Inhalt. Windows 2000 Server - Band 2: Netzwerkgrundlagen und Netzwerkdienste

Transkript

1 Windows 2000 Server - Band 2: Netzwerkgrundlagen und Netzwerkdienste Inhalt Inhalt 1 Netzwerkgrundlagen Netzwerkressourcen Netzwerktypen Netzwerktopologien Netzwerkhardware Übertragungstypen Zugriffsverfahren Standards im Netzwerk Protokolle Hardware zum Erweitern eines Netzwerks TCP/IP-Grundlagen Das Adressierungsverfahren Der TCP/IP-Protokollstapel Verfahren zur Namensauflösung Einrichten von Subnetzen (Subnetting) TCP/IP-Dienste und -Utilities Dynamische IP-Adressvergabe (DHCP) Ablauf der Adressvergabe Möglichkeiten der Erneuerung einer DHCP-Lease Installation des DHCP-Dienstes auf dem Server Autorisierung des DHCP-Dienstes Definition von DHCP-Bereichen Konfiguration eines DHCP-Clients Einrichtung von DHCP in gerouteten Umgebungen Namensauflösung (DNS) Die DNS-Hierarchie DNS-Abfragetypen Installation des DNS-Dienstes auf dem Server Konfiguration eines DNS-Clients DNS-Zonen DNS-Server-Arten DNS und DHCP im Zusammenspiel (Zusätzliche) Namensauflösung (WINS) Überblick NetBIOS-Namensauflösung WINS-Namensauflösung Installation des WINS-Dienstes auf dem Server Konfiguration eines WINS-Clients Replikation der WINS-Datenbank Einrichtung des Remote-Zugriffs (RAS) RAS-Zugriffsvorgang und -verbindungsarten Sichere VPN-Verbindung durch Tunneling Konfiguration des Servers für eingehende Verbindungen Konfiguration des Clients für ausgehende Verbindungen Konfiguration für Mehrfachverbindungen RAS-Richtlinien Sicherheit durch Protokolle RAS und DHCP im Zusammenspiel Gesicherte Authentifizierung (IAS) Notwendige Schritte am Server Schritte am Client (dem RAS-Server) Routing mit dem Windows-2000-Server Konfiguration des Routers Statisches und dynamisches Routing Installation von RIP Konfiguration von RIP Einrichten von Dial-on-Demand-Routing Intranet und Internet verbinden Gemeinsame Nutzung der Internetverbindung mit ICS Adressübersetzung mit NAT Internetzugriff über einen Router Internet-Informationsdienste (IIS) Integrierte TCP/IP-Protokolle Installation der Internet-Informationsdienste Verwaltung der eigenen Website(s) Einrichtung eines virtuellen Verzeichnisses Einrichtung eines virtuellen Webservers Terminaldienste Die Dienste im Überblick Installation des Terminalservers Konfiguration des Terminalservers Installation des Terminaldienste-Clients Konfiguration der Benutzerkonten Aufbauen einer Terminalserver-Sitzung Installation von Anwendungen Ferngesteuerte Client-Installation (RIS) Installation des RIS-Servers Installation der Remoteinstallationsdienste Konfiguration des RIS-Servers Aktivierung des RIS-Servers Autorisierung des RIS-Servers Konfiguration des Rechts zur Erstellung von Computerkonten Vorbereitung von Computerkonten Installationsvorgang auf dem Client Verwendbare RIS-Abbilder Erstellung von Antwortdateien mit dem Installations-Manager Index

2 4 Namensauflösung (DNS) 4 Namensauflösung (DNS) Das Domain Name System (DNS) ist eine verteilte Datenbank für Hostnamen, die auf einem DNS-Server verwaltet wird. Wenn dieser Server eine Anfrage nach einem Hostnamen erhält, versucht er, ihn in eine IP-Adresse aufzulösen ( zu übersetzen ). DNS ist entwickelt worden, weil Namen für Menschen leichter zu merken sind als reine Zahlenkombinationen wie z. B. IP-Adressen. Frühere Microsoft-Netzwerke basierten weitgehend auf dem NetBIOS-Namensschema. Statt zur Namensauflösung Server zu installieren, wurden anfänglich sowohl für NetBIOS-Computernamen als auch für Hostnamen statische Dateien gepflegt. Falls nicht über statische Dateien fand die Namensauflösung mit Hilfe eines WINS- (Windows-Internet-Name-Service-)Servers oder rein über Broadcasts statt. Jeder Computer in einem NetBIOS-basierten Netzwerk besitzt einen so genannten NetBIOS-Computernamen, der