem persists, stop and restart the "Net Logon" service on
Server2_NEU, and delete the old DNS record.
[Replications Check,Server1] A recent replication attempt failed:
From Server2_NEU to Server1
Naming Context: CN=Configuration,DC=XXX,DC=Teil1,DC=Teil2,DC=de
The replication generated an error (1396):
Anmeldung fehlgeschlagen: Der Zielkontoname ist ungültig.
The failure occurred at 2008-07-23 09:51:31.
The last success occurred at 2008-06-13 17:01:42.
955 failures have occurred since the last success.
Kerberos Error.
The KDC could not find the SPN for the server Server2_NEU.
This can be for several reasons:

(1) - The SPN is not registered on the KDC (usually Server1).
Check that the SPN is registered on at least one other server
besides Server2_NEU, and that replication is progressing
between this server and the KDC. The tool repadmin/syncall can
be used for this purpose.
(2) - This server could be a deleted server (and deleted DSA
object), and this deletion has not replicated across the
enterprise yet. This will rectify itself within the general
replication latency plus the latency of the KCC. Should be less
than a day.
(3) - It's possible that this server was reclaimed, but it's
DSA object was not deleted and an old DNS record representing
the server is present. This can result in this error for the
duration of a DNS record lease. Often about 2 weeks. To fix
this, please clean up the DSA's metadata with ntdsutil.
(4) - Finally, it's possible that this server has acquired a
new IP address, the server's old IP address has been reused, and
DNS hasn't been updated to reflect the new IP address. If this
problem persists, stop and restart the "Net Logon" service on
Server2_NEU, and delete the old DNS record.
[Replications Check,Server1] A recent replication attempt failed:
From Server2_NEU to Server1
Naming Context: DC=XXX,DC=Teil1,DC=Teil2,DC=de
The replication generated an error (1396):
Anmeldung fehlgeschlagen: Der Zielkontoname ist ungültig.
The failure occurred at 2008-07-23 09:51:31.
The last success occurred at 2008-06-13 17:08:50.
955 failures have occurred since the last success.
Kerberos Error.
The KDC could not find the SPN for the server SERVER2_NEU.
This can be for several reasons:

(1) - The SPN is not registered on the KDC (usually SERVER1).
Check that the SPN is registered on at least one other server
besides SERVER2_NEU, and that replication is progressing
between this server and the KDC. The tool repadmin/syncall can
be used for this purpose.
(2) - This server could be a deleted server (and deleted DSA
object), and this deletion has not replicated across the
enterprise yet. This will rectify itself within the general
replication latency plus the latency of the KCC. Should be less
than a day.
(3) - It's possible that this server was reclaimed, but it's
DSA object was not deleted and an old DNS record representing
the server is present. This can result in this error for the
duration of a DNS record lease. Often about 2 weeks. To fix
this, please clean up the DSA's metadata with ntdsutil.
(4) - Finally, it's possible that this server has acquired a
new IP address, the server's old IP address has been reused, and
DNS hasn't been updated to reflect the new IP address. If this
problem persists, stop and restart the "Net Logon" service on
SERVER2_NEU, and delete the old DNS record.
REPLICATION-RECEIVED LATENCY WARNING
SERVER1: Current time is 2008-07-23 10:30:13.
DC=ForestDnsZones,DC=XXX,DC=Teil1,DC=Teil2,DC=de
Last replication recieved from SERVER2_NEU at 2008-06-13 16:58:2
1.
DC=DomainDnsZones,DC=XXX,DC=Teil1,DC=Teil2,DC=de
Last replication recieved from SERVER2_NEU at 2008-06-13 16:58:2
1.
CN=Schema,CN=Configuration,DC=XXX,DC=Teil1,DC=Teil2,DC
=de
Last replication recieved from SERVER2_NEU at 2008-06-13 16:58:2
1.
CN=Configuration,DC=XXX,DC=Teil1,DC=Teil2,DC=de
Last replication recieved from SERVER2_NEU at 2008-06-13 17:01:4
5.
DC=XXX,DC=Teil1,DC=Teil2,DC=de
Last replication recieved from SERVER2_NEU at 2008-06-13 17:08:5
0.
......................... SERVER1 passed test Replications
Starting test: NCSecDesc
......................... SERVER1 passed test NCSecDesc
Starting test: NetLogons
......................... SERVER1 passed test NetLogons
Starting test: Advertising
......................... SERVER1 passed test Advertising
Starting test: KnowsOfRoleHolders
......................... SERVER1 passed test KnowsOfRoleHolders
Starting test: RidManager
......................... SERVER1 passed test RidManager
Starting test: MachineAccount
......................... SERVER1 passed test MachineAccount
Starting test: Services
......................... SERVER1 passed test Services
Starting test: ObjectsReplicated
......................... SERVER1 passed test ObjectsReplicated
Starting test: frssysvol
......................... SERVER1 passed test frssysvol
Starting test: frsevent
There are warning or error events within the last 24 hours after the
SYSVOL has been shared. Failing SYSVOL replication problems may cause
Group Policy problems.
......................... SERVER1 failed test frsevent
Starting test: kccevent
......................... SERVER1 passed test kccevent
Starting test: systemlog
......................... SERVER1 passed test systemlog
Starting test: VerifyReferences
......................... SERVER1 passed test VerifyReferences

