Устранение неполадок с идентификатором события DNS 4013 (DNS-сервер не смог загрузить зоны DNS, интегрированные с AD)

2025-01-15

В этой статье устранен идентификатор события 4013, зарегистрированный в журнале событий DNS контроллеров домена, на которых размещена роль DNS-сервера после запуска Windows.

Исходный номер базы знаний: 2001093

Симптомы

На компьютере под управлением Windows, на котором размещаются контроллеры домена Active Directory, роли DNS-сервера перестают отвечать на запросы в течение 15–25 минут. Эта проблема возникает после отображения сообщения "Подготовка сетевых подключений " и перед отображением запроса входа Windows (CTRL+ALT+Del).

Следующий идентификатор события DNS 4013 регистрируется в журнале событий DNS контроллеров домена, которые размещают роль DNS-сервера после запуска Windows:

Event Type: Warning  
Event Source: DNS  
Event Category: None  
Event ID: 4013  
Date: Date  
Time: Time  
User: N/A  
Computer: ComputerName  
Description:  
The DNS server was unable to open the Active Directory. This DNS server is configured to use directory service information and can not operate without access to the directory. The DNS server will wait for the directory to start. If the DNS server is started but the appropriate event has not been logged, then the DNS server is still waiting for the directory to start.

For more information, see Help and Support Center at https://go.microsoft.com/fwlink/events.asp.  
Data:  
0000: <%status code%>

В этой записи журнала значения <%Status code%> могут не быть зарегистрированы. Кроме того, они включают, но не ограничиваются следующими значениями:

Hex	Байт	Десятичное число	Символический	Строка ошибки
000025f5	f5 25 00 00	9717	DNS_ERROR_DS_UNAVAILABLE	Служба каталогов недоступна
0000232d	2d 23 00 00	9005	DNS_ERROR_RCODE_REFUSED	Операция DNS отказалась.
0000232a	2a 23 00 00	9002	DNS_ERROR_RCODE_SERVER_FAILURE	Ошибка DNS-сервера.

Примеры сценариев клиента

Несколько контроллеров домена на сайте Active Directory, которые одновременно перезагружаются.
- Домен двухдоменного контроллера развертывается в одном центре обработки данных.
- Роль DNS-сервера устанавливается как на контроллерах домена, так и в ней размещаются интегрированные с AD копии _msdcs.<корневой домен> леса и зоны домена Active Directory.
- DC1 настроен для использования DC2 для предпочтительного DNS и для альтернативного DNS.
- DC2 настраивается для использования DC1 для предпочтительного DNS и для альтернативного DNS.
- Все контроллеры домена имеют неинтерпретируемые резервные копии питания (UPS) и электрических генераторов.
- Центр обработки данных испытывает частые сбои питания от 2 до 10 часов. Устройства UPS сохраняют работу контроллеров домена до тех пор, пока генераторы не предоставляют питание, но они не могут запускать систему HVAC. Защита температуры, встроенная в компьютеры класса сервера, завершает работу контроллеров домена, когда внутренние температуры достигают ограничений производителя.
- Когда питание в конечном итоге восстанавливается, контроллеры домена зависают в течение 20 минут. Эта проблема возникает после отображения сетевых подключений и перед отображением запроса на вход.
- Идентификатор события DNS 4013 регистрируется в журнале событий DNS.
Открытие DNS-консоль управления (DNSMGMT). MSC) завершается ошибкой и создает следующее сообщение об ошибке:

Не удалось связаться с именем> сервера<. Ошибка: сервер недоступен. Вы хотите добавить его в любом случае?

Открытие оснастки Пользователи и компьютеры Active Directory (DSA). MSC) создает следующее сообщение об ошибке:

Не удалось найти сведения об именовании
Один контроллер домена на сайте Active Directory
- Один контроллер домена развертывается на сайте.
- Роль DNS-сервера устанавливается и размещает интегрированные с AD копии _msdcs.<корневой домен> леса и зоны домена Active Directory.
- Контроллер домена указывает на себя для предпочтительного DNS.
- Контроллер домена не имеет альтернативного DNS-сервера или указывает на контроллер домена по каналу WAN.
- Контроллер домена перезапущен из-за сбоя питания.
- Во время перезапуска связь глобальной сети может быть неработоспособна.
- При запуске контроллера домена он может зависать в течение 20 минут. Эта проблема возникает после отображения сетевых подключений и перед отображением запроса на вход.
- Идентификатор события DNS 4013 регистрируется в журнале событий DNS.
- Открытие DNS-консоль управления (DNSMGMT). MSC) завершается ошибкой и создает следующее сообщение об ошибке:
  
