DNS 服務器重建恢復實戰：事件 ID 4521 錯誤根因分析與 AD 分割區修復指南

故障背景與現象

• 原安裝 DNS 的 DC 損壞，在其他主機重建 DNS 服務
• 首次重建看似正常，後將所有角色轉移至重建主機
• 誤刪除 DNS 記錄，再次重建 DNS 服務
• 出現事件日誌錯誤：

事件類型: 警告
事件來源: DNS
事件 ID: 4521
描述: DNS 服務器嘗試從 Active Directory 載入區域時遇到錯誤 9002。
DNS 服務器將在下一個超時週期重試。可能由 AD 負載過高導致，屬暫時性情況。

錯誤碼 9002 深度解析

DNS_ERROR_ZONE_DOES_NOT_EXIST (9002)：DNS 服務嘗試從 AD 載入區域，但 AD 分割區 (DomainDnsZones / ForestDnsZones) 中找不到對應的區域物件。常見於：

• 區域物件在 AD 中被誤刪
• AD 分割區複寫未完成/失敗
• DNS 服務啟動模式設定衝突 (從 AD 載入 vs 從登錄載入)
• DNS 伺服器物件在 AD 中缺失或權限不足

分級修復方案

方案一：變更 DNS 啟動載入模式 (最快嘗試)

1. DNS 管理主控台 → 右鍵伺服器 →「屬性」→「進階」
2. 「啟動時載入區域資料」改為**「從登錄」**
3. 重啟 DNS 服務：net stop dns && net start dns
4. 觀察事件日誌是否不再出現 4521，區域是否載入
5. 穩定後可改回「從 Active Directory」並重啟

方案二：使用 ADSIEDIT 修復 AD 分割區物件 (核心修復)

參考微軟 KB 867464：

1. 開啟 adsiedit.msc
2. 連線至兩個 DNS 應用程式目錄分割區：
   • ForestDnsZones：林級分割區，包含 _msdcs、TrustAnchors 等林級區域。複寫至林中所有 DC/DNS
   • DomainDnsZones：域級分割區，包含各域權威區域。複寫至域中所有 DC/DNS
3. 展開 CN=MicrosoftDNS,DC=DomainDnsZones,DC=contoso,DC=com
4. 檢查是否缺失應存在的區域容器 (如 contoso.com, _msdcs.contoso.com)
5. 若缺失，右鍵 MicrosoftDNS →「新增」→「容器」→ 名稱 = 區域名 (如 contoso.com)
6. 在新建容器下建立必要屬性：dnsZoneType、dnsAllowUpdate 等 (參考正常 DC)
7. 對 ForestDnsZones 同理處理 _msdcs 區域
8. 執行 repadmin /syncall /AdeP 強制複寫
9. 重啟 DNS 服務驗證

方案三：重建預設 DNS 應用程式目錄分割區

若分割區本身損壞，需重建：

# 在 DC 上執行
dnscmd /CreateDirectoryPartition ForestDnsZones
dnscmd /CreateDirectoryPartition DomainDnsZones
# 或使用 NTDSUTIL
ntdsutil
partition management
connections
connect to server DC2
quit
create nc ForestDnsZones contoso.com
create nc DomainDnsZones contoso.com
quit
quit

參考：Create Default DNS Application Directory Partitions

方案四：檢查 DNS 伺服器物件權限

1. ADSIEDIT 連線 DomainDnsZones
2. 定位 CN=MicrosoftDNS,DC=DomainDnsZones,...
3. 右鍵 →「屬性」→「安全性」→ 確認 Enterprise Domain Controllers、DNS Servers 群組擁有「讀取」、「寫入」、「建立子物件」權限
4. DNS 服務帳戶 (通常為 Network Service 或專用帳戶) 需有權限

DNS 服務啟動模式完整說明

預防重發檢查清單

• [ ] 所有 DC 部署 DNS 服務，區域設為 AD 整合
• [ ] 定期匯出區域備份：dnscmd /zoneexport contoso.com contoso.com.bak
• [ ] 監控 AD 複寫健康：repadmin /replsum、事件 ID 2087/2088
• [ ] 限制 DNS 管理權限，防止誤刪區域/記錄
• [ ] 文件化「角色轉移 + DNS 重建」標準作業程序 (SOP)
• [ ] 季度演練單 DC 失效恢復流程