Nltest
查看登陆到的ＤＣ：
nltest：查询工作站与域控间的信任关系：
返回包含用户 hvuser 的DC：
DSA操作不能继续因为一个DNS查找错误
⑴使用Nltest /dsgetdc: /pdc /force /avoidself命令确定是否返回了正确的主域控制器；
⑵如果使用REPLMON或者REPADMIN命令报告此处有一个连接对象但是没有一个复制链接，问题可能出在KCC上；
⑶在主域控制器上运行以下命令：nltest /DBFLAG:0x2000FFFF和nltest /DSGETDC: /GC，然后根据输出信息判断错误出在什么地方；
⑷运行nltest /dsgetdc: /gc /force确定你能否联系一个GC；
⑸在主域控制器和发生错误的服务器上检查“passWord last changed”参数。
echo %username%
whoami /all
查询当前用户账户信息：
===========================================================
Nltest是内置于 Windows Server 2008 和 Windows Server 2008 R2 的命令行工具。 如果您有 AD DS 或 AD LDS 服务器角色安装，则可用。 如果安装活动目录域服务工具的一部分的远程服务器管理工具 （RSAT），则也可以用。 若要使用nltest，您必须从提升的命令提示符下运行nltest命令。 要打开提升的命令提示符，请单击开始，用鼠标右键单击命令提示符下，然后单击以管理员身份运行。
Nltest.exe
您可以使用nltest到：
- 获取域控制器的列表
- 强制远程关闭
- 查询信任的状态
- 测试在 Windows 域的信任关系和域控制器复制的状态
- 强制同步 Windows NT 版本 4.0 或更早版本的域控制器上的用户帐户数据库
Nltest可以测试和重置客户端之间进行登录的域控制器的 NetLogon 服务建立的安全通道。 使用 Kerberos 身份验证的客户端不能使用此安全通道。
概念
离散的通讯通道，称为安全通道，存在 Windows NT 4.0 环境中的受信任的域和父域和 Active Directory 环境中的与其直接子之间。 在 Windows NT 4.0 环境中， nltest用户帐户进行身份验证，远程用户连接到网络资源和受信任域中存在的用户帐户时使用这些通道。 这称为通过身份验证。
Nltest提供了可用于故障排查 Windows Server 2008 操作系统配置的诊断功能。 但是，因为nltest主要是供系统管理员和支持人员，其输出可能难以分析。 在这种情况下，您可以查看 Windows 部署和资源工具包中的相应的故障排除部分。 任何上述nltest描述中的项目符号列表中的关键字进行搜索。
语法
nltest [/ 服务器： <servername>] [<operation> [<parameter>]
- / 服务器： <ServerName>
- 您指定的远程域控制器上运行nltest 。 如果不指定此参数，在本地计算机，它是域控制器上将运行nltest 。
参数
| 参数 | 说明 |
|---|---|
|
/query |
您使用的安全通道上一次的状态报告。 （安全通道是 NetLogon 服务建立的。 |
|
/repl |
强制与主域控制器 (PDC) 进行同步。 Nltest同步仅尚未复制到备份域控制器 (BDC) 的更改。 您可以使用此参数 Windows NT 4.0 Bdc 的不是用于 Active Directory 复制。 您必须具有管理凭据才能使用此参数。 |
|
/sync |
强制与 PDC 立刻同步整个安全帐户管理器 (SAM) 数据库。 您可以使用此参数 Windows NT 4.0 Bdc 的不是用于 Active Directory 复制。 您必须具有管理凭据才能使用此参数。 |
|
/pdc_repl |
强制将同步通知发送到所有 Bdc PDC。 您可以使用此参数 Windows NT 4.0 Pdc 的不是用于 Active Directory 复制。 您必须具有管理凭据才能使用此参数。 |
|
/sc_query: <DomainName> |
安全通道使用上一次的状态报告。 （安全通道是 NetLogon 服务建立的。此参数中列出的域控制器的安全通道，还查询的名称。 |
|
/sc_reset: <DomainName> |
删除，然后重新生成，NetLogon 服务建立的安全通道。 您必须具有管理凭据才能使用此参数。 |
|
/sc_verify: <DomainName> |
检查状态的 NetLogon 服务建立的安全通道。 如果不能对安全通道，此参数将删除现有的通道，，然后生成一个新。 您必须具有管理凭据才能使用此参数。 此参数才是在运行 Windows 2000 Service Pack 2 和更高版本的域控制器上有效。 |
|
/sc_change_pwd: <DomainName> |
更改为您指定的域的信任帐户的密码。 如果您在域控制器上，运行nltest存在显式的信任关系， nltest重置的域间信任帐户的密码。 否则， nltest更改为您指定的域计算机帐户密码。此参数仅用于运行 Windows 2000 及更高版本的计算机。 |
|
/dclist: <DomainName> |
列出域中的所有域控制器。 在 Windows NT 4.0 域环境中，此参数检索的域的列表使用浏览器服务。 在活动目录环境中，此命令首先查询 Active Directory 域控制器的列表。 如果该查询失败， nltest然后使用浏览器服务。 |
|
