رفع خطای DNS Event ID 4013 در Windows Server؛ عیب‌یابی Active Directory و DNS Startup

DNS Event ID 4013 در Windows Server معمولاً یعنی سرویس DNS روی Domain Controller برای بارگذاری Zoneهای AD-integrated منتظر آماده‌شدن Active Directory و همگام‌سازی اولیه (Initial Synchronization) است. اگر پس از Restart، DNS پاسخ نمی‌دهد یا کنسول DNS پیام «The server is unavailable» نشان می‌دهد، اول DNS Client، Replication و رکوردهای _msdcs را بررسی کنید. خاموش‌کردن دائمی Initial Sync با رجیستری راهکار امن نیست.

DNS Event ID 4013 چه زمانی رخ می‌دهد؟

پیام The DNS server was unable to open the Active Directory نشان می‌دهد DNS هنوز به اطلاعات Directory موردنیاز دسترسی ندارد. مایکروسافت در برخی سناریوها تأخیر ۱۵ تا ۲۵ دقیقه‌ای پس از راه‌اندازی DC را توصیف کرده است؛ این زمان ثابت نیست. خطای 4013 با خرابی عمومی Forwarder یا Cache تفاوت دارد. برای تشخیص مشکلات عمومی، آموزش عیب‌یابی DNS Server، Forwarder و Client در Windows Server را نیز ببینید.

پیش‌نیازها و احتیاط‌های محیط Domain Controller

• دسترسی مدیریتی مجاز به PowerShell و Event Viewer و در صورت امکان یک DC/DNS سالم دیگر.
• ثبت IP، Site، نام Domain و وضعیت AD-integrated بودن Zoneها.
• تهیه System State Backup معتبر و برنامه بازیابی پیش از هر تغییر حساس؛ Snapshot ماشین مجازی جایگزین روش بازیابی Active Directory نیست.
• اجرای تغییرات فقط روی DC مشخص و در پنجره نگهداری؛ همه DCها را هم‌زمان Restart نکنید.

در نمونه‌ها contoso.local، DC2.contoso.local و 10.0.0.12 فرضی‌اند و باید با مقادیر واقعی جایگزین شوند.

مرحله ۱: Event 4013 و سرویس‌ها را بررسی کنید

Get-WinEvent -FilterHashtable @{
 LogName='DNS Server'
 Id=4013
 StartTime=(Get-Date).AddDays(-2)
} -ErrorAction SilentlyContinue |
 Select-Object TimeCreated,Id,Message | Format-List
Get-Service DNS,NTDS,Netlogon |
 Select-Object Name,Status,StartType

اگر Log نام دیگری دارد با Get-WinEvent -ListLog '*DNS*' نام آن را پیدا کنید. انتظار داریم پس از کامل‌شدن Startup، سرویس‌های NTDS و DNS فعال باشند. فعال‌بودن DNS به‌تنهایی سلامت Zoneهای AD را ثابت نمی‌کند.

مرحله ۲: DNS Client و رکوردهای DC Locator را تست کنید

ipconfig /all
Get-DnsClientServerAddress -AddressFamily IPv4
Resolve-DnsName DC2.contoso.local -Server 10.0.0.12
Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.contoso.local -Server 10.0.0.12

اگر Query داخلی Timeout می‌دهد، دسترسی DNS مقصد، آدرس‌های Preferred/Alternate و Zoneهای Domain را بررسی کنید. در محیط چند DC، اشاره همه سرورها به یک DNS منفرد یا فقط Loopback می‌تواند نقطه شکست ایجاد کند. DNS عمومی را جایگزین DNS داخلی DC نکنید، چون رکوردهای خصوصی AD را نمی‌شناسد. ترتیب DNSها را بر اساس Site و دسترسی واقعی طراحی کنید.

مرحله ۳: وضعیت Replication در Active Directory را بخوانید

repadmin /replsummary
repadmin /showrepl
dcdiag /test:dns /v
dcdiag /test:advertising /v
nltest /dsgetdc:contoso.local

در repadmin /replsummary تعداد Failure و زمان آخرین همگام‌سازی موفق را بررسی کنید. /showrepl مبدأ خطا و Naming Context را مشخص می‌کند. خطای 1722 RPC server unavailable می‌تواند ناشی از DNS، شبکه یا دسترسی RPC باشد. پیش از اصلاح Name Resolution، Sync اجباری معمولاً علت را رفع نمی‌کند.

اگر هم‌زمان دسترسی به SYSVOL و Group Policy دچار مشکل شده، راهنمای رفع Group Policy Event ID 1058 و بررسی SYSVOL را بخوانید؛ این دو خطا لزوماً علت یکسانی ندارند.

مرحله ۴: GUID CNAME و رکوردهای Host مربوط به DCها را بررسی کنید

برای یافتن DC مبدأ، AD از رکوردهای GUID CNAME در _msdcs استفاده می‌کند. GUID واقعی را از خروجی Replication بگیرید و رشته نمونه زیر را عیناً استفاده نکنید:

repadmin /showrepl /verbose
Resolve-DnsName -Type CNAME "11111111-2222-3333-4444-555555555555._msdcs.contoso.local" -Server 10.0.0.12
Resolve-DnsName -Type A DC2.contoso.local -Server 10.0.0.12

در حالت سالم، GUID CNAME به FQDN معتبر DC مبدأ و سپس آن نام به IP درست Resolve می‌شود. حذف رکوردهای قدیمی فقط پس از تأیید وضعیت واقعی DC و اجرای فرایند رسمی Demotion یا Metadata Cleanup مجاز است.

