跨云区域部署新域控制器时提升阶段丢失域连接的问题咨询

问题描述 #

我正在尝试搭建一台新的域控制器并将其加入现有域，两台服务器分别位于不同的云区域。在提升为域控制器之前，我能正常联系到现有DC：不仅成功加入了域，还能更新组策略、通过WSUS获取更新（在把现有DC信息添加到hosts文件后，域通信完全没问题）。

但当我在新服务器上安装AD DS角色并尝试将其提升为DC时，过程卡在“复制关键域信息”这一步无限循环。查看日志后发现，DNS和时间服务都有警告，提示无法联系域服务器；同时尝试运行gpupdate也失败，同样提示无法连接DC。奇怪的是我依然能ping通原DC，但就是无法和域服务通信，这直接阻碍了新服务器的DC提升流程。

请问我到底漏掉了什么环节？

排查与解决方案 #

首先，这种跨云区域的DC部署场景，最容易出问题的就是DNS配置和AD复制所需的端口连通性——毕竟你已经能ping通但域服务连不上，大概率是特定端口没开或者DNS解析出了问题，咱们一步步来排查：

• 检查DNS服务器配置是否正确
  提升DC的过程中，系统会优先依赖网卡配置的DNS服务器来定位域内的全局编录服务器、PDC模拟器等关键角色，而非hosts文件。

  • 打开ncpa.cpl找到网卡属性，确认DNS服务器地址设置为现有域的DC地址（或能正确解析域SRV记录的DNS服务器），不要使用云服务商的公共DNS。
  • 运行命令nslookup _ldap._tcp.dc._msdcs.你的域名，验证是否能返回现有DC的地址；如果返回失败，说明DNS解析存在问题，需优先解决。

• 验证AD复制所需的端口是否全部打通
  ping仅能验证ICMP连通性，但AD复制、LDAP通信需要用到一系列TCP/UDP端口，跨云区域的安全组/防火墙很容易拦截这些端口：

  • 必须开放的核心端口包括：TCP 53（DNS）、UDP 53（DNS）、TCP 88（Kerberos）、UDP 88（Kerberos）、TCP 135（RPC）、TCP/UDP 389（LDAP）、TCP 636（LDAPS）、TCP 445（SMB）；若使用动态RPC端口，建议在现有DC上配置固定RPC端口范围，再开放该范围。
  • 用Test-NetConnection 现有DC地址 -Port 389、Test-NetConnection 现有DC地址 -Port 88等命令测试端口连通性，若不通，及时调整两边云区域的安全组和防火墙规则。

• 检查时间同步是否正常
  Kerberos协议对时间差极为敏感，两台服务器的时间差不能超过5分钟，你提到的时间服务警告可能就是诱因：

  • 在新服务器上运行w32tm /query /status查看当前时间同步状态，确保它同步到现有域的PDC模拟器（域内时间权威节点）。
  • 若同步异常，可手动配置：w32tm /config /syncfromflags:domhier /update，然后重启时间服务：net stop w32time && net start w32time。

• 确认hosts文件配置持续生效
  虽概率较低，但提升DC过程中系统可能重置部分网络配置，导致hosts文件的现有DC条目被忽略。可检查hosts文件（C:\Windows\System32\drivers\etc\hosts）中的条目是否正确、未被注释。

• 查看ADDS提升日志获取精准错误信息
  除系统日志外，ADDS的提升日志位于C:\Windows\Debug\dcpromo.log，其中会记录更详细的失败原因（如复制分区失败、服务连接超时等），根据日志中的具体错误码排查会更高效。

优先从DNS和端口连通性入手排查，这是跨云部署域控制器最常见的问题点，大概率能解决你的困境。

备注：内容来源于stack exchange，提问作者Tony