/dcname: <DomainName> |
列出域的主域控制器或 PDC 模拟器的域名称。 |
|
/dsgetdc: <DomainName> |
查询的域名系统 (DNS) 服务器列表中的域控制器和其相应的 IP 地址。 此参数还联系，检查连接的每个域控制器。 下面的列表显示了可用于筛选域控制器的列表，或在语法中指定备用名称类型的值。
|
|
/dnsgetdc: <DomainName> |
查询 DNS 服务器的列表中的域控制器和其相应的 IP 地址。 下面的列表显示了可用于筛选的域控制器列表的值。
|
|
/dsgetfti: <DomainName> [/UpdateTDO] |
返回有关林间的信任关系的信息。 您可以使用此参数仅用于 Windows Server 2008 的域控制器的目录林根中的。 如果不存在任何林间的信任关系，此参数会返回错误。 /UpdateTDO /UpdateTDO 值自动更新存储在本地林间的信任。 |
|
/dsgetsite |
返回所驻留的域控制器的站点的名称。 |
|
/dsgetsitecov |
返回包含域控制器的站点的名称。 域控制器可覆盖具有其自身的任何本地域控制器的站点。 |
|
/parentdomain |
返回父域的服务器的名称。 |
|
/dsregdns |
刷新所有特定于您指定的域控制器的 DNS 记录注册。 |
|
/dsderegdns: <DnsHostName> |
注销适用参数中指定的主机的 DNS 主机记录。 下面的列表显示了可用于指定nltest注销的记录的值。
|
|
/whowill: <Domain> / <User> |
查找具有指定的用户帐户的域控制器。 此参数用于确定nltest是否已复制到其他域控制器的帐户信息。 |
|
/finduser: <User> |
查找直接信任您指定的用户帐户所属的域。 此参数用于较旧的客户端操作系统的登录问题进行故障排除。 |
|
/transport_notify |
刷新强制发现域控制器的负缓存。 Windows NT 4.0 域控制器，您可以使用此参数。 客户端登录到 Windows 2000 和 Windows Server 2003 的域控制器时，将自动完成此操作。 |
|
/dbflag: <HexadecimalFlags> |
设置新的调试标志。 大多数情况下，使用 0x2000FFFF 作为值HexadecimalFlags。 调试标志在 Windows Server 2003 注册表中的项是HKLM\System\CurrentControlSet\Services\Netlogon\Parameters\DBFlag。 |
|
/user： <UserName> |
显示许多您维护的属性所指定的用户的 SAM 帐户数据库中。 您不能使用此参数存储在 Active Directory 数据库中的用户帐户。 |
|
/ 时间： <HexadecimalLSL><HexadecimalMSL> |
将转换为 ASCII Windows NT 格林威治标准时间 (GMT) 的时间。 HexadecimalLSL是最不重要的 longword 的十六进制值。 HexadecimalMSL是最重要的 longword 的十六进制值。 |
|
/logon_query |
查询累积的 NTLM 登录尝试次数在控制台或通过网络。 |
|
/domain_trusts |
返回受信任域的列表。 / 主 /Forest /Direct_Out /Direct_In /All_Trusts /v。 下面的列表显示了可用于筛选列表的域的值。
|
|
/dsquerydns |
查询所有特定于您指定的域控制器的 DNS 记录的最后一次更新的状态。 |
|
/bdc_query: <DomainName> |
查询的域名称，在 Bdc 的列表，并显示其状态的同步和复制状态。 此参数仅用于 Windows NT 4.0 的域控制器。 |
|
/sim_sync: <DomainName><ServerName> |
模拟完全同步复制。 这是非常有用的参数，用于测试环境。 |
|
/list_deltas: <FileName> |
显示文件名的内容更改日志文件，其中列出了用户帐户数据库的更改。 Netlogon.chg 是此日志文件，只在 Windows NT 4.0 Bdc 上驻留的默认名称。 |
|
/cdigest: <Message>/domain： <DomainName> |
显示当前客户端使用安全通道的摘要。 （摘要是计算密码派生自该nltest 。）此参数显示还基于以前的密码，该摘要。 Nltest登录客户端计算机的域控制器之间还是域控制器之间复制的目录服务，请使用安全通道。 您可以检查的信任帐户密码同步的/sdigest参数一起使用此参数。 |
|
/sdigest: <Message>删除 /： <RID_In_Hexadecimal> |
显示当前服务器使用安全通道的摘要。 （摘要是计算密码派生自该nltest 。）此参数也显示为以前的密码，该摘要。 如果从服务器的摘要与从客户端的摘要相匹配，然后nltest同步密码对安全通道。 如果摘要不匹配，然后nltest可能没有复制密码更改尚未。 |
|
/shutdown: <Reason> <Seconds> |
远程关闭服务器名称中指定的服务器。 一个字符串，用于在原因的值，指定关机的原因，您使用一个整数，指定的秒值在关机之前的时间量。 有关完整说明，请参阅InitiateSystemShutdown平台 SDK 文档。 |
|
/shutdown_abort |
终止系统关机。 |
|
{/help | /?} |
在命令提示符下显示帮助。 |
