域控制器同步失败报RPC server unavailable，主因是辅助DC的NTDS、KDC、DNS服务未全启或防火墙未放行LDAP(389)、LDAPS(636)、GC(3268)、RPC(135+动态端口)；需用net start与Get-NetFirewallRule验证，并确保DNS指向主DC且允许动态更新。
域控制器同步失败时，repadmin /showrepl 报 RPC server unavailable
这通常不是网络连通问题，而是防火墙或服务状态没对齐。辅助域控制器（rodc 或普通 dc）必须确保 ntds、kdc、dns server 三个服务都已启动，且 windows 防火墙放行了 ldap (389)、ldaps (636)、gc (3268)、rpc (135 + 动态端口)。
实操建议：
- 先在辅助 DC 上运行
net start | findstr "NTDS KDC DNS"，确认三服务都在运行中 - 用
Get-NetFirewallRule -DisplayName "*Directory Services*"查看是否启用了对应入站规则；若为自定义策略，需手动启用Windows Firewall with Advanced Security → Inbound Rules → Directory Services - 避免用
telnet 主DC 389测试——它不走 LDAP 协议栈，可能误判；改用nltest /dsgetdc:contoso.com或ldapsearch -x -h 主DC -b "" -s base namingContexts（Linux 工具）更准
使用 dcpromo 还是 Install-ADDSDomainController？
Windows Server 2012 R2 及以后必须用 PowerShell 命令；dcpromo 在 Server 2016+ 已移除，强行调用会报错 The term 'dcpromo' is not recognized。
实操建议：
- 确认目标服务器已安装
AD-Domain-Services角色：Install-WindowsFeature AD-Domain-Services -IncludeManagementTools - 同步模式默认是“从现有域复制”，无需额外指定参数；但若要跳过 DNS 检查（如 DNS 尚未就绪），加
-SkipPreChecks，不过后续务必补上正向/反向查找区域 -
DatabasePath和LogPath建议分盘存放，否则日志写满系统盘会导致复制中断；路径必须存在且 NTFS 权限包含SYSTEM和Domain Controllers组的完全控制
辅助 DC 加入后，repadmin /replsummary 显示延迟 > 15 分钟
不是带宽瓶颈，而是默认复制间隔设为 15 分钟（inter-site 默认值），即使在同一站点内，若两台 DC 被错误归类到不同站点，也会触发该策略。
实操建议：
- 用
repadmin /site确认两台 DC 是否同属一个Site；若否，用Active Directory Sites and Services手动拖入同一站点 - 检查
NTDS Settings → Properties → Replication → Schedule：右键“连接对象”→“属性”→“Schedule”，确保不是被设为“仅在以下时间允许复制”且勾选了极少时段 - 强制立即同步用
repadmin /syncall /A /e /q（/A表示所有分区，/e包含 GC，/q静默），但别频繁执行——它会阻塞其他复制请求
DNS 配置错误导致辅助 DC 无法注册 SRV 记录
辅助 DC 启动后，会在 DNS 中注册 _ldap._tcp.dc._msdcs.<domain></domain> 等 SRV 记录；若缺失，客户端就找不到它，nslookup -type=srv _ldap._tcp.dc._msdcs.contoso.com 返回空或超时。
实操建议：
- 辅助 DC 的首选 DNS 必须指向主 DC（或另一台健康 DC），不能指自己或外部 DNS；否则
netlogon服务启动时无法动态注册 - 检查主 DC 上 DNS 控制台 → 正向查找区域 → 右键域名 → “属性” → “常规”页：确认“允许动态更新”设为“安全”或“非安全”，而非“否”
- 手动触发注册：
ipconfig /registerdns+net stop netlogon && net start netlogon；之后等 2–3 分钟再查 SRV 记录
Install-ADDSDomainController 就能成功完成，但后续所有复制和身份验证都会静默失效。真正卡住人的，往往是那个没报错、也没提示的“默认行为”。 
