Проблема репликации интегрированной в AD зоны DNS после установки очередного контроллера домена

Устанавливая очередной (второй, третий и т.д.) контроллер домена в существующем домене и назначая ему роль DNS-сервера, всегда замечал, что зона DNS, интегрированная в Active Directory, появляется на новом DNS-сервере не сразу, а через некоторое время. Может пройти несколько часов, и как ни обновляй информацию в консоли DNS, подключенной к новому серверу, а узлы зон остаются по-прежнему пустые. Разумеется, в свойствах зоны новый DNS-сервер был добавлен в список, и была включена репликация. Казалось бы, зона, интегрированная в AD, должна реплицироваться так же быстро, как происходит репликация AD. На самом деле, здесь происходит более сложный процесс, связанный с формированием раздела (Application Directory Partition) и добавлением нового сервера в структуру репликации.

Недавно пришлось устанавливать второй домен-контроллер в подчиненном домене. И если с установкой роли DC проблем не возникло, то зона DNS отказывалась реплицироваться на только что установленный контроллер домена (и одновременно DNS-сервер). Прошло много часов, а ситуация никак не менялась. Зона не появлялась, DNS-сервер сообщал, что работает только в режиме кеширования, а в системном журнале периодически регистрировалось следующее событие:

Event ID: 4514, Type: Information, Source: DNS, Computer: DC2-Kaliningrad
The DNS Server detected, that it is not enlisted in the replication scope of the directory partition DomainDNSZones.kaliningrad.northbridgebank.com. This prevents the zones that should be replicated to all DNS servers in the northbridgebank.com domain from replicating to this DNS server. For information how to add a DNS server to the replication scope of an application directory partition, please see Help and Support.
… и так далее.

Иными словами, новый контроллер домена отсутствовал в кольце репликации раздела DomainDNSZones.kaliningrad.northbridgebank.com и по какой-то причине не мог там появиться.

Настало время воспользоваться утилитой DNSCMD. Утилита становится доступной, если на сервер установить пакет Support Tools. Будучи запущенной с ключом /enumdirectorypartitions, утилита выводит на экран список всех разделов DNS-зон, интегрированных в Active Directory.

Теперь, зная имена разделов можно посмотреть информацию по конкретному разделу (Application Directory Partition). Для этого следует запустить DNSCMD с ключом /directorypartitioninfo и указать имя интересующего раздела.

Уже в приведенной информации видна проблема: вывод DNSCMD показывает, что раздел DomainDNSZones.kaliningrad.northbridgebank.com существует в одной реплике (копии) и находится на домен-контролере DC1-Kaliningrad, тогда как контролеров домена уже два. Для сравнения приведу вывод DNSCMD /directorypartitioninfo для другого домена, в котором отсутствуют проблемы:

Как легко видеть, в данном случае реплик три, по числу контроллеров домена. Таким образом, следует добавить новый контроллер домена в кольцо репликации раздела DomainDNSZones.kaliningrad.northbridgebank.com. Для этого воспользуемся той же утилитой DNSCMD с ключом /enlistdirectorypartition. Синтаксис данной команды требует указать имя домен-контроллера и FQDN-имя раздела, реплику которого примет указываемый сервер. Полный вид командной строки и выводимые сообщения можно посмотреть на следующем экране.

Для ускорения процесса перестроения топологии репликации имеет смысл запустить утилиту REPADMIN (тоже из Support Tools) с ключом /kcc.

Какие изменения произошли? Если теперь снова посмотреть информацию по разделу DomainDNSZones.kaliningrad.northbridgebank.com, то нельзя не заметить, что число реплик увеличилось.

Их стало две, по числу контроллеров домена. А обновляя информацию в консоли DNS, можно видеть,что домен-контроллер и одновременно DNS-сервер DC2-Kaliningrad теперь содержит DNS-зону своего домена.