Active Directory 整合 DNS 常見問題與解決方案問答集

核心原則：AD 與 DNS 共生關係

• Windows 2000/2003/2008+ **首要名稱解析機制 = DNS**
• DC 動態註冊 A、SRV、CNAME 記錄至 DNS，用戶端/DC 查詢 DNS 尋找服務
• DNS 設定錯誤 → 複寫失敗、無法登入、無法加入網域、GPO 不套用

高頻問題與標準答案

Q1：單一 DC 環境最常見的 DNS 設定錯誤是什麼？

A： 三大經典錯誤：

1. DC 網路介面卡 **DNS 未指向自己** (應指向 127.0.0.1 或本機 IP)
2. 正向查詢區域存在 **「.」根區域** (導致 DNS 自認為根伺服器，不轉發/遞迴查詢外部)
3. 用戶端/成員伺服器 **DNS 未指向 DC/DNS 伺服器** (指向 ISP/路由器/空白)

Q2：為什麼 DC 的 DNS 必須指向自己？

A： NetLogon 服務啟動時需向 **本機 DNS** 動態註冊 SRV 記錄 (`_ldap._tcp`、`_kerberos._tcp`、`_gc._tcp` 等)。若指向外部 DNS (ISP)，註冊失敗、事件日誌記錄錯誤、用戶端無法定位 DC。

Q3：DC 在 DNS 註冊哪些關鍵記錄？

A： NetLogon 註冊 SRV 資源記錄，位於正向區域 `<網域名>` 之下：

• `_msdcs` — DC、GC、PDC 模擬器等角色定位
• `_sites` — 站台感知服務定位
• `_tcp` / `_udp` — 協議特定服務 (LDAP、Kerberos、Kpasswd)

用戶端查詢這些記錄尋找最近 DC、GC、認證服務。

Q4：為什麼不能用 WINS 替代 DNS？

A： Win2k DC **不向 WINS 註冊 AD 服務記錄**，僅支援 DNS SRV 記錄。WINS 無 SRV 記錄類型，無法支援 AD 服務定位需求。

Q5：移除 ISP DNS 後，還能解析 microsoft.com 等外部名稱嗎？

A： **能**。前提：正向區域**無「.」根區域**。DNS 服務將使用內建**根提示** 遞迴查詢公網根伺服器 → 頂級域 → 權威伺服器，完成解析。

Q6：「.」根區域代表什麼？為何要刪除？

A： 表示此 DNS 伺服器**自認為根伺服器**，不會使用根提示/轉寄器查詢外部。保留會導致**無法解析任何外部名稱**。除非刻意建立隔離實驗室，否則**必須刪除**。

Q7：一定要設定 DNS 轉寄器嗎？

A： **不一定**。預設使用根提示遞迴查詢 (具備冗余、無單點故障)。設定轉寄器 (ISP/企業上層 DNS) 可**提升效能、減少對外查詢流量**，但轉寄器故障會導致全域解析失敗。建議：設定多組轉寄器 + 勾選「若轉寄器失敗則使用根提示」。

Q8：成員電腦/工作站 DNS 可以指向 ISP DNS 嗎？

A： **嚴禁**。將無法查詢 `_msdcs` 等 AD 專用記錄 → **無法尋找 DC、無法登入、無法加入網域**。
**正確設定**：指向**執行 DNS 服務的 DC** (或專用 DNS 伺服器叢集)。若使用 DHCP，請在範圍/伺服器選項 **006 DNS Servers** 設定 DC IP。

Q9：Win NT 4.0 / Win 95 / 98 用戶端需要指向 Win2k DNS 嗎？

A： 這些舊版用戶端主要用 NetBIOS (WINS/廣播) 尋找 DC，**不強制要求**指向 Win2k DNS。但**強烈建議**統一指向 Win2k DNS，便於未來遷移、混合環境名稱解析一致性。

Q10：DC 在 Proxy/防火牆後方如何運作？

A： 需在 Proxy/防火牆**開放 TCP/UDP 53** (DNS 查詢/區域傳輸)。若需對外遞迴查詢，確保防火牆允許 DC 來源 IP/埠 53 連出。區域傳輸 (TCP 53) 僅限受信任夥伴 DNS IP。

Q11：DC DNS 指向自己但 SRV 記錄未出現，怎麼辦？

A： 依序排查：

1. 確認 DNS 區域允許**動態更新** (安全/非安全)
2. 檢查 NetLogon 服務狀態 → **重新啟動 NetLogon** 觸發重新註冊
3. 執行 `ipconfig /registerdns` 強制用戶端註冊
4. 安裝支援工具 → 執行 `netdiag /fix` 自動修復 NetLogon.dns 註冊
5. 檢查事件日誌：DNS Server、Directory Service、System 是否有錯誤

Q12：額外 DC (第二台、第三台) DNS 如何設定？

A： **推薦指向第一台 DC (主要 DNS 伺服器)**。
原因：新 DC 升級過程需查詢現有網域資訊、註冊自身記錄至主要 DNS。升級完成後，可視需求改為指向自己/夥伴 DC 形成迴圈冗余。

Q13：子網域 DNS 如何部署？

A： 標準委派流程：

1. 父網域 DNS (test.com) 建立 **子網域委派** 記錄 (NS + A glue record) 指向子網域 DNS 伺服器
2. 子網域 DNS 伺服器建立 **次要區域** 或 **AD 整合區域** (若為獨立樹系則為獨立區域)
3. 子網域 DC DNS 指向**自己**
4. 驗證：父/子雙向查詢正常、SRV 記錄各自區域註冊

DNS 部署最佳實務檢查清單

1. 所有 DC 安裝 DNS 服務，AD 整合區域、安全動態更新
2. DC 網卡 DNS 設定：主要 = 夥伴 DC / 自己 (次要)；**不指向 ISP/回環單獨使用**
3. 移除「.」根區域；設定 2+ 個轉寄器 + 勾選根提示備援
4. 啟用老化/清除 (No-refresh 7 天 + Refresh 7 天) 清理過時動態記錄
5. 子網域採用委派 + 獨立區域，避免單一巨大區域
6. 監控：`dcdiag /test:dns /v /s: /DnsDomain:<域>` 納入每日巡檢
7. 備份：DNS 區域檔 (AD 整合區域隨系統狀態備份) / 非 AD 區域匯出檔
8. 文件化：區域結構圖、轉寄器清單、委派關係、IP 規劃表

DNS 是 Active Directory 的生命線。**標準化部署、主動監控、定期演練** 是確保身分基礎設施穩健運作的三大支柱。