aus höchstens 15 Zeichen (ohne Verwendung von Sonderzeichen) bestehen darf. Ein WINS-Server löst einen solchen NetBIOS- Computernamen in die zugehörige IP-Adresse auf. Nur für den (Sonder-)Fall, dass eine Client-/Server-Anwendung die so genannte WinSock-Schnittstelle (eine Programmierschnittstelle für ausschliesslich auf TCP/IP basierende Software) benötigt, muss dann auch hierfür DNS installiert werden. Mit Windows 2000 und Active Directory, das auf dynamischem DNS (DDNS) aufbaut, benötigt ein Netzwerk einen DNS-Server. Aus Gründen der Abwärtskompatibilität können zwar nach wie vor WINS-Server installiert werden, wenn z. B. vorhandene Windows-NT-Clients sie benötigen sollten, allerdings nur in Ergänzung zu, nicht als Ersatz für einen DNS-Server. WINS ist unter Windows 2000 nur dann sinnvoll einsetzbar, wenn der Verzeichnisdienst Active Directory nicht eingesetzt werden soll. Dann können Sie sich eventuell auch die Einrichtung und Verwaltung des doch komplexeren DNS-Dienstes sparen. 4.1 Die DNS-Hierarchie Ein NetBIOS-Namensraum hat eine flache Struktur, innerhalb der keine voneinander getrennten Namensräume erzeugt werden können. Hingegen ist der Namensraum der DNS-Hostnamen hierarchisch strukturiert, ähnlich der Struktur von Ordnern und Unterordnern auf einer Festplatte: Ein festgelegter Pfad führt zu einer bestimmten Datei, ein festgelegter Weg als FQDN (Fully Qualified Domain Name) bezeichnet führt zu einem bestimmten Host. Die höchste Ebene der DNS-Hierarchie ist die Stammdomäne namens root. Sie wird in Darstellungen durch einen einzelnen Punkt (.) dargestellt. Sie ist vergleichbar dem obersten Verzeichnis auf der Festplatte, dargestellt durch den Backslash (\), oder dem root-verzeichnis eines Unix-Rechners, dargestellt durch den slash (/). Darunter befinden sich Domänen in verschiedenen Ebenen wie die Unterverzeichnisse auf einer Festplatte. Auf der Ebene direkt unter root liegen die so genannten Top Level Domains (TLDs). Hiervon existieren im Internet nur eine begrenzte (zurzeit aber in der Erweiterung befindliche) Anzahl:.com,.net,.org,.gov und Ländercodes für alle Länder außer dem 89

3 Namensauflösung (DNS) 4 Ursprungsland des Internet, den USA, wie z. B..de,.uk. oder.ca. (Einige Erweiterungen wie z. B. die TLD.info sind zwischenzeitlich bereits realisiert worden.) Wichtige TLDs wie.com,.net und.org werden von der Internet Corporation for Assigned Names and Numbers (ICANN) direkt, Länder-TLDs von den jeweils regional zuständigen Organisationen (in Deutschland von der DENIC eg, ursprünglich Deutsches Network Information Center) verwaltet. TLD-Namen werden von der ICANN festgelegt. Technisch gesehen können auch andere TLDs existieren jedoch sind nur die oben erwähnten für das Internet gültig. Wenn Sie selbst ein komplett privates Netz aufbauen, könnten darin auch TLDs wie.egal oder.anders vorkommen. Domänennamen, die sich direkt unterhalb der TLDs befinden, werden entsprechend als Second Level Domains (SLDs) bezeichnet. Hier finden sich bekannte Firmennamen und Institutionen sowie private Homepages wieder: z. B. microsoft.com, bplusr.de, nasa.gov. Diese Namen werden von bestimmten, für die jeweiligen TLDs mit der Verwaltung und Vergabe betrauten Organisationen (wie eben dem DENIC für.de) vergeben. Domänen, die sich unterhalb der SLDs befinden, werden als Subdomains (Subdomänen) bezeichnet. Subdomains werden von Administratoren innerhalb der jeweiligen Unternehmen oder Institutionen verwaltet. Ein Unternehmen kann so strukturiert sein, dass es aus vielen solcher Subdomains besteht. Aufgabe des DNS-Servers ist es nun, die Hostnamen der Computer, die sich in den einzelnen Subdomains befinden, in IP-Adressen aufzulösen, um so den Netzwerkzugriff zu ermöglichen. DNS verwendet ein Client-/Server-Modell, in dem der DNS-Server Informationen über einen Bereich des DNS-Namensraums vorhält und diese den Clients zur Verfügung stellt. Ein DNS-Client, d. h. ein Computer, der auf Ressourcen im Netzwerk zugreifen möchte, stellt eine Anfrage an einen DNS-Server, um einen bestimmten Hostnamen in dessen zugehörige IP-Adresse aufzulösen. Wenn dieser angefragte DNS-Server die Namensauflösung nicht selbst durchführen kann, kann er weitere DNS-Server abfragen, um die gewünschte Antwort zu finden. 