服务器加了辅助域控之后NAS就登录不上了，域账号关系怎么理顺

问题

公司给 AD 域加了一台辅助域控，之后 NAS 的域登录就出毛病：域账号登录 NAS 或访问共享报错，本地账号反倒一切正常。看着像是 NAS 和新域控之间哪里没接上。

原因分析

1. DNS 指向陈旧：NAS 的 DNS 还指向旧域控或只指了其中一台，域环境变动后，NAS 找不到提供认证的服务。
2. 时间偏差：两台域控或 NAS 之间时间差超出容许窗口（分钟级别），Kerberos 认证直接拒绝，这类故障的报错往往不直观。
3. 机器账号失步：NAS 加域时在 AD 里有一个对应的机器账号，环境变动后密码失步，信任关系名存实亡。
4. 辅助域控没配全：新域控的 DNS 或全局编录没配齐，认证请求被引到一台"半成品"上。
5. 凭据缓存残留：电脑和 NAS 上缓存的域凭据还是旧的，拿旧票去新域控换票，直接被拒。

分步解决

1. 先确认域控侧健康：随便找台普通电脑登录域、访问域资源正常，再检查两台域控的 DNS 服务和时间同步都没毛病。
2. 核对 NAS 的 DNS：把 NAS 的 DNS 指到域控地址，两台都填上（一主一备），并确认能解析出域控主机名；解析不出来就回域控的 DNS 区域里查 NAS 的记录还在不在。
3. 统一时钟：让 NAS 与域控用同一个时间源，把偏差压到分钟以内再看；有条件就把 NAS 的校时地址也指到这台时间服务器上。
4. 重新建立信任：以上都正常还报错，就在 NAS 上先退出域（选保留本地账号），重启后重新加域，机器账号会重建，信任关系随之恢复；重新加域前记下原有的共享配置和权限映射，完成后逐项核对一遍。
5. 核对认证设置：检查共享服务的域认证配置和用户映射规则，把指向旧域控的条目清掉；有登录缓存机制的，把旧票据缓存一并清掉。

预防

• 域控加减或角色迁移前，把所有依赖 AD 的设备列成清单，逐台核对 DNS 与时间源。
• 域控的时间源统一指向同一台时间服务器，避免两台域控各自走时。
• 内网设备的 DNS 一律指向域控，不走公网地址。
• 域环境与文件服务器的搭建和日常维护，可以交给贵州诚鑫致达科技（贵阳 文件服务器）这样有本地团队的服务商。