Dapatkah saya sepenuhnya menghapus DNS Windows yang mendukung BIND9 dalam jaringan AD?

Saya ingin menghapus fitur DNS Windows Domain Controllers dan mengarahkan server DNS ke server BIND9 kami.

Saya tahu ini mungkin untuk mengatur koeksistensi tetapi ini membutuhkan sejumlah Server DNS Windows tambahan sama dengan jumlah Pengontrol Domain dalam jaringan.

Active Directory mengharapkan zona _msdcs dan hal-hal lain seperti _tcp, _udp; dll.

Pertanyaan utamanya adalah: bagaimana membuat BIND9 menangani semua data khusus AD ini? Dan dengan pembaruan dinamis untuk membuat AD lebih bahagia.

Terima kasih,

PS: Membuat BIND9 menunjuk ke Server DNS Windows untuk menyelesaikan zona spesifik Direktori Aktif bukanlah suatu opsi. Kami sudah melakukan ini ...

EDIT: Seperti hari ini, saya menjalankan tanpa Windows DNS. Saya sedang menulis panduan tentang cara melakukan ini, dan saya akan memperbarui topik ini.

— Vinícius Ferrão
sumber

Dari Ron Aitchison, penulis Pro DNS dan BIND, "... Anda harus tinggi untuk menjalankan domain AD di BIND". Saya akan mengutipnya dengan nomor halaman ketika saya pulang kerja.

— Bigbio2002

Jawaban:

Dapatkah saya sepenuhnya menghapus DNS Windows yang mendukung BIND9 dalam jaringan AD?

Iya. Seperti yang ditunjukkan joeqwerty selama server DNS memenuhi persyaratan DNS untuk mendukung Active Directory, Anda dapat menggunakannya sebagai DNS AD Anda.
(BIND melakukannya, Microsoft bahkan memberikan panduan yang terhubung dengan Joe , dan Anda dapat menemukan banyak artikel di Google.

Itu bukan pertanyaan yang harus Anda tanyakan , Pertanyaan yang harus Anda tanyakan adalah:

HARUS SAYA benar-benar menghapus DNS Windows yang mendukung BIND9 dalam jaringan AD?

Menurut pendapat pribadi saya, jawabannya TIDAK BUKAN kecuali Anda suka rasa sakit.
AD dan Windows DNS saling terkait - Anda tentu dapat memisahkannya, tetapi hal itu tidak akan menyenangkan, dan dapat menimbulkan masalah di kemudian hari.

Jika tujuan Anda adalah untuk tidak mengekspos server DNS Windows Anda (untuk beberapa alasan keamanan, untuk meminimalkan beban server, dll.) Pilihan yang lebih baik adalah membuat server BIND DNS Anda menjadi budak, mereplikasi zona DNS AD.
Ini menyembunyikan server Windows dari mencongkel mata (dan memuat berlebihan), tetapi masih memungkinkan Active Directory berbicara dengan server DNS Windows yang ia tahu dan sukai.
Anda bahkan dapat meminimalkan jumlah server DNS Windows jika Anda menggunakan rute ini, karena satu-satunya hal yang berbicara dengan itu harus Active Directory / DC (membuat pembaruan) dan server BIND mengambil pembaruan tersebut untuk melayani ke sistem lain).

— voretaq7
sumber

"Saya ingin menghapus fitur DNS Windows Domain Controllers" - Ini tidak benar. Peran DC dan peran DNS adalah dua peran yang terpisah. Mereka sangat sering dipasang pada mesin yang sama tetapi ini bukan keharusan.
"Saya tahu ini mungkin untuk mengatur koeksistensi tetapi ini membutuhkan sejumlah Server DNS Windows tambahan yang sama dengan jumlah Pengontrol Domain di jaringan." - Ini juga salah. Anda tidak memerlukan sejumlah server DNS yang cocok untuk Pengontrol Domain.
Anda dapat menggunakan server DNS non-Microsoft selama memenuhi persyaratan DNS untuk mendukung AD. Jika Bind9 memenuhi persyaratan tersebut, maka Anda dapat menggunakannya.

— joeqwerty
sumber

Dokumentasi dari Microsoft mengatakan bahwa menggunakan DNS Server per DC adalah praktik yang baik. Tetapi saya dapat mengerti bahwa premis saya salah. Tidak ada masalah dengan itu, tetapi solusi nyata untuk masalah tidak disajikan. Saya sedang melakukan beberapa tes sendiri pada saat ini, mencoba menyelesaikan ini.

— Vinícius Ferrão

Anda belum benar-benar menyatakan masalah dalam pertanyaan Anda. Anda bertanya apakah BIND9 dapat digunakan sebagai server DNS untuk AD dan saya menjawabnya jika memenuhi persyaratan untuk mendukung AD. Artikel ini menyiratkan bahwa hal itu: technet.microsoft.com/en-us/library/dd316373.aspx

— joeqwerty

Hm, saya pikir pertanyaan utama sudah jelas: "Bagaimana membuat BIND9 menangani semua data khusus AD ini? Dan dengan pembaruan dinamis untuk membuat AD lebih bahagia." Maaf jika saya tidak dapat mengekspresikan diri ... Saya telah melakukan beberapa kemajuan, tetapi tidak dapat memperbarui server DNS dengan nama mesin yang bergabung dalam domain; ada ide Joe? Saya mendapatkan kesalahan ini di BIND9: "13 Mei 16:20:34 debian bernama [5994]: client 172.16.144.107 # 60932: perbarui 'domain.com/IN' ditolak" Tetapi memberikan izin ke semua alamat IP bukanlah hal yang layak pilihan.

— Vinícius Ferrão

Apakah ada pengaturan dalam BIND DNS untuk memungkinkan pembaruan yang tidak aman? Jika demikian, mungkin itu yang perlu Anda aktifkan.

— joeqwerty

@ ViníciusFerrão Anda harus mengkonfigurasi BIND dengan benar untuk mendukung pembaruan dinamis dari server AD Anda. Lihat dokumentasi BIND. Jujur saya tidak akan merekomendasikan ini - Jika Anda memiliki jaringan Microsoft / AD Anda harus menggunakan server DNS Microsoft dan Zona Terpadu AD (mungkin membuat server BIND Anda budak untuk zona AD). Anda hanya menciptakan masalah untuk diri Anda sendiri yang mencoba mengacaukannya.

— voretaq7