4.2 DNS-Abfragetypen Grundsätzlich werden bei einem DNS-Server zwei verschiedene Abfragetypen unterschieden: 1 Iterative (wiederholte) Abfrage (iterativ = wiederholend) Eine iterative Abfrage ist die Abfrage eines Clients an einen DNS-Server, bei der dieser die bestmögliche Antwort zurückgibt, die er auf Basis seiner eigenen Datenbank oder seines internen Caches bereitstellen kann. Kann er die Anfrage nicht beantworten, stellt er dem anfragenden Client einen Verweis auf einen anderen DNS-Server zur Verfügung, der dazu evtl. in der Lage ist. Der Client fragt dann diesen Server ab, und der Vorgang beginnt bei diesem DNS-Server erneut. Es kann sein, dass der Client statt eines aufgelösten Namens erneut einen Verweis auf einen anderen DNS-Server erhält. Er setzt dann den Vorgang so lange fort, bis er einen Server findet, der den gesuchten Hostnamen zu einer IP-Adresse auflösen kann, oder bis eine Fehlermeldung den Vorgang beendet. 2 Rekursive (beauftragende) Abfrage Bei einer rekursiven Abfrage übernimmt der erste angefragte Server die gesamte Aufgabe der Namensauflösung, d. h., wenn er selbst den Namen nicht auflösen kann, führt er in Eigenregie separate iterative Abfragen an andere DNS-Server durch. Erst wenn er eine Antwort auf die Anfrage des Clients bereitstellen kann (erfolgreiche Namensauflösung oder Beendigung seiner Anfrage durch Fehlermeldung), wendet er sich wieder an den anfragenden Client und teilt ihm das Ergebnis mit. 90

4 4 Namensauflösung (DNS) Ablauf einer DNS-Abfrage Clientcomputer senden im Normalfall rekursive Abfragen an DNS-Server. Die DNS- Server ihrerseits verwenden dann iterative Abfragen, um eine Antwort für den Client bereitzustellen. Im Folgenden wird als Beispiel der Abfrageprozess zur Auflösung der Adresse dargestellt: 1 Der Clientcomputer erzeugt eine Anfrage, um den Hostnamen in eine IP-Adresse aufzulösen. Er stellt eine rekursive Abfrage an denjenigen DNS- Server, der als primärer DNS-Server in seiner IP-Konfiguration eingetragen ist. 2 Der DNS-Server, der diese rekursive Anfrage erhält, überprüft, ob er in seiner Datenbank einen Eintrag für den angefragten Namen hat. Da dies nicht der Fall ist, sendet er eine iterative Anfrage an einen DNS-Server, der für die Stammdomäne zuständig (autorisierend) ist. Die Stammdomäne ist root. Die Information, welche DNS-Server für root zuständig sind, bringt er schon bei der Installation mit sich. 3 Der für die Stammdomäne autorisierende Server kann in seiner Datenbank ebenfalls keinen Eintrag für finden. Er sendet dem anfragenden DNS- Server aber die IP-Adresse desjenigen Servers, der für die TLD.de autorisierend ist. Diese IP-Adresse befindet sich in der Datenbank des Root-Servers. 4 Der DNS-Server, der nun diese IP-Adresse erhalten hat, wendet sich mit einer weiteren iterativen Anfrage an den Server für die TLD.de. 5 Auch der für die TLD.de autorisierende Server findet in seiner Datenbank keinen Eintrag für Aber er kann dem anfragenden DNS-Server die IP- Adresse desjenigen Servers, der für die Domäne bplusr.de autorisierend ist, zusenden. Diese Adresse befindet sich in seiner Datenbank, da diese Domäne in der Hierarchie direkt unterhalb.de liegt. 6 Der DNS-Server, der diese Antwort erhalten hat, wendet sich nun wieder mit einer iterativen Anfrage an den für die Domäne bplusr.de zuständigen Server. 