解決 Windows Server 2003 升級為網域控制站後 DNS 記錄缺失問題

將 Windows Server 2003 成員伺服器提升為網域控制站 (DC) 時，若未預先安裝並配置 DNS 服務，Active Directory 所需的關鍵 DNS 記錄（含網域 GUID、SRV 記錄等）不會正確註冊，導致複寫失敗、群組原理無法套用、用戶無法登入網域等嚴重後果。本文提供標準修復流程。

故障徵兆

執行 dcdiag 測試失敗，典型錯誤：

「服務的 GUID DNS 名稱無法解析為 IP 位址。請檢查 DNS 服務名稱和 DHCP 名稱。雖然 GUID DNS 名稱 (._msdcs.domain-name.local) 無法解析，伺服器名稱仍可解析並 Ping 通。請檢查該 IP 位址是否在 DNS 中正確註冊。」

標準修復 11 步驟

1. 確認 TCP/IP 設定： 靜態 IP、子網路遮罩、預設閘道正確；**慣用 DNS 伺服器指向本機** (IP 或 127.0.0.1)。
2. 開啟「網路連線」→ 右鍵「區域網路連線」→「內容」→「Internet 通訊協定 (TCP/IP)」→「內容」→「進階」→「DNS」分頁。
3. 勾選：「為這個連線附加主要和連線特定的 DNS 尾碼」與「附加父尾碼至主要 DNS 尾碼」。
4. 勾選：「在 DNS 中登記這個連線的位址」。確定關閉所有對話框。
5. 命令提示字元執行：
   ipconfig /flushdns
ipconfig /registerdns
   清除快取並重新動態註冊 A/PTR 記錄。
6. 開啟 DNS 管理主控台，檢查正向查詢區域中該 DC 的：
   - 主機 (A) 記錄
   - SOA 記錄
   - 名稱伺服器 (NS) 記錄
7. 在正向查詢區域找到對應 AD 網域的區域 (如 domain-name.local) → 右鍵「內容」。
8. 關鍵：「一般」分頁 → 「區域類型」選 **「Active Directory 整合」**，「動態更新」選 **「僅安全」** → 確定。
9. 命令列執行：
   netdiag /fix
net stop netlogon && net start netlogon
   強制 NetLogon 服務重新註冊 SRV、CNAME、GUID 等 AD 專用記錄。
10. 最後執行 dcdiag 完整測試，確認所有項目通過（特別是 DNS、連線、廣告、NetLogon、知識一致性檢查）。

原理說明

• AD 整合區域將 DNS 資料儲存在 AD 資料庫，透過 AD 複寫自動同步至所有 DC/DNS 伺服器，避免傳統區域檔案傳輸延遲與衝突。
• netlogon 服務啟動時會讀取 %SystemRoot%\System32\Config\netlogon.dns 檔案，向 DNS 伺服器動態註冊所有必要記錄（_ldap._tcp、_kerberos._tcp、_msdcs 等）。
• netdiag /fix 會修復網路相關註冊表鍵值與服務依賴關係，確保後續 netlogon 註冊順利。

預防最佳實踐

1. **提升 DC 前**務必先安裝 DNS 服務、建立 AD 整合區域、設定靜態 IP 指向自身。
2. 使用 dcpromo 精靈時選擇「安裝並設定 DNS 伺服器」選項，讓精靈自動完成上述所有動作。
3. 新增 DC 後，立即執行 dcdiag /test:dns 驗證。

遵循「先 DNS、後 DC」鐵律，可從根源避免此類棘手故障。