解決 Active Directory DNS 缺少 SRV 記錄的完整指南

問題背景：SRV 記錄對 AD 的關鍵性

Active Directory 依賴 DNS 服務定位網域控制器、全域類別目錄、Kerberos 與 LDAP 等核心服務。當執行 DCPROMO 升級伺服器為網域控制器後，NetLogon 服務會在 DNS 中自動註冊一組關鍵 SRV 記錄，位於下列區域路徑：

• _msdcs/dc/_sites/default-first-site-name/_tcp
• _msdcs/dc/_tcp

這些記錄包含 _kerberos 與 _ldap 服務定位資訊，若遺失將導致用戶端無法尋找 DC、登入失敗、複寫中斷等嚴重問題。

排除與修復標準流程

階段一：基礎 DNS 環境檢查

1. 靜態 IP 設定：確保 DNS 伺服器使用固定 IP 位址，避免 DHCP 租約變更導致服務中斷。
2. 建立正向查詢區域：以 Active Directory 網域名稱命名（如 corp.contoso.com），並設定為 Active Directory 整合區域。
3. 啟用動態更新：區域屬性中選擇「安全動態更新」或「非安全和安全動態更新」，允許 DC 自動註冊記錄。

階段二：服務驗證與強制註冊

4. 重啟 NetLogon 服務：觸發 SRV 記錄重新註冊流程。
5. 執行 ipconfig /registerdns：強制用戶端重新註冊 A/AAAA 與 SRV 記錄。
6. 使用 netdiag /fix：Windows 2000 支援工具指令，可自動修復 NetLogon.dns 中的記錄註冊問題。

階段三：進階診斷

若上述步驟無效，請檢查：

• 事件檢視器中 DNS 服務與 Directory Service 相關錯誤日誌
• DNS 伺服器是否正確設定根提示或轉寄器
• 網域控制器網路介面卡 DNS 設定是否指向自身或夥伴 DC
• 區域委派設定是否正確（子網域情況）

預防性最佳實務

• 部署至少兩台 DNS 伺服器（建議同為 DC），設定相互為夥伴 DNS
• 定期使用 dcdiag /test:dns 驗證 DNS 健康狀態
• 監控 NetLogon 服務狀態，設定自動重啟恢復選項
• 文件化 DNS 拓撲與區域委派架構

系統性地建立 DNS 與 AD 整合的穩健基礎，是確保企業身分識別服務高可用的關鍵。