7 Der für die Domäne bplusr.de zuständige Server findet in seiner Datenbank einen Eintrag für und sendet dem anfragenden DNS-Server die Antwort mit der IP-Adresse von 8 Der DNS-Server, der diese Antwort erhalten hat, sendet nun die Antwort (= die IP- Adresse von an den ursprünglich anfragenden Client. Abfragen in beide Richtungen Der DNS-Server kann eine Namensauflösung auch in der umgekehrten Richtung durchführen und eine IP-Adresse in einen Hostnamen auflösen. Um beide Arten der Namensauflösung realisieren zu können, benötigt er zwei verschiedene Datenbanken, die bei DNS als Lookupzonen bezeichnet werden. Der Abfragetyp einer Zone bestimmt die Aufgaben, die ein DNS-Server durchführen kann. Wenn Sie eine Zone anlegen, geben Sie durch die Angabe des Zonentyps vor, ob die Zone für die Auflösung von vorwärts oder rückwärts gerichteten Anfragen (Forward bzw. Reverse Lookup) verwendet wird. Ein Forward Lookup ist die Anforderung zum Zuordnen eines Hostnamens zur einer IP-Adresse. Dies ist der häufigste Abfragetyp. Er wird benutzt, um die IP-Adresse eines Servers im Internet aufzulösen, damit eine Verbindung zu ihm hergestellt werden kann. Ein Reverse Lookup ist entsprechend eine Anforderung zur Zuordnung einer IP- Adresse zu einem Hostnamen. Dieser Typ wird meistens verwendet, wenn die IP- Adresse bekannt ist und der zugeordnete Domänenname erfragt werden soll. Ein solches Verfahren erfolgt z. B. dann, wenn auf einem Server eingehende IP- Verbindungen überwacht werden sollen und man den Hostnamen des die Verbindung initiierenden Computers herausfinden möchte. Oftmals wird dieses Verfahren auch bei der Rückverfolgung von Massenwerb s durchgeführt, um eine rechtlich greifbare Person ermitteln zu können. 91

5 Namensauflösung (DNS) Installation des DNS-Dienstes auf dem Server Da Computer unter Windows 2000 standardmäßig so konfiguriert sind, dass sie ihre IP-Adresse über DHCP beziehen, müssen Sie ggf. dem Server zunächst eine statische IP-Adresse verpassen. Darüber hinaus sollten Sie auch das DNS-Suffix festlegen, denjenigen Teil des DNS- Namens, der nicht unbedingt angegeben werden muss. Wenn dann z. B. später ein Benutzer nur drucker1 eingibt, wird das dort angegebene Suffix (es können auch mehrere angegeben werden) automatisch bei der Suche nach der IP-Adresse von drucker1 angehängt, so dass der Benutzer nach Eingabe dieses Kürzels sofort mit der IP-Adresse des Druckers mit dem voll qualifizierten Domänennamen drucker1.buchhaltung.eventmarketing.de verbunden ist. 1 Öffnen Sie Start Einstellungen Netzwerk- und DFÜ-Verbindungen. 2 Klicken Sie mit der rechten Maustaste auf die Verbindung, die Sie konfigurieren möchten, und wählen Sie aus dem Kontextmenü den Befehl Eigenschaften. 3 Tragen Sie im Dialogfeld Eigenschaften von Internetprotokoll (TCP/IP) ggf. eine statische IP- Adresse, die zugehörige Subnet Mask und das Standard-Gateway ein und klicken Sie anschließend auf Erweitert. 4 Geben Sie im Dialogfeld Erweiterte TCP/IP-Einstellungen auf der Registerkarte DNS in das Eingabefeld DNS-Suffix für diese Verbindung: den Namen Ihrer Domäne ein und bestätigen Sie dann mit oder Klick auf OK. 92

6 4 Namensauflösung (DNS) Den DNS-Serverdienst selbst können Sie nur auf einem Computer installieren, der ein Betriebssystem aus der Windows-2000-Server-Familie ausführt. Sie installieren den Dienst, indem Sie die entsprechende Windows-Komponente hinzufügen: 1 Öffnen Sie Start Programme Systemsteuerung Software. 2 Klicken Sie auf die Schaltfläche Windows-Komponenten hinzufügen/entfernen. 3 Markieren Sie im Assistenten für Windows-Komponenten im Listenfeld Komponenten den Eintrag Netzwerkdienste und klicken Sie anschließend auf Details. 4 Aktivieren Sie im Dialogfeld Netzwerkdienste im Listenfeld Unterkomponenten von "Netzwerkdienste" das Kontrollkästchen DNS-Server (Domain Name System) und klicken Sie anschließend auf OK und im Assistenten auf Weiter >. 5 Der DNS-Serverdienst wird nun auf dem Server installiert. Wenn dieser Vorgang abgeschlossen ist, meldet sich der Installations- Assistent mit einem Abschlussfenster. Klicken Sie hier auf Fertig stellen, um den Vorgang abzuschließen. 93

