Belajar Active Directory - Active Directory Troubleshooting Tools

#Pendahuluan

Di episode 20 kita menghubungkan AD ke cloud dan belajar menjaga sinkronisasi tetap sehat. Namun bagaimanapun rapi desainnya, sistem produksi pasti menghadapi gangguan. Di episode 21 ini kita menyiapkan kotak peralatan troubleshooting: alat bawaan Windows yang dipakai administrator AD untuk menemukan akar masalah — bukan hanya menebak-nebak.

Filosofinya sama seperti dokter: alat yang tepat untuk gejala yang tepat. Jangan langsung restart server atau rebuild DC — itu resep untuk memperpanjang masalah. Gunakan alat yang memberi data, lalu putuskan berdasarkan bukti.

#Peta Masalah ke Alat

Sebelum masuk detail, kenali dulu alat mana yang dipakai untuk gejala apa:

Gejala	Alat pertama
Kesehatan DC	`dcdiag`
Replikasi bermasalah	`repadmin`
Secure channel putus	`nltest`
FSMO / trust bermasalah	`netdom`
Objek hilang atau salah	`dsquery`
Tiket Kerberos bermasalah	`klist`
Sertifikat / database CA	`ntdsutil`

#dcdiag: Pemeriksaan Kesehatan DC

dcdiag adalah alat diagnostik menyeluruh untuk domain controller. Ia menjalankan serangkaian test: konektivitas, DNS, replikasi, kepercayaan, secure channel, dan integritas database.

Diagnostik menyeluruh satu DC

dcdiag /s:dc01.corp.local
dcdiag /v
dcdiag /c

dcdiag /v — mode verbose, menampilkan detail setiap test.
dcdiag /c — menjalankan semua test komprehensif (perlu dijalankan di DC).
dcdiag /test:dns — fokus pada DNS, komponen paling kritis bagi AD.
dcdiag /test:replications — cek kesehatan replikasi.

Setiap test melaporkan status passed atau failed. Perhatikan bagian summary of tests di akhir output — di sana terlihat test mana yang gagal dan layanan mana yang tidak berjalan.

#repadmin: Diagnostik Replikasi

Replikasi adalah jantung AD; jika berhenti, perubahan tidak menyebar. repadmin menjadi mata kalian untuk melihat denyut nadi replikasi:

repadmin /showrepl — menampilkan status replikasi dari perspektif setiap DC beserta partisi dan mitra replikasinya.
repadmin /replsummary — ringkasan seluruh DC dalam domain; kolom fails menunjukkan DC mana yang gagal dan berapa lama.
repadmin /syncall /AdeP — memaksa sinkronisasi penuh terhadap semua mitra.

Note

repadmin /replsummary adalah alat pertama saat ada kecurigaan replikasi — outputnya ringkas dan langsung menunjukkan DC yang bermasalah.

#ntdsutil: Alat Bedah AD

ntdsutil adalah alat level rendah yang menjalankan operasi yang tidak bisa dilakukan alat lain. Yang paling sering dipakai:

Metadata cleanup — membersihkan objek DC yang sudah mati permanen dari direktori, setelah demotion gagal.
FSMO management — memindahkan atau merebut peran FSMO (ntdsutil: roles).
Integritas database — memeriksa dan (jika perlu) memperbaiki file database ADDS.

Reclaim FSMO role via ntdsutil

ntdsutil
ntdsutil: roles
fsmo maintenance: connections
server connections: connect to server dc01.corp.local
server connections: quit
fsmo maintenance: seize schema master

Warning

seize (merebut) peran hanya dilakukan jika DC pemegang peran benar-benar mati permanen. Jika DC masih hidup, gunakan transfer, bukan seize — perbedaan ini menyangkut integritas metadata.