  Не удалось связаться с именем> сервера<. Ошибка: сервер недоступен. Вы хотите добавить его в любом случае?
Открытие оснастки Пользователи и компьютеры Active Directory (DSA). MSC) создает следующее сообщение об ошибке:

Не удалось найти сведения об именовании.

Причина

Копия Active Directory в некоторых контроллерах домена содержит ссылки на другие контроллеры домена в лесу. Эти контроллеры домена пытаются реплицировать все локальные секции каталогов во время запуска Windows в рамках начальной синхронизации или синхронизации инициализации.

При попытке загрузки с использованием последнего содержимого зоны DNS серверы Microsoft DNS, на которых размещаются интегрированные с AD копии зон DNS, задерживают запуск службы DNS через несколько минут после запуска Windows. Задержка не возникает, если Active Directory выполнила начальную синхронизацию во время запуска Windows. Между тем Active Directory отложена от секций каталогов репликации входящего трафика. Репликация задерживается, пока она не сможет разрешить GUID CNAME исходного контроллера домена IP-адресу на DNS-серверах, используемых конечным контроллером домена для разрешения имен. Длительность зависания при подготовке сетевых подключений зависит от количества локальных секций каталогов, находящихся в копии контроллера домена Active Directory. Большинство контроллеров домена имеют по крайней мере следующие пять разделов:

schema
настройка
domain
Раздел приложения DNS на уровне леса
Раздел приложения DNS на уровне домена

И эти контроллеры домена могут столкнуться с задержкой запуска на 15–20 минут. Существование дополнительных секций увеличивает задержку запуска.

Идентификатор события DNS 4013 в журнале событий DNS указывает на задержку запуска службы DNS. Это связано с тем, что репликация входящих секций Active Directory не произошла.

Несколько условий могут усугубить следующие проблемы:

медленный запуск Windows
Ведение журнала события DNS 4013 на DNS-серверах, настроенных для размещения зон, интегрированных с AD, которые неявно находятся на компьютерах, действующих в качестве контроллеров домена.

К таким ситуациям относятся следующие:

Настройка DNS-сервера, на котором размещаются зоны DNS, интегрированные с AD. Его копия Active Directory содержит знания о других контроллерах домена в лесу, чтобы указывать на себя исключительно для разрешения DNS-имен.
Настройка DNS-сервера, на котором размещаются зоны DNS, интегрированные с AD. Его копия Active Directory содержит знания о других контроллерах домена в лесу, чтобы указать DNS-серверы, которые либо не существуют, в настоящее время находятся в автономном режиме, недоступны в сети, либо не размещают необходимые зоны и записи, необходимые для входящего репликации Active Directory. Например, запись GUID контроллера домена CNAME и соответствующая запись узла A или AAAA потенциальных контроллеров домена.
Загрузка контроллера домена и DNS-сервера с зонами DNS, интегрированными с AD. Его копия Active Directory содержит знания о других контроллерах домена, которые фактически являются изолированной сетью, так как:
- Сетевой адаптер или сетевой стек на вызывающем компьютере или целевом компьютере отключен или не работает.
- Контроллер домена был загружен в изолированной сети.
- Копия локального контроллера домена Active Directory содержит ссылки на устаревшие контроллеры домена, которые больше не существуют в сети.
- Копия локального контроллера домена Active Directory содержит ссылки на других контроллеров домена, которые сейчас отключены.
- В исходном контроллере домена, целевом контроллере домена или инфраструктуре DNS или сетевой инфраструктуры возникает проблема. Поэтому копия локального контроллера домена Active Directory содержит ссылки на другие контроллеры домена, которые находятся в сети и доступны, но не могут быть успешно реплицированы из.

