Windows Server 2025 / Cómo añadir un segundo controlador de dominio

Para añadir un segundo controlador de dominio en Windows Server 2025, instale los Servicios de dominio de Active Directory (AD DS) en DC2 y promuévalo dentro del dominio ad.example.test existente. El nuevo controlador replica datos del directorio y ofrece servicios de autenticación; no crea otro bosque. Antes de cambiar el DNS de los clientes, compruebe la replicación, DNS y los recursos compartidos SYSVOL y NETLOGON.

Prepare DC2 para el dominio existente

DC1 debe proporcionar correctamente ad.example.test y su DNS en 172.24.50.10. Prepare una máquina virtual nueva con Windows Server 2025, nombre DC2 e IP estática 172.24.50.11/24 en el mismo laboratorio aislado; /24 corresponde a 255.255.255.0. Antes de promoverla, configure su DNS hacia 172.24.50.10 y compruebe el acceso por consola como administrador. No apunte DC2 exclusivamente a su futuro DNS local ni utilice un DNS público para localizar este dominio. La guía de configuración DNS de los controladores recomienda usar un DNS de dominio existente durante la incorporación y verificar la replicación antes de depender del DNS propio.

• Compruebe el funcionamiento de AD y DNS en DC1, además de la disponibilidad de copias y el procedimiento de recuperación. Otro controlador no es una copia de seguridad.
• Verifique que DC2 y 172.24.50.11 son únicos, que ambos servidores comparten la red aislada y que nombre, hora y actualizaciones están preparados.
• Disponga de administración local del servidor para instalar el rol y de una cuenta del dominio con permisos de promoción, normalmente miembro de Domain Admins para añadir un DC al dominio existente. Reserve esa cuenta para la tarea administrativa.
• Revise el tráfico necesario de AD entre ambas VM, incluidos DNS, autenticación y replicación. Una consulta DNS correcta o un ping no comprueba todos esos protocolos; ajuste reglas y ámbito en vez de desactivar el cortafuegos.

Resolve-DnsName '_ldap._tcp.dc._msdcs.ad.example.test' -Type SRV -Server 172.24.50.10
nltest /dsgetdc:ad.example.test

Ejecute estas consultas desde DC2. La primera pregunta explícitamente a 172.24.50.10 por el registro de servicio; debe devolver el controlador esperado, como dc1.ad.example.test. Nltest debe localizar un controlador para ad.example.test mediante la configuración del servidor. Si fallan, resuelva DNS y comunicación antes de repetir credenciales. Esta práctica instala un servidor nuevo: clonar DC1 y limitarse a renombrarlo no equivale al procedimiento. Verifique los niveles funcionales reales y la compatibilidad de Windows Server 2025 con el dominio; no eleve niveles de producción para imitar un laboratorio.

Añada un controlador al dominio existente

1. En DC2, abra Administrador del servidor → Administrar → Agregar roles y características. Elija instalación basada en roles, confirme DC2 como destino e instale Servicios de dominio de Active Directory con las herramientas necesarias.
2. Compruebe que la instalación del rol finaliza y, en la notificación posterior, seleccione Promover este servidor a un controlador de dominio. La instalación del rol por sí sola no configura el controlador.
3. En Configuración de implementación, seleccione Agregar un controlador de dominio a un dominio existente. No elija un bosque nuevo ni un nuevo dominio.
4. Indique ad.example.test y las credenciales autorizadas. Compruebe dominio y cuenta antes de continuar; una cuenta local de DC2 no otorga por sí sola permisos en AD.
5. Revise servidor DNS, catálogo global (GC, Global Catalog) y sitio previsto. Este laboratorio usa un DC escribible con DNS y catálogo global, sin seleccionar un controlador de solo lectura (RODC, Read-Only Domain Controller).
6. Introduzca y confirme la contraseña del modo de restauración de servicios de directorio (DSRM) de DC2, consérvela de forma segura y revise rutas de base de datos, registros y SYSVOL, sin usar ReFS para esos datos. Evalúe avisos, resuelva errores de requisitos y solo entonces instale, manteniendo la consola para el reinicio.

El sitio debe corresponder a la planificación de subredes y sitios de Active Directory. Un laboratorio pequeño puede mostrar Default-First-Site-Name, pero ese nombre no es una regla de producción. Si no especifica -SiteName, la selección depende de la subred y, si no hay una asociación, del sitio del origen de replicación. La referencia de Install-ADDSDomainController describe el comportamiento. Revise el sitio elegido y su conectividad, sin crear otra topología para hacer desaparecer un aviso.

Utilice PowerShell si DC2 aún no está promovido

El siguiente bloque es una alternativa al asistente y solo debe ejecutarse si DC2 todavía no fue promovido. Abra Windows PowerShell como administrador en DC2. La primera línea instala los Servicios de dominio de Active Directory (AD DS) y las herramientas; si únicamente instaló el rol mediante la interfaz, esa fase ya está hecha. Get-Credential solicita una identidad del dominio autorizada para promover el servidor. Install-ADDSDomainController añade DC2 al dominio indicado e instala DNS. La contraseña del modo de restauración de servicios de directorio (DSRM, Directory Services Restore Mode) se solicita aparte para DC2; tiene un propósito distinto del inicio de sesión de dominio y no debe escribirse en texto plano en scripts o capturas:

Install-WindowsFeature -Name AD-Domain-Services -IncludeManagementTools
$promotionCredential = Get-Credential
Install-ADDSDomainController -DomainName 'ad.example.test' -InstallDns -Credential $promotionCredential

Un servidor recién instalado puede proporcionar las credenciales del dominio durante la promoción aunque no se haya incorporado antes como miembro. Lea y confirme las solicitudes de la consola, incluida la contraseña DSRM y su confirmación, y mantenga acceso a la VM. El ejemplo no usa -NoRebootOnCompletion, por lo que se reinicia al completar la instalación. Después, entre con el administrador de dominio previsto y revise el DNS real del adaptador; no repita la promoción para intentar reparar una sesión desconectada. Conserve un DNS operativo de DC1 mientras valida la replicación de entrada y salida, antes de depender del DNS propio de DC2.

