# AD系统升级到Server 2025后DFSR错误引起的ADDS不能正常播发 项目背景：生产环境承载AD服务的所有Windows Server操作系统升级到Windows Server 2025。 项目要求：现有名为DC和DC02…DC0？的若干台DC服务器，FSMO由DC承担。各DC操作系统从Windows Server 2012到Windows Server 2022都有，dcdiag健康检查全部通过。要求将所有Windows Server系统升级到Windows Server 2025，把一台新服务器取名为DC01，完成后承担FSMO，原DC降级退域。 升级过程此篇不表，升级后的两个错误如下： 事件ID：5012 [![101.png](https://bost.lesrec.cn/uploads/images/gallery/2025-10/scaled-1680-/iKni4xkaTqAzQfbY-101.png)](https://bost.lesrec.cn/uploads/images/gallery/2025-10/iKni4xkaTqAzQfbY-101.png) 事件ID：4612 [![102.png](https://bost.lesrec.cn/uploads/images/gallery/2025-10/scaled-1680-/ASzSHSug7pxxFieR-102.png)](https://bost.lesrec.cn/uploads/images/gallery/2025-10/ASzSHSug7pxxFieR-102.png) ![Troubleshooting：AD系统升级到Server 2025后DFSR错误引起的ADDS不能正常播发_SYSVOL_02](https://s2.51cto.com/images/blog/front/202412/b82cca27696dbfbf666282293db9315fef8556.png?x-oss-process=image/watermark,size_14,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_30,g_se,x_10,y_10,shadow_20,type_ZmFuZ3poZW5naGVpdGk=,x-oss-process=image/resize,m_fixed,w_1184/format,webp) 错误影响：升级完成后的DC01，没有共享出SYSVOL目录，客户端计算机读取失败。事件ID 4612表明正在玩命从已经退役的DC上复制数据，可以确认的是ntds数据库中，元数据已经没有DC这台域控制器了。下面是微软对新升级的域控制器在完成 DCpromo 后可能无法播发的一个排错思路，然并卵。非要说有什么参考意义，就是其中提到了源域控制器“父计算机”注册表项。 [![103.png](https://bost.lesrec.cn/uploads/images/gallery/2025-10/scaled-1680-/hibapgXaRrlWdCpB-103.png)](https://bost.lesrec.cn/uploads/images/gallery/2025-10/hibapgXaRrlWdCpB-103.png) ![Troubleshooting：AD系统升级到Server 2025后DFSR错误引起的ADDS不能正常播发_4612_03](https://s2.51cto.com/images/blog/front/202412/d513ab727fe7e50c916302a8b2b3b44c58c45e.png?x-oss-process=image/watermark,size_14,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_30,g_se,x_10,y_10,shadow_20,type_ZmFuZ3poZW5naGVpdGk=,x-oss-process=image/resize,m_fixed,w_1184/format,webp) [ 新升级的域控制器在完成 DCpromo 后可能无法播发 - Windows Server | Microsoft Learn](https://learn.microsoft.com/zh-cn/troubleshoot/windows-server/active-directory/newly-promoted-domain-controller-fail-advertise) 原因分析：DFSR 执行 SYSVOL 数据的权威同步，这些数据在 DC 之间复制，DC 上必须存在的 SYSVOL 文件夹层次结构，用于存储两组重要数据： 1、组策略模板文件：它们存储在 \\\\SYSVOL\\<domain>\\Policies 下的单独文件夹中。 2、域中计算机使用的登录、注销、启动和关闭脚本：它们存储在 \\\\SYSVOL\\<domain>\\scripts 中。脚本文件夹本身作为 NETLOGON 共享。 微软有提到： [![104.png](https://bost.lesrec.cn/uploads/images/gallery/2025-10/scaled-1680-/KJEqwBlJRtT9diFo-104.png)](https://bost.lesrec.cn/uploads/images/gallery/2025-10/KJEqwBlJRtT9diFo-104.png) ![Troubleshooting：AD系统升级到Server 2025后DFSR错误引起的ADDS不能正常播发_DFSR_04](https://s2.51cto.com/images/blog/front/202412/46a71d646b3603a5dad995a4308b1ac5f649e1.png?x-oss-process=image/watermark,size_14,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_30,g_se,x_10,y_10,shadow_20,type_ZmFuZ3poZW5naGVpdGk=,x-oss-process=image/resize,m_fixed,w_1184/format,webp) 题外话：这里需要厘清一个概念，SYSVOL 复制与 Active Directory 复制是分开进行的两码事。