В Windows Server 2003 и Windows 2000 Server с пакетом обновления 3 (SP3) или более поздней версии контроллеры домена, на которых размещаются главные роли операций, также должны успешно реплицировать входящие изменения в секции каталога, которая поддерживает состояние главной роли операций. Перед выполнением операций, зависящих от FSMO, необходимо выполнить успешную репликацию. Такие начальные синхронизации были добавлены для обеспечения того, чтобы контроллеры домена были в соглашении о собственности на роль FSMO и состоянии роли. Требования к начальной синхронизации, необходимые для того, чтобы роли FSMO стали операционными, отличаются от начальной синхронизации, описанной в этой статье, где Active Directory должен немедленно реплицировать службу DNS-сервера.

Решение

Некоторые материалы Майкрософт и внешние содержимое рекомендовали задать значение Repl Perform Initial Synchronizations реестра равным 0 , чтобы обойти начальные требования к синхронизации в Active Directory. Ниже приведены определенные подразделы реестра и значения для этого параметра:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters
Имя значения: повторная синхронизация
Тип значения: REG_DWORD
Данные о значении: 0

Это изменение конфигурации не рекомендуется использовать в рабочих средах или в любой среде на постоянной основе. Использование Repl Perform Initial Synchronizations должно использоваться только в критических ситуациях для решения временных и конкретных проблем. После устранения таких проблем необходимо восстановить параметр по умолчанию.

Другие возможные варианты включают:

Удалите ссылки на устаревшие контроллеры домена.
Работа автономных или нерабоспособных контроллеров домена.
Контроллеры домена, на которые размещаются зоны DNS, интегрированные с AD, не должны указывать на один контроллер домена и особенно только для себя в качестве предпочтительного DNS для разрешения имен.

Регистрация DNS-имен и разрешение имен для контроллеров домена — это относительно упрощенная операция, которая кэшируется клиентами и серверами DNS.

Настройка контроллеров домена для указания IP-адреса одного DNS-сервера, включая адрес обратной передачи цикла 127.0.0.1, представляет одну точку сбоя. Этот параметр допускается в лесу только с одним контроллером домена, но не в лесах с несколькими контроллерами домена.

Контроллеры домена концентратора должны указывать на DNS-серверы на том же сайте, что и для предпочтительного и альтернативного DNS-сервера, а затем, наконец, на себя в качестве другого альтернативного DNS-сервера.

Контроллеры домена сайта филиала должны настроить предпочтительный IP-адрес DNS-сервера DNS-сервера, указывающий на DNS-сервер концентратора, альтернативный IP-адрес DNS-сервера, указывающий на DNS-сервер на сайте или один на ближайшем доступном сайте, и, наконец, с помощью адреса 127.0.0.1 или текущего статического IP-адреса.

Указание на DNS-серверы центрального сайта уменьшает количество прыжков, необходимых для получения критических записей контроллера домена SRV и HOST, полностью зарегистрированных. Контроллеры домена на главном сайте, как правило, получают наибольшее административное внимание, обычно имеют самую большую коллекцию контроллеров домена на одном сайте. Так как они в одном сайте, репликация изменений между ними происходит:
- каждые 15 секунд в Windows Server 2003 или более поздней версии
- каждые пять минут в Windows 2000 Server
Такое поведение делает такие записи DNS хорошо известными.

Динамический контроллер домена SRV и регистрация записей A и AAAA не могут сделать его отключенным, если регистрация контроллера домена на сайте филиала не может выполнять исходящую репликацию.

Компьютеры-члены и серверы должны продолжать указывать на оптимальные DNS-серверы сайта в качестве предпочтительного DNS. Кроме того, они могут указывать на dns-серверы вне сайта для дополнительной отказоустойчивости.

Ваша конечная цель заключается в том, чтобы предотвратить все, что приведет к отказу в обслуживании при балансировке затрат, рисков и использовании сети, таких как:
- Задержка репликации и сбои репликации
- аппаратные сбои, сбои программного обеспечения
- операционные методики
- краткосрочные и долгосрочные сбои электроэнергии
- пожары, кражи, наводнения и землетрясения
- террористические события
Убедитесь, что конечные контроллеры домена могут разрешать исходные контроллеры домена с помощью DNS (например, избегайте резервного копирования).

Необходимо убедиться, что контроллеры домена могут успешно разрешать управляемые записи CNAME для размещения записей текущих и потенциальных исходных контроллеров домена. Это может избежать высокой задержки, которая представлена резервной логикой разрешения имен.

