Windows Server 2025 域控故障处理总结报告
一、原问题概述
本次故障涉及 Windows Server 2025 数据中心版域控（AD10，域名 DF.local），核心问题如下：
故障 DC（AD11）剔除后，残留元数据导致 KCC（知识一致性检查器）报错，影响复制拓扑；
DFS 复制服务报错（EventID: 0xC0000FAC，错误码 9061），SYSVOL 文件夹因脱机超 60 天被标记为过时，无复制连接配置；
系统服务异常：IsmServ（站点间消息服务）启动类型错误且未运行；
系统日志报错：Netlogon 拒绝易受攻击连接（EventID: 0x000016C3）、跨域验证失败（EventID: 0x00000C8A）、PDC 无外部时间源（警告 EventID: 0x0000000C）；
部分 PowerShell 命令未识别（如 WMIC、Remove-ADTrust），因 Server 2025 组件适配差异。
二、核心处理思路
优先清理故障 DC 残留元数据，修复 AD 复制拓扑；
重置 DFS 复制配置，恢复 SYSVOL 共享功能（组策略下发关键）；
修复系统服务参数，确保核心服务正常运行；
清理无效缓存、配置外部时间源，解决系统日志报错；
适配 Server 2025 特性，用替代命令完成操作（避免依赖弃用工具）。
三、具体处理步骤与操作命令
（一）清理故障 DC（AD11）残留元数据
图形化工具清理（精准删除残留对象）：
打开 AD 站点和服务（dssite.msc），删除Sites > Default-First-Site-Name > Servers下的 AD11 及子对象；
打开 AD 用户和计算机（dsa.msc），删除Domain Controllers下的 AD11 账户（勾选 “删除元数据”）。
命令行验证清理结果：
powershell

列出当前域控，确认无AD11

dsquery server

强制KCC重建复制拓扑

repadmin /kcc

验证复制状态

repadmin /replsummary
（二）修复 DFS 复制与 SYSVOL 共享
停止相关服务：
powershell
Stop-Service DFSR, NETLOGON -Force
配置关键参数并重置复制：
powershell

放宽脱机时间限制（临时180天）

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\DFSR\Parameters" -Name "MaxOfflineTimeInDays" -Value 180 -Type DWORD

强制初始化SYSVOL复制（BurFlags=D4）

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\DFSR\Parameters\SysVolSubscription" -Name "BurFlags" -Value 0xD4 -Type DWORD

删除过时复制状态文件

Remove-Item -Path "D:\WINDOWS\SYSVOL\domain\DFSR" -Recurse -Force -ErrorAction SilentlyContinue
启动服务并验证：
powershell
Start-Service DFSR, NETLOGON

验证SYSVOL/NETLOGON共享

Get-SmbShare | Where-Object Name -in ("SYSVOL", "NETLOGON")

检查DFS复制事件（需出现4604/4614事件）

Get-WinEvent -LogName "DFS Replication" -MaxEvents 10 | Select-Object Id, Message
（三）修复系统服务异常
配置 IsmServ 服务为自动启动并运行：
powershell

设置启动类型为自动

Set-Service IsmServ -StartupType Automatic

启动服务

Start-Service IsmServ

验证服务状态

Get-Service IsmServ | Select-Object Name, Status
（四）解决系统日志报错

清理 Netlogon 无效缓存（解决跨域验证失败）
powershell
清除Netlogon缓存

nltest /purgecache

刷新域控DNS注册

nltest /dsregdns

重启Netlogon服务

Restart-Service NETLOGON -Force

清除DNS缓存

ipconfig /flushdns
配置 PDC 外部时间源（解决时间同步警告）
powershell
配置阿里云NTP时间源

w32tm /config /manualpeerlist:"ntp.aliyun.com,0x1 ntp2.aliyun.com,0x1" /syncfromflags:manual /reliable:yes /update

重启时间服务

Restart-Service w32time -Force

强制同步时间

w32tm /resync /force

验证配置

w32tm /query /configuration | Select-String "NtpServer"
w32tm /query /status | Select-String "Source"
允许旧版 Netlogon 协议（临时适配 Windows 7 客户端）
powershell
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters" -Name "AllowInsecureGuestAuth" -Value 1 -Type DWORD
（五）Server 2025 命令适配（替代弃用工具）
替代 WMIC 查询 DFS 复制状态：
powershell
查询SYSVOL复制对象

$dfsrObject = Get-CimInstance -Namespace root/microsoftdfs -ClassName DfsrReplicatedFolderInfo -Filter "ReplicatedFolderName='SYSVOL Share'"

查看复制状态

$dfsrObject | Select-Object ReplicatedFolderName, State, LastReplicationTime
替代 Remove-ADTrust 删除无效信任（无需安装 AD 模块）：
powershell

清除无效域控制器缓存

nltest /dsgetdc:DF.local /force
（六）最终验证命令
powershell

完整域控诊断

dcdiag

复制状态验证

repadmin /showrepl

关键服务状态检查

Get-Service NTDS, Dns, w32time, NETLOGON, DFSR | Select-Object Name, Status

时间同步测试

dcdiag /test:timesync
四、处理结果
域控核心测试（Connectivity/Advertising/NetLogons 等）全部通过；
SYSVOL 共享正常，组策略可正常下发；
系统服务（IsmServ、w32time 等）均正常运行；
系统日志无新增错误，历史残留错误不影响业务；
域内用户登录、账户管理、DNS 解析等功能完全正常。
五、后续运维建议
紧急添加副域控：按教程部署第二台 Windows Server 2025 域控，建立冗余，自动解决 DFS 复制报错；
定期备份：配置每周自动备份 AD 系统状态（wbadmin start systemstatebackup -backuptarget:D: -quiet）；
客户端升级：逐步淘汰 Windows 7 客户端，避免协议兼容性问题；
日志监控：定期清理历史日志（wevtutil cl "DFS Replication"），关注新增事件；
避免弃用工具：Server 2025 中优先使用 PowerShell CIM 命令，替代 WMIC、dcpromo 等传统工具。