Problema

En entornos con Active Directory, el DNS interno gestiona tanto los registros de recursos como la delegación de sub‑zonas (por ejemplo, _msdcs.domain.lan). Cuando se retira un controlador de dominio y se migra la zona a un nuevo servidor, es frecuente que la prueba dcdiag /test:dns devuelva un mensaje similar a:

Delegation information for the zone: domain.lan.
Delegated domain name: _msdcs.domain.lan.
Error: DNS server: 192.168.x.x. IP:<Unavailable> [Missing glue A record]
Error details: 9714 (DNS name does not exist.)

El síntoma es claro: el servidor DNS no encuentra un glue record (registro A) que debería acompañar a la delegación. El fallo impide que los clientes resuelvan nombres críticos como los controladores de dominio, lo que a su vez rompe la replicación y la autenticación.

Aunque el caso concreto proviene de una desactivación de controlador, el patrón se repite siempre que:

  • Se modifica la lista de servidores autoritativos (NS) de una zona sin actualizar los registros A correspondientes.
  • La zona delegada (_msdcs, _sites, etc.) está configurada en un servidor que ya no existe o cuya IP no está publicada.
  • La zona está almacenada en AD y la replicación entre los controladores no ha sincronizado los cambios.

En cualquier escenario, la ausencia del glue record genera el error 9714 y dcdiag lo marca como “Missing glue A record”.

Causa

1. Eliminación prematura del controlador antiguo

Al desinstalar un DC, Windows elimina automáticamente los registros NS de la zona, pero no siempre borra los registros A que actúan como glue. Si la zona delegada sigue apuntando a la IP del servidor retirado, el registro desaparece y el DNS queda sin glue.

2. Replicación incompleta o fallida

En entornos multi‑site, la replicación de AD‑integrated DNS depende de la salud de los enlaces de sitio. Si la replicación está rota, los cambios de NS pueden propagarse, pero los registros A no llegan a todos los servidores, dejando una zona “desincronizada”.

3. Configuración manual de delegaciones

Al crear una delegación manualmente (por ejemplo, mediante la consola DNS > New Delegation), es fácil olvidar añadir el registro A correspondiente. Windows muestra la delegación en la lista de NS, pero sin glue el cliente nunca podrá resolverla.

4. Caché DNS corrupta

Aunque menos frecuente, una caché local o de servidor que retenga una referencia a un NS inexistente puede generar el error aunque los registros estén correctos en la zona.

Solución

La estrategia se basa en verificar y reparar la delegación y sus glue records. Los pasos son aplicables tanto a una desactivación de controlador como a cualquier situación donde una zona delegada pierda su glue.

Paso 1 – Confirmar la delegación y los NS

Ejecuta en el servidor DNS que reporta el error:

nslookup -type=ns _msdcs.domain.lan

Observa la lista de servidores autoritativos. Si aparecen direcciones IP que ya no existen, la zona necesita corrección.

Paso 2 – Revisar los registros A de glue

En la consola DNS, expande Forward Lookup Zones → domain.lan → _msdcs.domain.lan. Busca los registros A que coincidan con cada NS listado. Si falta alguno, anótalo.

Paso 3 – Añadir o actualizar los registros A

Utiliza dnscmd (incluido en RSAT) para crear o corregir los glue records. Por ejemplo, si el NS es DC01.domain.lan con IP 192.168.214.15:

dnscmd /recordadd domain.lan _msdcs.domain.lan DC01.domain.lan A 192.168.214.15

Repite para cada NS que falte. Si el NS ya existe con una IP incorrecta, elimínalo primero:

dnscmd /recorddelete domain.lan _msdcs.domain.lan DC01.domain.lan A /f
dnscmd /recordadd domain.lan _msdcs.domain.lan DC01.domain.lan A 192.168.214.15

Paso 4 – Sincronizar la zona

Fuerza la replicación de AD‑integrated DNS para que los cambios lleguen a todos los controladores:

repadmin /syncall /AdeP

Verifica que no haya errores de replicación (repadmin /showrepl).

Paso 5 – Limpiar cachés

En cada controlador DNS, ejecuta:

ipconfig /flushdns
dnscmd /clearcache

Esto elimina respuestas obsoletas que podrían seguir indicando el glue faltante.

Paso 6 – Re‑ejecutar la prueba

Vuelve a lanzar dcdiag para confirmar que el error desapareció:

dcdiag /test:dns /v /c /dns /skip:frs

Si la salida ya no muestra “Missing glue A record”, la zona está saludable.

Cuándo aplicar esta solución

Aplica cuando:

  • dcdiag /test:dns devuelve “Missing glue A record” o error 9714.
  • nslookup -type=ns <delegated-zone> muestra servidores con IP no resolubles.
  • La zona delegada (_msdcs, _sites, etc.) está configurada en AD y se ha modificado la topología de controladores.

No aplica si:

  • El error proviene de una zona externa (no AD‑integrated) donde el glue debe estar en el servidor autoritativo externo.
  • La zona delegada está configurada correctamente y la falla es exclusivamente de caché de cliente; en ese caso, basta con ipconfig /flushdns en los clientes.

Código

# 1. Verificar delegación
nslookup -type=ns _msdcs.domain.lan

# 2. Añadir glue record (ejemplo)
dnscmd /recordadd domain.lan _msdcs.domain.lan DC02.domain.lan A 192.168.214.20

# 3. Forzar replicación
repadmin /syncall /AdeP

# 4. Limpiar cachés DNS
ipconfig /flushdns
dnscmd /clearcache

# 5. Re‑ejecutar diagnóstico
dcdiag /test:dns /v

Verificación

  1. nslookup: Después de los cambios, ejecuta nuevamente nslookup -type=ns _msdcs.domain.lan. Cada NS debe resolver a una IP válida y la respuesta debe incluir el registro A correspondiente.
  2. dcdiag: La salida de dcdiag /test:dns no debe contener la línea “Missing glue A record”.
  3. Event Viewer: Revisa el log “DNS Server” en los controladores; no debe haber eventos 9706‑9714 relacionados con delegaciones.
  4. Replicación: repadmin /showrepl debe indicar “Last successful sync” reciente y sin errores.

Notas adicionales

  • Orden de los registros: En zonas AD‑integrated, el orden de los registros NS y A no importa, pero mantener una coincidencia 1‑a‑1 facilita la auditoría.
  • Herramientas de terceros: Si la consola DNS resulta poco práctica, herramientas como PowerShell DNS module (Add-DnsServerResourceRecordA) permiten automatizar la corrección en varios servidores.
  • Desactivación segura de DC: Antes de retirar un controlador, ejecuta dcpromo /uninstall y verifica que ntdsutil haya eliminado todas las referencias DNS. Esto previene la aparición de glue ausentes.
  • Monitoreo: Configura alertas en System Center Operations Manager (SCOM) o en un script de PowerShell que ejecute dcdiag /test:dns periódicamente; así detectarás el problema antes de que afecte a los usuarios.

Con estos pasos, cualquier administrador que enfrente errores de “Missing glue A record” podrá identificar la causa raíz, reparar la delegación y restaurar la salud del DNS de Active Directory sin depender de conjeturas.