DNS 和加入域

Question

这是我的情况。我有一台 2012 年的 Active Directory 服务器，上面安装了 DNS。我还有一个 sonicwall NSA 240 路由器，它充当 DHCP 服务器。在 sonic wall 上，我将 dns 条目设置为以下内容：

主要 - 172.16.0.6（DNS 服务器的 IP）次要 - 4.2.2.1

一切正常，我什至可以在客户端机器上加入域。但是，如果我尝试访问 sam.sightly.com，这是一个我们托管的网络服务器，我的浏览器会返回说无法显示该页面并检查我的 DNS 设置。但是，常规的互联网浏览有效

如果我翻转 dns 条目并转到：

主要 - 4.2.2.1 次要 - 172.16.0.6

我的问题消失了，但我无法再加入域，我可以访问 sam.sightly.com

提前致谢。

Answer 1

您所做的是创建了一个裂脑 DNS 命名空间。这不好。

首先，让我们确定一些事情。

1. 您应该有 1 个以上的域控制器。

2. 您应该在至少两个域控制器上运行 DNS 。

3. Active Directory 客户端（您的内部加入域的 PC）应该只指向 DC 的 DNS。

为什么会这样？

好的，既然已经不碍事了，让我们谈谈为什么你会体验到你现在的样子。您似乎有一个名为sightly.com. 听起来这也是您公开注册的网络存在。域控制器拥有它们所持有的 DNS 区域的 SOA 和 NS 记录。他们是这个区域的权威。这意味着任何将它们用于 DNS 的内部客户端都将假定您的 DC 拥有该区域中的所有主机sightly.com。如果您有一个名为sightly.com外部托管的公共网站，您会注意到您的内部客户也无法到达那里，除非您www.为它配置了类似的子域。这是因为您的域控制器将自己注册为sightly.com与DNS 中的父A 记录相同的记录。

因此，您可以看到这里存在问题，因为您现在有两组 DNS 服务器，它们认为它们对同一sightly.com区域具有权威性。除非您在每个 DC 上运行 Web 服务以从外部重定向流量（实际上不要这样做，这很糟糕），否则您将永远无法在sightly.com没有预先准备的情况下访问www.外部。sightly.com只有在域控制器的sightly.com区域副本上复制外部 DNS 记录时，才能访问 的子域。

你怎么能修好呢？

1. 将您的 Active Directory 域名更改为sightly.com. 像internal.sightly.com或 之类的东西ad.sightly.com。如果您有很多机器加入并配置了 GPO，这可能不是最好的选择。但是，从它的声音来看，情况并非如此。说真的，如果可能的话 -重新开始并正确命名您的 AD。我写了一篇关于命名 Active Directory的博客文章和问答。我强烈建议您在做任何其他事情之前先阅读它们。

2. 如果您不能或不会重命名现有域（我仍然认为您应该），那么您必须在内部 DNS 区域上为sightly.com. 因此，在云中的某个地方，您可能有一个 DNS 主机，用于跟踪sam.sightly.com所有其他外部资源的 DNS 记录。您现在必须在域控制器上为所有这些保留重复记录。

TL;DR
在您的内部 DNS 上维护重复记录或重命名您的 AD 域。如果我是你，我会尽可能改名。