Running partition tests on : ForestDnsZones
Starting test: CrossRefValidation
......................... ForestDnsZones passed test CrossRefValidation

Starting test: CheckSDRefDom
......................... ForestDnsZones passed test CheckSDRefDom

Running partition tests on : DomainDnsZones
Starting test: CrossRefValidation
......................... DomainDnsZones passed test CrossRefValidation

Starting test: CheckSDRefDom
......................... DomainDnsZones passed test CheckSDRefDom

Running partition tests on : Schema
Starting test: CrossRefValidation
......................... Schema passed test CrossRefValidation
Starting test: CheckSDRefDom
......................... Schema passed test CheckSDRefDom

Running partition tests on : Configuration
Starting test: CrossRefValidation
......................... Configuration passed test CrossRefValidation
Starting test: CheckSDRefDom
......................... Configuration passed test CheckSDRefDom

Running partition tests on : XXX
Starting test: CrossRefValidation
......................... XXX passed test CrossRefValidation
Starting test: CheckSDRefDom
......................... XXX passed test CheckSDRefDom

Running enterprise tests on : XXX.Teil1.Teil2.de
Starting test: Intersite
......................... XXX.Teil1.Teil2.de passed test
Intersite
Starting test: FsmoCheck
......................... XXX.Teil1.Teil2.de passed test
FsmoCheck

Z:\>dcdiag /s:Server1alt

Domain Controller Diagnosis

Performing initial setup:
Done gathering initial info.

Doing initial required tests

Testing server: Standardname-des-ersten-Standorts\SERVER1ALT
Starting test: Connectivity
......................... SERVER1ALT passed test Connectivity

Doing primary tests

Testing server: Standardname-des-ersten-Standorts\SERVER1ALT
Starting test: Replications
[Replications Check,SERVER1ALT] A recent replication attempt failed:
From SERVER2_NEU to SERVER1ALT
Naming Context: DC=ForestDnsZones,DC=XXX,DC=Teil1,DC=Teil2,DC=de
The replication generated an error (1256):
Der Remotecomputer ist nicht verfügbar. Weitere Informationen zur Behebung von Netzwerkproblemen finden Sie in der Windows-Hilfe.
The failure occurred at 2008-07-23 09:55:43.
The last success occurred at 2008-06-13 16:55:51.
954 failures have occurred since the last success.
[SERVER2_NEU] DsBindWithSpnEx() failed with error 5,
Zugriff verweigert.
[Replications Check,SERVER1ALT] A recent replication attempt failed:
From SERVER2_NEU to SERVER1ALT
Naming Context: DC=DomainDnsZones,DC=XXX,DC=Teil1,DC=Teil2,DC=de
The replication generated an error (1256):
Der Remotecomputer ist nicht verfügbar. Weitere Informationen zur Behebung von Netzwerkproblemen finden Sie in der Windows-Hilfe.
The failure occurred at 2008-07-23 09:55:43.
The last success occurred at 2008-06-13 16:55:51.
954 failures have occurred since the last success.
[Replications Check,SERVER1ALT] A recent replication attempt failed:
From SERVER2_NEU to SERVER1ALT
Naming Context: CN=Schema,CN=Configuration,DC=XXX,DC=Teil1,DC=Teil2,DC=de
The replication generated an error (1722):
Der RPC-Server ist nicht verfügbar.
The failure occurred at 2008-07-23 09:56:25.
The last success occurred at 2008-06-13 16:55:51.
954 failures have occurred since the last success.
The source remains down. Please check the machine.
[Replications Check,SERVER1ALT] A recent replication attempt failed:
From SERVER2_NEU to SERVER1ALT
Naming Context: CN=Configuration,DC=XXX,DC=Teil1,DC=Teil2,DC=de
The replication generated an error (1722):
Der RPC-Server ist nicht verfügbar.
The failure occurred at 2008-07-23 09:56:04.
The last success occurred at 2008-06-13 17:01:45.
954 failures have occurred since the last success.
The source remains down. Please check the machine.
[Replications Check,SERVER1ALT] A recent replication attempt failed:
From SERVER2_NEU to SERVER1ALT
Naming Context: DC=XXX,DC=Teil1,DC=Teil2,DC=de
The replication generated an error (1722):
Der RPC-Server ist nicht verfügbar.
The failure occurred at 2008-07-23 09:55:43.
The last success occurred at 2008-06-13 17:08:47.
954 failures have occurred since the last success.
The source remains down. Please check the machine.
REPLICATION-RECEIVED LATENCY WARNING
SERVER1ALT: Current time is 2008-07-23 10:54:19.
DC=ForestDnsZones,DC=XXX,DC=Teil1,DC=Teil2,DC=de
Last replication recieved from SERVER2_NEU at 2008-06-13 16:58:2
1.
DC=DomainDnsZones,DC=XXX,DC=Teil1,DC=Teil2,DC=de
Last replication recieved from SERVER2_NEU at 2008-06-13 16:58:2
1.
CN=Schema,CN=Configuration,DC=XXX,DC=Teil1,DC=Teil2,DC
=de
Last replication recieved from SERVER2_NEU at 2008-06-13 16:58:2
1.
CN=Configuration,DC=XXX,DC=Teil1,DC=Teil2,DC=de
Last replication recieved from SERVER2_NEU at 2008-06-13 17:01:4
5.
DC=XXX,DC=Teil1,DC=Teil2,DC=de
Last replication recieved from SERVER2_NEU at 2008-06-13 17:08:5
0.
......................... SERVER1ALT passed test Replications
Starting test: NCSecDesc
......................... SERVER1ALT passed test NCSecDesc
Starting test: NetLogons
......................... SERVER1ALT passed test NetLogons
Starting test: Advertising
......................... SERVER1ALT passed test Advertising
Starting test: KnowsOfRoleHolders
......................... SERVER1ALT passed test KnowsOfRoleHolders
Starting test: RidManager
......................... SERVER1ALT passed test RidManager
Starting test: MachineAccount
......................... SERVER1ALT passed test MachineAccount
Starting test: Services
......................... SERVER1ALT passed test Services
Starting test: ObjectsReplicated
......................... SERVER1ALT passed test ObjectsReplicated
Starting test: frssysvol
......................... SERVER1ALT passed test frssysvol
Starting test: frsevent
There are warning or error events within the last 24 hours after the
SYSVOL has been shared. Failing SYSVOL replication problems may cause
Group Policy problems.
......................... SERVER1ALT failed test frsevent
Starting test: kccevent
......................... SERVER1ALT passed test kccevent
Starting test: systemlog
......................... SERVER1ALT passed test systemlog
Starting test: VerifyReferences
......................... SERVER1ALT passed test VerifyReferences

