Active Directory 复制故障排查需按“看状态→查连接→定位错误码→验拓扑与权限”逻辑执行：用repadmin /replsummary快速识别异常DC，/showrepl定位具体错误码（如8456、8614），结合dcdiag /test:replications交叉验证；再通过repadmin /bind、nslookup SRV记录和telnet 135端口确认网络与DNS基础；针对错误码执行对应操作，如8456/8457检查repadmin /options标志，8614运行removelingeringobjects，-2146893022修正SPN；最后用/showreps查队列、/syncall强制同步，并结合事件ID 1311/1925/2042/2087分析根源。Active Directory 复制故障排查不是靠猜，而是靠命令输出的精准信号。核心思路是：先看状态、再查连接、定位错误码、验证拓扑与权限。下面列出真正常用且有效的命令，按排查逻辑组织，不堆砌冷门参数。
一、快速检查整体复制健康度
用 repadmin /replsummary 一眼识别异常域控制器。它汇总所有入站/出站复制状态，标出失败次数和最近错误码（如 8614、8456）。若某 dc 显示“failed”或高失败计数，就是第一排查目标。
repadmin /showrepl 提供更细粒度视图：每个命名上下文（如 DC=domain,DC=com）、每个复制伙伴、上次尝试时间、结果代码和失败次数。注意 “Last attempt failed” 后面的数字——这就是关键错误码。
搭配 dcdiag /test:replications 可交叉验证。它运行标准复制测试，输出是否通过，并提示具体失败环节（例如“Replication Check failed”）。
二、验证网络与通信基础
复制依赖底层连通性。先确认 RPC 通道是否畅通：
repadmin /bind <source DC> <destination DC> —— 直接测试两台 DC 间能否建立复制绑定。失败通常指向防火墙（端口 135 + 动态 RPC 端口）、DNS 解析或 Kerberos 票据问题。
检查 DNS 是否正确解析 SRV 记录：
nslookup -type=srv _ldap._tcp.dc._msdcs.<domain> —— 确保返回所有域控制器的 FQDN 和端口。若缺失或指向错误 IP，复制必然中断。
验证基本网络可达：
telnet <target DC FQDN> 135（或用 Test-NetConnection <FQDN> -Port 135）—— 端口 135 是 RPC 入口，不通则复制无法启动。
三、定位常见错误码的直接操作
看到错误码别绕路，直接对应处理：
- 错误 8614（超出墓碑生存期）：执行 repadmin /removelingeringobjects <destination DC> <source DC> <partition DN> 清理陈旧对象；严重时需元数据清理（repadmin /removeobject）并重建该 DC。
- 错误 8456/8457（源/目标拒绝复制）：先运行 repadmin /options <DC name> 查看是否误启用了 DISABLE_INBOUND_REPL 或 DISABLE_OUTBOUND_REPL 标志；如有，用 repadmin /options <DC name> +DISABLE_INBOUND_REPL 关闭。
- 错误 1722（RPC 服务器不可用）：重点查防火墙规则、DC 时间是否偏差过大（>5 分钟影响 Kerberos）、以及 net start rpcss 确认 RPC 服务运行。
- 错误 -2146893022（目标主体名称不正确）：说明 SPN 注册异常，运行 setspn -F -Q host/<FQDN> 检查重复 SPN，再用 setspn -S host/<FQDN> <computer account> 修正。
四、深度诊断与强制同步
当常规检查无果，需要深入日志或干预队列：
- repadmin /showreps 查看当前复制邻居及队列积压情况；若 “Outbound replication queue” 数值持续增长，说明出站复制卡住。
- repadmin /syncall /A /e /q 强制全林同步（/A=所有分区，/e=包含 GC，/q=静默），适合修复局部滞后，但避免在生产高峰执行。
- 结合事件查看器，筛选“Directory Service”日志，重点关注事件 ID 1311、1925、2042、2087 —— 它们常对应 DNS 失败、KCC 生成拓扑异常、复制超时等根源问题。
