Windows Server, AD и Роли

Гайд: Устранение USN Rollback в Active Directory (Event ID 2095)

Обновлено: 15.08.2026 · Официальная документация ↗

Архитектура USN и механизм катастрофы USN Rollback

USN Rollback (Откат номеров последовательных обновлений) — одна из самых тяжелых логических аварий в Active Directory. Сбой возникает, когда виртуальный контроллер домена 'откатывают' назад во времени путем применения снапшота гипервизора (Hyper-V Checkpoint / VMware Snapshot), восстановления диска из не-VSS бэкапа или клонирования виртуальной машины. В результате контроллер домена 'забывает' последние присвоенные номера USN и начинает выдавать старые номера новым транзакциям. Другие контроллеры домена обнаруживают несоответствие базы данных и навсегда блокируют репликацию с этим сервером, фиксируя критическое событие Event ID 2095 в журнале Directory Service.

Симптомы USN Rollback:

Репликация Active Directory входящих и исходящих изменений на сбойном контроллере полностью останавливается.
Служба каталогов отключает интерфейс Netlogon, прекращая аутентификацию пользователей на этом DC.
В журнале Directory Service фиксируется Event ID 2095: "The Active Directory Domain Services database has been restored using an unsupported restoration procedure".
Служба KCC генерирует ошибки репликации RPC с кодами 8456 или 8457.

Пошаговый регламент ликвидации последствий USN Rollback

Попытки 'починить' репликацию на сервере с USN Rollback категорически запрещены, так как это приведет к разрушению баз данных всех остальных контроллеров домена в лесу.

Шаг 1: Немедленная изоляция сбойного контроллера домена

Отключите сетевой интерфейс сбойной виртуальной машины в консоли гипервизора, чтобы исключить попытки передачи некорректных транзакций в сеть.

Шаг 2: Принудительное удаление метаданных мертвого DC (Metadata Cleanup)

На любом ЗДОРОВОМ контроллере домена выполните очистку метаданных поврежденного сервера.

Откройте консоль dsa.msc (Active Directory Users and Computers).
Перейдите в контейнер Domain Controllers.
Нажмите правой кнопкой на сбойном контроллере домена -> Удалить (Delete).
Подтвердите удаление, установив флаг Удалить этот контроллер домена навсегда (This Domain Controller is permanently offline). Оснастка автоматически вычистит объекты ntdsDSA, ссылки KCC и учетную запись компьютера из Active Directory.

Шаг 3: Очистка записей DNS и объектов репликации в AD Sites

Откройте dnsmgmt.msc -> удалите все A-записи и служебные SRV-записи сбойного сервера из зоны _msdcs.domain.com.
Откройте dssite.msc (Active Directory Sites and Services) -> удалите объект сервера из его сайта.

Шаг 4: Перехват FSMO ролей (если сервер владел ими)

Если изолированный контроллер домена владел ролями хозяев операций (FSMO), выполните их принудительный захват (Seize) на живом DC.

# Захват FSMO ролей через PowerShell на здоровом контроллере домена
Move-ADDirectoryServerOperationMasterRole -Identity "DC-HEALTHY" -OperationMasterRole SchemaMaster, DomainNamingMaster, PDCEmulator, RIDMaster, InfrastructureMaster -Force

Шаг 5: Полная переустановка сбойного сервера

Удалите поврежденную виртуальную машину целиком. Разверните новую чистую ОС Windows Server, введите ее в домен с новым именем и заново повысьте до роли контроллера домена (dcpromo), выполнив чистую начальную репликацию.

Типовые ошибки администраторов

Попытка заставить сервер работать через repadmin /regkey: Снятие блокировок репликации на сервере с USN Rollback приведет к возникновению миллионов 'фантомных' объектов (Lingering Objects) и необратимому разрушению схемы каталога во всем домене. Сервер подлежит исключительно удалению!

В лесу Active Directory зафиксирован USN Rollback (Event 2095)?
Неправильные действия при USN Rollback могут уничтожить каталог Active Directory предприятия. Доверьте спасение домена сертифицированным экспертам ITSTM: локализуем сбой, выполним безопасный захват FSMO и восстановим целостность леса.

💡 Практика специалистов: Для резервного копирования контроллеров домена используйте исключительно специализированные агенты резервного копирования (Veeam / Commvault / Windows Server Backup) в режиме Application-Aware Image Processing (VSS). Никогда не используйте снапшоты гипервизора как средство бэкапа контроллеров домена!

Частые вопросы (FAQ)

Почему создание снимков (снапшотов) ВМ опасно для контроллеров домена?

База данных NTDS.dit использует жесткую последовательность счетчиков USN. При откате снимка счетчик USN возвращается назад, но внешние партнеры по репликации уже зафиксировали более высокие номера, что делает дальнейшую синхронизацию невозможной.

Что такое VM Generation ID (VM-GenID) в Windows Server 2012+?

VM-GenID — это механизм взаимодействия гипервизора и гостевой ОС. При обнаружении применения снапшота Windows Server сбрасывает пул RID и выполняет безопасную инициализацию базы данных, предотвращая классический USN Rollback.

Можно ли переименовать новый сервер тем же именем, что и удаленный DC?

Технически да, но только ПОСЛЕ полной репликации процедуры Metadata Cleanup по всем контроллерам домена и очистки всех DNS-записей старого DC.

Как проверить здоровье репликации во всем домене после инцидента?

Выполните команду: repadmin /replsummary и repadmin /showrepl * для подтверждения отсутствия ошибок репликации между оставшимися узлами.