Проблемы с использованием реального домена для домена Active Directory?
Есть ли какая-то причина, по которой я не должен использовать example.com в качестве своего домена AD по сравнению с example.local или каким-либо другим несуществующим вариантом?
3 ответа
Мне нравится этот подход... Единственный фактор PITA, который я обнаружил, это то, что если вы вносите изменения в свой внешний DNS-сервер (для общедоступных служб, не связанных с AD), вы должны помнить, что нужно изменить / добавить запись в Ваш внутренний DNS-сервер.
Так, например, если вы переместите свой веб-сайт на другой IP-адрес и измените свою запись с помощью register.com (или godaddy или где-либо еще), вам придется зайти и изменить IP-адрес на локальном DNS-сервере.
РЕДАКТИРОВАТЬ: я наткнулся на статью MS под названием " Соглашения об именах для Active Directory для компьютеров, доменов, сайтов и подразделений".
В этом документе они говорят:
Пространство имен DNS, подключенное к Интернету, должно быть поддоменом домена верхнего или второго уровня пространства имен DNS Интернета.
Далее в этом документе они рекомендуют что-то вроде corp.yourdomain.com в качестве примера.
Не используйте свое "настоящее доменное имя" для доменного имени Active Directory. Причина, которую AdamB назвал "фактором PITA", - причина, по которой нет, и это не просто "PITA".
Неправильно устанавливать DNS-сервер, который является полномочным для домена, в котором уже есть авторитетные серверы имен. Если вы сделаете это, вы скоро захотите разрешить "уже авторитетные" имена и запутаться в ручном дублировании записей на ваших внутренних DNS-серверах.
Если вы хотите, чтобы пространство имен совпадало с вашим "настоящим" доменным именем, попробуйте что-то вроде "ad.company.com". Оставьте "company.com" из этого.
Редактировать:
Теперь я думаю, что вижу, куда ты идешь. Вы действительно должны понять, как DNS используется Active Directory ( http://technet.microsoft.com/en-us/library/cc759550(WS.10).aspx). Вы действительно хотите разместить DNS для Active Directory локально!
DNS для вашего доменного имени в Интернете (для вашей электронной почты, веб-сайта и т. Д.) Обязательно должен быть размещен снаружи, но это не обязательно (и не должно быть) то же доменное имя, которое вы используете для вашего доменного имени Active Directory.,
Ваш внешний DNS-хост, скорее всего, не будет поддерживать все функции, необходимые для правильной работы Active Directory на своих DNS-серверах. В частности, они, вероятно, не будут поддерживать динамическую регистрацию DNS или безопасные обновления на основе GSSAPI.
Кроме того, все ваши клиентские и серверные компьютеры, входящие в домен, будут нуждаться в DNS для выполнения основных задач, таких как вход в систему и применение групповой политики. Вы не хотите связывать это с вашим подключением к Интернету!
Вы должны использовать компьютер с Windows Server для размещения самого Active Directory. Обычной практикой также является использование этих компьютеров контроллера домена для размещения DNS для Active Directory (и часто для пересылки запросов других имен на DNS-серверы интернет-провайдера или корневые DNS-серверы) и использование этих DNS-серверов в качестве DNS-серверов для всего домена. -член клиентских и серверных компьютеров.
Я унаследовал сеть, где внутренние и внешние DNS-имена были одинаковыми. Это был относительно небольшой бизнес, с несколькими внешними хостами, поэтому у меня были незначительные проблемы. Внутренний DNS был размещен локально, и я настоятельно рекомендую вам сделать то же самое. Внешний DNS был размещен у интернет-провайдера и включал записи только для хостов, которые должны были быть доступны из Интернета. (Незначительные) проблемы, с которыми я столкнулся, были в первую очередь в том, чтобы я продублировал все доступные в Интернете хосты как на внутренней, так и на внешней DNS.
Например, mail.company.com был доступен как внутри, так и вне сети, как и хосты vpn и www. Мне нужно было убедиться, что оба DNS-сервера были изменены при изменении любого из этих хостов (что они делали несколько раз).
Итог - это не лучшая практика. Но если у вас есть только несколько хостов, доступных через Интернет, это не так уж важно. Вы действительно должны размещать AD DNS на локальных контроллерах домена. Вы, вероятно, не должны выставлять свой локальный DNS в Интернет.