2003-AD.doc

在检查 Active Directory 安装问题时，请考虑以下各项。 域名系统 (DNS) 您必须正确配置 DNS，以确保 Active Directory 功能正常。有关 Active Directory 的 DNS 配置的深入介绍，请参阅下面的 Microsoft 知识库文章： 237675 Setting Up the Domain Name System for Active Directory 检查下列配置项，以确保 DNS 是健康的而且 Active Directory DNS 条目将能够正确注册： DNS IP 配置 Active Directory DNS 注册 动态区域更新 DNS 转发器 DNS IP 配置 对于承载 DNS 的 Active Directory 服务器，必须正确配置其 TCP/IP 设置。必须配置 Active Directory DNS 服务器上的 TCP/IP，使该服务器指向其自身，这样它就可以向其自己的 DNS 服务器进行注册。若要查看当前的 IP 配置，请打开一个命令窗口并键入 ipconfig /all 以显示详细内容。您可以按照下列步骤修改 DNS 配置： 右键单击网上邻居，然后单击属性。 右键单击本地连接，然后单击属性。 单击 Internet 协议 (TCP/IP)，然后单击属性。 单击高级，然后单击 DNS 选项卡。按照下列步骤配置 DNS 信息： 配置 DNS 服务器地址，使之指向 DNS 服务器。如果该计算机是第一个服务器或者不计划配置专用的 DNS 服务器，则此地址就应是该计算机自己的 IP 地址。 如果不合格名称解析设置被设置为附加这些 DNS 后缀(按顺序)，则 Active Directory DNS 域名应列在首位（位于列表的顶端）。 检查确认此连接的 DNS 后缀的设置是否与 Active Directory 域名相同。 检查确认在 DNS 中注册此连接的地址复选框是否已选中。 在命令提示符下，键入 ipconfig /flushdns 以清除 DNS 解析缓存，然后键入 ipconfig /registerdns 以注册 DNS 资源记录。 启动 DNS 管理控制台。该计算机名应该有一个主机记录（“高级”查看中的“A”记录）。还应该有一个指向域控制器 (DC) 的起始授权机构（“高级”查看中的 SOA）记录和名称服务器记录（“高级”查看中的 NS）。 Active Directory DNS 注册 Active Directory DNS 记录必须在 DNS 中注册。DNS 区域可以是一个标准主要区域，也可以是一个 Active Directory 集成的区域。Active Directory 集成的区域与标准的主要区域有多方面的不同。Active Directory 集成的区域可提供下面的优点： Windows 2000 DNS 服务将区域数据存储在 Active Directory 中。这将导致 DNS 复制创建多个母版，而且它允许任何 DNS 服务器接受对目录服务集成区域的更新。使用 Active Directory 集成还减少了另外维护一个 DNS 区域传输复制拓朴的需要。 安全的动态更新与 Windows 安全机制集成在一起。这使管理员能够精确地控制哪些计算机能够更新哪些名称，而且防止了未授权计算机从 DNS 中获取现有名称。 使用下列步骤以确保 DNS 在注册 Active Directory DNS 记录： 启动 DNS 管理控制台。 在服务器名称下展开域信息。 展开正向搜索区域，右键单击 Active Directory 域的 DNS 区域的名称，单击属性，然后检查确认允许动态更新是否设置为“是”。 如果 DNS 在正确配置 Active Directory DNS 记录，将存在四个具有以下名称的文件夹。这些文件夹的名称是： _msdcs _sites _tcp _udp 如果这些文件夹不存在，则表明 DNS 未在注册 Active Directory DNS 记录。这些记录对 Active Directory 功能至关重要，必须出现在 DNS 区域中。您应该修复 Active Directory DNS 记录注册。 要修复 Active Directory DNS 记录注册，请： 检查“根目录区域”项是否存在。在 DNS 管理控制台中查看“正向搜索”区域。应该有一个针对此域的项。还可能存在其他区域项。不应该有一个圆点 (.) 区域。如果圆点 (.) 区域存在，请删除此圆点 (.) 区域。此圆点 (.) 区域将 DNS 服务器标识为一个根服务器。通常，需要外部 (Internet) 访问的 Active Directory 域不应该配置为一个根 DNS 服务器。 删除该圆点 (.) 后，此服务器可能需要重新注册其 IP 配置（通过使用 Ipconfig）。还可能需要重新启动 Netlogon 服务。本文后面部分列出了有关此步骤的更详细内容。 手动重写 Active Directory DNS 项。您可以使用 Windows 2000 Netdiag 工具重写 Active Directory DNS 项。Netdiag 包括在 Windows 2000 支持工具中。在命令提示符下，键入 netdiag /fix。 