Контроллеры домена должны указывать на DNS-серверы, которые:
- Доступны при запуске Windows.
- Узел, пересылка или делегирование _msdcs.<корневой домен> леса и основные зоны DNS-суффикса для текущих и потенциальных исходных контроллеров домена.
- Может разрешать текущие записи GUID CNAME (например, dded5a29-fc25-4fd8-aa98-7f472fc6f09b._msdcs.contoso.com) и записи узла текущих и потенциальных контроллеров исходного домена.
Отсутствуют, дублируются или устаревшие записи CNAME и записей узлов все способствуют этой проблеме. Очистка не включена на DNS-серверах Майкрософт по умолчанию, что повышает вероятность устаревших записей узлов. В то же время очистка DNS может быть настроена слишком агрессивно, что приводит к преждевременной очистке допустимых записей из зон DNS.
Оптимизируйте контроллеры домена для резервного копирования разрешения имен.

Невозможность правильно настроить DNS, чтобы контроллеры домена могли разрешать записи GUID CNAME контроллера домена для размещения записей в DNS. Чтобы обеспечить сквозную репликацию секций Active Directory, контроллеры домена Windows Server 2003 с пакетом обновления 1 (SP1) и более поздних версий были изменены для выполнения резервного копирования разрешения имен:
- от GUID CNAME контроллера домена до полного имени узла.
- от полного имени узла до имени компьютера NetBIOS.
Идентификаторы событий репликации NTDS 2087 и 2088 в журналах событий службы каталогов указывают:
- Целевой контроллер домена не может разрешить запись GUID GUID контроллера домена CNAME в запись узла.
- Возникает резервная обратная связь разрешения имен.
Все файлы WINS, HOST и LMHOST можно настроить. Таким образом, контроллеры домена назначения могут разрешать имена текущих и потенциальных исходных контроллеров домена. Из трех решений использование WINS является более масштабируемым, так как WINS поддерживает динамические обновления.

IP-адреса и имена компьютеров неизбежно становятся устаревшими. Эта проблема приводит к тому, что статические записи в файлах HOST и LMHOST становятся недопустимыми с течением времени. При возникновении этой проблемы запросы одного контроллера домена могут быть неправильно разрешены другому контроллеру домена. Запрос имени не наблюдается в трассировке сети.
Измените значение запуска службы DNS-сервера вручную при загрузке в известной плохой конфигурации.

Если загрузка контроллера домена в известной плохой конфигурации, описанной в этой статье, выполните следующие действия.
1. Задайте для запуска службы DNS-сервера значение вручную.
2. Перезагрузитесь, дождитесь объявления контроллера домена.
3. Перезапустите службу DNS-сервера.
Если для службы DNS-сервера задано значение запуска службы DNS-сервера вручную, Active Directory не ожидает запуска службы DNS-сервера.

Дополнительные рекомендации

Избегайте отдельных точек сбоя.

Примеры отдельных точек сбоя:
- Настройка контроллера домена для указания НА IP-адрес одного DNS-сервера
- Размещение всех DNS-серверов на гостевых виртуальных машинах на одном физическом компьютере узла
- Размещение всех DNS-серверов на одном физическом сайте
- Ограничение сетевого подключения таким образом, что контроллеры домена назначения имеют только один сетевой путь для доступа к KDC или DNS-серверу.
Установите достаточно DNS-серверов для локальной, региональной и корпоративной избыточности, но не так много, что управление становится бременем. DNS обычно является упрощенной операцией, которая кэшируется клиентами DNS и DNS-серверами.

