新购笔记本为何加不进 AD 域？出厂系统排障记

Mon, 13 Jan 2025 12:54:18 +0000

一、问题背景

元旦后公司新采购了 30 台联想 ThinkPad T14 Gen4 笔记本，预装 Windows 11 专业版 23H2，用于研发部门新员工入职。资产入库后，桌面运维组按惯例在备货区统一加域（将计算机加入公司 AD 域 corp.example.com），以便后续通过 GPO 下发安全基线、软件分发和漫游配置。

公司 AD 环境概况：单林单域 corp.example.com，两台域控制器 DC01（10.10.0.11）、DC02（10.10.0.12），均承担 DNS 角色；终端通过 DHCP 获取地址，正常情况下 DNS 应指向 10.10.0.11 和 10.10.0.12。加域操作在运维网段（VLAN 20，10.10.20.0/24）进行，与域控所在服务器网段（VLAN 10）三层互通。

备货区交换机属于办公网，物理上能访问服务器网段。历史上一律是开箱即加域，从未出过问题。本次是年度最大批量采购，时间紧，所以直接流水线作业。

二、故障现象

对第一台笔记本执行加域时，在“系统属性 - 计算机名”中点击“更改”，输入域名 corp.example.com 并填写有权限加域的域账号后，弹出报错：

找不到域控制器。

查询域“corp.example.com”的域控制器时出错。

找不到网络路径。

反复重试 3 次均相同。偶尔在输入域名瞬间出现另一种提示：

`1`	`指定的域不存在，或无法联系。`

但同一台笔记本可以正常上网、访问内网 OA 系统与共享文件夹（说明基础网络是通的），只是加域这一步始终失败。用同一镜像的其余 5 台样机测试，全部复现，说明不是单机个案，而是这批出厂系统的共性问题。

三、排查过程

加域的本质是：客户端先通过 DNS 查询 _ldap._tcp.dc._msdcs.corp.example.com 的 SRV 记录定位域控，再建立 LDAP/SMB 会话。报错“找不到域控制器”通常就是 DNS 解析或网络连通性问题，于是从 DNS 入手。

查看本机 IP 配置：

`1`	`ipconfig /all`

关键输出：

   IPv4 地址 . . . . . . . . . . . . : 10.10.20.105(首选)
   子网掩码  . . . . . . . . . . . . : 255.255.255.0
   默认网关  . . . . . . . . . . . . : 10.10.20.1
   DHCP 已启用 . . . . . . . . . . . : 是
   DNS 服务器  . . . . . . . . . . . : 8.8.8.8
                                       202.96.128.86

发现问题：DNS 指向的是公网 DNS（Google 8.8.8.8 与当地运营商 DNS），而不是内网域控。这说明出厂系统里 DHCP 客户端虽然拿到了内网地址，但 DNS 被某种方式覆盖成了公网值。进一步确认是出厂镜像在“网络连接 - IPv4 属性”里手动勾选了“使用下面的 DNS 服务器地址”，把公网 DNS 写死。

验证域控 SRV 记录是否可解析：

`1`	`nslookup -type=SRV _ldap._tcp.dc._msdcs.corp.example.com`

返回 *** 找不到 _ldap._tcp.dc._msdcs.corp.example.com: 不存在的域，且服务器显示为 8.8.8.8 的公网应答，证明公网 DNS 当然解析不出内网域控记录。

测域控连通性（先把 DNS 临时指向域控再测）：

`1`	`ping 10.10.0.11`

`1`	`来自 10.10.0.11 的回复: 字节=32 时间=1ms TTL=128`

说明网络层到域控是通的，问题纯粹在 DNS 解析。

用 nltest 进一步确认域定位能力：

`1`	`nltest /dsgetdc:corp.example.com`

返回 ERROR_NO_SUCH_DOMAIN，与 nslookup 结论一致。

四、解决方案

根因明确：DNS 指向公网，无法解析域控 SRV 记录。临时与永久处理分两步：

临时加域（先让这台能进域）：手动把 DNS 改为域控，然后加域。

1
2

netsh interface ip set dns name="以太网" static 10.10.0.11
netsh interface ip add dns name="以太网" 10.10.0.12 index=2

随后在“计算机名”中重新加域成功，重启后 echo %logonserver% 显示 \\DC01，确认已在域内。

永久修复（针对整批机器）：由于出厂镜像里把 DNS 写死，单靠 DHCP 下发的 DNS 会被覆盖。两种做法：

方案 A：在出厂首次开机前，用 PE 或脚本统一清除网卡写死的 DNS，改回“自动获取”，让 DHCP 下发的域控 DNS 生效。
方案 B：直接调整备货区 DHCP 作用域，并在接入交换机上做 DHCP Snooping + Option 6 强制下发 10.10.0.11,10.10.0.12，即便客户端写死也被覆盖（需网关支持）。

最终采用方案 A 批量脚本化处理，30 台在 1 小时内全部加域成功，并手动触发 gpupdate /force 验证 GPO 正常应用。

五、根因分析

根本原因是 OEM 出厂镜像为了“开箱即能上网”的体验，在网卡 IPv4 属性中写死了公网 DNS（8.8.8.8）。当机器接入公司内网通过 DHCP 获取 IP 时，Windows 并不会用 DHCP 的 DNS 去覆盖“手动指定”的 DNS，于是 DNS 仍为公网值。

加域依赖 DNS 定位域控：客户端查询 _ldap._tcp.dc._msdcs.<域名> SRV 记录，公网 DNS 上不存在公司内网域的记录，所以返回“找不到域控制器 / 找不到网络路径”。注意这里不是域控不可达，而是定位阶段就失败了——因此即使能上公网、能开 OA，加域依然失败。

此外，研发 VLAN 与服务器网段虽三层互通，但从严谨角度还应确认域控防火墙放行了加域所需的 RPC 动态端口与 TCP 88/389/445 等，本次这些均正常，排除在外。

六、预防措施

标准化镜像：重新制作公司标准 WIM 镜像，出厂前清掉所有写死的公网 DNS，统一设为“自动获取”，并将该镜像写入采购验收 SOP，要求供应商出厂即灌装标准镜像。
加域前检查脚本：在 MDT/Intune 或 PE 阶段自动执行 DNS 校验，发现 DNS 非内网地址直接阻断加域并告警。

1
2

$dns = (Get-DnsClientServerAddress -AddressFamily IPv4).ServerAddresses
if ($dns -notmatch '^10\.10\.') { Write-Warning "DNS 异常: $dns" }

OU 预建计算机账号：采购计划中提前在 AD 对应 OU 预建计算机对象并重置密码，避免加域时权限/名称冲突引发的二次报错。
验收清单化：把“DNS 指向域控、能 nslookup 出 SRV 记录”列为新机入库必检项，从源头消灭该类问题。

七、总结

这次故障看似诡异——能上网、能开 OA 却加不了域，本质就是最基础的 DNS 问题。OEM 为出厂体验写死公网 DNS 的小动作，在内网加域场景下直接变成拦路虎。排查上只要牢牢记住“加域先查 DNS、先 nslookup 域控 SRV 记录”这条铁律，5 分钟就能定位。真正的教训在流程：新机验收必须包含 DNS 与域解析校验，把标准镜像和预检脚本固化进采购 SOP，才能避免下一次批量踩坑。

加域失败 on Zero Day Notes