DNS如何与Active Directory相关,以及我应该注意哪些常见的configuration?

请注意,我知道这个答案,并提供了一个下面。 我看到很多新的系统pipe理员不明白我的答案的内容,所以我希望所有初学者的AD DNS问题都会被重新封闭。 如果你有一个小小的改进,随时编辑我的答案。 如果您可以提供更全面的完整答案,请随时留下一个答案。

DNS如何与Active Directory相关,以及我应该注意哪些常见的configuration?

Active Directory依赖于正确configuration和function的DNS基础结构 。 如果您有Active Directory问题,则可能是您有DNS问题。 你应该检查的第一件事是DNS。 你应该检查的第二件事是DNS。 你应该检查的第三件事是DNS。

什么是DNS?

这是一个专业人士的网站,所以我会假设你至less读过优秀的维基百科文章 。 简而言之,DNS允许通过名称查找设备来查找IP地址。 互联网的function至关重要,因为我们知道它是在除了最小的局域网之外的所有局域网上运行的。

最基本的DNS分为三个基本部分:

  • DNS服务器:这些服务器为所负责的所有客户端保存logging 。 在Active Directory中,您在域控制器上运行DNS服务器angular色。

  • 区域:区域的副本由服务器保存。 如果您有一个名为ad.example.com的AD,则域控制器上会有一个安装了名为ad.example.com DNS的ad.example.com 。 如果您有一台名为“ computer并且该computer已在该DNS服务器上注册,则会在ad.example.com创build一个名为“ computer的DNSlogging,并且您将能够通过完全限定的域名(FQDN)将是computer.ad.example.com

  • logging:正如我上面提到的,区域保存logging。 logging将计算机或资源映射到特定的IP地址。 最常见的logging是Alogging,其中包含主机名和IP地址。 第二个最常见的是CNAMElogging。 一个CNAME包含一个主机名和另一个主机名。 当您查找主机名1时,它会执行另一个查找并返回主机名2的地址。 这对于模糊Web服务器或文件共享等资源非常有用。 如果您拥有intranet.ad.example.com的CNAME,并且其后面的服务器发生更改,则每个人都可以继续使用他们知道的名称,只需将CNAMElogging更新为指向新服务器即可。 有用吧?

好吧,这与Active Directory有什么关系?

当您在域中的第一个域控制器上安装Active Directory和DNS服务器angular色时,它会自动为您的域创build两个正向查找区域。 如果您的AD域是ad.example.com如上例所示)( 请注意,您不应只使用“ example.com ”作为Active Directory的域名 ),您将拥有一个ad.example.com区域, _msdcs.ad.example.com

这些区域是做什么的? 伟大的问题! 我们从_msdcs区开始。 它包含您的客户端机器需要查找域控制器的所有logging。 它包括logging来定位AD站点。 它有不同的FSMOangular色的logging。 它甚至保存您的KMS服务器的logging,如果您运行此可选服务。 如果此区域不存在,那么您将无法login到您的工作站或服务器。

ad.example.com区域拥有什么function? 它包含您的客户端计算机,成员服务器和域控制器的Alogging的所有logging。 为什么这个区域很重要? 这样你的工作站和服务器就可以在networking上相互通信。 如果这个区域不存在,你可能可以login,但除了浏览互联网之外,你无法做其他事情。

我如何获得这些区域的logging?

好在对你来说,这很容易。 在dcpromo期间安装和configurationDNS服务器设置时,您应该selectSecure Updates Only在给出select的情况下Secure Updates Only允许Secure Updates Only 。 这意味着只有已知join域的电脑才能创build/更新他们的logging。

让我们回来一下。 区域可以通过几种方式获取logging:

  1. 它们被configuration为使用DNS服务器的工作站自动添加。 这是最常见的,在大多数情况下应该与“仅限安全更新”结合使用。 有一些边缘情况下你不想这样做,但是如果你需要这个答案的知识,那么这是你想要做的方式。 默认情况下,Windows工作站或服务器将每24小时更新一次自己的logging,或者networking适配器通过DHCP或静态分配IP地址

  2. 您手动创buildlogging。 如果您需要创buildCNAME或其他types的logging,或者如果您希望Alogging不在受信任的AD计算机上(可能是希望客户能够parsing的Linux或OS X服务器),则可能会发生这种情况按名字。

  3. 租赁交付时让DHCP更新DNS。 您可以通过configurationDHCP代表客户端更新logging并将DHCP服务器添加到DNSUpdateProxy AD组来执行此操作。 这不是一个好主意,因为它会打开你的区域中毒。 当客户端计算机更新带有恶意logging的区域并尝试模拟networking上的另一台计算机时,会发生区域中毒(或DNS中毒)。 有办法来保证这一点,它确实有它的用途,但如果你不知道,你最好别pipe它。

所以,现在我们已经可以回到正轨了。 您已经将您的AD DNS服务器configuration为只允许安全更新,您的基础架构正在徘徊,然后您意识到您有大量重复的logging! 你对此做了什么?

DNS清理

这篇文章是必读的 。 它详细介绍了您需要configuration进行清理的最佳实践和设置。 它适用于Windows Server 2003,但仍然适用。 阅读。

清理是上面提出的重复logging问题的答案。 想象一下,你有一台计算机的IP为192.168.1.100。 它将为该地址注册一个Alogging。 那么,想象它已经关机了很长一段时间了。 当它重新开始时,该地址被另一台机器占用,因此获得192.168.1.120 。 现在有两个他们的logging。

如果你清理你的区域,这不会是一个问题。 陈旧的logging将被删除一段时间后,你会没事的。 只要确保你不会意外清除所有的东西 ,比如使用1天的时间间隔。 请记住,AD依靠这些logging。 绝对configuration清理,但负责任地做,如上文所述。

所以,现在你对DNS有一个基本的了解,以及它如何与Active Directory集成。 我将在道路上添加点点滴滴,但请随时添加自己的作品。