Windows域环境中的DNS并不是一个可有可无的附加组件，而是身份验证、组策略、复制和资源定位的基础。很多管理员在提升域控制器时已经自动安装了DNS服务，却对Active Directory集成区域的工作方式一知半解，导致后期出现登录缓慢、策略下发失败、甚至域控制器之间解析不一致。所谓AD集成DNS，是指把DNS区域数据存储在Active Directory数据库中，而不是传统BIND或Windows DNS使用的本地文本文件。这样一来，区域内容可以随AD复制自动同步到多个域控制器，每个承载该区域的DC都能接受写操作，不再依赖单一的主服务器。本文会从区域存储机制入手，逐步演示安装、创建、权限设置和故障排查，帮助你建立一套可复用的配置流程。
一、AD集成区域与传统主辅区域到底有什么区别
理解AD集成DNS的第一步是搞清它的存储位置。标准主区域使用文本文件，通常保存在%SystemRoot%\System32\dns目录下，辅服务器通过区域传送获取只读副本。而AD集成区域把记录写入Active Directory数据库，具体容器路径为CN=MicrosoftDNS,CN=System,DC=corp,DC=contoso,DC=com。这种差异直接改变了区域复制、写入和备份方式。
AD集成区域并非只有一个统一分区，它支持三种复制范围。选择林范围时，区域数据会被复制到整个林中所有的域控制器，此时对应的分区名称是ForestDnsZones。选择域范围时，数据只复制到当前域的所有域控制器，对应的分区名称是DomainDnsZones。早期版本还支持写入旧版域上下文目录分区，通常用于兼容旧架构。多主复制意味着任何一台承载该分区的DC都可以接受区域记录更新，不再存在传统主服务器单点写入的问题。
下面的对比可以更直观地展示差异：
| 比较项 | 标准主区域 | AD集成区域 |
|---|---|---|
| 存储位置 | 文本文件 | Active Directory数据库 |
| 写入点 | 仅主服务器 | 承载该分区的所有DC |
| 复制方式 | DNS区域传送 | AD多主复制 |
| 动态更新 | 支持安全或非安全更新 | 支持安全动态更新并绑定AD对象 |
| 备份方式 | 复制文件 | 随系统状态备份 |
如果要查看当前服务器上哪些区域已经是AD集成类型，可以用PowerShell快速过滤。下面的命令会列出区域名称、区域类型、是否集成以及复制范围：
Get-DnsServerZone -ComputerName DC01 | Select-Object ZoneName,ZoneType,IsDsIntegrated,ReplicationScope
输出中，ZoneType为Primary并且IsDsIntegrated为True的记录就是AD集成主区域。不要看到Primary就认为它是传统主区域，这是Windows DNS中比较容易被混淆的地方。
二、安装DNS角色并创建AD集成正向与反向区域
如果域控制器上没有安装DNS服务，可以通过服务器管理器或PowerShell完成。在服务器管理器中点击添加角色和功能，选择基于角色或基于功能的安装，然后勾选DNS服务器，按照向导完成即可。对于命令行方式，可以直接执行：
Install-WindowsFeature DNS -IncludeManagementTools -Restart
安装完成后，就可以创建AD集成正向区域。打开DNS管理器，右键点击正向查找区域，选择新建区域。向导中出现区域类型时，选择Active Directory集成主区域，接着选择复制范围。这里需要结合企业结构判断：如果希望林中所有域控制器都拥有相同记录，就选林范围；如果只让当前域内的DC承载，就选域范围。动态更新建议先选择安全动态更新，这样可以减少未授权客户端注册记录的风险。
使用PowerShell创建正向区域同样直观：
Add-DnsServerPrimaryZone -Name "corp.contoso.com" -ReplicationScope Forest -DynamicUpdate Secure -PassThru
其中-ReplicationScope参数可以接受Domain、Forest、Legacy或Custom，-DynamicUpdate设为Secure表示只有通过AD身份验证的主体才能修改自己的记录。执行成功后，区域会自动写入相应的AD DNS分区，并且开始随AD复制向其他DC同步。
反向查找区域也不应该被忽略。通过IP地址反查主机名，对于故障定位、审计和安全策略都有帮助。创建10.0.0.0/24网络的反向区域时，可以使用NetworkID参数：
Add-DnsServerPrimaryZone -NetworkID "10.0.0.0/24" -ReplicationScope Domain -DynamicUpdate Secure -PassThru