#nltest, netdom, dan klist: Pemeriksaan Koneksi

Tiga alat kecil yang sering menjadi penentu:

nltest /dsgetdc:corp.local — mencari DC mana yang melayani klien dan menampilkan alamatnya. Sangat berguna untuk memverifikasi proses locator.
nltest /sc_query:corp.local — memeriksa status secure channel antara mesin dan domainnya. Jika status: 0x0 berarti aman.
netdom query fsmo — menampilkan pemegang kelima peran FSMO. Cepat untuk memastikan siapa yang seharusnya menjalankan peran.
klist — menampilkan tiket Kerberos yang tersimpan di sesi pengguna. Jika tiket rusak atau TGT tidak ada, jalankan klist purge lalu login ulang.

#dsquery: Mencari Objek di Direktori

dsquery mencari objek di AD tanpa harus membuka konsol:

dsquery user -name "joni*" — mencari user yang namanya diawali joni.
dsquery * "OU=Users,DC=corp,DC=local" -attr name whenCreated — menampilkan atribut objek dalam satu OU.
dsquery computer -inactive 90 — menemukan akun komputer yang tidak aktif selama 90 hari (berguna untuk pembersihan).

Hasil query bisa disalurkan ke dsget untuk menampilkan detail atribut tertentu.

#Event Viewer: Menelusuri Jejak Masalah

Log peristiwa adalah tempat AD menulis keluhannya. Log yang paling relevan: Directory Service untuk operasi internal AD, DNS Server untuk zona, dan Security untuk autentikasi. Beberapa event ID yang wajib dikenal:

Event ID	Arti
4662	Operasi pada objek directory (basis deteksi DCSync)
4740	Akun dikunci karena percobaan password salah
4769	Permintaan service ticket Kerberos (bisa jadi Kerberoasting)
1311	Replikasi konfigurasi berubah — indikasi topologi berubah
1988	DC mencoba mereplikasi ke DC yang objeknya dihapus

Event ID 1311 dan 1988 muncul di log Directory Service; 4662, 4740, dan 4769 ada di log Security — dan hanya tercatat jika kebijakan audit diaktifkan (dibahas lebih dalam di episode 23).

#Diagnostik via PowerShell

PowerShell menawarkan cmdlet yang merangkum beberapa alat di atas dalam satu sesi:

Diagnostik cepat via PowerShell

Test-ComputerSecureChannel -Repair
Get-ADDomainController -Filter * | Select-Object Name, Site, IPv4Address
Get-ADReplicationFailure -Scope Domain | Format-Table -AutoSize

Test-ComputerSecureChannel -Repair — memeriksa dan memperbaiki secure channel mesin.
Get-ADDomainController — daftar DC beserta situs dan alamatnya.
Get-ADReplicationFailure — menampilkan kegagalan replikasi terakhir per DC.

Tip

Biasakan pola diagnosis berurutan: cek DNS dulu, lalu secure channel, lalu replikasi, baru sisanya. Mayoritas masalah AD berakar di tiga lapisan ini — menyelesaikannya sering kali membuat gejala lain ikut hilang.

#Penutup

Di episode ini kalian memiliki kotak peralatan troubleshooting:

dcdiag untuk kesehatan DC secara menyeluruh, repadmin untuk denyut nadi replikasi.
ntdsutil untuk operasi bedah seperti metadata cleanup dan seizure FSMO.
nltest, netdom, dan klist untuk memeriksa koneksi, peran, dan tiket.
dsquery untuk menemukan objek, dan Event Viewer dengan event ID kunci sebagai sumber jejak.
PowerShell memadukan semua pemeriksaan dalam satu alur kerja.

Alat hanyalah setengah perjuangan — separuh lainnya adalah tahu gejala mana yang berarti. Di episode 22, kita berlatih langsung pada kasus nyata: common Active Directory issues — DC yang tidak mereplikasi, login gagal, GPO tidak apply, time skew, password lockout, kegagalan registrasi DNS, masalah SYSVOL, dan krbtgt. Sampai jumpa!