7 Namensauflösung (DNS) 4 Wenn der DNS-Serverdienst installiert ist, finden Sie einen entsprechenden Eintrag unter Start Programme Verwaltung DNS. Hinweis Active Directory ist bei der Namensauflösung und bei der Suche nach Active- Directory-Komponenten von DNS abhängig. Ohne den Zugriff auf einen DNS-Server ist Active Directory nicht funktionsfähig. Eine DNS-Struktur muss daher vor der Installation von Active Directory bestehen oder der DNS-Server während der Installation von Active Directory automatisch installiert und konfiguriert werden. Sollten Sie sich bei der Installation und Konfiguration des DNS-Servers unsicher sein, ist der automatische Weg wahrscheinlich zunächst der bessere. Allerdings sind die meisten Active- Directory-Fehler auf ein fehlerhaftes DNS zurückzuführen. Daher sollten Sie sich zumindest zu einem späteren Zeitpunkt intensiv mit DNS auseinandersetzen. 4.4 Konfiguration eines DNS-Clients Unter Windows 2000 Professional umfasst die Konfiguration eines DNS-Clients nur einen einzigen Eintrag: der DNS-Client muss die IP-Adresse seines DNS-Servers kennen. 1 Öffnen Sie Start Einstellungen Netzwerk- und DFÜ-Verbindungen. 2 Klicken Sie mit der rechten Maustaste auf die gewünschte LAN- Verbindung und wählen Sie aus dem Kontextmenü den Befehl Eigenschaften. 3 Markieren Sie im Dialogfeld Eigenschaften von <LAN-Verbindung> den Eintrag Internetprotokoll (TCP/IP) und klicken Sie anschließend auf die Schaltfläche Eigenschaften. 4 Aktivieren Sie im Dialogfeld Eigenschaften von Internetprotokoll (TCP/IP) das Optionsfeld DNS- Serveradresse automatisch beziehen, wenn die Adresse über DHCP bezogen werden kann. Wenn Sie hingegen die IP-Adresse des DNS-Servers manuell eintragen möchten, aktivieren Sie das Optionsfeld Folgende DNS-Serveradressen verwenden und geben Sie dann in das Eingabefeld Bevorzugter DNS-Server die IP-Adresse des DNS-Servers ein. (Sie können hier IP-Adressen mehrerer Server eingeben. Windows 2000 verwendet den zweiten DNS-Server (Alternativer DNS-Server) nur dann, wenn keine Verbindung zum primären DNS-Server hergestellt werden kann.) 5 Bestätigen Sie anschließend mit oder Klick auf OK und schließen Sie alle geöffneten Fenster. 94

8 4 Namensauflösung (DNS) 4.5 DNS-Zonen Definition Zone Zonenarten Eine Zone ist ein zusammenhängender Bereich des Domänen-Namensraums, für den ein DNS-Server zuständig (autorisierend) ist. Der DNS-Server verfügt über die Berechtigung, Namensauflösungen in diesem Bereich durchzuführen. Alle DNS-Clients einer Zone registrieren ihre IP-Adresse bei dem DNS-Server, für den sie konfiguriert sind. Wenn ein DNS-Server für die Zone buchhaltung.eventmarketing.de zuständig ist, kennt er alle Computer, die sich in dieser Zone befinden und kann Zuordnungen zwischen jeweiliger IP-Adresse und Hostnamen der einzelnen Computer herstellen. Eine Zone kann (muss aber nicht) einer Domäne entsprechen, d. h., alle Computer der Windows-2000-Domäne mit dem Domänennamen buchhaltung.eventmarketing.de sind zusammen in einer Zone, die von einem DNS-Server verwaltet wird. Sie kann auch mehrere Domänen und Unterdomänen einer Domäne beinhalten. Hinweis Im Folgenden wird davon ausgegangen, dass eine Zone einer Windows Domäne entspricht. Es gibt drei verschiedene Arten von Zonentypen, je nachdem, welche Eigenschaften die Zonendatei hat: 1 Primäre Zone Eine primäre Zone ist charakterisiert durch eine Zonendatei, in die geschrieben und aus der gelesen werden kann. Es handelt sich um eine Standard-Textdatei. DNS-Clients können sich hier registrieren. Sämtliche an der Zone vorgenommenen Änderungen (An- und Abmeldungen von Clients) werden hier gespeichert. Wenn Sie eine neue Zone auf einem DNS-Server erstellen, müssen Sie eine solche primäre Zone verwenden. Die Zonendatei wird in der Regel im Verzeichnis %SYSTEMROOT%\system32\dns gespeichert. 