El error 1722 (0x6ba): El servidor RPC no está disponible es uno de los fallos más críticos que pueden paralizar la replicación entre controladores de dominio (Domain Controllers) en Active Directory.
Cuando este error se manifiesta en la salida de repadmin /showrepl o dcdiag, significa que las particiones de directorio (Schema, Configuration o Domain) han dejado de sincronizarse entre servidores. Como consecuencia directa, los cambios en directivas de grupo (GPO), las contraseñas de usuarios recién creadas y los bloqueos de cuenta quedan desincronizados en la red corporativa. Si ejecutas tus controladores de dominio como máquinas virtuales en centros de datos, puedes integrarlos con nuestra Guía de virtualización en Proxmox VE 8 y monitorizar eventos de seguridad mediante nuestra Guía de despliegue SIEM con Wazuh.
// EJECUCIÓN RÁPIDA (TL;DR) – DIAGNÓSTICO EN 3 COMANDOS POWERSHELL
# 1. Probar conectividad TCP al endpoint mapper RPC (Puerto 135):
Test-NetConnection -ComputerName DC02.tudominio.local -Port 135
# 2. Verificar resolución DNS del registro CNAME GUID de replicación:
dcdiag /test:dns /v
# 3. Forzar sincronización manual una vez corregida la red:
repadmin /syncall /AePdq
1. ¿Qué Significa Técnicamente el Error RPC 1722?
El protocolo RPC (Remote Procedure Call) es el mecanismo que utiliza Windows Server para permitir que un proceso en un controlador de dominio invoque rutinas en otro servidor a través de la red. La comunicación RPC se establece en dos fases:
- Handshake inicial en puerto fijo: El DC origen contacta al RPC Endpoint Mapper del DC destino en el puerto estático TCP 135 para consultar en qué puerto dinámico está escuchando el servicio de replicación de Active Directory (NTDS).
- Transferencia en puertos dinámicos: El Endpoint Mapper responde asignando un puerto efímero dentro del rango TCP 49152 a 65535 (en Windows Server 2008 R2 hasta 2025). La sincronización real de objetos ocurre a través de ese puerto negociado.
El error 1722 se dispara cuando el primer paso tiene éxito pero el cortafuegos bloquea el puerto dinámico, o cuando el resolvedor DNS devuelve una dirección IP obsoleta.
Causa 1: Resolución DNS Rota o Registros GUID CNAME Obsoletos
En el 90% de las infraestructuras de Active Directory, los fallos de RPC no son problemas de red física, sino fallos de resolución en la zona _msdcs.tudominio.local.
Comprobación del registro GUID del Controlador de Dominio
Cada DC publica un registro de tipo CNAME que mapea su GUID único de replicación hacia su nombre FQDN. Ejecuta en el símbolo del sistema (CMD como Administrador):
repadmin /showrepl * /csv > replicacion.csvAbre el archivo generado o ejecuta directamente la prueba de conectividad DNS:
nltest /dsgetdc:tudominio.local /forceSolución: Si el comando no resuelve el controlador destino, limpia la caché DNS y fuerza el re-registro de los registros SRV y CNAME en el servidor afectado:
ipconfig /flushdns
net stop netlogon && net start netlogon
nltest /dsregdnsCausa 2: Bloqueo de Puertos RPC en Cortafuegos Internos
Si entre tus controladores de dominio existe un firewall físico (Fortinet, Palo Alto) o el propio Windows Defender Firewall está activo con perfiles restrictivos, el tráfico hacia los puertos dinámicos será descartado.
Auditoría de Puertos con PortQry
Descarga la herramienta oficial de línea de comandos PortQry de Microsoft o ejecuta en PowerShell:
# Comprobar el Endpoint Mapper (135) y Kerberos (88)
Test-NetConnection -ComputerName DC02 -Port 135
Test-NetConnection -ComputerName DC02 -Port 88
Test-NetConnection -ComputerName DC02 -Port 389 # LDAPSolución: Restringir los Puertos RPC de Active Directory a un Puerto Fijo
Para no tener que abrir todo el rango de puertos dinámicos (49152-65535) en el firewall perimetral, la mejor práctica corporativa es obligar a Active Directory a escuchar en un único puerto estático (por ejemplo, el puerto TCP 50000):
- Abre el Editor del Registro (regedit) en el controlador de dominio.
- Navega hasta la clave:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters - Crea un nuevo valor de tipo DWORD (32-bit) con el nombre
TCP/IP Port. - Selecciona base Decimal y asigna el valor
50000. - Abre el puerto
50000en el cortafuegos y reinicia el servicio o el servidor.
Causa 3: Desincronización del Reloj del Sistema (Protocolo NTP / Kerberos)
El protocolo de autenticación Kerberos que utiliza Active Directory tiene una tolerancia máxima de desfase horario de 5 minutos. Si el hipervisor donde residen las máquinas virtuales altera la hora del sistema operativo invitado, la negociación del ticket de servicio RPC será rechazada con el código 1722.
Ejecuta en la consola de comandos para forzar la sincronización horaria con el DC que ostenta el rol FSMO PDC Emulator:
# Consultar desfase horario con el PDC
w32tm /stripchart /computer:DC01-PDC.tudominio.local /samples:5 /dataonly
# Forzar resincronización inmediata
w32tm /resync /forceCausa 4: Servicios RPC Caídos o Deshabilitados
Verifica que los tres servicios fundamentales de Windows Server estén en ejecución y en modo de inicio Automático:
Get-Service RpcSs, DcomLaunch, RpcEptMapper | Select-Object Name, Status, StartTypeSi el servicio RpcEptMapper (RPC Endpoint Mapper) o RpcSs (Remote Procedure Call) no están en estado Running, inícialos de inmediato desde la consola de servicios.
Validación Final de la Replicación de Dominio
Una vez corregida la red o los registros DNS, fuerza la replicación manual en todas las direcciones del bosque corporativo:
repadmin /replicate DC01 DC02 "DC=tudominio,DC=local" /forceSi la salida muestra: Sync from DC02 to DC01 completed successfully, el error 1722 ha quedado erradicado. Para auditar la salud general del bosque y verificar que las directivas de seguridad se distribuyen sin trabas, revisa nuestra guía para solucionar fallos en GPO con gpupdate /force y DCDIAG.
Preguntas Frecuentes
¿Por qué dcdiag muestra “failed test NCSecDesc” tras el error 1722?
Es un efecto dominó común. Cuando el puerto RPC 135 está inaccesible, la herramienta dcdiag no puede consultar las listas de control de acceso (DACL) de los descriptores de seguridad en el catálogo global, reportando errores falsos de permisos de seguridad que se resuelven solos en cuanto se restablece la comunicación RPC.
¿Debo degradar y volver a promover el Domain Controller si el error persiste?
Nunca como primera opción. Degradar un DC que no puede replicar deja metadatos huérfanos en la base de datos de Active Directory que obligan a realizar limpiezas manuales con ntdsutil. El 99% de los errores 1722 se solucionan corrigiendo la zona DNS de reenviadores condicionales y desbloqueando los puertos del firewall.
Manual técnico de administración de infraestructura Windows Server validado por Gustavo Dulcey, Ingeniero de Sistemas especializado en Directorio Activo, Identidad Híbrida y Redes Enterprise.