在与 DNS 不同的 VM 上安装 Active Directory 无法完全正常工作 - 不知道为什么

Question

不确定我在这里做错了什么。我有一个中等规模的服务器（16 核、2Ghz、32GB ECC REG RAM、6TB 存储，没有太极端），我在其中运行 Hyper-V（Server 2012 R2 Enterprise）以配置虚拟机。那么为什么 AD 与 DNS 分开呢？我想要冗余。我希望能够移动虚拟机并单独备份它们，并且在任何一台虚拟机上都没有太多服务。

我已经配置了一个带有 DNS 的虚拟机，并且已经设置好了——基本上，我有：

1. 为所有相关人员设置静态 IP。
2. 在 DNS VM 上安装了 DNS 服务。
3. 创建了一个正向查找区域和一个反向查找区域（主要区域）xyz.ca
4. 将区域配置为使用非安全和安全动态更新（稍后我将在域控制器联机后将其更改为安全）。
5. 在正向查找区域中为 DC 创建一个 A 记录（和一个反向 ptr）
6. 将 DC 的 DNS 服务器（网络设置）更改为新的 DNS 服务器。
7. 检查我是否可以通过主机名从新 DC ping dns 服务器。

当我继续在 DC 上进行 DCpromo 并取消选中“安装 DNS”选项时，一切似乎都很顺利（没有错误消息），但我在 DNS 服务器上没有看到任何变化（没有其他设置）。另外，DNS 服务器似乎无法加入域，因为它声称该域不可发现。

最后要注意的是，我确实运行了 Symantec Endpoint Protection，其中包括防火墙和大多数设置为默认设置。我还没有尝试关闭它，但我的经验是，如果一项服务在 Windows 防火墙上打开一个端口，它会通过赛门铁克做同样的事情。如今，与企业级 AV 和 Windows 的集成非常紧密。

我有一个模板 vhdx 完全设置（只是缺少任何特殊的角色和功能），我可以用它来替换当前的 AD VM，所以重新做这件事并不会让我的鼻子失去太多的皮肤。

Answer 1

我认为您的设计存在一些不一致之处，因为如果该区域未存储在域控制器中，则您无法将 DNS 主区域转换为 Active Directory 集成区域。另一方面，如果该区域不是 Active Directory 中的集成区域，则无法仅允许在该区域上进行安全更新。我认为拥有冗余是一个好主意，尤其是对于 AD，但实现这一目标的最佳方法是部署两个启用 DNS 服务器角色的 DC。

以下是我认为您可能会觉得有用的一些链接：

• 只允许安全动态更新
• 了解 Active Directory 域服务中的 DNS 区域复制