我c:\dcidag /v /c /e对我的所有（当前） 5 个域控制器运行了测试（/v = 详细、/c = 全面、/e = 每个 DC），并在最后收到了以下结果摘要：
Aut. B s. Reenv. Del. Din. RReg.
Ext.
_________________________________________________________________
Domain: mydomain.com
dc-serv-1 PASS PASS PASS PASS PASS PASS n/a
dc-serv-2 PASS PASS PASS PASS PASS PASS n/a
dc-serv-3 PASS PASS PASS PASS PASS PASS n/a
dc-serv-4 PASS PASS PASS PASS PASS PASS n/a
dc-serv-5 PASS PASS PASS PASS PASS PASS n/a
所以，这显然是件好事。但当我详细阅读结果时，我发现除了运行测试的服务器之外，每个服务器都未通过三项测试：
Starting test: DFSREvent
The event log DFS Replication on server
dc-serv-2.mydomain.com could not be queried, error 0x6ba
"The RPC server is unavailable."
......................... dc-serv-2 failed test DFSREvent
Starting test: KccEvent
The event log Directory Service on server
dc-serv-2.mydomain.com could not be queried, error 0x6ba
"The RPC server is unavailable."
......................... dc-serv-2 failed test KccEvent
Starting test: SystemLog
The event log System on server dc-serv-2.mydomain.com could not
be queried, error 0x6ba "The RPC server is unavailable."
......................... dc-serv-2 failed test SystemLog
如果我从运行测试dc-serv-1，那么dc-serv-1（本地服务器）将通过所有内容，但dc-serv-2通过-5将失败相同的三个测试，并通过其他所有内容。
我找到了这个支持页面https://support.microsoft.com/en-us/kb/2512643这似乎表明这对于 Windows Server 2008+ 来说是正常的。我在所有 DC 上运行 Windows Server 2012 R2。
支持页面说原因是防火墙问题，这很合理，因为本地服务器没有出现问题。支持页面说我可以忽略这些错误（考虑到最终状态为，这也是合理的PASS），或者我可以打开防火墙以允许读取日志。
打开防火墙来修复这些错误有什么优点/缺点吗？
答案1
除了从 DCDIAG 结果中消除这些错误之外，我认为打开防火墙通过测试没有多大意义。读取事件日志不是 AD 的基本操作，在 DCDIAG 期间读取它们的唯一目的是发现和阐明日志中可能存在的 AD 相关错误。
如果您手动检查了日志并确信 DCDIAG 检查日志没有发现任何问题，那么我可能会建议忽略该特定错误。
编辑
我应该补充一点，我不建议也不提倡关闭 Windows 防火墙。Windows 防火墙是分层安全方法的重要组成部分。
答案2
长期以来，在 DC 之间放置防火墙一直不受支持（除非最近有所更改），以解决 WFAS 上的错误，请参阅文章打开远程事件日志管理 (NP-In) 远程事件日志管理 (RPC) 远程事件日志管理 (RPC-EPMAP)。我不知道这是否意味着它是一个“正常错误”，它意味着它是由默认防火墙设置引起的。