Partager via

Erreur de réplication 1753 Le mappeur de point final n’a plus de point final disponible

Cet article décrit les symptômes, la cause et les étapes de résolution des opérations Active Directory qui échouent avec l’erreur 1753 Win32 : « Le mappeur de point final n’a plus de point final disponible ».

DCDIAG signale que le test de connectivité, le test des réplications Active Directory ou le test KnowsOfRoleHolders ont échoué avec l’erreur 1753 : « Le mappeur de point final n’a plus de point final disponible ».

Testing server: <site><DC Name>
Starting test: Connectivity
* Active Directory LDAP Services Check
* Active Directory RPC Services Check
[<DC Name>] DsBindWithSpnEx() failed with error 1753,
There are no more endpoints available from the endpoint mapper..
Printing RPC Extended Error Info:
Error Record 1, ProcessID is <process ID> (DcDiag)
System Time is: <date> <time>
Generating component is 2 (RPC runtime)
Status is 1753: There are no more endpoints available from the endpoint mapper. Detection location is 500
NumberOfParameters is 4
Unicode string: ncacn_ip_tcp
Unicode string: <source DC object GUID>._msdcs.contoso.com
Long val: -481213899
Long val: 65537
Error Record 2, ProcessID is 700 (DcDiag)
System Time is: <date> <time>
Generating component is 2 (RPC runtime)
Status is 1753: There are no more endpoints available from the endpoint mapper.
NumberOfParameters is 1
Unicode string: 1025
[Replications Check,<DC Name>] A recent replication attempt failed:
From <source DC> to <destination DC>
Naming Context: <DN path of directory partition>
The replication generated an error (1753):
There are no more endpoints available from the endpoint mapper.
The failure occurred at <date> <time>.
The last success occurred at <date> <time>.
3 failures have occurred since the last success.
The directory on <DC name> is in the process.
of starting up or shutting down, and is not available.
Verify machine is not hung during boot.

REPADMIN.EXE signale que la tentative de réplication a échoué avec l’état 1753. Les commandes REPADMIN qui citent couramment l’état 1753 incluent, sans s’y limiter :

  • REPADMIN /REPLSUM
  • REPADMIN /SHOWREPL
  • REPADMIN /SHOWREPS
  • REPADMIN /SYNCALL

Voici un exemple de sortie de « REPADMIN/SHOWREPS » illustrant l’échec de la réplication entrante de CONTOSO-DC2 vers CONTOSO-DC1 avec l’erreur « l’accès à la réplication a été refusé » :

Default-First-Site-NameCONTOSO-DC1
DSA Options: IS_GC
Site Options: (none)
DSA object GUID: b6dc8589-7e00-4a5d-b688-045aef63ec01
DSA invocationID: b6dc8589-7e00-4a5d-b688-045aef63ec01
==== INBOUND NEIGHBORS ======================================
DC=contoso,DC=com
Default-First-Site-NameCONTOSO-DC2 via RPC
DSA object GUID: 74fbe06c-932c-46b5-831b-af9e31f496b2
Last attempt @ <date> <time> failed, result 1753 (0x6d9):
There are no more endpoints available from the endpoint mapper.
<#> consecutive failure(s).
Last success @ <date> <time>.

La commande Vérifier la topologie de réplication dans Sites et Services Active Directory retourne « Le mappeur de point final n’a plus de point final disponible ».

Le fait de cliquer avec le bouton droit sur l’objet connexion à partir d’un contrôleur de domaine source et de choisir Vérifier la topologie de réplication échoue avec « Le mappeur de point final n’a plus de point final disponible ». Le message d’erreur à l’écran s’affiche ci-dessous :

Texte du titre de la boîte de dialogue : Vérifier la topologie de réplication Texte du message de la boîte de dialogue : L’erreur suivante s’est produite lors de la tentative de contact du contrôleur de domaine : Le mappeur de point final n’a plus de point final disponible.

