Ошибки репликации AD KCC Event 1311 и 1566: траблшутинг топологии
Симптомы сбоев топологии репликации KCC (Event 1311 / 1566)
В журнале Directory Service на контроллерах домена фиксируются критические события от источника NTDS KCC:
- Event ID 1311: «The Knowledge Consistency Checker (KCC) has detected that success of directory replication is not possible across the enterprise network topology».
- Event ID 1566: «All site links for the local site are disabled, or the site is disconnected from the replication topology».
| Симптом | Причина | Влияние |
|---|---|---|
| Event 1311 в Directory Service | Разорвана связность сайтов или отключен параметр Bridgehead | KCC не может построить связующее дерево (Spanning Tree) репликации |
| Рассинхронизация контроллеров | Отсутствуют межсайтовые связи (Site Links) | Изменения паролей пользователей не доходят до удаленных филиалов |
| Ошибки репликации в repadmin | Сбои RPC/IP между серверами Bridgehead | Сообщения Access Denied или Target Principal Name is Incorrect |
Пошаговое восстановление топологии репликации KCC
- Проверьте статус связей сайтов (Site Links) и подсетей в Active Directory Sites and Services: убедитесь, что все корпоративные IP-подсети привязаны к соответствующим сайтам:
# Проверка не привязанных подсетей через PowerShell:
Get-ADReplicationSubnet -Filter * | Select-Object Name, Site
# Проверка межсайтовых связей (Site Links):
Get-ADReplicationSiteLink -Filter * | Select-Object Name, SitesIncluded, Cost, ReplicationFrequencyInMinutes- Проверьте опцию Bridge All Site Links (BASL): если между всеми сайтами нет прямой IP-маршрутизации (Full Mesh), отключите BASL и создайте явные мосты (Site Link Bridges):
# Отключение автоматического моста связей сайтов (BASL) через PowerShell:
Set-ADReplicationSiteLinkBridge -Identity "DEFAULTIPSITELINK" -InterSiteTransport "IP" -Confirm:$false
# Или через реестр/Active Directory Sites and Services (свойства IP transport -> снять флаг 'Bridge all site links')- Принудительно запустите пересчет топологии репликации KCC на всех DC:
# Принудительный запуск KCC для построения новых входящих связей репликации:
repadmin /kcc *
# Проверка наличия ошибок в сводке репликации:
repadmin /replsummary- Удалите устаревшие ручные объекты соединений (Connection Objects): если администраторы создавали соединения вручную в оснастке
dssite.msc, удалите их, позволив KCC генерировать автоматические оптимальные пути (тип<automatically generated>).
Важно: Убедитесь, что на межсетевых экранах между сайтами открыты порты TCP 135 (RPC Endpoint Mapper), TCP 389/636 (LDAP), TCP 88 (Kerberos) и динамический пул портов RPC (TCP 49152–65535).
Частые вопросы (FAQ)
Что такое KCC (Knowledge Consistency Checker) в Active Directory?
Это встроенный фоновый процесс Active Directory, который автоматически формирует и оптимизирует пути (топологию) репликации между контроллерами домена внутри сайтов и между ними.
Что означает 'Bridge all site links' (BASL)?
Параметр предполагает, что все сайты имеют прямую IP-связность друг с другом. Если в сети используется топология 'звезда' (Hub-and-Spoke) без прямой маршрутизации между филиалами, включенный BASL вызывает Event 1311.
Как проверить доступность портов RPC между контроллерами сайтов?
Выполните в PowerShell: Test-NetConnection -ComputerName <Remote_DC_IP> -Port 135.
Как часто KCC пересчитывает топологию репликации?
По умолчанию KCC выполняет автоматическую проверку и перестроение топологии каждые 15 минут.
