MS-Windows: DNS und AD

Transkript

1 MS-Windows: DNS und AD Windows-Workshop 04/2007 Hergen Harnisch

2 Hergen Harnisch DNS & AD Folie 2 Bedeutung von DNS offizielle Domäne: AD = DNS AD unter DNS interne Domäne: AD unter DNS AD mit ungültiger TLD Bemerkungen Konfiguration: DNS-Server DNS im Client

3 Hergen Harnisch DNS & AD Folie 4 Bedeutung von DNS DNS allgemein DNS liefert im Internet die Zuordnung zwischen Namen und IP-Adressen Zuordnungen erfolgen in Resource-Records (RR) CNAME uhw3live1.uni-hannover.de. uhw3live1.uni-hannover.de A in-addr.arpa. IN PTR uhw3live1.uni-hannover.de. (DNS-)Domäne meint meist alle *.uni-hannover.de., *.rrzn.uni-hannover.de ist eine DNS-Unterdomäne. Eine Zone enthält eine DNS-Domäne, evt. mit einigen Unterdomänen aber nicht unbedingt allen. Ist eine Unterdomäne nicht in der Zone, wird sie deligiert durch einen NS-RR.

4 Hergen Harnisch DNS & AD Folie 5 Bedeutung von DNS DNS und Windows Seit Windows 2000 dient DNS nicht nur dem Internetzugriff, sondern ist zentral für die Windows-Netzwerkumgebung. dient dem Auffinden von Resourcen über SRV-RRs über zentrales Verzeichnis (DNS-Server führt Inventar) Selbstregistrierung von Diensten durch dynamisches DNS-Update ersetzt WINS (kein Broadcast mehr) keine AD-Domäne ohne DNS im AD-Umfeld Client-DNS-Konfiguration wichtig Reverse-Zone (IN PTR-RRs) für Windows-Netz eher unwichtig AD-Domänenname ist DNS-Domänenname, DNS-Domäne nicht notwendig im Internet auflösbar/bekannt

5 Hergen Harnisch DNS & AD Folie 7 offizielle Domäne: Wenn AD-Domäne als DNS-Domäne im Internet bekannt: Vorteile Forrest leichter konfigurierbar DNS-Konfiguration im Client fast beliebig Nachteile Services weltweit einsehbar dynamische Einträge (z.b. Clients) weltweit einsehbar Domänenverbund bis auf Forrest schwierig _ ist kein RFC-konformes Zeichen zweiter DNS (evt. =DC) nach RFC zwingend erforderlich DNS-Zone muss dynamisch sein RRZN-Server nicht als Secondary

6 Hergen Harnisch DNS & AD Folie 8 offizielle Domäne: AD = DNS Als AD-Domäne die DNS-Domäne wählen, z.b. rrzn.uni-hannover.de.: Vorteile für Nutzer einfach, klar Nachteile auch Unix-Systeme und Server (z.b. Webserver) als dynamische DNS-Einträge AD als Single-Point-of-Failure auch für Mail, Webserver, Internetsurfen

7 Hergen Harnisch DNS & AD Folie 9 offizielle Domäne: AD unter DNS Als AD-Domäne eine DNS-Unterdomäne wählen, z.b. ads.rrzn.uni-hannover.de.: Vorteile nur Unterzone muss dynamisch sein, eigentliche DNS-Zone kann statisch bleiben RRZN-Server als Secondary für DNS-Hauptzone klare Trennung Windows-Umfeld vom Rest Unix-Systeme, Webserver unabhängig vom AD Nachteile langer Domänenname (FQDN)

8 interne Domäne: Regionales Rechenzentrum für Niedersachsen Hergen Harnisch DNS & AD Folie 11 Wenn AD-Domäne nicht im Internet-DNS bekannt: Vorteile interne Service- / Client-Infos bleiben privat offizielle DNS-Zone kann statisch bleiben DNS-Domäne auf RRZN-Servern Nachteile Zusatzeinträge in offiziellem DNS für Internet-Server Clients müssen interne DNS-Server kennen

9 Hergen Harnisch DNS & AD Folie 12 interne Domäne: AD unter DNS Als AD-Domäne eine DNS-Unterdomäne wählen, z.b. ads.rrzn.uni-hannover.de., aber ohne Deligierung 1 : Vorteile spätere offizielle DNS-Auflösung möglich keine Überschneidung mit DNS-Domäne Nachteile nur Forrest als Trust-Beziehungen mit anderen DNS-Bereichen möglich langer Domänenname (FQDN) 1 d.h. kein ads.rrzn.uni-hannover.de. NS-RR in offizieller DNS-Domäne

10 interne Domäne: AD mit ungültiger TLD Regionales Rechenzentrum für Niedersachsen Hergen Harnisch DNS & AD Folie 13 Als AD-Domäne unbekannte Top-Level-Domäne wählen, z.b. rrzn.intern.: Vorteile DNS-Struktur des Internet völlig parallel zu AD, insbesondere Trust-Beziehungen (Unter-/Oberdomäne) unabhängig von gemeinsamer DNS-Wurzel Nachteile evt. zwei Searchdomänen in Clients konfigurieren Dies ist mit TLD intern die Empfehlung des RRZN.

11 Bemerkungen Regionales Rechenzentrum für Niedersachsen Hergen Harnisch DNS & AD Folie 15 In obiger Aufstellung bewusst nicht berücksichtigt: AD und bind DNS könnte auch für die AD-Domäne vollständig von Unix-DNS-Servern übernommen werden, ebenso Mischform Windows-DNS als Master, Unix als Secondary. Aber falsche DNS-Informationen sind für die Clients gefährlich. DNS im ADS verhindert Manipulationen am besten. Views etc. Verschiedene DNS-Auflösungen je nach Anfrage-IP (z.b. im Institut gegenüber von Außen) sind möglich, aber verwirrend. Empfehlenswert ist nur, Namen intern aufzulösen und extern nicht.

12 Hergen Harnisch DNS & AD Folie 17 Konfiguration: DNS-Server DC auch als DNS-Server DNS-Zone institut.intern. im AD verwalten RRZN-DNS-Server als Forwarder konfigurieren... vgl. Anleitung auf RRZN-Seiten Reparieren falscher DNS-Einträge im AD mit netdiag /fix.

13 Hergen Harnisch DNS & AD Folie 18 Konfiguration: DNS im Client als DNS-Server nur die DC (=AD-DNS-Server) als Searchdomain evt. normale DNS-Zone oder.uni-hannover.de. RRZN-DNS-Server im Client, auch als Fallback mit niedriger Priorität, führen zu Problemen: Da SRV-RRs etc. nicht in RRZN-Servern, kommt es zu Timeouts, ggf. doch noch erfolgreiche Anmeldung am DC über WINS-Fallback 2. 2 WINS sollte aus Sicherheitsgründen vollständig deaktivert werden.