Active Directory域内PC的DNS名称是否需可解析？解析异常问题咨询

这绝对不是正常行为——域内的计算机默认就该能解析彼此的完全限定域名（FQDN）才对。咱们一步步来排查可能的操作失误或者配置问题：

• 检查DNS记录是否存在
  先在域内的DNS服务器上查看abc.example.com区域，确认my-pc.abc.example.com这条A记录（或者AAAA记录）是否存在。如果没有，大概率是你的计算机加入域时没成功自动注册DNS记录。
  你可以在my-pc上手动执行命令：ipconfig /registerdns，触发DNS注册，之后再回到DNS管理器里确认记录是否生成。
  也可以在其他无法解析的计算机上运行nslookup my-pc.abc.example.com，看看返回的错误是“找不到记录”还是其他，这能帮你快速定位问题方向。

• 确认其他计算机的DNS配置
  域内计算机必须把DNS服务器指向域控制器的DNS服务器，如果其他机器用了公共DNS（比如8.8.8.8），那肯定找不到内网域的DNS记录。
  你可以在目标机器上执行ipconfig /all，查看“DNS服务器”字段，确认是不是域内DNS服务器的IP地址。

• 检查AD计算机对象的DNS属性
  回到dsa.msc里的my-pc属性页，仔细核对“DNS名称”是否完全正确——有没有拼写错误、多字符或者少字符的情况？虽然这种概率不高，但有时候手动修改主机名后可能会出现属性不同步的问题。

• 验证DNS区域的动态更新设置
  域的DNS区域默认应该允许“安全的动态更新”，这样域内计算机才能自动注册自己的DNS记录。如果这个设置被修改过，可能导致注册失败。
  打开DNS管理器，右键点击abc.example.com区域，选择“属性”，查看“动态更新”选项是否设置为“仅安全”或者“非安全和安全”。如果是“无”，那就是配置失误，修改后重新注册DNS即可。

• 排查防火墙端口
  DNS查询依赖UDP 53端口，动态注册可能需要TCP 53端口。确认my-pc、DNS服务器以及其他查询机器之间的这些端口没有被防火墙（本地防火墙或网络防火墙）拦截。可以临时关闭防火墙测试一下，如果能解析了，再调整防火墙规则放行DNS流量。

总结一下：如果是DNS记录未注册、DNS服务器指向错误或者动态更新设置被改，这些都属于可修正的操作/配置失误；如果是防火墙拦截，那也是常见的配置疏漏。只要按照上面的步骤排查，基本都能解决问题。

内容的提问来源于stack exchange，提问作者Pathead