2 Sekundäre Zone Eine sekundäre Zone ist charakterisiert durch eine schreibgeschützte Zonendatei, die ebenfalls als Textdatei gespeichert ist. Sämtliche in der Zone vorgenommenen Änderungen werden in der primären Zonendatei aufgezeichnet und zur sekundären Zonendatei repliziert. Eine sekundäre Zone wird erstellt, um eine Kopie der vorhandenen Zone und deren Zonendatei zu erzeugen. Dadurch kann die Netzwerklast und auch die Belastung des Servers durch Namensauflösungsprozesse verringert werden. Eine sekundäre Datei ergibt also nur einen Sinn auf einem anderen DNS-Server als demjenigen für die primäre Zone und kann auch nur so installiert werden. 3 Active-Directory-integrierte Zone Hier werden die Zoneninformationen in der Struktur von Active Directory und nicht nur als einfache Textdatei gespeichert. Aktualisierungen der Zone erfolgen automatisch im Rahmen der Active-Directory-Replikation. Wann immer möglich, sollten Sie diese Option wählen, da sie alle administrativen Arbeiten im Rahmen von DNS vereinfacht. Sie müssen den DNS-Server nicht extra konfigurieren, um anzugeben, wie und wann Aktualisierungen erfolgen, da diese Vorgänge von Active Directory verwaltet werden. Allerdings können dann nur Windows-2000-Domänencontroller als DNS-Server für diese Zone arbeiten. Bei dem Primär-/Sekundär-Mechanismus hingegen können auch DNS-Server mit anderen Betriebssystemen zum Einsatz kommen. 95

9 Namensauflösung (DNS) 4 Definition... Ressourceneintrag Ressourceneinträge In den Zonendateien sind die Informationen, die der DNS-Server zur Namensauflösung benötigt, in Form von Ressourceneinträgen gespeichert. Ressourceneinträge sind Datenbankeinträge, die verschiedene Attribute enthalten, wie z. B. Hostnamen, IP-Adresse oder Aliasnamen eines Computers. Die DNS-Forward-Lookupzonen enthalten unterschiedliche Ressourceneinträge. Die folgende Tabelle gibt Aufschluss über die wichtigsten Typen von Ressourceneinträgen und deren Funktionen in alphabetischer Auflistung: Ressourceneintrag A Address CNAME Canonical Name HINFO Host Information MX Informationen über die DNS-Hard- und Software. Beispiele für Einträge sind: Prozessor oder Betriebssystem. Durch HINFO wird eine sehr einfache Methode der Ressourcenüberwachung zur Verfügung gestellt. Mail- Exchanger NS Name Server PTR Pointer SOA Start Of Authority SRV Service Erläuterung Zuordnung zwischen Hostnamen und (32-Bit-)IP-Adresse des jeweiligen Hosts. Dies ist der häufigste Eintrag. Zweiteintrag für einen Computer. Es wird ein weiterer (zweiter) Hostname zu einer IP-Adresse eingetragen. Ein entsprechender Ersteintrag (A-Eintrag) muss vorhanden sein. (Die meisten Web-Server besitzen den Eintrag www als CNAME-Eintrag.) Der MX-Eintrag identifiziert einen Mail-Server in der Domäne. Mehrere solcher Einträge können in einer Domäne vorhanden sein. Der anfragende Client erhält die Informationen dann in der eingetragenen Reihenfolge. Durch den NS-Eintrag wird ein Name Server, also ein DNS-Server, identifiziert. Dieser kann für die Domäne die Namensauflösung durchführen. Primäre sowie sekundäre DNS-Server registrieren sich so. Erst durch einen Pointer-(Zeiger-)Eintrag wird die umgekehrte Namensauflösung IP-Adresse zu Hostname möglich. Ein Pointer- Eintrag wird für die Reverse-Lookupzone eingetragen. Der SOA-Eintrag ist der erste Eintrag in einer DNS-Zonendatei und kennzeichnet den Autoritätsursprung. Durch