La commande Répliquer maintenant dans Sites et Services Active Directory retourne « Le mappeur de point final n’a plus de point final disponible ». Le fait de cliquer avec le bouton droit sur l’objet connexion à partir d’un contrôleur de domaine source et de choisir Répliquer maintenant échoue avec « Le mappeur de point final n’a plus de point final disponible ». Le message d’erreur à l’écran s’affiche ci-dessous :

Texte du titre de la boîte de dialogue : Répliquer maintenant Texte du message de la boîte de dialogue : L’erreur suivante s’est produite lors de la tentative de synchronisation du contexte d’affectation de noms <%directory partition name%> à partir du contrôleur de domaine <DC source> vers le contrôleur de domaine <DC de destination> :

il n’y a plus de points de terminaison disponibles auprès du mappeur de point de terminaison. L’opération ne se poursuit pas

Les événements NTDS KCC, NTDS General ou Microsoft-Windows-ActiveDirectory_DomainService avec l’état -2146893022 sont enregistrés dans le journal Directory Services dans l’observateur d'événements.

Les événements Active Directory qui citent couramment l’état 2146893022 incluent, sans s’y limiter :

ID de l’événement Source de l’événement Chaîne d’événements
1655 Général NTDS Active Directory a tenté de communiquer avec le catalogue global suivant et les tentatives ont échoué.
1925 NTDS KCC Échec de la tentative d’établissement d’un lien de réplication pour la partition d’annuaire accessible en écriture suivante.
1265 NTDS KCC Une tentative de KCC (vérificateur de cohérence des données) visant à ajouter un contrat de réplication pour la partition d’annuaire et le contrôleur de domaine source suivants a échoué.

La cause

Les étapes ci-dessous montrent le workflow RPC commençant par l’inscription de l’application serveur auprès du mappeur de point final (EPM) RPC à l’étape 1 jusqu’à la transmission des données du client RPC à l’application cliente à l’étape 7.

Workflow ADDS RPC

  1. L’application serveur inscrit ses points de terminaison auprès du mappeur de point final (EPM) RPC
  2. Le client effectue un appel RPC (pour le compte d’un utilisateur, d’un système d’exploitation ou d’une opération lancée par l’application)
  3. Le RPC côté client contacte le mappeur de point final (EPM) des ordinateurs cibles et demande au point de terminaison de terminer l’appel client
  4. Le mappeur de point final (EPM) de l’ordinateur serveur répond avec un point de terminaison
  5. Le RPC côté client contacte l’application serveur
  6. L’application serveur exécute l’appel et retourne le résultat au RPC client
  7. Le RPC côté client transmet le résultat à l’application cliente

L’échec 1753 est généré par un échec entre les étapes 3 et 4. Plus précisément, l’erreur 1753 signifie que le client RPC (contrôleur de domaine de destination) a pu contacter le serveur RPC (contrôleur de domaine source) sur le port 135, mais que le mappeur de point final (EPM) sur le serveur RPC (contrôleur de domaine source) n’a pas pu localiser l’application RPC concernée et a retourné l’erreur 1753 côté serveur. La présence de l’erreur 1753 indique que le client RPC (contrôleur de domaine de destination) a reçu la réponse d’erreur côté serveur du serveur RPC (contrôleur de domaine source de réplication AD) sur le réseau.

Les causes racines spécifiques de l’erreur 1753 sont les suivantes :

  • L’application serveur n’a jamais démarré (c’est-à-dire que l’étape 1 du diagramme « plus d’informations » ci-dessus n’a jamais été tentée).
  • L’application serveur a démarré, mais un échec s’est produit lors de l’initialisation qui l’a empêchée de s’inscrire auprès du mappeur de point final RPC (c’est-à-dire que l’étape 1 du diagramme « plus d’informations » ci-dessus a été tentée mais a échoué).
  • L’application serveur a démarré mais a cessé de fonctionner par la suite (c’est-à-dire que l’étape 1 du diagramme « plus d’informations » ci-dessus a été effectuée avec succès, puis annulée, car le serveur a cessé de fonctionner).
  • L’application serveur a désinscrit manuellement ses points de terminaison (similaire au point 3, mais intentionnel. Peu probable, mais inclus à des fins d’exhaustivité.)
  • Le client RPC (contrôleur de domaine de destination) a contacté un serveur RPC différent de celui prévu en raison d’une erreur de mappage nom-IP dans DNS, WINS ou le fichier host/Lmhosts.