Running partition tests on : ForestDnsZones
Starting test: CrossRefValidation
......................... ForestDnsZones passed test CrossRefValidation

Starting test: CheckSDRefDom
......................... ForestDnsZones passed test CheckSDRefDom

Running partition tests on : DomainDnsZones
Starting test: CrossRefValidation
......................... DomainDnsZones passed test CrossRefValidation

Starting test: CheckSDRefDom
......................... DomainDnsZones passed test CheckSDRefDom

Running partition tests on : Schema
Starting test: CrossRefValidation
......................... Schema passed test CrossRefValidation
Starting test: CheckSDRefDom
......................... Schema passed test CheckSDRefDom

Running partition tests on : Configuration
Starting test: CrossRefValidation
......................... Configuration passed test CrossRefValidation
Starting test: CheckSDRefDom
......................... Configuration passed test CheckSDRefDom

Running partition tests on : XXX
Starting test: CrossRefValidation
......................... XXX passed test CrossRefValidation
Starting test: CheckSDRefDom
......................... XXX passed test CheckSDRefDom

Running enterprise tests on : XXX.Teil1.Teil2.de
Starting test: Intersite
......................... XXX.Teil1.Teil2.de passed test
Intersite
Starting test: FsmoCheck
......................... XXX.Teil1.Teil2.de passed test
FsmoCheck

So wie ich das sehe, muss ich doch lediglich den Server2_NEU herausbekommen, oder?
Was mich halt etwas stuzig macht, ist das der Server2 der ehemalige Server2_NEU ist. Eben nur umbenannt.

LG, V...

PS: Bitte entschuldigt, wenn es tw. Die Formatierung etwas durcheinander gehauen hat.

Du, ich hab immer einen Spruch im Hinterkopf von einem Trainer: "Replikatione ist nicht ohne".
Wenn es den Server2_NEU definitiv nie wieder geben wird, dann mach mal unter ntdsutil ein metadata cleanup und lösch den Server2_NEU aus der Replikation.
Irgendwas ist da schief gelaufen beim umbennen des Servers.

Wie hast du den umbenannt? Etwa so:

AD deinstallieren vom Server mit dcpromo
Reboot
Server umbennen
Reboot
AD wieder installieren

Hallo Schiffmeister,

danke erstmal für deine schnelle Antwort, aber ich habe meinen Beitrag gerade, wärend du geantwortet hast, editiert. Ich habe einfach mal die dcdiag-Ausgaben für alle drei Server eingefügt.

Es scheint wirlich so, als würde meine drei DC sich lediglich daran stören, das der Server02_NEU nichtmehr replizierbar ist. Anscheinend ist beim Umbenennen wirklich etwas schief gelaufen. Ich werde es nachher einfach mal mit dem metadata cleanup ausprobieren, da ich nicht vorhabe einen Server2_NEU nocheinmal einzuführen.

Bzgl. des Umbenennens habe ich deinen Weg leider nicht ganz befolgt (was ggf nicht ganz clever war, ich weiß).