1925 Windows Server, AD и Роли

Event ID 1925 Active Directory: Сбой попытки репликации раздела каталога

Обновлено: 15.08.2026 · Официальная документация ↗

Архитектура репликации KCC и описание сбоя

Событие 1925 логируется в журнале Directory Service, когда средству проверки согласованности знаний (KCC) не удается установить входящее соединение репликации для раздела каталога. Сообщение: "Попытка установить связь репликации для следующего раздела каталога, доступного для записи, завершилась неудачно". Это ключевой индикатор проблем межсерверного взаимодействия контроллеров домена.

Таблица кодов Win32 ошибок в событии 1925

Код ошибки	Текст Win32	Первопричина сбоя
`1722`	The RPC server is unavailable	Сетевая блокировка файрволом портов RPC (135/динамические) или сбой DNS.
`1256`	The remote system is not available	Целевой контроллер домена физически выключен или перезагружается.
`8453`	Replication access was denied	Нарушение прав безопасности (Replication Get Changes) на объекте домена.
`5`	Access is denied	Рассинхронизация машинного пароля контроллера (Secure Channel broken).

Пошаговое дерево решений по кодам сбоя

Сценарий 1: Исправление ошибки 1722 (RPC Unavailable)

# Проверка сетевой связности по портам репликации AD
Test-NetConnection -ComputerName "Партнерский_DC" -Port 135
Test-NetConnection -ComputerName "Партнерский_DC" -Port 389

Сценарий 2: Восстановление защищенного канала контроллера (Ошибка 5)

Если пароль учетной записи контроллера домена рассинхронизировался с базой AD:

# Сброс и синхронизация безопасного канала контроллера домена
Test-ComputerSecureChannel -Repair -Credential (Get-Credential)

Сценарий 3: Принудительный пересчет топологии KCC

# Запуск принудительной перестройки связей репликации
repadmin /kcc
repadmin /syncall /AdeP

Типовые ошибки администраторов

Игнорирование ошибки 1925 дольше Tombstone Lifetime: Если репликация стоит более 180 дней, контроллер домена будет заблокирован от репликации навсегда (ошибка 8606 / Lingering Objects).

Контроллеры домена рассинхронизированы и не передают изменения паролей?
Сбой репликации разрушает целостность леса AD. Передайте обслуживание домена профессионалам ITSTM: восстановим топологию KCC, починим RPC и гарантируем синхронизацию.

💡 Практика специалистов: Если 1925 возникает между контроллерами в разных офисах (Site Links), проверьте параметр 'Cost' (Стоимость линка) и расписание репликации в оснастке `dssite.msc`. Неправильно настроенное расписание блокирует репликацию в рабочие часы.

Частые вопросы (FAQ)

Чем 1925 отличается от события 2087?

2087 фиксирует конкретно ошибку разрешения имени CNAME в DNS. Событие 1925 является более общим и фиксирует сам факт невозможности поднять репликационный линк (по любой причине: сеть, безопасность, топология).

Как посмотреть статус всех линков репликации?

Выполните в консоли: repadmin /showrepl * /errorsonly — команда выведет только сбойные связи между всеми DC.

Влияет ли рассинхронизация времени на событие 1925?

Да, если расхождение времени между DC превышает 5 минут, аутентификация Kerberos падает, и линк не устанавливается с ошибкой Access Denied (5).

Что делать, если партнерский DC был безвозвратно удален (сгорел)?

Выполните очистку метаданных (Metadata Cleanup) через dsa.msc или утилиту ntdsutil, чтобы удалить 'мертвый' объект контроллера из топологии.