请注意,我知道这个答案,并提供了一个下面。 我看到很多新的系统pipe理员不明白我的答案的内容,所以我希望所有初学者的AD DNS问题都会被重新封闭。 如果你有一个小小的改进,随时编辑我的答案。 如果您可以提供更全面的完整答案,请随时留下一个答案。
DNS如何与Active Directory相关,以及我应该注意哪些常见的configuration?
Active Directory依赖于正确configuration和function的DNS基础结构 。 如果您有Active Directory问题,则可能是您有DNS问题。 你应该检查的第一件事是DNS。 你应该检查的第二件事是DNS。 你应该检查的第三件事是DNS。
这是一个专业人士的网站,所以我会假设你至less读过优秀的维基百科文章 。 简而言之,DNS允许通过名称查找设备来查找IP地址。 互联网的function至关重要,因为我们知道它是在除了最小的局域网之外的所有局域网上运行的。
最基本的DNS分为三个基本部分:
DNS服务器:这些服务器为所负责的所有客户端保存logging 。 在Active Directory中,您在域控制器上运行DNS服务器angular色。
区域:区域的副本由服务器保存。 如果您有一个名为ad.example.com
的AD,则域控制器上会有一个安装了名为ad.example.com
DNS的ad.example.com
。 如果您有一台名为“ computer
并且该computer
已在该DNS服务器上注册,则会在ad.example.com
创build一个名为“ computer
的DNSlogging,并且您将能够通过完全限定的域名(FQDN)将是computer.ad.example.com
logging:正如我上面提到的,区域保存logging。 logging将计算机或资源映射到特定的IP地址。 最常见的logging是Alogging,其中包含主机名和IP地址。 第二个最常见的是CNAMElogging。 一个CNAME包含一个主机名和另一个主机名。 当您查找主机名1时,它会执行另一个查找并返回主机名2的地址。 这对于模糊Web服务器或文件共享等资源非常有用。 如果您拥有intranet.ad.example.com
的CNAME,并且其后面的服务器发生更改,则每个人都可以继续使用他们知道的名称,只需将CNAMElogging更新为指向新服务器即可。 有用吧?
当您在域中的第一个域控制器上安装Active Directory和DNS服务器angular色时,它会自动为您的域创build两个正向查找区域。 如果您的AD域是ad.example.com
如上例所示)( 请注意,您不应只使用“ example.com
”作为Active Directory的域名 ),您将拥有一个ad.example.com
区域, _msdcs.ad.example.com
。
这些区域是做什么的? 伟大的问题! 我们从_msdcs
区开始。 它包含您的客户端机器需要查找域控制器的所有logging。 它包括logging来定位AD站点。 它有不同的FSMOangular色的logging。 它甚至保存您的KMS服务器的logging,如果您运行此可选服务。 如果此区域不存在,那么您将无法login到您的工作站或服务器。
ad.example.com
区域拥有什么function? 它包含您的客户端计算机,成员服务器和域控制器的Alogging的所有logging。 为什么这个区域很重要? 这样你的工作站和服务器就可以在networking上相互通信。 如果这个区域不存在,你可能可以login,但除了浏览互联网之外,你无法做其他事情。
好在对你来说,这很容易。 在dcpromo
期间安装和configurationDNS服务器设置时,您应该selectSecure Updates Only
在给出select的情况下Secure Updates Only
允许Secure Updates Only
。 这意味着只有已知join域的电脑才能创build/更新他们的logging。
让我们回来一下。 区域可以通过几种方式获取logging:
它们被configuration为使用DNS服务器的工作站自动添加。 这是最常见的,在大多数情况下应该与“仅限安全更新”结合使用。 有一些边缘情况下你不想这样做,但是如果你需要这个答案的知识,那么这是你想要做的方式。 默认情况下,Windows工作站或服务器将每24小时更新一次自己的logging,或者networking适配器通过DHCP或静态分配IP地址 。
您手动创buildlogging。 如果您需要创buildCNAME或其他types的logging,或者如果您希望Alogging不在受信任的AD计算机上(可能是希望客户能够parsing的Linux或OS X服务器),则可能会发生这种情况按名字。
租赁交付时让DHCP更新DNS。 您可以通过configurationDHCP代表客户端更新logging并将DHCP服务器添加到DNSUpdateProxy AD组来执行此操作。 这不是一个好主意,因为它会打开你的区域中毒。 当客户端计算机更新带有恶意logging的区域并尝试模拟networking上的另一台计算机时,会发生区域中毒(或DNS中毒)。 有办法来保证这一点,它确实有它的用途,但如果你不知道,你最好别pipe它。
所以,现在我们已经可以回到正轨了。 您已经将您的AD DNS服务器configuration为只允许安全更新,您的基础架构正在徘徊,然后您意识到您有大量重复的logging! 你对此做了什么?
这篇文章是必读的 。 它详细介绍了您需要configuration进行清理的最佳实践和设置。 它适用于Windows Server 2003,但仍然适用。 阅读。
清理是上面提出的重复logging问题的答案。 想象一下,你有一台计算机的IP为192.168.1.100。 它将为该地址注册一个Alogging。 那么,想象它已经关机了很长一段时间了。 当它重新开始时,该地址被另一台机器占用,因此获得192.168.1.120
。 现在有两个他们的logging。
如果你清理你的区域,这不会是一个问题。 陈旧的logging将被删除一段时间后,你会没事的。 只要确保你不会意外清除所有的东西 ,比如使用1天的时间间隔。 请记住,AD依靠这些logging。 绝对configuration清理,但负责任地做,如上文所述。
所以,现在你对DNS有一个基本的了解,以及它如何与Active Directory集成。 我将在道路上添加点点滴滴,但请随时添加自己的作品。