L’erreur 1753 n’est PAS due à :

  • Absence de connectivité réseau entre le client RPC (contrôleur de domaine de destination) et le serveur RPC (contrôleur de domaine source) sur le port 135
  • Absence de connectivité réseau entre le serveur RPC (contrôleur de domaine source) via le port 135 et le client RPC (contrôleur de domaine de destination) sur le port éphémère.
  • Incompatibilité de mot de passe ou incapacité du contrôleur de domaine source à déchiffrer un paquet Kerberos chiffré

Résolutions

Vérifiez que le service qui inscrit son service auprès du mappeur de point final a démarré

  • Pour les contrôleurs de domaine Windows 2000 et Windows Server 2003 : vérifiez que le contrôleur de domaine source est démarré en mode normal.
  • Pour Windows Server 2008 ou Windows Server 2008 R2 : à partir de la console du contrôleur de domaine source, démarrez le Gestionnaire de services (services.msc) et vérifiez que le service Active Directory Domain Services est en cours d’exécution.

Vérifiez que le client RPC (contrôleur de domaine de destination) est connecté au serveur RPC prévu (contrôleur de domaine source)

Tous les contrôleurs de domaine d’une forêt Active Directory commune inscrivent un enregistrement CNAME de contrôleur de domaine dans la zone DNS _msdcs. de <domaine racine de forêt>, quel que soit le domaine dans lequel ils résident dans la forêt. L’enregistrement CNAME DC est dérivé de l’attribut objectGUID de l’objet Paramètres NTDS pour chaque contrôleur de domaine.

Lors de l’exécution d’opérations basées sur la réplication, un contrôleur de domaine de destination interroge DNS pour obtenir l’enregistrement CNAME des contrôleurs de domaine sources. L’enregistrement CNAME contient le nom d’ordinateur complet du contrôleur de domaine source qui est utilisé pour dériver l’adresse IP des contrôleurs de domaine sources via la recherche dans le cache client DNS, la recherche dans le fichier Host/LMHost, l’enregistrement hôte A/AAAA dans DNS ou WINS.

Les objets Paramètres NTDS obsolètes et les mappages Nom-IP incorrects dans les fichiers DNS, WINS, Host et LMHOST peuvent entraîner une connexion incorrecte du client RPC (contrôleur de domaine de destination) au serveur RPC (contrôleur de domaine source). En outre, le mappage Nom-IP incorrect peut entraîner la connexion du client RPC (contrôleur de domaine de destination) à un ordinateur sur lequel l’application serveur RPC (le rôle Active Directory dans ce cas) n’est même pas installée. (Exemple : un enregistrement hôte obsolète pour DC2 contient l’adresse IP de DC3 ou d’un ordinateur membre).

Vérifiez que objectGUID du contrôleur de domaine source qui existe dans la copie des contrôleurs de domaine de destination Active Directory correspond à objectGUID du contrôleur de domaine source stocké dans la copie des contrôleurs de domaine sources Active Directory. En cas de disparité, utilisez repadmin/showobjmeta sur l’objet Paramètre NTDS pour voir lequel correspond à la dernière promotion du contrôleur de domaine source (conseil : comparez les horodatages pour l’objet Paramètres NTDS create date from/showobjmeta et la date de dernière promotion dans le fichier dcpromo.log source des contrôleurs de domaine. Vous devrez peut-être utiliser la date de dernière modification/création du fichier DCPROMO.LOG). Si les GUID de l’objet ne sont pas identiques, le contrôleur de domaine de destination a probablement un objet Paramètres NTDS obsolète pour le contrôleur de domaine source dont l’enregistrement CNAME fait référence à un enregistrement hôte avec un mappage Nom-IP incorrect.

Sur le contrôleur de domaine de destination, exécutez IPCONFIG/ALL pour déterminer les serveurs DNS que le contrôleur de domaine de destination utilise pour la résolution de noms :

c:>ipconfig /all

Sur le contrôleur de domaine de destination, exécutez NSLOOKUP sur l’enregistrement DC CNAME complet des contrôleurs de domaine sources :

c:>nslookup -type=cname <fully qualified cname of source DC> <destination DCs primary DNS Server IP >
c:>nslookup -type=cname <fully qualified cname of source DC> <destination DCs secondary DNS Server IP>

Vérifiez que l’adresse IP retournée par NSLOOKUP « possède » le nom d’hôte/l’identité de sécurité du contrôleur de domaine source :

C:>NBTSTAT -A <IP address returned by NSLOOKUP in the step above>

Connectez-vous à la console du contrôleur de domaine source, exécutez « IPCONFIG » à partir de l’invite CMD et vérifiez que le contrôleur de domaine source possède l’adresse IP retournée par la commande NSLOOKUP ci-dessus

Rechercher les mappages hôte-IP dupliqués/obsolètes dans DNS

NSLOOKUP -type=hostname <single label hostname of source DC> <primary DNS Server IP on destination DC>
NSLOOKUP -type=hostname <single label hostname of source DC> <secondary DNS Server IP on destination DC>

NSLOOKUP -type=hostname <fully qualified computer name of source DC> <primary DNS Server IP on destination DC>
NSLOOKUP -type=hostname <fully qualified computer name of source DC> <secondary DNS Server IP on dest. DC>

Si des adresses IP non valides existent dans les enregistrements de l’hôte, vérifiez si le nettoyage DNS est activé et correctement configuré.

Si les tests ci-dessus ou une trace réseau n’affiche pas de requête de nom retournant une adresse IP non valide, vérifiez les entrées obsolètes dans les fichiers HOST, les fichiers LMHOSTS et les serveurs WINS. Notez que les serveurs DNS peuvent également être configurés pour effectuer la résolution de noms de secours WINS.

  • Vérifiez que l’application serveur (Active Directory et autres) s’est inscrite auprès du mappeur de point final sur le serveur RPC (contrôleur de domaine source)
  • Active Directory utilise une combinaison de ports connus et inscrits dynamiquement. Ce tableau répertorie les ports et protocoles connus utilisés par les contrôleurs de domaine Active Directory.
Application serveur RPC Port TCP UDP (User Datagram Protocol)
Serveur DNS 53 X X
Kerberos 88 X X
Serveur LDAP 389 X X
Microsoft-DS 445 X X
LDAP SSL 636 X X
Serveur du catalogue global 3268 X
Serveur du catalogue global 3269 X

Les ports connus ne sont PAS inscrits auprès du mappeur de point final.

Active Directory et d’autres applications inscrivent également des services qui reçoivent des ports attribués dynamiquement dans la plage de ports éphémères RPC. Ces applications serveur RPC se voient attribuer dynamiquement des ports TCP compris entre 1024 et 5000 sur des ordinateurs Windows 2000 et Windows Server 2003 et des ports compris entre 49152 et 65535 sur les ordinateurs Windows Server 2008 et Windows Server 2008 R2. Le port RPC utilisé par la réplication peut être codé en dur dans le registre en suivant les étapes décrites dans l’article 224196 de la base de connaissances. Active Directory continue de s’inscrire auprès de l’EPM lorsqu’il est configuré pour utiliser un port codé en dur.

Vérifiez que l’application serveur RPC concernée s’est inscrite auprès du mappeur de point final RPC sur le serveur RPC (le contrôleur de domaine source dans le cas de la réplication AD).

Il existe plusieurs façons d’accomplir cette tâche, mais l’une consiste à installer et à exécuter PORTQRY à partir d’une invite CMD d’administrateur privilégié sur la console du contrôleur de domaine source à l’aide de la syntaxe :

portquery -n <source DC> -e 135 > file.txt

Dans la sortie portqry, notez les numéros de port enregistrés dynamiquement par l’« interface DRS du répertoire MS NT » (UUID = 351...) pour le protocole ncacn_ip_tcp. L’extrait de code ci-dessous montre l’exemple de sortie portquery d’un contrôleur de domaine Windows Server 2008 R2 :

UUID: e3514235-4b06-11d1-ab04-00c04fc2dcd2 MS NT Directory DRS Interface
ncacn_np:CONTOSO-DC01[\pipe\lsass]
UUID: e3514235-4b06-11d1-ab04-00c04fc2dcd2 MS NT Directory DRS Interface
ncacn_np:CONTOSO-DC01[\PIPE\protected_storage]
UUID: e3514235-4b06-11d1-ab04-00c04fc2dcd2 MS NT Directory DRS Interface
ncacn_ip_tcp:CONTOSO-DC01[49156]
UUID: e3514235-4b06-11d1-ab04-00c04fc2dcd2 MS NT Directory DRS Interface
ncacn_http:CONTOSO-DC01[49157]
UUID: e3514235-4b06-11d1-ab04-00c04fc2dcd2 MS NT Directory DRS Interface
ncacn_http:CONTOSO-DC01[6004]

Autres méthodes possibles pour résoudre cette erreur :

  • Vérifiez que le contrôleur de domaine source est démarré en mode normal et que le système d’exploitation et le rôle DC sur le contrôleur de domaine source ont entièrement démarré.

  • Vérifiez que le service de domaine Active Directory est en cours d’exécution. Si le service est actuellement arrêté ou n’a pas été configuré avec les valeurs de démarrage par défaut, réinitialisez les valeurs de démarrage par défaut, redémarrez le contrôleur de domaine modifié, puis réessayez l’opération.

  • Vérifiez que la valeur de démarrage et l’état du service pour le service RPC et RPC Locator sont corrects pour la version du système d’exploitation du client RPC (contrôleur de domaine de destination) et du serveur RPC (contrôleur de domaine source). Si le service est actuellement arrêté ou n’a pas été configuré avec les valeurs de démarrage par défaut, réinitialisez les valeurs de démarrage par défaut, redémarrez le contrôleur de domaine modifié, puis réessayez l’opération.

    • En outre, vérifiez que le contexte de service correspond aux paramètres par défaut répertoriés dans le tableau suivant.

      Service État par défaut (type de démarrage) dans Windows Server 2003 et versions ultérieures État par défaut (type de démarrage) dans Windows Server 2000
      Appel de procédure distante Démarré (automatique) Démarré (automatique)
      RPC Locator Null ou Arrêté (manuel) Démarré (automatique)

  • Vérifiez que la taille de la plage de ports dynamiques n’a pas été limitée. La syntaxe NETSH de Windows Server 2008 et de Windows Server 2008 R2 pour énumérer la plage de ports RPC est illustrée ci-dessous :

    netsh int ipv4 show dynamicport tcp
netsh int ipv4 show dynamicport udp
netsh int ipv6 show dynamicport tcp
netsh int ipv6 show dynamicport udp

  • Vérifiez que les définitions de port codées en dur définies dans l’article 224196 de la base de connaissances se situent dans la plage de ports dynamiques pour la version du système d’exploitation des contrôleurs de domaine sources. Consultez l’article 224196 de la base de connaissances et vérifiez que le port codé en dur se situe dans la plage de ports éphémères pour la version du système d’exploitation du contrôleur de domaine source.

  • Vérifiez que la clé ClientProtocols existe sous HKLM\Software\Microsoft\Rpc et contient les 5 valeurs par défaut suivantes :

    ncacn_http REG_SZ rpcrt4.dll
ncacn_ip_tcp REG_SZ rpcrt4.dll
ncacn_nb_tcp REG_SZ rpcrt4.dll
ncacn_np REG_SZ rpcrt4.dll
ncacn_ip_udp REG_SZ rpcrt4.dll

Plus d’informations

Exemple de mappage Nom-IP incorrect provoquant l’erreur RPC 1753 en comparaison avec -2146893022 : le nom du principal cible est incorrect

Le domaine contoso.com se compose de DC1 et DC2 avec les adresses IP x.x.1.1 et x.x.1.2. Les enregistrements « A »/« AAAA » de l’hôte pour DC2 sont correctement inscrits sur tous les serveurs DNS configurés pour DC1. En outre, le fichier HOSTS sur DC1 contient une entrée mappant le nom d’hôte complet DC2s à l’adresse IP x.x.1.2. Plus tard, l’adresse IP de DC2 passe de X.X.1.2 à X.X.1.3 et un nouvel ordinateur membre est joint au domaine avec l’adresse IP x.x.1.2. Les tentatives de réplication AD déclenchées par la commande Répliquer maintenant dans le composant logiciel enfichable Sites et Services Active Directory échouent avec l’erreur 1753, comme indiqué dans la trace ci-dessous :

