跨林全局编录（GC）不可用主因是信任链路中断，需分三步排查：一、验证跨林信任是否双向可传递；二、确认DNS SRV记录解析及TCP 3268/3269端口连通性；三、检查目标林GC角色启用状态与复制健康度。
跨林全局编录（gc）不可用，往往不是gc服务本身宕了，而是信任链路中断导致身份解析和目录查询路径失效。排查重点不在gc服务器状态，而在“能否从源林可信地抵达目标林的gc”。以下分三步直击关键环节：
一、验证跨林信任状态与可传递性
信任必须是双向、可传递、活动状态，缺一不可：
- 在源林域控制器上运行：
nltest /domain_trusts /all_trusts，确认目标林条目中 Flags 包含 ATTR_TREES_ROOT 和 ATTR_TRUST_USES_RC4（表示可传递且启用Kerberos） - 检查信任属性：
Get-ADTrust -Identity "target.forest.com" | fl *，确认 Direction 为 BiDirectional，IsTreeParent 和 IsTreeRoot 均为 True - 若使用外部信任（non-transitive），则全局编录跨林查询天然不支持——必须升级为林信任（forest trust）
二、定位GC发现失败的根本原因
客户端或应用无法找到目标林GC，通常卡在DNS或LDAP路由层：
- 在源林客户端执行：
nslookup -type=srv _gc._tcp.target.forest.com，确认返回至少一个目标林GC的SRV记录（端口3268），且IP可达 - 若DNS无响应：检查源林DNS是否配置了目标林的条件转发器，并指向目标林中至少一台GC的IP；禁用根提示（Root Hints）对跨林GC发现无效
- 若SRV存在但连接超时：用
telnet gc01.target.forest.com 3268测试端口连通性，防火墙需放行TCP 3268（GC LDAP）和3269（GC LDAPS）
三、检查全局编录角色与复制健康度
即使信任和DNS正常，目标林内部GC配置异常也会导致“有地址却查不到”：
- 登录目标林任意DC，运行：
repadmin /replsummary，确认所有DC间复制无错误（尤其关注 Configuration 和 Schema 分区） - 确认至少一台DC已启用GC角色：
Get-ADDomainController -Filter * | Where-Object {$_.IsGlobalCatalog -eq $true} - 检查GC是否注册到站点拓扑：
nltest /dsgetdc:target.forest.com /gc，若报错“找不到全局编录”，说明目标林KCC未将GC信息发布到站点服务中，需手动触发：repadmin /kcc
信任链路断裂不是黑盒故障，它必然在DNS解析、SRV发现、LDAP连接、GC角色四层中暴露痕迹。逐层排除比重启服务更有效。