Verifique replicación, DNS y SYSVOL

Ver DC2 en una lista confirma un objeto, no que todos los datos hayan convergido. Ejecute el bloque en una consola administrativa elevada de DC2 con los módulos y herramientas de AD instalados. Get-ADDomainController muestra los controladores, direcciones, sitios y estado de catálogo global; repadmin resume fallos y muestra los socios de replicación entrante de DC2; dcdiag dirige el diagnóstico DNS a DC2. La última línea consulta recursos compartidos locales, por lo que debe ejecutarse realmente en DC2, no en un equipo de administración distinto:

Get-ADDomainController -Filter * | Select-Object HostName,IPv4Address,Site,IsGlobalCatalog
repadmin /replsummary
repadmin /showrepl DC2
dcdiag /s:DC2 /test:dns
Get-SmbShare -Name SYSVOL,NETLOGON

Revise que aparecen dc1.ad.example.test y dc2.ad.example.test con las direcciones previstas y el sitio correcto. En repadmin /replsummary, examine fallos, tiempo desde la última replicación y errores; un recuento de cero solo es útil si también hay intentos y éxitos recientes. En /showrepl DC2, inspeccione los socios y cada partición esperada. La replicación entrante de DC2 no verifica por sí sola todo el sentido inverso; repita la línea repadmin /showrepl DC2 sustituyendo solo DC2 por DC1 y revise sus socios y particiones antes de dar por válidas ambas direcciones.

Get-SmbShare debe mostrar SYSVOL y NETLOGON en DC2. Desde CLIENT1, repita la primera consulta SRV del artículo dos veces, cambiando únicamente el valor de -Server: primero 172.24.50.10 y después 172.24.50.11. Ambas consultas deben resolver los registros del dominio de forma coherente una vez convergida la replicación; examine destinos y errores, sin confundir la dirección del DNS consultado con la del destino SRV. La zona de práctica lab.example.test almacenada en archivo no se copia automáticamente por AD. Las zonas integradas en Active Directory se replican según su ámbito; revise el tipo y ámbito de cada zona antes de esperar la misma información en ambos DNS.

Analice cada fallo de DCDiag y los eventos relacionados de Directory Service, DNS Server y DFS Replication. Distinga la inicialización posterior al reinicio de un error que persiste; si faltan SYSVOL o NETLOGON, todavía no dé DC2 por listo. Investigue nombre del socio, conectividad, hora, permisos y estado de replicación, corrija la causa y repita la misma prueba. No sustituya esa revisión por desactivar controles o borrar y volver a crear el controlador.

Para comprobar un cambio de datos, use solo un objeto dedicado al laboratorio, por ejemplo labuser1 creado en la práctica de usuarios y OU. En dsa.msc, seleccione explícitamente DC1 mediante Cambiar controlador de dominio (Change Domain Controller), abra las propiedades del usuario y anote íntegro el valor actual de Descripción, incluso si está vacío. Guarde una descripción temporal reconocible, seleccione explícitamente DC2, vuelva a abrir el mismo objeto y compruebe que aparece ese valor. Después restaure el valor original a través de DC1 y verifique también su retorno en DC2. No cambie cuentas operativas ni tome una sola propiedad como prueba de todas las particiones. Si no converge, registre hora, servidor y error y utilice la guía de diagnóstico de fallos de replicación para investigar las dependencias.

Cambie el DNS del cliente después de validar

Solo cuando el DNS de DC2 y la replicación estén verificados, pruebe primero un cliente o miembro. En la consola de CLIENT1, registre las direcciones y el modo DNS actuales. Si decide hacer una prueba manual, abra ncpa.cpl → propiedades del adaptador del laboratorio → Protocolo de Internet versión 4 (TCP/IPv4) y configure DNS preferido 172.24.50.10 y alternativo 172.24.50.11, conservando IP, máscara y puerta de enlace. Vuelva a comprobar descubrimiento del dominio, resolución e inicio de sesión de labuser1. Si algo falla, restaure los valores y el modo DNS registrados; si antes obtenía DNS por DHCP, vuelva a automático. No cambie las opciones de DHCP para todos los clientes antes de esta prueba ni añada DNS públicos a la lista interna.

Un segundo DC no replica automáticamente concesiones DHCP, archivos de FS1 ni todas las zonas DNS. Tampoco traslada por sí solo los roles de maestro de operaciones único flexible (FSMO, Flexible Single Master Operations); su administración requiere decisiones aparte. Dos máquinas virtuales en el mismo host comparten el riesgo de fallo del host y no sustituyen las copias de seguridad. Conserve ambos controladores para las siguientes prácticas. Para retirar DC2, revise primero DNS de clientes y servidores, replicación, catálogo global, funciones y otras dependencias, y realice una despromoción planificada; borrar la VM no equivale a retirarlo correctamente del dominio.