这个命令会自动生成10.in-addr.arpa区域。反向区域同样可以选择AD集成存储，并建议使用安全动态更新。如果后续需要调整复制范围，例如从域范围改成林范围，可以执行：
Set-DnsServerPrimaryZone -Name "corp.contoso.com" -ReplicationScope Forest
需要注意，修改复制范围会触发区域数据向新的AD DNS分区重新传播。在大型环境中，应避开业务高峰并确认AD复制状态正常。
三、安全动态更新、DHCP联动与老化清理
安全动态更新是AD集成区域最重要的保护机制之一。计算机加入域后，DNS客户端服务会尝试注册A记录和PTR记录，AD通过Kerberos身份验证判断请求者是否有权限更新。域成员计算机通常可以更新自己的记录，而未知客户端或伪造实体则无法覆盖现有关联。这个特性如果配置不当，会出现记录无法自动注册、DHCP更新产生的记录归属混乱等问题。
当网络中存在DHCP动态更新场景时，不能简单地把DHCP服务器加入DnsUpdateProxy组就结束。DnsUpdateProxy组会改变记录的所有权，可能导致原客户端无法再更新自己的记录。更稳妥的做法是创建一个专用服务账户，让DHCP服务器使用该账户向DNS注册，同时将实际执行更新的服务器加入DnsUpdateProxy组。这样既保证更新权限，又便于审计记录来源。
长期运行后，区域中会积累不少陈旧记录，比如已经下线的客户端仍然占用A记录。启用老化清理可以自动删除这些记录，但参数设置要合理。NoRefreshInterval表示记录在多长时间内不可被刷新，RefreshInterval表示之后允许多长时间刷新。两个值通常设置为相同的天数，例如7天。示例命令如下：
Set-DnsServerZoneAging -Name "corp.contoso.com" -Aging $true -RefreshInterval 7 -NoRefreshInterval 7 -PassThru Set-DnsServerScavenging -ScavengingState $true -RefreshInterval 7 -NoRefreshInterval 7 -PassThru
图形界面也有对应入口。右键区域属性，在常规页点击老化按钮，勾选清除过时资源记录。之后还要在DNS服务器属性中启用清理周期，否则老化参数不会实际执行。静态记录默认不受影响，但操作前仍建议备份区域或导出记录清单。
四、验证配置与常见故障排查
配置完成后，首先要验证域控注册的SRV记录是否完整。在域控制器上执行ipconfig /registerdns可以强制重新注册，稍等片刻后使用nslookup查询关键记录：
nslookup -type=SRV _ldap._tcp.corp.contoso.com DC01
如果能够返回域名和IP，说明正向区域及动态更新正常。还可以查询_gc._tcp.corp.contoso.com验证全局编录，或者运行dcdiag /test:dns进行系统化检查。很多登录失败和组策略处理缓慢的问题，最终都能追溯到SRV记录缺失或解析结果错误。
由于AD集成DNS依赖AD复制，复制延迟或中断也会表现为解析不一致。查看复制状态可以使用：
repadmin /showrepl repadmin /syncall /AdeP
repadmin /showrepl显示入站复制状态，如果出现连续失败，需要检查站点链接、桥头服务器和防火墙端口。强制同步命令不建议频繁使用，它只能临时解决延迟，不能修复拓扑问题。
另一个高频问题是部分DC上没有DNS区域。如果复制范围设置成了域范围，而其他域控制器不在同一域，自然不会收到区域数据。也有可能是这些DC没有承载对应的AD DNS分区，需要扩展复制范围为林或手动加入分区。可以通过DNS管理器查看区域的复制范围，必要时用Set-DnsServerPrimaryZone调整。
客户机无法注册记录时，先确认客户端首选DNS服务器是否指向域控，以及网络适配器是否勾选了在DNS中注册此连接的地址。运行nltest /dsgetdc:corp.contoso.com可以验证当前客户端能否正常发现域控。若返回错误，说明DNS指向、SRV记录或网络策略存在问题。
_msdcs委派被误删除或修改也是常见故障源。_msdcs.corp.contoso.com区域用于定位域控和全局编录，如果该区域缺失，登录和复制都会受到影响。检查时应在正向查找区域中确认_msdcs子区域是否存在，并且委派指向正确的域控。必要时重建委派，但操作前要结合AD服务恢复流程评估影响。
最后整理一份检查清单：所有域控都应把首选DNS服务器指向自身或其他DC，客户端不应直接使用公共DNS作为首选地址；外部解析交给转发器完成；AD集成区域只使用安全动态更新；启用老化前先确认间隔合理；修改复制范围后等待AD复制完成再验证。遵循这些原则，可以大幅减少Active Directory集成DNS带来的运维风险。
Active DirectoryDNS配置集成区域修改时间：2026-09-27 13:06:39