在Windows活动目录（Active Directory，AD）环境中，DNS（域名系统）扮演着至关重要的角色，它是AD域运行的基石，AD域控制器（DC）之间的通信、客户端与域控制器的交互、域名的解析以及策略的下发等，都高度依赖于DNS的正确配置，在部署和管理AD环境时，为域控制器添加和配置DNS记录是一项核心且必须谨慎操作的任务，本文将详细阐述在AD环境中添加DNS记录的必要性、常见类型、具体操作步骤以及注意事项。
我们需要理解为什么AD如此依赖DNS,AD使用DNS来定位域控制器，当一台计算机加入域或用户尝试登录域时，计算机会通过DNS查询来寻找可用的域控制器，AD的站点间复制（Site Replication）也依赖于DNS来发现最佳的复制路径和可用的伙伴域控制器，DNS服务的稳定性和准确性直接关系到整个AD环境的可用性和性能，在部署AD时，通常建议将DNS服务安装在域控制器上，并且确保所有域控制器都指向该DNS服务器作为首选DNS服务器。
在AD环境中,DNS记录主要分为两大类：主机记录和服务位置记录，主机记录（A记录或AAAA记录）用于将计算机的IP地址映射到其完全限定域名（FQDN），这是最基本的DNS记录，用于定位域控制器、客户端计算机等，服务位置记录（SRV记录）则更为关键，它用于标识网络中提供特定服务的服务器，例如域控制器提供的LDAP、Kerberos、GC（全局编录）等服务，SRV记录是AD域控制器能够被正确发现的必要条件，如果没有正确的SRV记录，客户端将无法找到域控制器，从而导致登录失败或其他AD相关功能异常。
下面,我们将以Windows Server中内置的DNS管理控制台为例，详细介绍如何为AD环境添加和管理这些关键的DNS记录，假设我们已经成功安装了一台域控制器，并且DNS服务已经随Active Directory域服务一同安装并运行。
添加主机记录（A记录）
主机记录通常在以下情况下需要手动添加或更新：当一台新的域控制器被提升时、当一台成员服务器的IP地址发生变化时，或者当需要为特定服务（如文件服务器、打印服务器）创建易于记忆的域名时，在AD环境中，域控制器在启动时会自动注册其A记录和相关的指针记录（PTR记录，反向DNS解析），在某些特殊情况下，例如IP地址配置为静态IP且DNS动态更新被禁用时，就需要手动添加A记录。
添加A记录的步骤如下：
- 打开“服务器管理器”，选择“工具”->“DNS”，打开DNS管理控制台。
- 在控制台树中,展开您的DNS服务器，然后展开“正向查找区域”。
- 选择对应域名的正向查找区域（
example.com）。 - 在右侧的操作窗格中,右键单击，选择“新建主机（A或AAAA记录）”。
- 在“新建主机”对话框中，输入“名称”（即主机名，不需要输入域名后缀，因为已经处于特定区域中）和“IP地址”。
- 如果需要,可以勾选“创建相关的指针（PTR）记录”选项，以便自动创建反向解析记录。
- 点击“添加主机”，完成后点击“完成”。
对于域控制器而言,确保其A记录存在并且正确指向其IP地址是基础，如果域控制器的A记录缺失或错误，可能会导致其他计算机无法找到它，影响域功能的正常运行。
验证和手动创建服务位置记录（SRV记录）
与A记录不同,SRV记录通常由Netlogon服务在域控制器启动时自动注册，这些记录存储在Active Directory的分区中，并且会随着域控制器的状态变化而动态更新，常见的SRV记录包括：
_ldap._tcp.example.com：用于定位AD域控制器以进行LDAP协议通信。_kerberos._tcp.example.com：用于定位Kerberos密钥分发中心（KDC）。_gc._tcp.example.com：用于定位全局编录（Global Catalog）服务器。
在大多数情况下,我们不需要手动创建这些SRV记录，因为系统会自动处理，当遇到域间信任问题、客户端无法登录域或者怀疑SRV记录缺失时，验证和手动创建SRV记录就显得尤为重要。
验证SRV记录是否存在的方法是使用nslookup命令：
- 在命令提示符下,输入
nslookup。 - 然后输入
set type=srv，将查询类型设置为SRV记录。 - 接着输入要查询的服务记录,例如
_ldap._tcp.dc._msdcs.example.com。 - 如果SRV记录存在,
nslookup将返回提供该服务的域控制器的FQDN和优先级、权重、端口等信息。
如果确认SRV记录缺失,可以通过以下几种方式手动创建或修复：
- 使用Netdiag工具：在域控制器上运行
