Comprobación del estado y la replicación del controlador de dominio de Active Directory

Active Directory es un servicio confiable, pero complejo y crítico, y la operatividad de toda la red empresarial depende de él. Un administrador del sistema debe verificar constantemente si Active Directory funciona correctamente. En este artículo, repasaremos los métodos principales de cómo comprobar y diagnosticar el estado de su dominio de Active Directory, los controladores de dominio y la replicación.

¿Cómo comprobar el estado del controlador de dominio de AD mediante Dcdiag?

Dcdiag es una herramienta integrada básica para comprobar el estado del controlador de dominio de Active Directory. Para verificar rápidamente el estado de un controlador de dominio AD, use el siguiente comando:

dcdiag /s:DC01

El comando ejecuta diferentes pruebas en el controlador de dominio especificado y devuelve un estado para cada prueba (Aprobado/Fallo).

Pruebas típicas:

• Conectividad: comprueba si el DC está registrado en DNS, establece conexiones de prueba LDAP y RPC;

• Publicidad: comprueba los roles y servicios publicados en el DC;

• FRSEvent: comprueba si hay errores en el servicio de replicación de archivos (errores de replicación SYSVOL);

• FSMOCheck: comprueba si el DC puede conectarse al KDC, PDC y al servidor de catálogo global;

• MachineAccount : comprueba si la cuenta de DC está registrada correctamente en AD y si la relación de confianza del dominio es correcta;

• NetLogons: comprueba los privilegios de inicio de sesión para permitir que continúe la replicación;

• Replicaciones: comprueba el estado de la replicación entre los controladores de dominio y si hay algún error;

• KnowsOfRoleHolders: comprueba la disponibilidad de los controladores de dominio con roles FSMO;

• Servicios: comprueba si los servicios en los controladores de dominio se están ejecutando;

• Systemlog: comprueba si hay algún error en los registros de DC;

• Etc.

Además de las pruebas predeterminadas, puede ejecutar comprobaciones de controlador de dominio adicionales:

• Topología: comprueba si KCC ha generado una topología completa para todos los DC

• Error de verificación de seguridad

• CutoffServers: encuentra un controlador de dominio que no está replicado porque su socio no está disponible

• DNS: hay 6 comprobaciones de DNS disponibles (

  /DnsBasic

  ,

  /DnsForwarders

  ,

  /DnsDelegation

  ,

  /DnsDymanicUpdate

  ,

  /DnsRecordRegistration

  ,

  /DnsResolveExtName

  )

• Canales seguros salientes

• VerifyReplicas: comprueba si las particiones de la aplicación se replican correctamente

• Verificar referencias empresariales

Por ejemplo, para verificar si el DNS funciona correctamente en todos los controladores de dominio, use el siguiente comando:

dcdiag.exe /s:DC01 /test:dns /e /v

Dará como resultado una tabla de resumen que muestra los resultados de las pruebas sobre cómo el DNS resuelve los nombres en todos los DC (si está bien, verá Pasar en cada celda). Si ve Fallo, debe ejecutar esta prueba en el DC especificado:

dcdiag.exe /s:DC01 /test:dns /DnsForwarders /v

Para obtener más información de los resultados de la prueba del controlador de dominio y guardarla en un archivo de texto, use este comando:

dcdiag /s:DC01 /v >> c:\ps\dc01_dcdiag_test.log

Dcdiag /s:DC01 | select-string -pattern '\. (.*) \b(passed|failed)\b test (.*)'

Para obtener el estado de todos los controladores de dominio, utilice:

dcdiag.exe /s:a-d.site /a

Si desea mostrar solo los errores que ha encontrado, utilice la opción /q:

dcdiag.exe /s:dc01 /q

En mi ejemplo, la herramienta ha detectado algunos errores de replicación:

There are warning or error events within the last 24 hours after the SYSVOL has been shared. Failing SYSVOL replication problems may cause Group Policy problems.
......................... DC01 failed test DFSREvent

Para hacer que dcdiag corrija automáticamente los errores de nombres principales de servicio para la cuenta de DC, use la opción /fix:

dcdiag.exe /s:dc01 /fix

Comprobación de errores de replicación de Active Directory entre DC

La herramienta repadmin integrada se utiliza para comprobar la replicación en el dominio de Active Directory.

Aquí está el comando básico para verificar la replicación de AD:

repadmin /replsum

La herramienta ha devuelto el estado de replicación actual entre todos los controladores de dominio. Idealmente, el valor mayor delta debe ser inferior a 1 hora (depende de la topología de AD y la configuración de frecuencia de replicación entre sitios) y la cantidad de errores=0. En mi ejemplo, puede ver que uno de la última replicación tomó 14 días, pero ahora está bien.

Para verificar la replicación de todos los DC en el dominio:

repadmin /replsum *

Para probar la replicación entre sitios:

repadmin /showism

Para ver la topología de replicación y los errores (si los hay), ejecute este comando:

repadmin /showrepl

El comando verificará los DC y devolverá la hora y la fecha de la última replicación exitosa para cada partición de directorio (

last attempt xxxx was successful

).

repadmin /showrepl *

Para ejecutar la replicación de contraseñas desde un controlador de dominio de escritura a un controlador de dominio de solo lectura (RODC), se usa la opción /rodcpwdrepl.

La opción /replicate inicia la replicación de la partición de directorio especificada en un DC específico inmediatamente.

Para sincronizar un controlador de dominio específico con todos sus socios de replicación, use el siguiente comando:

replmon /syncall <nameDC>

Para ver la cola de replicación:

repadmin /queue

Idealmente, la cola de replicación debería estar vacía.

Compruebe cuándo se creó la última copia de seguridad del controlador de dominio actual:

Repadmin /showbackup *

También puede comprobar el estado de replicación mediante PowerShell. Por ejemplo, el siguiente comando mostrará todos los errores de replicación que encuentre en la tabla Out-GridView:

Get-ADReplicationPartnerMetadata -Target * -Partition * | Select-Object Server,Partition,Partner,ConsecutiveReplicationFailures,LastReplicationSuccess,LastRepicationResult | Out-GridView

También puede comprobar el estado de los servicios básicos de ADDS en un controlador de dominio mediante el cmdlet Get-Service:

• Servicios de dominio de Active Directory (

  ntds

  )

• Servicios web de Active Directory (

  adws

  ): todos los cmdlets del módulo AD PowerShell se conectan a este servicio

• DNS (

  dnscache

  y

  dns

  )

• Centro de distribución de claves Kerberos (

  kdc

  )

• Servicio de hora de Windows (

  w32time

  )

• Inicio de sesión de red (

  netlogon

  )

Get-Service -name ntds,adws,dns,dnscache,kdc,w32time,netlogon -ComputerName dc01

Entonces, en este artículo, mostramos herramientas básicas, comandos y scripts de PowerShell que puede usar para diagnosticar el estado de su dominio de Active Directory. Puede usarlos en todas las versiones compatibles de Windows Server, incluidos los controladores de dominio que se ejecutan en el modo Server Core.