如何从本地网络引用域控制器？

Question

我们有多个服务器分散在不同的托管服务提供商处。为了学习、试验以及最终的生产目的，我将其中一个设置为域控制器。

一切顺利，我们的大部分服务现在都通过 AD 进行身份验证，这对我们有很大帮助。

我现在想要做的是简化多台服务器的身份验证，让每个服务器都查看域控制器。这样，我们的开发人员可以使用来自 AD 的相同凭据登录（远程桌面）多个服务器。

我知道我必须配置每个服务器来查看域控制器。

但是当我尝试将域控制器添加到计算机时，它找不到它，尽管域控制器地址是一个有效的、可访问的 Internet 子域（如“ad.ourcompany.com”）。

这是详细的错误消息：

注意：此信息供网络管理员使用。如果您不是网络管理员，请通知管理员您收到了此信息，该信息已记录在文件 C:\Windows\debug\dcdiag.txt 中。

向 DNS 查询用于定位域 ad.ourcompany.com 的 Active Directory 域控制器的服务位置 (SRV) 资源记录时，出现以下错误：

错误是：“DNS 名称不存在。” （错误代码 0x0000232B RCODE_NAME_ERROR）

查询是针对 _ldap._tcp.dc._msdcs.ad.ourcompany.com 的 SRV 记录

此错误的常见原因包括：

• 为域定位 AD DC 所需的 DNS SRV 记录未在 DNS 中注册。当 AD DC 添加到域时，这些记录会自动注册到 DNS 服务器。它们由 AD DC 以设定的时间间隔更新。此计算机配置为使用具有以下 IP 地址的 DNS 服务器：

  109.188.207.9

  109.188.207.10

• 以下一个或多个区域不包括对其子区域的委派：

  ad.ourcompany.com

  我们的公司.com

  . （根区）

有关更正此问题的信息，请单击帮助。

我错过了什么？

我是一个经验丰富的开发者，但是一个新手 Sysdamin 正在尝试新的东西。

免责声明

所有 IP 地址和域/子域都已更改以保持安全。如果您仍然可以看到私人信息，请告诉我，以便我进行更改。

Answer 1

看在上帝的份上，不要使用可通过 Internet 访问的域控制器。那是在祈求一场灾难。您需要在站点之间设置站点到站点 VPN，并确保 AD 所在的子网/子域不能通过除 VPN 之外的任何其他互联网访问。

在 IPv4 中，这意味着您的域控制器（以及您的整个内部网络）应该有一个私有路由的地址，例如10.x.x.x 192.168.x.x或172.16-31.x.x，而不是像109.

请不要只是在防火墙上打孔来完成这项工作。

Answer 2

线索在错误消息中，您计划加入域的服务器需要使用拥有 AD DNS 区域的 DNS 服务器作为其 DNS 服务器。看起来他们正在使用一些公共 DNS 服务器，我猜这不是持有您的 AD DNS 区域的 DNS 服务器。