Ошибка 2042 на контроллере домена

Обновлено 20.11.2020

Добрый день! Уважаемые читатели и гости одного из крупнейших IT блогов в рунете Pyatilistnik.org. В прошлый раз мы с вами разобрали методы оплаты телефона Билайн. В сегодняшней же публикации я хочу вам вновь показать практику траблшутинга активного каталога, и мы разберем очень частую ошибку репликации ID 2042, которую вы можете лицезреть в своем Active Directory, сразу скажу, что она не смертельная и решается весьма просто и без лишних телодвижений.

Описание проблемы вызывающей ошибку ID 2042

И так у меня есть установленные Active Directory на базе Windows Server 2019, который работает в виде виртуальных машин на гипервизоре ESXI 6.5. Была проблема с репликацией между двумя сайтами AD, где было установлено, что один из контроллеров домена не получал репликацию более 50 дней, там об этом сигнализировала ошибка «SyncAll exited with fatal Win32 error: 8440 (0x20f8)», которую мы успешно устранили. Как только пробежали все реплики, мы успокоились, но на следующий день у нас массово в логах Windows стали появляться события с кодом ID 2042:

Я выделил тут участок Tombstone lifetime (days): 60, именно это является ключевым вопросом. Так как у вас сбойный контроллер не принимал реплики более 60 дней, то ваш Active Directory просто перестраховывается, чтобы ничего не наломать, есть там такой защитный механизм, называется принудительный запрет репликации.

Как устранить ошибку ID 2042

Первое, что вам необходимо сделать, это вычислить имя контроллера домена с которого у вас не идет репликация на сбойный, это можно сделать несколькими методами. В тексте ошибки есть GUID контроллера домена, выглядит он приблизительно вот так 5fc9cc16-b994-426d-81c8-c9ff27f29976._msdcs.root.pyatilistnik.org. Понятно, что для нас он не читаем. Откройте командную строку и введите команду PING.

На выходе вы получите точное имя контроллера домена.

Либо через оснастку DNS в разделе _msdcs.root, где вы увидите псевдонимы CNAME в виде привычных имен контроллеров домена.

Теперь зная имя контроллера домена источника, вам необходимо произвести на сбойном контроллере домена правку реестра Windows, чтобы слегка ослабить уровень контроля к репликации. Запустите оснастку реестра Windows и перейдите в раздел:

Найдите там ключ «Allow Replication With Divergent and Corrupt Partner«, по умолчанию он имеет значение «0«. Поменяйте его на единицу «1«. Перезагружать ничего не нужно, все применится сразу.

Повторите эти действия на тех контролерах домена, на которых наблюдается ошибка 2042. После этого в командной строке вам нужно воспользоваться утилитой Repadmin.

После того, как ошибка репликации ID 2042 исчезнет, вам необходимо ключу «Allow Replication With Divergent and Corrupt Partner» вернуть значение «0». Если не хотите возиться с реестром или вы боитесь это делать на контроллере домена, то можно через команду для определенного контроллера снять повышенные ограничения при репликации. Для этого в командной строке в режиме администратора вам нужно выполнить команды:

• /regkey — (+) Включает и отключает значение записи реестра Строгую согласованность репликации в HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNTDS Parameters(-)
• <hostname> — Имя контроллера домена с которого будет реплицироваться дельта, можно вообще поставить значок звездочки «*«, чтобы разрешить репликацию со всех контроллеров домена.
• +allowDivergent/-allowDivergent — Позволяет начать новую репликацию с партнером, убедитесь, что у вас удалены все устаревшие объекты (По поводу устаревших объектов можно почитать вот тут https://support.microsoft.com/ru-ru/help/4469622/active-directory-replication-event-id-2042-it-has-been-too-long-since и советую почитать про дублированные имена и ID 11)

Для dc2.root.pyatilistnik.org будет установлен Allow Replication With Divergent and Corrupt Partner со значением «0». На этом у меня все, с вами был Иван Семин, автор и создатель IT портала Pyatilistnik.org.

На днях у нас случилась неприятность — электрики арендуемого здания возились в щитке и случайно отключили нас как от основного, так и от резервного питания. Серверы поработали на UPS-сах, но когда запас заряда батарей ИБП начал заканчиваться, стало ясно что нужно быстро корректно завершать работу всех серверов.

Когда все наладилось — сервера были включены и обнаружилась неприятность: сбросилось время на наших стареньких доменных контролерах. Контролеры домена, думая что сейчас 2006-й год, успешно между собой реплицировались и после перевода времени в корректное значение отображали ошибку в журнале Directory Service:

It has been too long since this machine last replicated with the named source machine. The time between replications with this source has exceeded the tombstone lifetime. Replication has been stopped with this source.
The reason that replication is not allowed to continue is that the two machine’s views of deleted objects may now be different. The source machine may still have copies of objects that have been deleted (and garbage collected) on this machine. If they were allowed to replicate, the source machine might return objects which have already been deleted.
Time of last successful replication:
2006-01-01 00:26:25
Invocation ID of source:

Name of source:

Tombstone lifetime (days):
60

The replication operation has failed.

User Action:

Determine which of the two machines was disconnected from the forest and is now out of date. You have three options:

1. Demote or reinstall the machine(s) that were disconnected.
2. Use the «repadmin /removelingeringobjects» tool to remove inconsistent deleted objects and then resume replication.
3. Resume replication. Inconsistent deleted objects may be introduced. You can continue replication by using the following registry key. Once the systems replicate once, it is recommended that you remove the key to reinstate the protection.
Registry Key:
HKLMSystemCurrentControlSetServicesNTDSParametersAllow Replication With Divergent and Corrupt Partner
For more information, see Help and Support Center at http://go.microsoft.com/fwlink/events.asp.

Отчего начали всплывать разные неприятные ошибки связанные с авторизацией участников домена на его ресурсах.

В интернете записей посвященных этой ошибке достаточно много и решают ее разными способами, вплоть до радикальных — переинсталяция контролеров домена. У меня слава богу все решилось намного проще. Смотрим на третью подсказку в описании Event ID 2042:

«3. Resume replication. Inconsistent deleted objects may be introduced. You can continue replication by using the following registry key. Once the systems replicate once, it is recommended that you remove the key to reinstate the protection.
Registry Key:
HKLMSystemCurrentControlSetServicesNTDSParametersAllow Replication With Divergent and Corrupt Partner»

Опишу эти действия более подробно

1. Запустите regedit
2. Перейдите по адресу HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNTDSParameters
3. Отредактируйте или создайте DWord-параметр «Allow Replication With Divergent and Corrupt Partner» и присвойте ему значение 1
4. Повторите эти действия на тех контролерах домена, на которых наблюдается ошибка 2042
5. Запустите репликацию между контролерами домена и убеждаемся что она прошла корректно
6. Присвойте DWord-параметр «Allow Replication With Divergent and Corrupt Partner» значение 0 или удалите его.

Готово! Проблема решена!

Понравилось? =) Поделись с друзьями: