解決 Windows Server 2003 域控制器缺少 SYSVOL 與 NETLOGON 共享完整指南

域控制器缺少 SYSVOL 與 NETLOGON 共享，將導致群組原則無法套用、用戶端無法登入網域、啟動腳本失效等嚴重後果。此問題常見於副本域控制器，新網域首個 DC 亦可能發生。本文提供系統性診斷與修復流程，涵蓋 FRS 複寫拓撲、NTDS 連接物件、服務權限與資料夾結構驗證。

核心架構理解

• SYSVOL：儲存群組原則範本（.adm/.admx）、啟動/關機/登入/登出腳本，由 檔案複寫服務 (FRS) 複寫。
• NETLOGON：實際指向 %SystemRoot%\SYSVOL\sysvol\<DomainName>\scripts，提供腳本下載與網域控制器定位服務。
• 相依關係：Active Directory 複寫（透過 NTDS 連接物件）先同步 FRS 訂閱者物件與複寫拓撲設定，FRS 再據此複寫 SYSVOL 實際資料。AD 複寫正常是 FRS 複寫正常的前提。

分階段診斷與修復流程

階段一：網路與名稱解析基礎驗證

1. 所有 DC 需能解析彼此完整網域名稱 (FQDN)，ping dc01.corp.contoso.com 回應 IP 需與 ipconfig 一致。
2. 確認 DNS 區域允許動態更新，DC 皆註冊正確的 A 記錄與 SRV 記錄（_ldap._tcp.dc._msdcs、_kerberos._tcp.dc._msdcs）。

階段二：NTDS 連接物件與 AD 複寫健康度

使用 dssite.msc（Active Directory 站台與服務）檢查：

• 問題 DC 與上游夥伴間存在雙向入站連接物件（KCC 自動產生或手動建立）。
• 執行 「檢查複寫拓撲」 強制 KCC 重新計算，若失敗需手動建立連接物件。
• 刪除重複連接物件（事件 ID 13557 指示重複連接導致複寫禁止）。

使用 repadmin /showreps <DC_Name> 驗證複寫狀態：

• 同站台預設 5 分鐘間隔，跨站台依站台連結排程（預設 3 小時，最小 15 分鐘）。
• 檢查「上次嘗試」、「上次成功」、「結果」欄位，結果需為 0 (Success)。

階段三：FRS 服務與 Jet 資料庫檢查

1. 確認 FRS 服務 (NtFrs) 於所有 DC 為「已啟動」且「自動」啟動類型。
2. 驗證 Jet 資料庫存在：dir \\<DC_Name>\Admin$\NtFrs\Jet\Ntfrs.jdb。
3. 執行 ntfrsutl ds <DC_Name> 輸出中，確認：
   • SET: DOMAIN SYSTEMVOLUME (SYSVOL SHARE) 區段列出所有域控制器。
   • SUBSCRIPTION 區段顯示該 DC 為訂閱者，且 Working Directory 路徑正確。

階段四：SYSVOL 資料夾結構與權限修復

標準 SYSVOL 結構應包含：

SYSVOL\
├── domain\
│   ├── DO_NOT_REMOVE_NtFrs_PreInstall_Directory
│   ├── Policies\{GUID}\{Machine,User,Adm}
│   ├── scripts\
│   ├── staging\
│   └── staging areas\
└── sysvol\ (SYSVOL 共享實際指向此處)
    └── <DomainName>\scripts\ (NETLOGON 共享指向此處)

關鍵權限檢查：

• 預設域控制器原則中，「從網路存取此電腦」權限必須授予 Enterprise Domain Controllers 群組。
• 使用 secedit /configure /db %temp%\chk.sdb /cfg %windir%\security\templates\defltdc.inf /log %temp%\chk.log 對照預設安全範本驗證（Server 2003 使用 setup security.inf）。

階段五：強制 FRS 非權威/權威還原（終極手段）

若上述步驟均正常但共享仍未出現，需執行 FRS 重建：

1. 確定一台健康的源 DC（擁有完整 SYSVOL/NETLOGON 共享）。
2. 目標 DC：停止 FRS 服務，設登錄檔 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NtFrs\Parameters\Backup/Restore\Process at Startup = D2（非權威還原）。
3. 源 DC：同路徑設為 D4（權威還原）。
4. 依序啟動源 DC FRS 服務 → 待事件日誌記錄「FRS 已開始權威還原」 → 啟動目標 DC FRS 服務。
5. 複寫完成後，兩台 DC 皆將該值改回 0 並重啟 FRS 服務。

注意： D4/D2 操作將覆蓋目標 DC 的 SYSVOL 資料，執行前務必備份 %SystemRoot%\SYSVOL。

自動化監控建議

部署監控腳本（PowerShell + 任務排程器）每 15 分鐘檢查：

$shares = Get-WmiObject Win32_Share | Where-Object {$_.Name -in 'SYSVOL','NETLOGON'}
if ($shares.Count -ne 2) {
    Send-MailMessage -To "admin@corp.contoso.com" -Subject "DC $env:COMPUTERNAME 缺少 SYSVOL/NETLOGON 共享" -Body "立即檢查 FRS 服務與複寫狀態"
}

透過系統性驗證「網路→AD 複寫→FRS 訂閱→資料夾結構→權限」五大支柱，配合 D4/D2 重建作為最終手段，可解決 99% 的 SYSVOL/NETLOGON 共遺失問題。長期而言，規劃遷移至 Windows Server 2008 R2+ 的 DFS 複寫 (DFSR) 取代 FRS，將獲得更強健的複寫引擎與可見度。