为 Active Directory 选择本地域名还是公共域名

Question

选择本地域名（例如 mycompany.local）与公开注册的域名（例如 mycompany.com（假设您的组织已注册公共名称））的优缺点是什么？你什么时候会选择一个？

更新

感谢 Zoredache 和 Jay 向我指出这个问题，其中有最有用的回答。这也让我找到了这篇Microsoft Technet 文章，其中指出：

最好使用在 Active Directory 命名空间中通过 Internet 授权注册的 DNS 名称。只有注册的名称才能保证是全球唯一的。如果另一个组织后来注册了相同的 DNS 域名，或者如果您的组织与使用相同 DNS 名称的其他公司合并、收购或被其他公司收购，则这两个基础架构无法相互交互。

笔记

不建议使用单个标签名称或未注册的后缀，例如 .local。

结合 mrdenny 的建议，我认为正确的方法是使用：

1. 永远不会公开使用的注册域名（例如 mycompany.org、mycompany.info 等）。
2. 永远不会公开使用的现有公共域名的子域（例如 corp.mycompany.com）。

“从未公开使用”部分是一项商业决策，因此最好从公司中有权保留域名和子域的人员那里获得批准。例如，您不想使用营销部门以后想要用于某些公共营销活动的注册名称或子域。

Answer 1

以下是我对类似问题的回答的摘录： 私有网络的顶级域/域后缀？.

微软已经推荐了

1. 互联网上没有的专用注册域名

2. 公共域名的子域，用作 Active Directory 林根域名

自从他们在 Windows 2000 Server 中发布 Active Directory 以来。对我来说，使用公共域名的子域的主要好处是命名空间的一致性，从而减少了您、其他管理员和用户必须记住的事情。

将您公司注册域的子域用于您不希望其名称在 Internet 上可用的内部计算机。（当然，只在您的内部 DNS 服务器上托管这些名称。）以下是虚构的 Example Corporation 的一些示例。

面向 Internet 的服务器：
www.example.com
mail.example.com
dns1.example.com

内部机器：
dc1.corp.example.com
dns1.corp.example.com
client1.corp.example.com

我使用“corp”表示该子域描述了内部公司网络上的机器，但您可以在此处使用任何您想要的名称，例如“internal”：client1.internal.example.com。

Answer 2

使用相同的域会使事情变得困难。

不幸的是，使用 .local 也会导致问题。特别是 .local 用于Bonjour /Zeroconf。如果您使用 .local tld，您将需要在任何运行 avahi 的 OSX 机器或 Linux 主机上调整设置。

在有些相关的问题“专用网络的顶级域”中。有很多关于不应该使用什么的建议，但是对于私有网络应该使用什么 TLD 并没有达成任何共识。

除非我弄错了，如果我错了，请纠正我，但我不相信 IETF、IANA 或任何其他标准机构允许将 .local 用于任何事情。

• http://en.wikipedia.org/wiki/Bonjour_%28software%29
• http://www.zeroconf.org/
• 专用网络的顶级域/域后缀？
• 将 .local 用于内部网站

Answer 3

您实际上不应该使用公共域名作为您的 AD 名称。

1. 您会发现的第一个问题是访问您自己的公共网站。您的公共网站的名称与您的内部网站的名称相匹配。因此，当您执行nslookupfor操作时mycompany.com，您将取回内部 AD 服务器的 IP 地址，而不是公司站点的公共 IP。如果您为公共站点设置了 FTP 名称，您也将无法找到该名称。

   解决这个问题的方法是将公共名称和 IP 放入内部 DNS，以便您可以从防火墙内部访问它们，但这意味着当公共端发生任何变化时，您现在必须管理两个 DNS 场。

2. 将它们分开的另一个原因是攻击者不知道您的内部域名。不知道域名只是攻击者需要解决的难题之一。