Quais são os possíveis resultados / efeitos colaterais se a replicação entre DCs em um domínio do Windows não puder ocorrer?

Question

Há muita literatura de administração por aí para gerenciar adequadamente os servidores Windows. Mas ao lidar com a vida real, as coisas nem sempre acontecem como você quer. No Companion do Administrador do Windows Server 2003 da Microsoft, de mais de 1400 páginas, há apenas uma página que eu encontrei quando surgiu a configuração de controladores de domínio adicionais. Eles fazem parecer sem som e não revelam muito sobre o que acontece se os DC's "peer" são incapazes de se replicar.

Até o problema específico em questão, tivemos um DC desligado cerca de um mês atrás devido a um mau controlador RAID. Não havia nada de crítico que alertasse a atenção imediata, então trazê-la de volta ficou em segundo plano. Um mês depois, a DC voltou a funcionar e tudo parecia ok. No dia seguinte, ninguém poderá fazer logon reclamando que o "usuário não existe" ou "não é possível estabelecer uma relação de confiança" . Sabendo que eu tinha acabado de colocar a corrente regressiva de volta na rede, eu imediatamente a retirei da rede e mandei todos reiniciarem as estações de trabalho. Depois disso, a troca estava boa, os compartilhamentos tornaram-se disponíveis e todos puderam fazer o login. Depois de fazer algum registro de eventos, parece que tudo começou devido a problemas de replicação no SYSVOL. Eu li onde você pode forçar a replicação, mas isso significaria colocá-lo de volta na rede. Eu tenho medo de colocar a DC de volta na rede com medo de que algo mais possa dar errado. Então, que outras questões pode-se esperar encontrar onde duas CD's não são replicadas por mais de um mês?

    

Answer 1

Dependendo do período de tempo em que não estão sincronizados, você pode encontrar uma situação em que a pessoa alcance o Lifetime Tombstone após o qual você começa a receber problemas com objetos excluídos voltando à vida. Dito isto, o padrão mínimo é de 60 dias, então você deve ficar bem se tiver passado menos tempo do que isso.

A forma como o AD (e o DNS e uma série de outros serviços) lida com problemas de sincronização é incrementar um número de série sempre que forem feitas alterações. Portanto, se você estiver usando PRIMARYDC e fazendo alterações, SECONDARYDC terá um número menor e adiará para o maior.

Se você está realmente preocupado, pode sempre limpar SECONDARYDC , extraí-lo manualmente do Active Directory, recriar a imagem e depois promovê-lo a outro DC. Eu acho que você está seguro em trazê-lo online e resolver seus problemas SYSVOL. Se você quiser ser mais paranóico, faça isso depois do expediente para não ficar inconsistente enquanto estiver resolvendo o SYSVOL.

EDIT O Adaptr abaixo faz uma boa observação - certifique-se de que não há funções FSMO atribuídas a SECONDARYDC antes de apagá-lo, se você optar por seguir esse caminho.