Creas un usuario en un controlador de dominio y en la sucursal «no existe». Cambias una contraseña y tarda en aplicarse. Antes de sospechar cosas raras, casi siempre es lo mismo: la replicación de Active Directory aún no ha llegado a todos los controladores de dominio. La herramienta para comprobarla y forzarla es repadmin.
Ver el estado general de la replicación
Desde un controlador de dominio (o un equipo con RSAT), en un CMD como administrador:
repadmin /replsummary
Muestra una tabla con todos los DC, el tiempo desde la última replicación correcta («largest delta») y el porcentaje de fallos. Todo a cero: la replicación está sana.
Forzar la replicación en todo el dominio
repadmin /syncall /AdeP
Los modificadores importan: /A replica todas las particiones, /d muestra nombres legibles, /e incluye los DC de otros sitios y /P empuja los cambios desde el DC actual hacia el resto. Sin /P, el comando «tira» de los cambios en lugar de empujarlos.
Para replicar un solo objeto urgente (por ejemplo, un desbloqueo de cuenta) sin esperar al ciclo completo:
repadmin /replsingleobj DC-Destino DC-Origen "CN=Juan Perez,OU=Usuarios,DC=miempresa,DC=local"
Precisamente los bloqueos de cuenta son el caso típico: si te pasa a menudo, revisa cómo desbloquear cuentas en AD y cómo encontrar el origen de los bloqueos.
Diagnosticar un DC que no replica
repadmin /showrepl NOMBRE-DC /errorsonly
Errores frecuentes y su causa habitual:
- 1722 (el servidor RPC no está disponible): DNS mal configurado o puertos cerrados entre sitios. Empieza por nuestra guía del error 1722.
- 8453 (acceso denegado a la replicación): permisos o hardening excesivo; verifica la hora de los DC (Kerberos tolera 5 minutos de desfase).
- 8606 / objetos persistentes (lingering objects): un DC estuvo desconectado más tiempo que el tombstone lifetime; toca limpieza con repadmin /removelingeringobjects.
Comprobación final con dcdiag
dcdiag /test:replications /v
Si dcdiag y repadmin /replsummary quedan limpios tras forzar la sincronización, la replicación está resuelta. Recuerda que los cambios de directiva además necesitan aplicarse en los clientes con gpupdate.
Preguntas frecuentes
¿Cada cuánto replica Active Directory por sí solo?
Dentro del mismo sitio, a los pocos segundos de cada cambio. Entre sitios, según la programación del site link (por defecto cada 180 minutos, configurable hasta 15).
¿Forzar la replicación tiene riesgos?
No: solo adelanta lo que ocurriría de todos modos. El único coste es tráfico entre sedes, relevante si los enlaces son lentos y hay muchos cambios pendientes.
¿Puedo ejecutar repadmin desde mi equipo?
Sí, instalando las herramientas RSAT y ejecutando el CMD con credenciales de administrador del dominio.
