当 VPN 隧道关闭时，外部位置的只读域控制器可以工作吗？

Question

我的客户在世界各地拥有多个站点。他们在主要位置有 2 个域控制器，每个其他位置都通过 vpn 隧道连接到主站点。目前网络或多或少是灾难，所以我正在尝试修复它。辅助站点的一个共同点是，它们在网络设置中的路由器具有 ISP 本地 DNS 服务器，因此它们基于 DHCP 的计算机会获得“错误”的 DNS 服务器。多年来一直如此，他们使用 IP 地址连接到服务器。

所以我想用适当的 DNS 服务器等来修复它。所以我计划在位于该位置的唯一服务器上使用 RODC 和 DNS 服务器（带有终端服务和人们用来工作的几个程序，如 Visual Studio） . 另一种选择是从主要位置进入 DNS 服务器，但如果隧道中断，员工将感到困惑并且无法访问互联网（因为他们需要更改路由器设置），因此这似乎不是可靠的解决方案。

我的问题如下：

1. 如果 VPN 隧道出现故障，人们是否可以毫无问题地使用 DNS（他们可以访问互联网）并且他们可以对本地服务器/工作站进行身份验证？
2. 是否安全并推荐 (??) 或相反不建议将 RODC/DNS 服务器与用户和其他程序放在同一台服务器上？
3. 关于此设置的任何其他建议？

Answer 1

使用 RODC 时，您确实有 2 个 DNS 选项

• 只读主区域（是的，我知道这听起来不对，但确实如此），它集成了活动目录或
• 标准的二级区域

显然，在 RODC（或该办公室）上有一个可写的主区域是一个安全问题。

假设您有这个，并且您在密码复制策略中正确设置了缓存凭据，那么当网络出现故障时，您的用户应该能够继续工作。

假设您的 RODC 有一个只读 DNS 区域，那么这应该是安全的。显然，如果您在本地缓存凭据，则存在轻微风险，但如果您正确使用 PRP，则应该能够在发生任何情况时撤销这些凭据。