diesen Eintrag identifiziert sich ein DNS-Server als für diese Domäne autorisiert. Der SRV-Eintrag kennzeichnet einen Dienst, der auf einem bestimmten Host ausgeführt wird, ähnlich der Dienstregistrierung bei einem WINS- Server. Wenn sich ein Host an einem Domänencontroller authentifizieren muss, sucht er nach einem SRV-Eintrag, anhand dessen er den Server finden kann. Erstellen einer Forward-Lookupzone Nach der Installation des DNS-Servers muss zunächst eine Forward-Lookupzone eingerichtet werden. Die Erstellung einer Reverse-Lookupzone ist optional, wird aber empfohlen, um von der vollen Funktionalität des DNS-Servers profitieren zu können. Um eine Forward-Lookupzone einzurichten, gehen Sie folgendermaßen vor: 1 Öffnen Sie die DNS-Verwaltungskonsole über Start Programme Verwaltung DNS. 96

10 4 Namensauflösung (DNS) 2 Klicken Sie mit der rechten Maustaste auf Forward-Lookupzonen und wählen Sie aus dem Kontextmenü den Befehl Neue Zone. 3 Es öffnet sich der Assistent zum Erstellen neuer Zonen. Klicken Sie im Willkommen- Fenster auf Weiter >. 4 Im zweiten Schritt (Zonentyp) des Assistenten legen Sie den Typ der Zone fest. Aktivieren Sie hier ggf. das Optionsfeld Primär (Standard) und klicken Sie anschließend auf Weiter >. 5 Geben Sie im dritten Schritt (Zonenname) der Zone einen Namen. Es kann sich hierbei wie im Beispiel um den Domänennamen der zu Grunde liegenden Domäne handeln. Der DNS-Server wird dann für diese Zone autorisiert. Klicken Sie anschließend auf Weiter >. 6 Es wird im vierten Schritt (Zonendatei) für die neue Zone eine Zonendatei mit der Dateiendung.dns angelegt. Der Assistent schlägt den im vorhergehenden Dialogfeld vergebenen Namen für die Zone vor. Übernehmen Sie die Einstellungen und klicken Sie anschließend auf Weiter >. 7 Der fünfte und letzte Schritt zeigt eine Zusammenfassung Ihrer Angaben. Klicken Sie auf Fertig stellen. Die neu erstellte Zone wird sofort als Untereintag unter Forward-Lookupzonen in der DNS-Konsole angezeigt. 97

11 Namensauflösung (DNS) 4 Erstellen einer Active-Directory-integrierten Zone Wenn Sie einen DNS-Server auf einem Server einrichten, der in der Folge auch die Funktion eines Domänencontrollers übernehmen soll, oder wenn Sie den DNS-Server automatisch im Rahmen einer Active-Directory-Installation mit installieren lassen, können Sie die Zonendateien als so genannte Active-Directory-integrierte Zonen konfigurieren. Dies bringt folgende Vorteile:! Alle Active Directory-integrierten Zonen sind primäre Zonen. Deshalb verwaltet jeder Domänencontroller, der eine Active-Directory-integrierte Zone hostet, die Zoneninformationen. Die Zone kann nur von Domänencontrollern gehostet werden, die sich in derjenigen Active-Directory-Domäne befinden, in der die Zonendateien gespeichert werden, also nur von Windows-2000-Domänencontrollern.! Die Zonendateien für Active Directory-integrierte Zonen werden nicht im Standard-Ordner %SYSTEMROOT%\system32\dns, sondern als Objekte in Active Directory gespeichert. Dies erhöht die Sicherheit.! Zonenübertragungen erfolgen automatisch als Teil der Active-Directroy- Replikation, so dass die Replikationen für DNS und Active Directory nicht separat konfiguriert werden müssen.! Mit Active-Directory-integrierten Zonen können Änderungen, die durch das Protokoll für dynamische Aktualisierung (DDNS) durchgeführt werden, für alle Server vorgenommen werden, die Active-Directory-integrierte Zonen hosten. Die dynamischen Aktualisierungen erhöhen die Sicherheit, da sie nur von autorisierten Computern stammen können.! Des Weiteren werden die Änderungen komprimiert übertragen, wenn sie Active-Directory-Standort-übergreifend durchgeführt werden. (Dabei werden die Daten um bis zu 90% komprimiert.) Die Erstellung einer Active-Directory-integrierten Zone erfolgt in gleicher Weise wie die einer primären (oder einer sekundären) Standardzone. 