一个可能正常，而另一个可能会失败。 Active Directory 复制情况可以使用repadmin检查，如repadmin /showrepl。因生产环境不方便贴图，读者请自行尝试或者脑补，可以确认的是，本环境中Active Directory 复制完全正常，dfsdiag /testdcs检查复制状态也都是一致的： [![105.png](https://bost.lesrec.cn/uploads/images/gallery/2025-10/scaled-1680-/3qTBTBtpwrAQk9G9-105.png)](https://bost.lesrec.cn/uploads/images/gallery/2025-10/3qTBTBtpwrAQk9G9-105.png) ![Troubleshooting：AD系统升级到Server 2025后DFSR错误引起的ADDS不能正常播发_Server 2025_05](https://s2.51cto.com/images/blog/front/202412/3576d5a006d051b20de52778608708c9412f43.png?x-oss-process=image/watermark,size_14,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_30,g_se,x_10,y_10,shadow_20,type_ZmFuZ3poZW5naGVpdGk=,x-oss-process=image/resize,m_fixed,w_1184/format,webp) 奇怪的是，SYSVOL文件夹下面的数据，并不会被同步到副本DC。承担FSMO的域控制器不能正常播发，如果SYSVOL 复制一直失败，不进行手动干预解决，后面可能会无法恢复，甚至造成灾难性后果。 解决方案：升级AD前，我们备份好了SYSVOL文件夹。将其还原至DC01同位置，然后指定DC01 作为权威机构，让DFSR 使用 DC01 自己的 SYSVOL 数据副本初始化 SYSVOL成为域的 SYSVOL 源拷贝从而进行授权同步。 [ 强制同步分布式文件系统复制 （DFSR） 复制的 sysvol 复制 - Windows Server | Microsoft Learn](https://learn.microsoft.com/zh-cn/troubleshoot/windows-server/group-policy/force-authoritative-non-authoritative-synchronization) 参考微软的链接，以下为实现步骤： 1、在承担FSMO的DC01 上，adsiedit.msc启动 ADSI 编辑控制台，连接到默认命名上下文，展开到DC=domain > OU=Domain Controllers，所有的域控制器都将出现在这里。继续展开承担FSMO的DC01，CN=DC01 > CN=DFSR-LocalSettings > CN=Domain System Volume； [![106.png](https://bost.lesrec.cn/uploads/images/gallery/2025-10/scaled-1680-/A2HreE4uJamAQoVe-106.png)](https://bost.lesrec.cn/uploads/images/gallery/2025-10/A2HreE4uJamAQoVe-106.png) ![Troubleshooting：AD系统升级到Server 2025后DFSR错误引起的ADDS不能正常播发_SYSVOL_06](https://s2.51cto.com/images/blog/front/202412/92d66b7901a8d5438e9448ff1bc9ba79c3f1a6.png?x-oss-process=image/watermark,size_14,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_30,g_se,x_10,y_10,shadow_20,type_ZmFuZ3poZW5naGVpdGk=,x-oss-process=image/resize,m_fixed,w_1184/format,webp) 2、右键单击 CN=SYSVOL Subscription ，然后选择属性。弹出的窗口中双击“msDFSR-Enabled”属性并将其值设置为 FALSE。双击”msDFSR-Options“属性并将其值设置为 1。 单击”确定“关闭属性窗口； [![107.png](https://bost.lesrec.cn/uploads/images/gallery/2025-10/scaled-1680-/joTk1Njh8OpPzys0-107.png)](https://bost.lesrec.cn/uploads/images/gallery/2025-10/joTk1Njh8OpPzys0-107.png) ![Troubleshooting：AD系统升级到Server 2025后DFSR错误引起的ADDS不能正常播发_SYSVOL_07](https://s2.51cto.com/images/blog/front/202412/84032990629bdb6bc25618e8163f52cb73b9ce.png?x-oss-process=image/watermark,size_14,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_30,g_se,x_10,y_10,shadow_20,type_ZmFuZ3poZW5naGVpdGk=,x-oss-process=image/resize,m_fixed,w_1184/format,webp) 3、同样方法，展开其余每一个DC 的 CN=SYSVOL