repadmin /showrepl 是最常用的复制状态检查命令，实时显示所有入站复制连接状态，重点暴露 ERROR_RPC_S_SERVER_UNAVAILABLE 等需立即处理的错误；加 /verbose 显示时间戳和NC拼写，加 /all 覆盖全林；Status 非“0”即异常，持续失败需查防火墙或Kerberos问题。

repadmin /showrepl 显示复制拓扑和失败项

这是最常用的入口命令，直接反映所有入站复制连接的实时状态。它不只列出成功同步，更关键的是把error_rpc_s_server_unavailable、error_ds_dra_busy这类错误原样打出来——这些才是你该立刻处理的信号。

执行时加/verbose参数能暴露更多细节，比如上次同步时间戳、NC（命名上下文）名称是否拼错；加/all才覆盖全部域控制器，否则默认只查本机。常见疏漏是没指定目标DC，结果只看到本地视角，漏掉上游故障点。

• 用repadmin /showrepl * /verbose /all一次性扫全林
• 注意输出里Status列不是“0”就代表异常，哪怕只是暂时超时也要查
• 如果某DC反复显示last attempt failed但没报错码，可能是防火墙拦了RPC端口（135+动态端口）或Kerberos票据过期

repadmin /replsummary 快速定位问题DC

repadmin /replsummary把/showrepl的原始输出压缩成表格，按DC分组统计失败次数和最近失败时间。它不告诉你具体哪条复制连接挂了，但能三秒内锁定“最不健康”的那台DC——适合巡检或值班时快速响应。

这个命令本身不带参数，但背后依赖repadmin对NTDS Settings对象的读取权限。如果某DC在汇总里显示0次失败，却在/showrepl里有报错，大概率是它根本没出现在复制拓扑中（比如ntdsutil里被意外删除了站点链接）。

• 运行前确保当前账户对Configuration分区有读权限
• 输出中Failures列非零，且Last Failure Time是近1小时内，必须立刻跟进
• 若某DC始终不出现，用repadmin /bind手动测试它能否被其他DC解析到

repadmin /queue 查看未完成的复制任务

repadmin /queue显示当前排队等待出站复制的变更数量。正常值应长期为0；一旦持续高于5–10，说明某条复制链路卡住，或者源DC的NTDS服务正忙于处理大量写入（比如批量导入用户）。

这个命令默认只查本机队列，加/s参数可指定远程DC。要注意：队列积压不等于复制失败——可能只是延迟，但超过30分钟就必须干预，否则可能触发USN回滚或ERROR_DS_DRA_OUT_OF_MEM。

• 用repadmin /queue <dc_name></dc_name>确认问题DC的实际积压量
• 结合repadmin /showchanges看最近变更是否集中在某个OU，排查是否脚本误操作导致爆炸式更新
• 队列清空后仍持续报错，检查HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters下Repl Perform Initial Synchronization是否被误设为1

repadmin /syncall 强制触发全量同步（慎用）

repadmin /syncall不是日常监控手段，而是故障恢复时的“重试按钮”。它会强制所有DC从各自源DC拉取全部命名上下文的变更，相当于重启整个复制流水线。副作用明显：瞬间升高网络和CPU负载，可能压垮老旧DC。

真正要用它，得先满足三个条件：确认/showrepl里错误是瞬时性的（如临时断网）、排除USN不一致风险（用repadmin /showutdvec比对向量）、且已停掉所有计划任务和批量脚本。否则可能把局部问题扩散成全林故障。

• 最小范围执行：repadmin /syncall <dc_name><domain_dn> /AdeP</domain_dn></dc_name>（仅同步指定域，跳过配置和架构）
• 绝对不要在生产高峰跑/syncall /e（全林同步），尤其跨广域网时
• 执行后立刻用repadmin /showrepl <dc_name></dc_name>验证，而不是等自动刷新

复制监控真正的难点不在命令本身，而在于区分“需要人工介入的故障”和“系统自愈的抖动”。比如ERROR_DS_DRA_ACCESS_DENIED大概率是权限问题，但ERROR_DS_DRA_SCHEMA_MISMATCH意味着架构升级没同步完——后者必须先停掉所有DC的复制，再按微软KB文档步骤修复，不能靠/syncall硬冲。