Могу ли я полностью удалить Windows DNS в пользу BIND9 в сети AD?

Я хотел бы удалить функцию DNS на контроллерах домена Windows и указать DNS-серверы на наших серверах BIND9.

Я знаю, что можно настроить сосуществование, но для этого требуется количество дополнительных DNS-серверов Windows, равное количеству контроллеров домена в сети.

Active Directory ожидает зону _msdcs и другие вещи, такие как _tcp, _udp; и т.п.

Главный вопрос: как сделать так, чтобы BIND9 позаботился обо всех этих специфических данных AD? И с динамическим обновлением, чтобы сделать AD еще счастливее.

Благодарность,

PS: создание BIND9 указывает на DNS-серверы Windows для разрешения определенных зон Active Directory не вариант. Мы уже делаем это ...

РЕДАКТИРОВАТЬ: Как и сегодня, я работаю без Windows DNS. Я пишу руководство о том, как это сделать, и я буду обновлять эту тему.

— Винициус Ферран
источник

От Рона Эйтчисона, автора Pro DNS и BIND, "... вам нужно иметь высокий уровень, чтобы запустить домен AD в BIND". Я процитирую это с номером страницы, когда вернусь с работы.

— Bigbio2002

Ответы:

Могу ли я полностью удалить Windows DNS в пользу BIND9 в сети AD?

Да. Как указал joeqwerty, если DNS-сервер удовлетворяет требованиям DNS для поддержки Active Directory, вы можете использовать его в качестве AD DNS.
(BIND делает, Microsoft даже предоставляет руководство, на которое ссылается Джо , и вы можете найти кучу статей в Google.

Это не тот вопрос, который вы должны задавать , вопрос, который вы должны задавать:

ДОЛЖНА я полностью удалить WindowsDNS в пользу bind9 в сети AD?

По моему личному мнению, ответ АБСОЛЮТНО НЕТ, если вы не любите боль.
AD и Windows DNS тесно переплетены - вы, конечно, можете их разглядеть, но это не будет приятным, и может создать проблемы позже.

Если ваша цель состоит в том, чтобы не предоставлять свои DNS-серверы Windows (по какой-либо причине безопасности, для минимизации нагрузки на сервер и т. Д.), Лучшим вариантом будет сделать DNS-серверы BIND подчиненными, реплицируя зоны DNS DNS.
Это скрывает серверы Windows от посторонних глаз (и чрезмерной нагрузки), но все же позволяет Active Directory общаться с DNS-серверами Windows, которые он знает и любит.
Вы даже можете минимизировать количество DNS-серверов Windows, если идете по этому пути, поскольку единственные вещи, которые говорят с ним, должны быть Active Directory / DC (создание обновлений) и серверы BIND, выбирающие эти обновления для обслуживания другим системам).

— voretaq7
источник

«Я хотел бы удалить функцию DNS контроллеров домена Windows» - это неверно. Роль DC и роль DNS - это две разные роли. Они очень часто устанавливаются на одной машине, но это не является обязательным требованием.
«Я знаю, что можно настроить сосуществование, но для этого требуется количество дополнительных DNS-серверов Windows, равное количеству контроллеров домена в сети». - Это тоже неверно. Вам не требуется сопоставлять количество DNS-серверов контроллерам домена.
Вы можете использовать DNS-сервер не Microsoft, если он соответствует требованиям DNS для поддержки AD. Если Bind9 отвечает этим требованиям, вы можете использовать его.

— joeqwerty
источник

Документация от Microsoft говорит, что использование DNS-сервера для каждого DC является хорошей практикой. Но я могу понять, что мои предпосылки неверны. Никаких проблем с этим, но реальное решение проблемы не было представлено. Сейчас я провожу некоторые тесты самостоятельно, пытаясь решить эту проблему.

— Vinícius Ferrão

Вы на самом деле не указали проблему в своем вопросе. Вы спросили, можно ли использовать BIND9 в качестве DNS-сервера для AD, и я ответил, что это возможно, если он соответствует требованиям для поддержки AD. Эта статья подразумевает, что это делает: technet.microsoft.com/en-us/library/dd316373.aspx

— joeqwerty

Хм, я думал, что основной вопрос ясен: «Как заставить BIND9 позаботиться обо всех этих специфических данных AD? И с динамическим обновлением, чтобы сделать AD еще более счастливым». Извините, если я не смог выразить себя ... Я сделал некоторый прогресс, но не могу обновить DNS-сервер с именем присоединенной машины в домене; Есть идеи, Джо? Я получил эту ошибку на BIND9: «13 мая 16:20:34 debian имени [5994]: клиент 172.16.144.107 # 60932: обновление« domain.com/IN »запрещено», но предоставление разрешения на все IP-адреса не было жизнеспособным вариант.

— Vinícius Ferrão

Есть ли в BIND DNS параметр, разрешающий небезопасные обновления? Если так, то это, вероятно, то, что вам нужно включить.

— Joeqwerty

@ ViníciusFerrão Необходимо правильно настроить BIND для поддержки динамических обновлений с сервера AD. Обратитесь к документации BIND. Честно говоря, я не рекомендовал бы это - если у вас есть сеть Microsoft / AD, вы должны использовать DNS-сервер Microsoft и интегрированные зоны AD (возможно, делая ваши серверы BIND подчиненными для зоны AD). Вы просто создаете проблемы для себя, пытаясь сделать это вместе.

— voretaq7