Chciałbym usunąć funkcję DNS kontrolerów domeny Windows i skierować serwery DNS na nasze serwery BIND9.
Wiem, że można skonfigurować współistnienie, ale wymaga to kilku dodatkowych serwerów DNS systemu Windows, które są równe liczbie kontrolerów domeny w sieci.
Usługa Active Directory oczekuje strefy _msdcs i innych rzeczy, takich jak _tcp, _udp; itp.
Główne pytanie brzmi: jak sprawić, aby BIND9 zajmował się wszystkimi danymi specyficznymi dla AD? A dzięki dynamicznej aktualizacji, aby AD było jeszcze szczęśliwsze.
Dzięki,
PS: Utworzenie punktów BIND9 na serwerach DNS systemu Windows w celu rozwiązania stref określonych w usłudze Active Directory nie jest opcją. Już to robimy ...
EDYCJA: Na dzień dzisiejszy działam bez Windows DNS. Piszę przewodnik, jak to zrobić, i zaktualizuję ten temat.
źródło
Odpowiedzi:
Tak. Jak wskazano w joeqwerty, o ile serwer DNS spełnia wymagania DNS dotyczące obsługi Active Directory, można go używać jako AD DNS.
(BIND to robi, Microsoft nawet udostępnia wskazówki, z którymi łączy się Joe , i możesz znaleźć kilka artykułów w Google.
To nie jest pytanie, które powinieneś zadać . Pytanie, które powinieneś zadać, to:
Moim osobistym zdaniem odpowiedź NIE JEST ABSOLUTNIE, chyba że lubisz ból.
Usługi AD i Windows DNS są ze sobą powiązane - z pewnością można je rozdzielić, ale nie będzie to przyjemne i może powodować problemy później.
Jeśli Twoim celem jest nie narażanie serwerów DNS systemu Windows (z powodów bezpieczeństwa, w celu zminimalizowania obciążenia serwera itp.) Lepszym rozwiązaniem jest uczynienie z serwerów BIND DNS niewolników, replikacja stref AD DNS.
To ukrywa serwery Windows przed ciekawskimi oczami (i nadmiernym obciążeniem), ale nadal pozwala Active Directory rozmawiać z serwerami DNS Windows, które zna i lubi.
Możesz nawet zminimalizować liczbę serwerów DNS systemu Windows, jeśli wybierzesz tę trasę, ponieważ jedynymi rzeczami, z którymi rozmawiamy, powinny być usługi Active Directory / DC (wprowadzanie aktualizacji) i serwery BIND pobierające te aktualizacje w celu dostarczenia ich do innych systemów).
źródło
„Chciałbym usunąć funkcję DNS kontrolerów domeny Windows” - jest to niepoprawne. Rola DC i rola DNS to dwie osobne role. Są bardzo często instalowane na tym samym komputerze, ale nie jest to wymagane.
„Wiem, że można skonfigurować współistnienie, ale wymaga to kilku dodatkowych serwerów DNS systemu Windows, które są równe liczbie kontrolerów domeny w sieci”. - To jest również niepoprawne. Kontrolery domeny nie wymagają dopasowania liczby serwerów DNS.
Możesz używać serwera DNS innego niż Microsoft, o ile spełnia on wymagania DNS dotyczące obsługi AD. Jeśli Bind9 spełnia te wymagania, możesz z niego skorzystać.
źródło