示例
示例 1： 验证域中的域控制器
下面的示例使用/dclist参数来创建列表的域控制器的域 fourthcoffee.com
nltest /dclist:fourthcoffee
此命令将显示与以下类似的输出：
获得 \\fourthcoffee-dc-01 域 ntdev 中的域控制器列表。 fourthcoffee-dc-01.forthcoffee.com [DS] 站点： 罗马 fourthcoffee-dc-03.forthcoffee.com [DS] 站点： LasVegas fourthcoffee-dc-04.forthcoffee.com [DS] 站点： LA fourthcoffee-dc-09.forthcoffee.com [DS] 站点： 纽约 fourthcoffee-dc-12.forthcoffee.com [DS] 站点： 巴黎 fourthcoffee-dc-24.forthcoffee.com [DS] 站点： Chattaroy fourthcoffee-dc-32.forthcoffee.com [DS] 站点： Haifa fourthcoffee-dc-99.forthcoffee.com [DS] 站点： 雷德蒙 fourthcoffee-dc-63.forthcoffee.com [PDC] [DS] 网站： LondonThe 命令已成功完成
示例 2： 用户的高级的信息
下面的示例显示有关特定用户的详细的信息。
nltest /user:"TestAdmin"
此命令将显示与以下类似的输出：
用户： User1Rid： 0x3ebVersion： 0x10002LastLogon： 2ee61c9a 01c0e947 = 13:29:10PasswordLastSet 2001 年 5 月 30 日： 9dad5428 01c0e577 = 17:05:47AccountExpires 2001 年 5 月 25： ffffffff 7fffffff = 9/13/30828 19:48:05PrimaryGroupId： 0x201UserAccountControl： 0x210CountryCode： 0x0CodePage： 0x0BadPasswordCount： 0x0LogonCount： 0x33AdminCount: 0x1SecurityDescriptor: 80140001 0000009c 000000ac 00000014 00000044 00300002 00000002 0014c002 01050045 00000101 01000000 00000000 0014c002 000f07ff 00000101 05000000 00000007 00580012 00000003 00240000 00020044 00000501 05000000 00000015 22cdb7b4 7112b3f1 2b3be507 000003eb 00180000 000f07ff 00000201 05000000 00000020 00000220 00140000 0002035b 00000101 01000000 00000000 00000201 05000000 00000020 00000220 00000201 05000000 00000020 00000220AccountName: User1Groups: 00000201 00000007LmOwfPassword： fb890c9c 5c7e7e09 ee58593b d959c681NtOwfPassword: d82759cc 81a342ac df600c37 4e58a478NtPasswordHistory: 00011001LmPasswordHistory: 00010011The 命令成功完成
示例 3： 验证信任关系与特定的服务器
下面的示例验证 dc1 的服务器具有有效的信任关系的域。
nltest.exe /server:fourthcoffee-dc-01 /sc_query:fourthcoffee
此命令将显示与以下类似的输出：
标志: 30 HAS_IP HAS_TIMESERVTrusted DC 名称 \\fourthcoffee-dc-01.forthcoffee.comTrusted DC 的连接状态状态 = 0 0x0 NERR_SuccessThe 命令已成功完成
 注意 |
|---|
| DNS_DC 和 DNS_DOMAIN 标志指示中 （类似于垃圾回收或 TIMESERV，告诉您有关返回信息的域控制器的标志） 相对于该请求返回的信息的格式。 具体来说，它们的存在表示返回的域控制器的名称和域名，分别 DNS 格式。 它们不存在表示返回的域控制器的名称和域名 NetBIOS 格式。
|
示例 4： 确定为域的 PDC 仿真程序
下面的示例标识为一个域的 PDC 仿真，请参阅 Windows NT 4.0–based 的计算机的域控制器。
nltest /dcname:fourthcoffee
此命令将显示与以下类似的输出：
Fourthcoffee 域的 PDC 是 \\fourthcoffee-dc-01The 命令已成功完成
您可以看到该 a-dcp 是为您的域的 PDC 仿真程序。
示例 5： 显示域的信任关系
下面的示例列出了为您的域建立的信任关系。
nltest /domain_trusts
此命令将显示与以下类似的输出：
列表中的域信任关系: 0: forthcoffee forthcoffee.com （NT 5） （林树的根） （主域） 命令成功完成
本示例显示了一个域信任本身而不是其他域。
