建好網域控制站 (DC) 卻無法讓用戶端加入網域？這 6 項硬性條件缺一不可，逐項排查即可定位問題。

✅ 六大必要條件

#	條件	驗證方法
1	電腦名稱唯一	用戶端名稱不可與 DC 或網域內任何電腦重複。檢查：「系統屬性」→「電腦名稱」。
2	DNS 正確指向 DC	用戶端慣用 DNS 必須設為 DC 的 IP。驗證：nslookup 網域名稱 應解析為 DC IP；ping 網域名稱 通聯正常。
3	SID 唯一性 (Ghost 映像部署必檢)	若使用 Ghost/映像部署，必須執行 sysprep /generalize 或使用 NewSID 等工具重新產生 SID，否則會衝突。
4	啟用 NetBIOS over TCP/IP	「網路連線」→「區域連線」→「Internet 通訊協定 (TCP/IP)」→「進階」→「WINS」→ 勾選「啟用 TCP/IP 上的 NetBIOS」。或執行 services.msc 確認「TCP/IP NetBIOS Helper」服務啟動。
5	網路元件完整	「區域連線」內容必須安裝並勾選：「Microsoft 網路用戶端」、「Microsoft 網路的檔案與印表機共享」。
6	嘗試 NetBIOS 名稱加入	若 FQDN (完整網域名稱) 加入失敗，改用 NetBIOS 短名稱 (如 CORP 而非 corp.example.com) 嘗試。

🔧 DC 端同步檢查

• 在 DC 執行 ipconfig /registerdns 強制重新註冊 DNS 記錄。
• 執行 gpupdate /force 強制重新整理群組原則。
• 確認 DC 自身 DNS 記錄 (A 記錄、SRV 記錄 _ldap._tcp, _kerberos._tcp 等) 完整存在。

🕵️ 進階排查清單

1. 時間同步： 用戶端與 DC 時間差超過 5 分鐘會導致 Kerberos 認證失敗。執行 w32tm /resync。
2. 防火牆/防毒軟體： 暫時關閉用戶端/ DC 防火牆測試；開放 TCP/UDP 53 (DNS), 88 (Kerberos), 135 (RPC), 137-139 (NetBIOS), 389 (LDAP), 445 (SMB), 464 (密碼變更), 636 (LDAPS), 3268-3269 (GC)。
3. 網路連通性： ping DC_IP、telnet DC_IP 389 測試 LDAP 埠通達性。
4. 事件檢視器： 用戶端「系統」日誌查找 NetLogon、UserEnv 事件 ID。
5. DC 端日誌： 「目錄服務」、「DNS 伺服器」、「檔案複寫服務」日誌。

核心原則：DNS 是 Active Directory 的命脈。90% 以上加入網域失敗歸根究底是 DNS 設定錯誤。請永遠記住：用戶端 DNS 只能指向內部 DC/DNS 伺服器，絕不可指向 ISP 或公用 DNS (8.8.8.8 等)。