域控IP更改后客户端无法连接，主因是DNS中dc.domain.com的A记录、_ldap._tcp.dc._msdcs的SRV记录、_kerberos._tcp.dc._msdcs的SRV记录及gc._msdcs的CNAME/A记录未同步更新，须手动修正并执行ipconfig /registerdns。
域控IP改了但客户端连不上，八成是DNS没更新
域控制器ip地址变更后，最常出现的现象是：客户端无法登录、组策略不生效、netlogon服务报错、nslookup dc.domain.com仍返回旧ip。根本原因不是ad数据库没同步，而是dns中关键记录（尤其是_ldap._tcp.dc._msdcs、domain.com的a记录、gc._msdcs.domain.com）未自动刷新或被缓存固化。
必须手动更新的4类DNS记录
Windows域控不会自动用新IP覆盖所有相关DNS记录，尤其在非动态注册场景或DNS区域禁用安全动态更新时。以下记录需逐项核对并修改：
-
dc.domain.com的A记录（主域名解析，指向PDC Emulator角色持有者） -
_ldap._tcp.dc._msdcs.domain.com的SRV记录（客户端定位域控的核心依据） -
_kerberos._tcp.dc._msdcs.domain.com的SRV记录（Kerberos认证依赖） -
gc._msdcs.domain.com的CNAME或A记录（全局编录服务，若该DC承担GC角色）
注意：nsupdate 或 dnscmd 修改后，需执行 ipconfig /registerdns 在域控本机触发一次完整注册，否则部分辅助记录（如_kpasswd）可能遗漏。
改IP前必须停掉Netlogon服务再操作
直接修改网卡IP再重启，会导致Netlogon服务启动失败并卡在“正在启动”状态，进而阻断DNS动态注册流程。正确顺序是：
- 在域控上运行
net stop netlogon（不是禁用，是停止） - 修改网卡IPv4地址、子网掩码、默认网关
- 运行
ipconfig /flushdns清除本机DNS缓存 - 运行
net start netlogon启动服务（此时会尝试重新注册DNS） - 立即执行
ipconfig /registerdns强制刷新全部记录
如果Netlogon启动失败，检查Event Viewer → Windows Logs → System中ID为5722或5805的错误，大概率是DNS服务器不可达或区域无写入权限。
客户端DNS缓存和域成员身份验证延迟问题
即使DNS服务器上的记录已更新，客户端仍可能因本地缓存继续连旧IP。这不是配置错误，而是预期行为：
- 运行
ipconfig /flushdns只清本地缓存，不解决HOSTS文件或第三方DNS缓存（如Chrome内置DNS） - 域成员计算机每小时自动尝试与域控通信并更新安全通道，但首次登录失败后可能需要等待15–45分钟才重试
- 强制刷新安全通道：在客户端执行
nltest /sc_reset:domain.com（需管理员权限），比重启更高效
真正容易被忽略的是：如果域内存在多个DNS服务器，且它们之间使用标准区域传输（非AD集成），新IP记录可能不会自动同步到所有DNS服务器——必须确认所有权威DNS服务器都已更新对应记录，否则部分子网客户端会持续失败。