مرحله ۵: شبکه و پورت‌های مرتبط را جداگانه بررسی کنید

Test-NetConnection DC2.contoso.local -Port 53
Test-NetConnection DC2.contoso.local -Port 135
Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.contoso.local -Server 10.0.0.12

Test-NetConnection فقط TCP را می‌سنجد؛ موفقیت TCP 53 به معنی سلامت UDP DNS نیست. TCP 135 نیز به‌تنهایی دسترسی پورت‌های Dynamic RPC را اثبات نمی‌کند. اگر Replication خطای RPC می‌دهد، فایروال، Routing و پورت‌های لازم بین DCها را با مستندات Microsoft تطبیق دهید؛ فایروال را سراسری غیرفعال نکنید.

مرحله ۶: Zoneهای AD-integrated را پس از آماده‌شدن AD کنترل کنید

Get-DnsServerZone |
 Select-Object ZoneName,IsDsIntegrated,ZoneType
Resolve-DnsName -Type SOA contoso.local -Server 10.0.0.12

این دستورات در سروری که نقش DNS و ابزار مدیریتی لازم دارد قابل اجرا هستند. Zoneهای مورد انتظار باید موجود باشند و Zoneهای AD-integrated مقدار IsDsIntegrated=True داشته باشند. خطا در زمانی که DNS هنوز منتظر AD است، به‌تنهایی نشانه حذف‌شدن Zone نیست.

رفع خطا بر اساس علت واقعی

DNS مقصد خاموش یا نامناسب است

آدرس‌های DNS Client را به Resolverهای داخلی سالم و مناسب Site اصلاح کنید. مقادیر قبلی را ثبت کنید و بعد از تغییر، Resolve شدن رکوردهای DC Locator را دوباره بسنجید.

Replication از DC مبدأ ناموفق است

اول علت دقیق repadmin /showrepl را برطرف کنید. اگر مشکل DNS است، رکورد GUID و Host را بررسی کنید؛ اگر مشکل شبکه/RPC است، ارتباط بین DCها را اصلاح کنید.

DC قدیمی هنوز در توپولوژی وجود دارد

فقط پس از اثبات خروج دائمی DC، طبق روش رسمی Metadata Cleanup عمل کنید. حذف دستی اشیای AD و رکوردهای DNS بدون بکاپ و طرح بازگشت خطرناک است.

راه‌اندازی DC در پیکربندی معیوب گیر می‌کند

مایکروسافت برای شرایط خاص، Manual کردن موقت Startup سرویس DNS، راه‌اندازی DC، انتظار برای Advertise شدن و سپس شروع DNS را به‌عنوان گزینه بازیابی ذکر کرده است. این اقدام نیازمند DNS جایگزین و پنجره نگهداری است. تنظیم دائمی Repl Perform Initial Synchronizations=0 توصیه نمی‌شود.

Verify: چه زمانی خطای DNS 4013 رفع شده است؟

Get-Service DNS,NTDS,Netlogon
repadmin /replsummary
dcdiag /test:dns /v
dcdiag /test:advertising /v
Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.contoso.local -Server 10.0.0.12

معیار موفقیت، پاسخ معتبر DNS داخلی، رکوردهای سالم DC Locator، رفع Failureهای Replication و نبود تأخیر غیرعادی در Startup بعدی است. نبود یک Event در بازه کوتاه، به‌تنهایی سلامت کل AD را اثبات نمی‌کند.

Rollback، امنیت و انتخاب زیرساخت

• پیش از تغییر Preferred/Alternate DNS، مقادیر قبلی را ثبت کنید تا در صورت اختلال قابل بازگرداندن باشند.
• اگر Startup سرویس DNS را موقتاً Manual کرده‌اید، پس از رفع علت تنظیم قبلی را بازگردانید.
• رجیستری Initial Sync را برای حل دائمی خطا تغییر ندهید و هیچ DC یا Zone را بدون System State Backup حذف نکنید.

اگر نقش DNS/AD روی ماشین مجازی اجرا می‌شود، منابع پایدار، دسترسی مدیریتی و برنامه بازیابی اهمیت دارند. هنگام بررسی پلن‌های سرور مجازی وان‌سرور، سازگاری Windows Server، شرایط استفاده برای نقش Domain Controller، دسترسی کنسول و امکانات پشتیبان‌گیری را برای هر پلن جداگانه استعلام کنید؛ تغییر VPS به‌خودی‌خود خطای 4013 را رفع نمی‌کند.

منابع رسمی و آموزش تکمیلی

جزئیات Initial Sync و هشدار درباره رجیستری در راهنمای رسمی Microsoft برای DNS Event ID 4013 آمده است. برای خطاهای Replication، مستند رسمی RPC 1722 را ببینید. برای درک خطاهای عمومی Name Resolution نیز آموزش رفع DNS Resolution Failure مفید است.