Subscription属性，修改”msDFSR-Enabled“属性，设置为”FALSE”； [![108.png](https://bost.lesrec.cn/uploads/images/gallery/2025-10/scaled-1680-/hOgUjw1IaXUlKF48-108.png)](https://bost.lesrec.cn/uploads/images/gallery/2025-10/hOgUjw1IaXUlKF48-108.png) ![Troubleshooting：AD系统升级到Server 2025后DFSR错误引起的ADDS不能正常播发_AD域_08](https://s2.51cto.com/images/blog/front/202412/199cb64625a3690b4521606615e3456da5eea7.png?x-oss-process=image/watermark,size_14,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_30,g_se,x_10,y_10,shadow_20,type_ZmFuZ3poZW5naGVpdGk=,x-oss-process=image/resize,m_fixed,w_1184/format,webp) 4、先额外DC，再权威 DC（FSMO DC，本文DC01），运行repadmin /syncall /force强制在整个域中复制 Active Directory。这可能需要一些时间，也许要15分钟或更久，具体取决于域的大小和复制拓扑； 5、等上足够时间后，在每个额外DC 上，运行 dfsrdiag pollad。在权威 DC上，启动事件查看器并确认事件日志包含事件 4114，表示不再复制 SYSVOL，此事件将出现在所有 DC 上； [![109.png](https://bost.lesrec.cn/uploads/images/gallery/2025-10/scaled-1680-/2szve5ibj24evQj1-109.png)](https://bost.lesrec.cn/uploads/images/gallery/2025-10/2szve5ibj24evQj1-109.png) ![Troubleshooting：AD系统升级到Server 2025后DFSR错误引起的ADDS不能正常播发_AD域_09](https://s2.51cto.com/images/blog/front/202412/95d5ce804e1dba2cd754958cecc7c86c012f57.png?x-oss-process=image/watermark,size_14,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_30,g_se,x_10,y_10,shadow_20,type_ZmFuZ3poZW5naGVpdGk=,x-oss-process=image/resize,m_fixed,w_1184/format,webp) 6、在权威域控制器上ADSI 编辑控制台中，浏览到步骤 3 中的位置，将权威域控制器“msDFSR-Enabled”属性值从“FALSE”设置为“TURE”； [![110.png](https://bost.lesrec.cn/uploads/images/gallery/2025-10/scaled-1680-/n0LpIhzXbmnvAmff-110.png)](https://bost.lesrec.cn/uploads/images/gallery/2025-10/n0LpIhzXbmnvAmff-110.png) ![Troubleshooting：AD系统升级到Server 2025后DFSR错误引起的ADDS不能正常播发_4612_10](https://s2.51cto.com/images/blog/front/202412/e9582c37824828724aa482b7facd463ef7167c.png?x-oss-process=image/watermark,size_14,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_30,g_se,x_10,y_10,shadow_20,type_ZmFuZ3poZW5naGVpdGk=,x-oss-process=image/resize,m_fixed,w_1184/format,webp) 7、权威域控制器上运行dfsrdiag pollad，启动事件查看器并确认事件日志包含事件4602，此事件确认此域控制器上已发生 SYSVOL 的权威同步； [![111.png](https://bost.lesrec.cn/uploads/images/gallery/2025-10/scaled-1680-/LlJ4nMlqHucBemCf-111.png)](https://bost.lesrec.cn/uploads/images/gallery/2025-10/LlJ4nMlqHucBemCf-111.png) ![Troubleshooting：AD系统升级到Server 2025后DFSR错误引起的ADDS不能正常播发_SYSVOL_11](https://s2.51cto.com/images/blog/front/202412/123b2f244bd3ba628212592a4b6a7186a2ca37.png?x-oss-process=image/watermark,size_14,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_30,g_se,x_10,y_10,shadow_20,type_ZmFuZ3poZW5naGVpdGk=,x-oss-process=image/resize,m_fixed,w_1184/format,webp) 8、将所有DC 的“msDFSR-Enabled”属性设置为“TRUE”，并强制在整个域中复制，最后在除权威 DC 以外的每个 DC 上，运行一次dfsrdiag pollad； 9、在非授权 DC 上，确认事件 4614 和 4604 出现在 DFS 复制事件日志中。 至此，排错完成。 Windows Server 2025 删除或修改了一些功能，现产品在实际应用中，比如LDAP/NLA/Time/DHCP/DNS/KLDC服务，对老旧架构的影响还是比较大的，不知道微软后续会不会做出改进？