Каждый DNS-сервер Microsoft, работающий на современном оборудовании, может удовлетворять 10 000-20 000 клиентов на сервер. Установка роли DNS на каждом контроллере домена может привести к чрезмерному количеству DNS-серверов в вашей организации. И это приведет к увеличению стоимости.
По возможности перезагружайте DNS-серверы в вашей организации.
- Для установки некоторых исправлений, пакетов обновления и приложений может потребоваться перезагрузка.
- Некоторые клиенты перезагружает контроллеры домена по расписанию (каждые семь дней, каждые 30 дней).
- Запланируйте перезагрузку и установку программного обеспечения, требующего перезагрузки, в интеллектуальном режиме. Это позволяет предотвратить перезагрузку только DNS-сервера или потенциального партнера по репликации источника, на который указывает целевой контроллер домена для разрешения имен.
Если Обновл. Windows или программное обеспечение управления устанавливает программное обеспечение, требующее перезагрузки, ошеломляйте установки на целевых контроллерах домена, чтобы половина доступных DNS-серверов, указывающих на перезагрузку разрешения имен одновременно.
Установите устройства UPS в стратегических местах, чтобы обеспечить доступность DNS во время краткосрочных сбоев питания.
Расширьте серверы DNS с поддержкой UPS с помощью генераторов на сайте.

Чтобы справиться с расширенными сбоями, некоторые клиенты развернули на сайте электрические генераторы, чтобы сохранить ключевые серверы в сети. Некоторые клиенты обнаружили, что генераторы могут питать серверы в центре обработки данных, но не на сайте HVAC. Отсутствие кондиционирования воздуха может привести к закрытию локальных серверов, когда температура внутреннего компьютера достигает определенного порога.

Дополнительная информация

10 мая 2010 г. тестирование группы разработчиков Active Directory:

DNS ожидает NTDS и не может начаться до завершения начальной репликации каталога. Это связано с тем, что актуальные DNS-данные еще не реплицируются на контроллер домена. С другой стороны, NTDS требует DNS для разрешения IP-адреса исходного контроллера домена для репликации. Предположим, что DC1 указывает на DC2 в качестве DNS-сервера, а DC2 указывает на DC1 в качестве DNS-сервера. При одновременной перезагрузке DC1 и DC2 происходит замедление запуска из-за этой взаимной зависимости. Основной причиной этого медленного запуска является DNSQueryTimeouts.

Если служба DNS-сервера работает хорошо при запуске NTDS, NTDS принимает только два DNS-запроса для разрешения IP-адреса исходного контроллера домена:

один для IPv4
другой для IPv6

И эти запросы DNS возвращаются почти мгновенно.

Если служба DNS-сервера недоступна при запуске NTDS, NTDS потребуется отправить 10 DNS-запросов для разрешения IP-адреса:

четыре для имени на основе GUID
четыре для полного имени
два для имени одной метки

Задержка для каждого ЗАПРОСА DNS управляется DNSQueryTimeouts. По умолчанию DNSQueryTimeouts имеет значение 1 1 2 4 4. Это означает, что DNS-клиент ожидает 12 (1 + 1 + 2 + 4 + 4) секунды ответа DNS-сервера. Для разрешения IP-адреса каждый источник контекста именования занимает 120 секунд. Предположим, что существует пять контекстов именования (Конфигурация, схема, домен, ForestDnsZones, DomainDnsZones) и один источник репликации. В этом сценарии потребуется 850 (170 X 5) секунд или более 14 минут, чтобы NTDS завершил начальную репликацию.

Для проверки приведенного выше поведения были выполнены несколько тестов.

Перезагрузите контроллер домена, когда DNS-сервер является третьим контроллером домена, который находится в сети. Для каждого контекста именования каждого источника у нас есть два DNS-запроса, и они завершились практически мгновенно:

in I_DRSGetNCChanges, NC = CN=Configuration,DC=contoso,DC=com
in getContextBindingHelper, pszAddress = dded5a29-fc25-4fd8-aa98-7f472fc6f09b._msdcs.contoso.com  
in resolveDnsAddressWithFallback  
GUID based DNS name  
in GetIpVxAddrByDnsNameW  
in GetIpAddrByDnsNameHelper  
start GetAddrInfoW: 22:31:40.534  
end   GetAddrInfoW: 22:31:40.534  
in GetIpAddrByDnsNameHelper  
start GetAddrInfoW: 22:31:40.534  
end   GetAddrInfoW: 22:31:40.534

