在域环境里面，如果两个DC之间启动防火墙，就会出现无法同步的现象。

从服务器日志看到：文件复制服务有困难启用复制: 从 PDC 到 BDC 为 c:\windows\sysvol\domain 用 DNS 名称 pdc.xin***.com。FRS 将继续重试。

以下是您看到此警告的一些原因。

[1] FRS 不能从此计算机正确解析此 DNS 名称 pdc.xin****.com。

[2] FRS 不在 pdc.xin***.com 上运行。

[3] Active Directory 里此副件的拓扑信息还没有复制到所有域控制器。

这个事件纪录消息将每个连接出现一次。问题解决后，您将看到另一个事件日志消息， 它表明连接被建立。

譬如：在主域控制器以外的域控制器里面建用户，提示，windows无法验证用户名的唯一性,因为在全局编录联系下发生下列错误：该服务器不可操作

解决办法：

1、关闭域控制器的防火墙

2、或者开放域控制器所需端口

用户登录与验证身份时会用到的连接端口 

用户登录时会用到以下的服务，因此如果用户的计算机与域控制器之间被防火墙隔开，就必须在防火墙开放这些服务的连接端口。 

Microsoft-DS traffic: 445/TCP、445/UDP 

Kerberos: 88/TCP、 88/UDP 

LDAP ping: 389/UDP 

DNS: 53/TCP、53/UDP 

计算机登录与验证身份时会用到的连接端口 

计算机登录到域控制器时会用到以下的服务，因此如果域的成员计算机与域控制之间被防火墙隔开，就必须在防火墙开放这些服务的连接端口。 

Microsoft-DS traffic: 445/TCP、445/UDP 

Kerberos: 88/TCP、 88/UDP 

LDAP ping: 389/UDP 

DNS: 53/TCP、53/UDP

建立域信任时会用到的连接端口 

位于不同林的域在建立“显性信任（explicit trust）”关系时，会用到以下的服务，因此如果这两个域的域控制器之间被防火墙隔开，就必须在防火墙开放这些服务的连接端口。 

Microsoft-DS traffic: 445/TCP、445/UDP 

Kerberos: 88/TCP、 88/UDP 

LDAP：389/TCPAK 636/TCP（如果使用SSL） 

LDAP ping: 389/UDP 

DNS: 53/TCP、53/UDP 

验证域信任时会用到的连接端口 

两个域内的域控制器在验证信任关系时会用到以下的服务，因此如果这两台域控制器之间被防火墙隔开，就必须在防火墙开放这些服务的连接端口。 

Microsoft-DS traffic: 445/TCP、445/UDP 

Kerberos: 88/TCP、 88/UDP 

LDAP：389/TCPAK 636/TCP（如果使用SSL） 

LDAP ping: 389/UDP 

DNS: 53/TCP、53/UDP 

Net Logon service 无法被锁定在固定的一个RPC连接端口，也就是它是使用动态的RPC连接端口，此时我们如何开放连接端口呢？还好动态的RPC连接端口可以被限制在一个范围内

AD数据复制需要的端口- – 

RPC 终结点影射器：135/TCP,135/UDP 

NetBIOS 名称服务：137/TCP,137/UDP 

NetBIOS 数据文报服务：138/UDP 

NetBIOS 会话服务：139/TCP 

RPC 动态分配：1024-65535/TCP 

Microsoft-DS：445/TCP,445/UDP 

LDAP：389/TCP 

SSL 上的LDAP：636/TCP 

全局编录 LDAP：3268/TCP 

SSL 上的全局编录 LDAP：3269/TCP 

Kerberos：88/TCP,88/UDP 

DNS：53/TCP,53/UDP 

WINS解析（如果需要）：1512/TCP,1512/UDP 

WINS复制（如果需要）：42/TCP,42/UDP 

AD用户密码修改：464/TCP