netdiag /fix命令，该命令会尝试修复DNS注册问题，包括重新注册SRV记录。 - 使用DNS管理控制台手动创建：
- 在DNS管理控制台中,展开“正向查找区域”，找到
_msdcs.example.com（或其他相应的域分区）。 - 右键单击,选择“其他新记录”。
- 选择“服务位置（SRV）”，点击“确定”。
- 在“新建资源记录”对话框中，输入服务（如
_ldap）、协议（如_tcp）、域名（通常由系统自动填充）、优先级、权重、端口以及提供此服务的目标主机FQDN。 - 点击“确定”完成创建。
- 在DNS管理控制台中,展开“正向查找区域”，找到
- 使用Dnscmd命令行工具：这是一个更强大的命令行工具，可以用于批量管理DNS记录。
dnscmd /RecordAdd _ldap._tcp.example.com 0 100 389 dc1.example.com可以手动添加一条指向dc1.example.com的LDAP SRV记录。
在进行任何手动DNS记录操作之前,强烈建议先备份DNS服务器，以防误操作导致DNS服务异常，在多域或复杂的林环境中，DNS配置的复杂性更高，需要更加谨慎，确保所有域控制器都指向同一组DNS服务器（通常是它们自己或同一站点内的其他域控制器），并且这些DNS服务器能够解析林中的所有域和站点。
以下是一个常见的AD关键SRV记录及其用途的简明表格：
| 服务记录 (Service Record) | 用途说明 |
|---|---|
_ldap._tcp.dc._msdcs.<DomainName> |
定位域控制器，用于LDAP协议进行目录查询、身份验证等核心AD功能。 |
_kerberos._tcp.dc._msdcs.<DomainName> |
定位Kerberos密钥分发中心（KDC），用于处理Kerberos认证票据的颁发和 renew。 |
_gc._tcp.<SiteName>.sites.<DomainName> |
定位特定站点内的全局编录（GC）服务器，GC存储了林中所有对象的 partial属性，用于跨域查询和用户登录。 |
_kerberos._tcp.<DomainName> |
提供默认的Kerberos服务发现，用于客户端在没有明确指定站点时寻找Kerberos服务。 |
_kpasswd._tcp.<DomainName> |
（在部分实现中）用于Kerberos密码更改服务。 |
在AD环境中添加和管理DNS记录是一项技术性很强的工作,它要求管理员对AD和DNS的底层工作机制有深入的理解，虽然许多记录可以自动注册，但在故障排查和特殊场景下，手动操作的能力不可或缺，遵循正确的操作流程，做好备份，并在操作前充分评估潜在风险，是确保AD环境稳定运行的关键。
相关问答FAQs
问题1：如果客户端无法通过域名访问共享文件夹，但可以通过IP地址访问，可能是什么DNS问题导致的？如何解决？
解答：这通常是由于客户端无法正确解析服务器的FQDN到其IP地址，即A记录或PTR记录缺失或错误导致的，解决方案如下：1. 在客户端上使用ipconfig /flushdns刷新DNS缓存；2. 在客户端上使用nslookup <服务器FQDN>测试DNS解析是否正常，如果失败，检查客户端的TCP/IP设置中的首选DNS服务器是否指向正确的AD域控制器DNS服务器；3. 在DNS服务器的正向查找区域中，检查该服务器的A记录是否存在且正确，如果不存在，则手动添加一条正确的A记录；4. 检查反向查找区域中是否存在对应的PTR记录，这对于某些安全认证和日志记录也很重要。
问题2：如何检查AD域控制器是否正确注册了所有必要的SRV记录？如果发现缺失，最推荐的修复方法是什么？
解答：最常用的检查工具是nslookup，在命令行中，依次执行set type=srv，然后查询关键的SRV记录，如_ldap._tcp.dc._msdcs.<您的域名>、_kerberos._tcp.dc._msdcs.<您的域名>等，如果查询失败或返回的结果不正确，则说明SRV记录缺失或错误，对于SRV记录缺失的问题，最推荐的修复方法是利用域控制器自带的Netdiag工具，在域控制器的命令提示符下以管理员身份运行netdiag /fix，该工具会自动检测并尝试重新注册所有必要的DNS记录，包括SRV记录、A记录和PTR记录，这是一种高效且安全的方法，因为它由系统本身执行，减少了手动操作的错误风险，如果netdiag /fix无法解决问题，再考虑使用DNS管理控制台或Dnscmd工具进行手动修复。