![域控制器 DNS 最佳实践/子域中域控制器的实际注意事项](https://linux22.com/image/600101/%E5%9F%9F%E6%8E%A7%E5%88%B6%E5%99%A8%20DNS%20%E6%9C%80%E4%BD%B3%E5%AE%9E%E8%B7%B5%2F%E5%AD%90%E5%9F%9F%E4%B8%AD%E5%9F%9F%E6%8E%A7%E5%88%B6%E5%99%A8%E7%9A%84%E5%AE%9E%E9%99%85%E6%B3%A8%E6%84%8F%E4%BA%8B%E9%A1%B9.png)
我将在现有 Active Directory 林中设置多个子域,并且正在寻找一些传统智慧/最佳实践指导,用于配置子域控制器上的 DNS 客户端设置和 DNS 区域复制范围。
假设每个域中只有一个域控制器,并且假设每个 DC 也是域的 DNS 服务器(为简单起见),子域控制器是否应仅将 DNS 指向自身,还是应指向自身和父域或根域中的 DNS 服务器的某种组合(主域控制器 VS. 辅域控制器)?如果存在父域 > 子域 > 孙域层次结构(具有连续的 DNS 命名空间),应如何在孙域 DC 上配置 DNS?
关于 DNS 区域复制范围,如果将每个域的 DNS 区域存储在域中的所有 DNS 服务器上,那么我假设需要存在从父域到子域的 DNS 委派,并且需要存在从子域到父域的转发器。在父域>子域>孙域层次结构中,每个子域是转发到直接父域区域的直接父域还是转发到根域?委派是在直接父域区域还是从根域进行?
如果将所有 DNS 区域存储在林中的所有 DNS 服务器上,是否会使上述有关复制范围的问题变得毫无意义?复制范围是否对每个 DC 上的 DNS 客户端设置有影响?
答案1
我宁愿使用两台服务器的单个域来实现冗余,也不愿在单个(故障点)服务器上使用两个单独的域。是什么促使您选择使用父/子域林?您可以只使用子域的 DNS 空间,因为您说它是连续的,不需要 AD 域,除非您有安全边界问题。
违背我的判断,我会回答这个问题,假设你有两台服务器每个域(总共四个)——只需为您的情况减去两个服务器。
选项1。
由于您希望将 DNS 保留在域本地,因此父 DC 会指向彼此,子 DC 也会指向彼此。更简单的配置是使用在林范围内复制 DNS 区域的作用域。
您以 parent.local(或其他)作为顶级域名,以 child.parent.local 作为子域名。
AD 将在整个林中复制两个域,从而使 DNS 解析变得简单。您会看到给定 DNS 服务器与区域重叠,但 Windows 会处理这个问题。
选项 2。
另一种选择是不进行林范围的复制,在这种情况下,我只需在子 DC 上配置一个转发器,将所有内容发送到父 DC 的 DNS,但在父 DC 上,您需要为子域创建一个委派。
答案2
老实说,要提供“最佳实际做法”答案,我认为您需要再添加一条信息。所有 dcs/DNS 控制器的物理位置在哪里?如果子节点位于不同的物理位置,您希望每个子节点都有自己的本地存储子域,而不是存储在林中。最佳做法是要求林为空。DNS 服务器应始终首先指向自身,然后使用转发器指向其父节点(或林)。解决启动缓慢问题的一个简单方法是将其自身添加到本地 hosts 文件中(尽管我似乎还记得对此的注册修复)。
答案3
转发器仅应用于转发至公共 DNS,而非内部 DNS。