F# SRC    DEST    Operation
1 x.x.1.1 x.x.1.2 ARP:Request, x.x.1.1 asks for x.x.1.2
2 x.x.1.2 x.x.1.1 ARP:Response, x.x.1.2 at 00-13-72-28-C8-5E
3 x.x.1.1 x.x.1.2 TCP:Flags=......S., SrcPort=50206, DstPort=DCE endpoint resolution(135)
4 x.x.1.2 x.x.1.1 ARP:Request, x.x.1.2 asks for x.x.1.1
5 x.x.1.1 x.x.1.2 ARP:Response, x.x.1.1 at 00-15-5D-42-2E-00
6 x.x.1.2 x.x.1.1 TCP:Flags=...A..S., SrcPort=DCE endpoint resolution(135)
7 x.x.1.1 x.x.1.2 TCP:Flags=...A...., SrcPort=50206, DstPort=DCE endpoint resolution(135)
8 x.x.1.1 x.x.1.2 MSRPC:c/o Bind: UUID{E1AF8308-5D1F-11C9-91A4-08002B14A0FA} EPT(EPMP)
9 x.x.1.2 x.x.1.1 MSRPC:c/o Bind Ack: Call=0x2 Assoc Grp=0x5E68 Xmit=0x16D0 Recv=0x16D0
10 x.x.1.1 x.x.1.2 EPM:Request: ept_map: NDR, DRSR(DRSR) {E3514235-4B06-11D1-AB04-00C04FC2DCD2} [DCE endpoint resolution(135)]
11 x.x.1.2 x.x.1.1 EPM:Response: ept_map: 0x16C9A0D6 - EP_S_NOT_REGISTERED

À l’image 10, le contrôleur de domaine de destination interroge le mappeur de point final des contrôleurs de domaine sources sur le port 135 pour l’UUID E351 de la classe du service de réplication Active Directory...

À l’image 11, le contrôleur de domaine source, dans ce cas un ordinateur membre qui n’héberge pas encore le rôle de contrôleur de domaine et n’a donc pas inscrit l’UUID E351... pour le service de réplication avec son EPM local répond par l’erreur symbolique EP_S_NOT_REGISTERED qui correspond à l’erreur décimale 1753, l’erreur hexadécimale 0x6d9 et l’erreur conviviale « Le mappeur de point final n’a plus de point final disponible ».

Plus tard, l’ordinateur membre avec l’adresse IP x.x.1.2 est promu en tant que réplica « MayberryDC » dans le domaine contoso.com. Là encore, la commande Répliquer maintenant est utilisée pour déclencher la réplication, mais cette fois échoue avec l’erreur à l’écran « Le nom du principal cible est incorrect ». L’ordinateur dont la carte réseau se voit attribuer l’adresse IP x.x.1.2 est un contrôleur de domaine, est actuellement démarré en mode normal et a inscrit l’UUID E351... pour le service de réplication avec son EPM local, mais il ne possède pas le nom ou l’identité de sécurité de DC2 et ne peut pas déchiffrer la requête Kerberos à partir de DC1. La demande échoue maintenant avec l’erreur « Le nom du principal cible est incorrect ». L’erreur correspond à l’erreur décimale -2146893022/à l’erreur hexadécimale 0x80090322.

Ces mappages Hôte-IP non valides peuvent être causés par des entrées obsolètes dans les fichiers host/lmhost, les inscriptions A/AAAA de l’hôte dans DNS ou WINS.

Résumé : cet exemple a échoué, car un mappage Hôte-IP non valide (dans le fichier HOST dans ce cas) a entraîné la résolution du contrôleur de domaine de destination en un contrôleur de domaine « source » sur lequel le service Active Directory Domain Services n’était pas exécuté (ou même installé d’ailleurs) de sorte que le SPN de réplication n’était pas encore inscrit et le contrôleur de domaine source a renvoyé l’erreur 1753. Dans le deuxième cas, un mappage Hôte-IP non valide (toujours dans le fichier HOST) a provoqué la connexion du contrôleur de domaine de destination à un contrôleur de domaine qui avait inscrit le SPN de réplication E351..., mais cette source avait un nom d’hôte et une identité de sécurité différents de ceux du contrôleur de domaine source prévu, donc les tentatives ont échoué avec l’erreur -2146893022 : Le nom du principal cible est incorrect.