Active Directory DNS 災難恢復：DC 損壞後重建 DNS 區域與 SRV 記錄完整實戰

故障場景

• 雙 DC 架構：DC1 (DC + DNS)，DC2 (僅 DC)
• DC1 藍屏永久損壞，FSMO 角色已轉移至 DC2
• DC2 新安裝 DNS 並設為 AD 整合區域
• 問題：DC2 DNS 區域僅有少數 A 記錄，缺失關鍵 _msdcs、_tcp、_udp、_sites 等 SRV 記錄，導致域成員無法定位 DC、Kerberos 認證失效、Group Policy 無法應用
• 嘗試停用 Netlogon、刪除區域、重建區域、啟用 Netlogon — 未生效
• 無任何系統狀態備份

核心原理

1. AD 資料庫 (NTDS.dit) 在 DC 間自動複寫，DC2 擁有完整 AD 數據，無需手動備份 AD
2. DNS 區域若為 AD 整合，資料儲存在 AD 分割區 (DomainDnsZones, ForestDnsZones)，隨 AD 複寫
3. DC1 損壞前若為 AD 整合 DNS，DC2 安裝 DNS 後應自動複寫區域資料。**但 _msdcs 區域為林級分割區，需額外處理**
4. SRV 記錄由 Netlogon 服務動態註冊，非靜態區域檔內容

標準恢復流程 (經實測驗證)

步驟 1：手動建立 _msdcs. AD 整合區域

1. 開啟 DNS 管理主控台 (dnsmgmt.msc)
2. 右鍵「正向查詢區域」→「新增區域」
3. 區域類型：**「Active Directory 整合主要區域」**
4. 複寫範圍：**「所有在此網域中的網域控制站上執行的 DNS 伺服器」** (或林級：所有 DNS 伺服器)
5. 區域名稱：**_msdcs.** (例：_msdcs.contoso.com)
6. 動態更新：**「僅安全」**
7. 完成精靈

步驟 2：強制觸發 SRV 記錄註冊 — 關鍵命令組合

在 DC2 (現在的唯一 DC+DNS) 上以管理員身分執行：

dnscmd /clearcache
ipconfig /flushdns
net stop netlogon
net stop dns
net start dns
net start netlogon
ipconfig /registerdns

原理：清除快取 → 停止 Netlogon (釋放動態註冊鎖) → 重啟 DNS 服務 (載入新建 _msdcs 區域) → 啟動 Netlogon (觸發 SRV 記錄動態註冊) → 強制客戶端註冊 A/AAAA 記錄。

步驟 3：驗證關鍵記錄生成

在 DNS 主控台展開 _msdcs.contoso.com 區域，確認存在：

• _ldap._tcp、_kerberos._tcp、_kpasswd._tcp 等 SRV 記錄指向 DC2
• dc、gc、pdc 等 CNAME/A 記錄
• 子域 _sites、_tcp、_udp 結構完整

步驟 4：建立其他缺失區域 (如有)

若父域區域 (contoso.com) 也缺失，同樣建立 AD 整合主要區域，並執行上述命令組合。子域委派記錄 (NS+Glue A) 需手動補充。

進階排查：若上述流程無效

方案 A：檢查 AD 分割區複寫狀態

repadmin /showrepl DC2
repadmin /syncall /AdeP
# 確認 DomainDnsZones、ForestDnsZones 複寫正常

方案 B：使用 ADSIEDIT 清理孤立物件 (參考 KB 867464)

1. 開啟 adsiedit.msc，連線至 DomainDnsZones 與 ForestDnsZones 命名內容
2. 檢查 CN=MicrosoftDNS 容器下是否有殘留的舊 DC 物件
3. 刪除屬於已損壞 DC1 的 DNS 伺服器物件與區域物件
4. 執行 repadmin /syncall 強制複寫

方案 C：重設 DNS 伺服器啟動載入模式

DNS 主控台 → 伺服器屬性 → 「進階」→「啟動時載入區域資料」改為「從登錄」→ 重啟 DNS 服務 → 改回「從 Active Directory」→ 重啟。強制重新從 AD 讀取區域資料。

預防性架構建議

相關微軟官方資源

• KB 867464: Event ID 4515 in DNS Server log
• Create Default DNS Application Directory Partitions
• Change the DNS Server Startup Method