跨林全局编录（GC）不可用主因是信任链路中断，需分三步排查：一、验证跨林信任是否双向可传递；二、确认DNS SRV记录解析及TCP 3268/3269端口连通性；三、检查目标林GC角色启用状态与复制健康度。

跨林全局编录（gc）不可用，往往不是gc服务本身宕了，而是信任链路中断导致身份解析和目录查询路径失效。排查重点不在gc服务器状态，而在“能否从源林可信地抵达目标林的gc”。以下分三步直击关键环节：

一、验证跨林信任状态与可传递性

信任必须是双向、可传递、活动状态，缺一不可：

• 在源林域控制器上运行：nltest /domain_trusts /all_trusts，确认目标林条目中 Flags 包含 ATTR_TREES_ROOT 和 ATTR_TRUST_USES_RC4（表示可传递且启用Kerberos）
• 检查信任属性：Get-ADTrust -Identity "target.forest.com" | fl *，确认 Direction 为 BiDirectional，IsTreeParent 和 IsTreeRoot 均为 True
• 若使用外部信任（non-transitive），则全局编录跨林查询天然不支持——必须升级为林信任（forest trust）

二、定位GC发现失败的根本原因

客户端或应用无法找到目标林GC，通常卡在DNS或LDAP路由层：

• 在源林客户端执行：nslookup -type=srv _gc._tcp.target.forest.com，确认返回至少一个目标林GC的SRV记录（端口3268），且IP可达
• 若DNS无响应：检查源林DNS是否配置了目标林的条件转发器，并指向目标林中至少一台GC的IP；禁用根提示（Root Hints）对跨林GC发现无效
• 若SRV存在但连接超时：用 telnet gc01.target.forest.com 3268 测试端口连通性，防火墙需放行TCP 3268（GC LDAP）和3269（GC LDAPS）

三、检查全局编录角色与复制健康度

即使信任和DNS正常，目标林内部GC配置异常也会导致“有地址却查不到”：

• 登录目标林任意DC，运行：repadmin /replsummary，确认所有DC间复制无错误（尤其关注 Configuration 和 Schema 分区）
• 确认至少一台DC已启用GC角色：Get-ADDomainController -Filter * | Where-Object {$_.IsGlobalCatalog -eq $true}
• 检查GC是否注册到站点拓扑：nltest /dsgetdc:target.forest.com /gc，若报错“找不到全局编录”，说明目标林KCC未将GC信息发布到站点服务中，需手动触发：repadmin /kcc

信任链路断裂不是黑盒故障，它必然在DNS解析、SRV发现、LDAP连接、GC角色四层中暴露痕迹。逐层排除比重启服务更有效。