若要安装 Windows 2000 支持工具，请： 插入 Windows 2000 CD-ROM。 浏览到 SupportTools。 运行此文件夹中的 Setup.exe。 选择典型安装。默认安装路径是系统驱动器:Program FilesSupport Tools。 运行 Netdiag 工具之后，请刷新 DNS 管理控制台中的视图。然后 Active Directory DNS 记录就会列出。 备注：在您运行 Netdiag 后，此服务器可能需要重新注册其 IP 配置（通过使用 Ipconfig）。还可能需要重新启动 Netlogon 服务。 如果 Active Directory DNS 记录不出现，您可能需要手动重新创建 DNS 区域。 运行 Netdiag 工具之后，请刷新 DNS 管理控制台中的视图。这样，Active Directory DNS 记录应能够被列出。手动重新创建 DNS 区域： 启动 DNS 管理控制台。 右键单击此区域的名称，然后单击删除。 在出现警告时请单击确定。正向搜索区域将不再列出删除的区域。 右键单击正向搜索区域，然后单击新建区域。 “新建区域向导”将启动。单击下一步以继续。 单击适当的区域类型（Active Directory 集成的区域或标准主要区域），然后单击下一步。 键入与显示在网络标识中完全一样的区域名称，然后单击下一步。 单击适当的区域文件，或单击一个新的区域文件。单击下一步，然后单击完成以完成“新建区域向导”。新创建的区域将显示在 DNS 管理控制台中。 右键单击新创建的区域，单击属性，然后将允许动态更新更改为“是”。 在命令提示符下，键入 net stop netlogon，然后按 ENTER 键。Netlogon 服务将终止。 键入 net start netlogon，然后按 ENTER 键。Netlogon 服务将重新启动。 刷新 DNS 管理控制台中的视图。Active Directory DNS 记录应在该区域下列出。 如果 Active Directory DNS 记录仍不存在，则可能是因为有一个不连续的 DNS 名称空间。如果您怀疑有一个不连续的 DNS 名称空间，请参见本文“不连续的 DNS 名称空间”部分。 动态区域更新 Microsoft 建议 DNS 搜索区域接受动态更新。您可以配置这一功能，方法是右键单击该区域的名称，然后单击属性。在常规选项卡上，允许更新设置应设置为是，而对于 Active Directory 集成的区域则应设置为是或者仅安全更新。如果不允许动态更新，则所有主机注册必须手动完成。 DNS 转发器 为确保在 Active Directory 域之外的网络功能（如浏览器请求 Internet 地址），请配置 DNS 服务器以便将 DNS 请求转发到适当的 Internet 服务提供商 (ISP) 或公司的 DNS 服务器。如要在 DNS 服务器上配置转发器，请： 启动 DNS 管理控制台。 右键单击此服务器的名称，然后单击属性. 单击转发器选项卡。 单击以选中启用转发器复选框。 备注：如果启用转发器复选框不可用，DNS 服务器将尝试承载一个根目录区域（通常显示为一个仅有一个句号或圆点 (.) 作为名称的区域）。您必须删除此区域以便使 DNS 服务器能够转发 DNS 请求。在一个配置中，如果 DNS 服务器不依赖 ISP DNS 服务器或公司 DNS 服务器，则您可以使用根目录区域项。 为将接受自此 DNS 服务器转发的请求的 DNS 服务器键入适当的 IP 地址。列表的读取顺序是自上而下的，如果有首选的 DNS 服务器，请将它放在列表的顶端。 单击确定接受更改。 如想更多地了解对 Active Directory 的 DNS 配置进行问题排查方面的信息，请参见下面的 Microsoft 知识库文章： 249868 Replacing Root Hints with the Cache.dns File 237675 Setting Up the Domain Name System for Active Directory 241505 SRV Records Missing After Implementing Active Directory and DNS 241515 How to Verify the Creation of SRV Records for a Domain Controller 网络配置 您必须正确地配置特定的网络组件，以确保 Active Directory 在网络上正常运行，并确保计算机能够加入此域。 必须启用文件和打印机共享 如果“文件和打印机共享”组件在基于 Windows 2000 的域控制器上被禁用，则在尝试加入域时将会出现错误消息。有关更多信息，请参见下面的 Microsoft 知识库文章： 254680 DNS Namespace Planning 注意，在有些情况下，在基于 Windows 2000 的计算机上禁用“文件和打印机共享”更可取。例如，当一个基于 Windows 2000 的计算机能够通过 Internet 被访问到时。在此情况下，您应只在通过 Internet 能够访问到的网络适配器上禁用“文件和打印机共享”。 必须为其他客户机启用 TCP/IP 上的 NetBIOS 如果未在运行 Windows 2000 的