Перезагрузите DC1 и DC2 одновременно. DC1 использует DC2 для DNS DC2 с помощью DC1 для DNS. Для каждого контекста именования каждого источника у нас есть 10 DNS-запросов, и каждый запрос занимает около 12 секунд:

in I_DRSGetNCChanges, NC = CN=Configuration,DC=contoso,DC=com  
in getContextBindingHelper, pszAddress = dded5a29-fc25-4fd8-aa98-7f472fc6f09b._msdcs.contoso.microsoft.com  
in resolveDnsAddressWithFallback  
GUID based DNS name  
in GetIpVxAddrByDnsNameW  
in GetIpAddrByDnsNameHelper  
start GetAddrInfoW: 22:37:43.066  
end   GetAddrInfoW: 22:37:55.113  
in GetIpAddrByDnsNameHelper  
start GetAddrInfoW: 22:37:55.113  
end   GetAddrInfoW: 22:38:07.131  
in GetIpAddrByDnsNameHelper  
start GetAddrInfoW: 22:38:07.131  
end   GetAddrInfoW: 22:38:19.161  
in GetIpAddrByDnsNameHelper  
start GetAddrInfoW: 22:38:19.176  
 end   GetAddrInfoW: 22:38:31.185  
FQDN  
in GetIpVxAddrByDnsNameW  
in GetIpAddrByDnsNameHelper  
start GetAddrInfoW: 22:38:31.200  
end   GetAddrInfoW: 22:38:43.182  
in GetIpAddrByDnsNameHelper  
start GetAddrInfoW: 22:38:43.182  
end   GetAddrInfoW: 22:38:55.191  
in GetIpAddrByDnsNameHelper  
start GetAddrInfoW: 22:38:55.191  
end   GetAddrInfoW: 22:39:07.216  
in GetIpAddrByDnsNameHelper  
start GetAddrInfoW: 22:39:07.216  
end   GetAddrInfoW: 22:39:19.286  
NetBios  
in GetIpVxAddrByDnsNameW  
in GetIpAddrByDnsNameHelper  
start GetAddrInfoW: 22:39:19.286  
end   GetAddrInfoW: 22:39:31.308d  
in GetIpAddrByDnsNameHelper  
start GetAddrInfoW: 22:39:31.308  
end   GetAddrInfoW: 22:39:43.324

Для дальнейшего изучения связи между DNSQueryTimeouts и медленным запуском DNSQueryTimeouts было установлено значение 1 1 2 4 4 , чтобы DNS-клиент ждал 31 (1 + 1 + 2 + 4 + 4) секунд. В этом тесте 31 секунды были потрачены на ожидание:

in I_DRSGetNCChanges, NC = CN=Configuration,DC=contoso,DC=com  
in getContextBindingHelper, pszAddress = dded5a29-fc25-4fd8-aa98-7f472fc6f09b._msdcs.contoso.com  
in resolveDnsAddressWithFallback  
GUID based DNS name  
in GetIpVxAddrByDnsNameW  
in GetIpAddrByDnsNameHelper  
start GetAddrInfoW: 18:06:48.143  
end   GetAddrInfoW: 18:07:19.158  
in GetIpAddrByDnsNameHelper  
start GetAddrInfoW: 18:07:19.158  
end   GetAddrInfoW: 18:07:50.162  
in GetIpAddrByDnsNameHelper  
start GetAddrInfoW: 18:07:50.162  
end   GetAddrInfoW: 18:08:21.161  
in GetIpAddrByDnsNameHelper  
start GetAddrInfoW: 18:08:21.161  
end   GetAddrInfoW: 18:08:52.158  
FQDN  
in GetIpVxAddrByDnsNameW  
in GetIpAddrByDnsNameHelper  
start GetAddrInfoW: 18:08:52.221  
end   GetAddrInfoW: 18:09:23.231  
in GetIpAddrByDnsNameHelper  
start GetAddrInfoW: 18:09:23.231  
end   GetAddrInfoW: 18:09:54.243  
in GetIpAddrByDnsNameHelper  
start GetAddrInfoW: 18:09:54.243  
end   GetAddrInfoW: 18:10:25.239  
 in GetIpAddrByDnsNameHelper  
start GetAddrInfoW: 18:10:25.239  
end   GetAddrInfoW: 18:10:56.243  
NetBios  
in GetIpVxAddrByDnsNameW  
in GetIpAddrByDnsNameHelper  
start GetAddrInfoW: 18:10:56.243  
end   GetAddrInfoW: 18:11:27.244  
in GetIpAddrByDnsNameHelper  
start GetAddrInfoW: 18:11:27.244  
end   GetAddrInfoW: 18:11:58.265