如何排查DNS缓存污染并重新定位域控制器位置-windows运维-PHP中文网

先清本机DNS缓存（ipconfig /flushdns），再用nslookup -server指定可信DNS服务器查SRV记录；若仍错误，检查_msdcs子域是否存在、是否AD集成、复制范围及SRV记录是否由Netlogon自动注册。

nslookup 查不到正确的域控制器 IP？先确认是否被本地 DNS 缓存污染

windows 客户端查不到正确的域控制器，常见原因不是 ad 本身出问题，而是 nslookup 或系统解析时命中了错误的缓存记录。dns 缓存污染通常发生在客户端（dnscache 服务）、本地 dns 服务器（如公司内部 bind / windows server dns）、甚至 isp 提供的递归 dns 上。

排查顺序必须从近到远：先清本机缓存，再验证 DNS 查询路径是否被劫持或配置错误。

运行 ipconfig /displaydns 查看当前缓存中是否有 _ldap._tcp.dc._msdcs.<domain></domain> 或 domain.com 的 A 记录——如果返回的 IP 不在你域控制器实际网段内，基本可判定缓存污染
执行 ipconfig /flushdns 清空本机缓存，再立刻用 nslookup -type=srv _ldap._tcp.dc._msdcs.example.com 重查（注意替换为你的域名）
若清缓存后仍返回错误 IP，说明污染源在上游 DNS 服务器，需跳转到下个环节

nslookup 指定 DNS 服务器查询，绕过默认递归链

默认 nslookup 会走系统设置的首选 DNS，但这个 DNS 可能已被配置为转发到不可信地址，或自身缓存已中毒。必须手动指定一个可信 DNS（比如域控制器自身、根 DNS 服务器、或公共干净 DNS）做对比验证。

查域控制器自己是否能正确响应：nslookup -server=192.168.10.5 -type=srv _ldap._tcp.dc._msdcs.example.com（把 192.168.10.5 换成你已知正常的 DC IP）
查权威 DNS 是否返回一致结果：nslookup -server=8.8.8.8 -type=srv _ldap._tcp.dc._msdcs.example.com —— 如果 Google DNS 返回空或错误，说明是权威侧配置问题；如果它返回正确而内网 DNS 返回错误，就是内网 DNS 被污染或转发策略异常
注意：Windows 域环境严禁将客户端 DNS 设置为公网 DNS（如 8.8.8.8），仅用于临时诊断；长期使用会导致 SRV 记录无法解析、登录慢、组策略失败

检查 DNS 区域中 _msdcs 子域是否被意外删除或权限失控

域控制器位置最终靠 _msdcs.<domain></domain> 这个子域下的 SRV 记录定位。如果该区域被手动删掉、复制范围设错（比如只在单台 DNS 服务器上存在）、或 ACL 被修改导致动态注册失败，客户端就会“找不到 DC”。

在 DNS 管理器中展开正向查找区域，确认存在名为 _msdcs.example.com 的子域（不是文件夹图标，而是真实区域节点）
右键该区域 → “属性” → “常规”页确认“区域类型”是 Active Directory 集成，“复制到以下 DNS 服务器”勾选了所有 DC 对应的 DNS 服务器
进入该区域 → 展开 _tcp → dc → 检查是否有对应 DC 主机名的 SRV 记录，且“主机”字段指向的是 DC 的 FQDN（如 dc01.example.com），不是 IP 或别名
如果记录缺失，不要手动添加——重启目标 DC 上的 Netlogon 服务（net stop netlogon && net start netlogon），它会自动重新注册

DC 重启后仍不注册 SRV？检查防火墙和时间同步

即使 DNS 区域完好，DC 也可能因基础服务异常无法完成动态注册，表现为 nslookup 查不到任何 SRV 记录，或只返回旧 DC 的残余条目。

确认 DC 时间与 PDC Emulator 角色时间偏差不超过 5 分钟：w32tm /query /status；超时会导致 Kerberos 认证失败，进而阻断 Netlogon 注册流程
检查 Windows 防火墙是否放行了 UDP/TCP 53（DNS）、UDP 389（LDAP）、TCP 445（SMB）——尤其注意“域配置文件”是否启用，而不仅是“专用”配置文件
运行 dcdiag /test:dns /v，重点看 Test Result : PASS 还是 FAIL；若提示 Record registration failed，直接查 System 和 Directory Service 事件日志中的错误事件 ID（常见 4013、4015）
某些虚拟化平台（如 VMware）启用了“客户操作系统 IP 报告”，会导致 DC 获取到错误的 IP 地址并注册错误 A 记录——此时需禁用该功能并手动清理 DNS 中错误的 A 记录