1 Öffnen Sie die DNS-Verwaltungskonsole über Start Programme Verwaltung DNS. 2 Klicken Sie mit der rechten Maustaste auf Forward-Lookupzone und wählen Sie aus dem Kontextmenü den Befehl Neue Zone. 3 Es öffnet sich der Assistent zum Erstellen neuer Zonen. Klicken Sie im Willkommen- Fenster auf Weiter >. 4 Im zweiten Schritt (Zonentyp) des Assistenten legen Sie den Typ der Zone fest. Aktivieren Sie in diesem Fall das Optionsfeld Active Directory-integriert, klicken Sie anschließend auf Weiter >. 5 Fahren Sie genau so fort wie beim Erstellen einer primären Zone. 98

12 4 Namensauflösung (DNS) Sie können außerdem vorhandene Standardzonen in Active-Directory-integrierte Zonen umwandeln, wenn der Server, auf dem der DNS-Serverdienst installiert ist, ein Domänencontroller ist, d. h. wenn dort Active Directory installiert ist. Sie können nur eine primäre (keine sekundäre) Zone in eine Active-Directory-integrierte Zone umwandeln. Auch eine Rückumwandlung ist jederzeit möglich. 1 Öffnen Sie die DNS-Konsole, klicken Sie dort mit der rechten Maustaste auf die Zone, die Sie umwandeln möchten, und wählen Sie aus dem Kontextmenü den Befehl Eigenschaften. 2 Klicken Sie im Dialogfeld Eigenschaften von <Zone> auf der Registerkarte Allgemein auf die Schaltfläche Ändern. 3 Aktivieren Sie im Dialogfeld Zonentyp ändern das Optionsfeld Active Directory-integriert. Diese Option steht nur dann zur Verfügung, wenn Active Directory auf dem Server installiert ist. 4 Schließen Sie beide Dialogfelder jeweils mit oder Klick auf OK. Erstellen einer Reverse-Lookupzone Das Erstellen einer Reverse-Lookupzone verläuft ähnlich dem Erstellen einer Forward-Lookupzone: 1 Öffnen Sie die DNS-Verwaltungskonsole über Start Programme Verwaltung DNS. 2 Klicken Sie mit der rechten Maustaste auf Reverse-Lookupzonen und wählen Sie aus dem Kontextmenü den Befehl Neue Zone. 3 Es öffnet sich der Assistent zum Erstellen neuer Zonen. Klicken Sie im Willkommen- Fenster auf Weiter >. 4 Im zweiten Schritt (Zonentyp) des Assistenten legen Sie den Typ der Zone fest. Aktivieren Sie hier ggf. das Optionsfeld Primär (Standard) und klicken Sie anschließend auf Weiter >. 99

13 Namensauflösung (DNS) 4 5 Tragen Sie im dritten Schritt (Reverse- Lookupzonen) statt eines Namens die Netzwerkkennung (NetID) der zugehörigen Domäne ein. (Der Name der Reverse- Lookupzone im unteren Bereich des Dialogfelds wird automatisch aus dieser Angabe erzeugt.) Klicken Sie dann auf Weiter >. 6 Es wird im vierten Schritt (Zonendatei) für die neue Zone eine Zonendatei mit der Dateiendung.dns angelegt. Der Assistent erzeugt einen Dateinamen mit der Endung.dns aus der im vorhergehenden Schritt eingetragenen NetID. Übernehmen Sie die Einstellungen und klicken Sie anschließend auf Weiter >. 7 Der fünfte und letzte Schritt zeigt eine Zusammenfassung Ihrer Angaben. Klicken Sie auf Fertig stellen. Die neu erstellte Zone wird sofort als Untereintag unter Reverse-Lookupzonen in der DNS-Konsole angezeigt. Hinweis Die Domäne in-addr.arpa ist eine besondere DNS-Domäne der obersten Ebene, die für die Zuordnung von IP-Adressen zu Hostnamen reserviert ist. Die Bezeichnungen in dieser Domäne richten sich nach der dezimalen Schreibweise der Oktette der IP- Adresse. Da IP-Adressen von links nach rechts Standort-spezifischer werden, Domänennamen aber von rechts nach links, muss die Reihenfolge der IP-Adress-Oktette bei der Erstellung der Domäne in-addr.arpa umgekehrt werden. Auf Grund des im RFC 2317 festgelegten Standards muss das Domänensuffix dieser Domäne in-addr.arpa lauten. Wenn Sie eine Reverse-Lookupzone einrichten, wird dieses Suffix automatisch an die umgekehrte NetID angehängt, im Beispiel lautet der volle Name in-addr.arpa. 100