希望我们都知道 命名Active Directory林的build议是什么,它们非常简单。 也就是说,它可以用一句话来概括。
使用现有注册域名的子域名,并select一个不会在外部使用的域名。 例如,如果我要合并并注册hopelessn00b.com
域,我的内部AD林应命名为internal.hopelessn00b.com
或ad.hopelessn00b.com
或corp.hopelessn00b.com
。
避免使用“虚假” 域名或单标签域名是非常有说服力的理由,但是我很难find同样令人信服的理由来避免使用根域( hopelessn00b.com
)作为我的域名并使用子域名如corp.hopelessn00b.com
代替。 真的,我似乎可以find的唯一理由是从内部访问外部网站需要一个A name
DNSlogging和inputwww.
在浏览器的网站名称前面,就问题而言,这是相当“唔”的。
那么,我错过了什么? 为什么使用ad.hopelessn00b.com
作为我的活动目录森林名称而不是hopelessn00b.com
?
只是为了纪录,这真的是我的雇主需要说服力 – 老板的人回来了,在给我开始创build一个名叫corp.hopelessn00b'semployer.com
的新的AD森林给我们的内部networking之后,他想要坚持一个名为hopelessn00b'semployer.com
的AD林(与我们的外部注册域相同)。 我希望能得到一些令人信服的理由或理由,认为最好的做法是更好的select,所以我可以说服他…因为看起来比放弃和/或find新工作更容易,至less此时此刻。 现在,“微软最佳实践”和内部访问公司网站似乎并没有削减,我真的 真的希望这里的某个人更有说服力。
这么多代表有。 来到我的宝贝。
好的,微软很好的logging了你不应该使用水平分割(split-horizon),或者你已经连接了很多次的组合TLD(大声喊出我的博客!)。 这有几个原因。
您在上面指出的www
问题。 讨厌,但不是一个交易断路器。
它迫使你维护所有面向内部的公用服务器的重复logging,而不仅仅是www
。 mail.hopelessnoob.com
是一个常见的例子。 在一个理想的情况下,您可以为mail.hopelessnoob.com
或publicwebservice.hopelessnoob.com
这样的东西build立一个单独的外围networking。 通过一些configuration, 如具有内部和外部接口的ASA ,您无论是需要内部NAT还是水平分割DNS ,但是对于具有合法外围networking的大型组织来说,您的面向networking的资源并不落后于发夹式NAT边界 -这导致不必要的工作。
想象一下这种情况 – 你是hopelessnoob.com
内部和外部。 你有一个你与之合作的公司叫做example.com
,他们也做同样的事情 – 在他们的AD内部和他们的可公开访问的DNS名称空间内部进行水平分割。 现在,您需要configuration一个站点到站点的VPN,并希望信任的内部身份validation能够穿越隧道,同时访问其外部公共资源以通过Internet访问。 如果没有令人难以置信的复杂的策略路由或保存自己的内部DNS区域副本,这几乎是不可能的 – 现在,您只是创build了一组额外的DNSlogging来维护。 所以你不得不在你的端和处理结束,策略路由/ NAT,以及其他各种欺骗。 (我实际上是在这种情况下inheritance了我的AD)。
如果您部署DirectAccess ,则会大大简化您的名称parsing策略 – 对于其他拆分隧道VPN技术来说也是如此。
其中有些是边缘情况,有些则不是,但都很容易避免。 如果你有能力从一开始就做到这一点,不妨做正确的做法,以免在十年内遇到这种情况。
这个陈述:“真的,我似乎可以find的唯一理由是,从内部访问外部网站需要一个SRV DNSlogging,并在浏览器中inputwww。在网站名称前”是不正确的。
这意味着您需要在AD DNS服务器上保留所有公共logging的副本,这可能会导致问题,特别是如果您没有正确地执行操作 – 错过某些内容等。如果有人想要访问ftp.company。 com,但你忘了在内部DNS中创build别名(或没有正确自动化),内部人员根本无法访问公共FTP站点。
在您链接到的问题中,这非常充实: Windows Active Directory命名最佳实践?
如果维护DNS区域的多个副本是一个容易的问题,你永远无法正确解决,那么我想你可以做你想做的事情。 直到MS改变的东西,打破它。 你可以按照他们的build议。
我不太在乎代表今天创造一个长的答案…所以我会保持简短。
我以前用split-dns很好,并且多次实现它,直到Evan和Mark相信我。 老实说,这不可能完成…它可以,有些可能会很好(尽pipe开销和工作已经完成了)。
几年前,我发现了两个具体的东西,那就是坚决不使用它:
www
的浏览器的域名将不会带来实际的网站,因为域logging对应于AD域并不是一个万能的网站,不能在内部。 希望有所帮助。