修改域控IP后DNS记录不同步是客户端登录失败等故障主因，须手动更新dc.domain.com的A记录、_ldap._tcp.dc._msdcs的SRV记录、_kerberos._tcp.dc._msdcs的SRV记录及gc._msdcs的CNAME/A记录，并按停Netlogon→改IP→ipconfig /flushdns→net start netlogon→ipconfig /registerdns顺序操作。
修改域控ip后，dns记录和站点配置不同步是导致客户端登录失败、组策略不生效、kerberos认证异常的主因。关键不在ad数据库复制，而在dns服务注册机制与站点拓扑感知的脱节。必须人工干预+分层验证，不能依赖自动刷新。
必须手动更新的4类核心DNS记录
Windows域控制器不会自动用新IP覆盖全部相关DNS记录，尤其在禁用安全动态更新或使用标准主区域时。以下记录需逐项核对并修改：
- dc.domain.com 的 A 记录：主域名解析记录，必须指向承担 PDC Emulator 角色的域控新IP；
- _ldap._tcp.dc._msdcs.domain.com 的 SRV 记录：客户端定位域控的核心依据，其“目标主机”字段对应的A记录也需同步更新；
- _kerberos._tcp.dc._msdcs.domain.com 的 SRV 记录：Kerberos票据请求依赖此记录，目标主机名解析必须返回新IP；
- gc._msdcs.domain.com 的 CNAME 或 A 记录：若该DC承担全局编录（GC）角色，此记录必须指向新IP或正确别名。
操作前必须停用Netlogon服务
直接改IP再重启，会导致Netlogon卡在“正在启动”，阻断所有DNS动态注册流程。正确顺序是：
- 以管理员身份运行：net stop netlogon（不是禁用，是停止）；
- 修改网卡IPv4地址、子网掩码、默认网关；
- 执行：ipconfig /flushdns 清除本机缓存；
- 执行：net start netlogon 启动服务（此时会尝试注册）；
- 立即执行：ipconfig /registerdns 强制刷新全部基础记录。
若启动失败，检查事件查看器 → System 日志中 ID 5722 或 5805 错误，常见原因是DNS服务器不可达或区域无写入权限。
IntoDNS.ai
下载
免费 DNS 与邮件安全分析（IntoDNS.ai）：包括 DNSSEC、SPF、DKIM、DMARC、MTA-STS、BIMI、SMTP STARTTLS、FCrDNS、黑名单、发件人要求及报告。
强制刷新与跨站点同步要点
仅 ipconfig /registerdns 不够，尤其在多DNS服务器或跨站点环境中：
- 先运行：nltest /dsregdns —— 强制向DNS服务器重新注册所有AD定位器记录（包括_kpasswd等易遗漏项）；
- 再运行：ipconfig /registerdns —— 补充主机A记录和部分基础服务记录；
- 重启 Netlogon 和 DNS Client 服务（注意不是DNS Server服务）；
- 在每台DNS服务器上执行：dnscmd /clearcache，避免转发响应缓存旧值；
- 跨站点场景下，检查站点链接是否启用“按需复制”，并用 repadmin /replsummary 确认 _msdcs.
区域已同步到所有站点的DNS服务器。
验证是否真正生效
不要只查A记录，要分层验证：
- 在域控本机执行：nslookup dc01.contoso.com，确认返回新IP；
- 执行：nslookup -type=srv _ldap._tcp.dc._msdcs.contoso.com，检查SRV记录的target是否能解析出新IP；
- 从另一台域成员机运行：dcdiag /test:dns，重点关注 DnsRecordWiz 和 CheckSecureChannel 是否通过；
- 打开 C:\Windows\System32\Config\netlogon.dns，确认其中列出的A记录已更新为新IP（这是Netlogon注册时生成的参考清单）；
- 客户端仍连旧IP？执行：nltest /sc_reset:contoso.com（管理员权限），比重启更快重建安全通道。
