![活动域/Windows DNS 新手,使用 pfSense 解析器进行外部 DNS 和路由?](https://linux22.com/image/1535920/%E6%B4%BB%E5%8A%A8%E5%9F%9F%2FWindows%20DNS%20%E6%96%B0%E6%89%8B%EF%BC%8C%E4%BD%BF%E7%94%A8%20pfSense%20%E8%A7%A3%E6%9E%90%E5%99%A8%E8%BF%9B%E8%A1%8C%E5%A4%96%E9%83%A8%20DNS%20%E5%92%8C%E8%B7%AF%E7%94%B1%EF%BC%9F.png)
我对使用 pfSense 设置 Active Domain 有一些疑问。我对此还很陌生,而且我还没有找到任何专门处理这些问题的帖子,我已经搜索了几个小时。
这是我的设置的简单图表:
客户端机器 <--> 用于内部 DNS 的 ADDC/DNS/DHCP 服务器 <--> 转发到 pfSense 用于外部 DNS(解析器)并根据内部网络 IP 将流量拆分到 VPN/非 VPN <--> 互联网
Windows Server 2016 核心是一个 Active Directory 域控制器,是本地网络的 DNS 服务器,并发布 DHCP 租约。
我已将 Windows 的 DNS 设置为如果无法解析名称(例如外部 DNS)则将 DNS 请求转发到我的 pfSense 防火墙(其中运行有 DNS 解析器服务)。
在我设置 ADDC/DNS/DHCP 盒之前,pfSense 已经设置为将来自某些 IP 的流量引导到互联网(无论是否使用 VPN)。VPN 使用 OpenVPN 通过 pfSense 连接,每个都有不同的外部递归 DNS 服务器(我分别使用 PIA 和 Google DNS)。
设置 Windows ADDC/DNS/DHCP 服务器后,我在 pfSense 中唯一改变的就是关闭 DHCP 服务器。
到目前为止,一切似乎都运行良好,但由于我是使用 Windows Server 进行网络连接的新手,我希望有人能帮助我分析此设置。以下是我具体的问题:
1) 我应该这样设置这些东西吗?这样做有什么问题吗?或者有没有更好的整体方法?
2) ADDC/内部 DNS 仅将 DNS 条目指向自身(例如 127.0.0.1)。这正确吗?
我在 Technet 上看到一些文章说最好有另一个 DNS 指向 - 我的网络上没有其他 DNS(除非算上 pfSense 解析器)。我有点认为这是对故障转移或共享工作负载(例如 80/20 规则)的某种引用,但我真的不确定。
3) 内部网络已从 pfSense 中移除 - pfSense 基本上只处理外部事务,不处理其他事务。但它仍然扮演着相当多的角色。这是设置事物的好方法吗?还是使用 Windows 指向外部 DNS 也有好处?
使用 Bind 或 Windows 设置 DNS 缓存并仅使用 pfSense 作为防火墙是否有益?
答案1
如果您只有一个 DC,那么,是的,让它指向自己作为主 DNS - 这是 Microsoft 推荐的做法。
不过,理想情况下,对于“外部 DNS”,您应该按照 ServerFault.com 问题中提到的方式配置转发器(与您的问题非常相似):https://serverfault.com/questions/601003/how-to-have-your-dns-servers-forward-queries-for-internet-names
编辑 DNS 服务器的属性 > 转发器选项卡 > 输入 ISP/外部 DNS 服务器的 IP 地址。如果愿意,或者转发器不可用,您可以使用根提示。您还应确认未选中高级选项卡 > 禁用递归框。
如果您想使用根提示:
如果“DNS 服务器根提示”选项卡未填充,您可以从以下文件重新输入:%systemroot%\system32\dns\cache.dns。要让您的 DNS 服务器递归解析查询,您的 DNS 服务器不能托管根 (. 点) 区域。