nltest

测试域信任、DC 定位和计算机安全通道的 Netlogon 工具。

补充说明

nltest 直接与 Netlogon 服务交互，能验证客户端能否通过 DC 定位器找到域控、信任关系是否可用、机器安全通道是否正常。它比 ping 更接近“域登录是否可用”的真实路径。

工具内置于 Windows，无需额外安装；/sc_reset 等修改通道的操作需要本地管理员权限，部分信任查询需要域凭据。多数子命令只读，适合在用户报“登录慢、信任关系失败”时快速分层。

Windows Server 2016+ 与 Windows 10/11 均可用。PowerShell 的 Test-ComputerSecureChannel 和 Get-ADDomainController 可替代部分功能，但 nltest 对 Netlogon 层错误的返回更直接。

常用示例

# 通过 DC 定位器查找可用域控，验证 DNS SRV 是否正常
C:\> nltest /dsgetdc:contoso.com

# 列出域内所有域控制器
C:\> nltest /dclist:contoso.com

# 查询本机安全通道状态
C:\> nltest /sc_query:contoso.com

# 验证安全通道，返回成功或具体 Netlogon 错误
C:\> nltest /sc_verify:contoso.com

# 影响范围：重置本机安全通道，域认证短暂中断，依赖计算机账户的服务可能报错
# 备份/回滚：确认本地管理员与域凭据可用；失败时用 netdom resetpwd 或重新加域恢复
C:\> nltest /sc_reset:contoso.com

# 查看域信任关系及方向
C:\> nltest /domain_trusts /v

易错点与排错

• dsgetdc 返回 ERROR_NO_SUCH_DOMAIN → DNS SRV 记录缺失或客户端 DNS 指向外网 → 用 nslookup -type=SRV _ldap._tcp.dc._msdcs.contoso.com 验证。
• 找到的 DC 不是期望站点 → DC 定位缓存或站点子网未定义 → 加 /force 强制重新发现，并检查 AD 站点与服务子网。
• sc_query 失败并提示信任关系失败 → 机器账户密码与 AD 不一致（克隆、快照还原、长期离线）→ 用 nltest /sc_reset 或 netdom resetpwd 修复。
• sc_reset 后仍失败 → DNS、时间偏差或目标 DC 不可达，根因未消除 → 先修 DNS 与 w32tm，再重试。
• 在域控上执行安全通道测试 → 结果没有成员机意义 → 应在报错的成员服务器上运行。
• 把返回码当成命令失败 → 很多状态以文本/错误码返回，退出码不一定非零 → 阅读输出中的 Status = 与错误码。

相关命令

• netdom — 查询 FSMO、重置机器密码
• dcdiag — DC 侧整体健康检查
• klist — 清理旧 Kerberos 票据
• w32tm — 排查时间偏差导致的认证失败
• nslookup — 验证 SRV/A 记录

参考链接

• Microsoft Learn: Nltest
• Microsoft Learn: Test-ComputerSecureChannel

读完自测

1. nltest /dsgetdc 和 nltest /sc_query 分别验证哪一层？
2. 什么场景下 nltest /sc_reset 是合理的修复手段？
3. sc_reset 后问题依旧，最可能漏查什么？