DNS zagadnienia w środowisku Windows z identycznymi nazwami domen wewnętrznych i zewnętrznych

Zalecenia dotyczące projektowania domen w usłudze Active Directory (AD) zaleceń dotyczących korzystania z zarejestrowanej nazwy domeny jako nazwy domeny usługi Active Directory. Żywotne alternatywy obejmują korzystanie z niepublicznego sufiksu DNS (na przykład. Local lub . LAN) w nazwie domeny Active Directory lub w przypadku, gdy domena usługi Active Directory jest poddomeną na zarejestrowaną domenę (na przykładCorp.domain.com).

W tej materii nie zawsze będziesz mieć możliwości wyboru. może się to wiązać z obsługą domeny usługi Active Directory, która ma taką samą nazwę jak zarejestrowana domena firmy, a zarządzanie może nie chcieć zmieniać żadnej nazwy. Takie rozwiązanie nazywa się scenariuszem podziału DNS (lub dzielenia-mózg DNS), w którym znajdują się dwa oddzielne przestrzenie nazw DNS — wewnętrzny obszar nazw używany przez firmę Active, oraz zewnętrzny obszar nazw używany przez publiczny rejestrator domeny-o tej samej nazwie. W tym scenariuszu mogą występować pewne unikatowe wyzwania. Ten artykuł zawiera informacje o niektórych typowych problemach związanych ze środowiskiem DNS podziału i ich wykonania.

We wszystkich poniższych przykładach domena usługi Active Directory i domena zarejestrowana mają nazwę Domain.comi istnieje witryna sieci Web o nazwie www.domain.com.

Problem 1: Witryna internetowa firmy hostowanej jest niedostępna z wnętrza biura
Jest to najczęstszy problem w środowisku DNS złożonym: Witryna sieci Web firmy lub inna właścicielem zasobów firmy, podłączonych do Internetu, nie może być osiągalna wewnątrz pakietu Office przez urządzenia przyłączone do domeny usługi Active Directory, ale poza biurem nie występują żadne problemy. Przyczynę takiej sytuacji można sprawdzić, sprawdzając, co się dzieje, gdy użytkownik wewnętrzny spróbuje przeglądać witrynę firmy:

1. Komputer użytkownika wykonuje kwerendę serwera DNS domeny, zazwyczaj z kontrolerem domeny (DC) dla adresu IP www.domain.com.
2. Kontroler domeny obsługuje strefę wyszukiwania do przodu o nazwie Domain.com, więc szuka rekordu hosta o nazwie www.
3. Kontroler domeny nie znajdzie rekordu hosta o nazwie wwwi ponieważ jest autorytatywny dla strefy Domain.com , nie wykonuje kwerendy żadnych innych serwerów DNS.
4. Kontroler domeny reaguje na komputer użytkownika, mówiąc, że nie mógł znaleźć adresu do www.domain.com.
5. W przeglądarce na komputerze użytkownika pojawi się Strona "nie można wyświetlić strony".

Ten problem wynika z faktu, że serwer DNS zawierający określoną strefę wyszukiwania w bazie danych — w tym przykładzie strefa Domain.com w tym przykładzie nie wysyła kwerend do rekordów w tej strefie w żadnym innym miejscu. po prostu zwraca odpowiedź "nie znaleziono", jeśli nie ma rekordu pasującego do danej kwerendy. W tym przykładzie istnieje inny serwer DNS z poprawnym rekordem: DNS serwerze zawierającym publiczną strefę Domain.com , która jest widoczna dla rejestratora domeny, co wskazuje fakt, że komputery znajdujące się poza biurem mogą dotrzeć do strony internetowej. Kwerendy z wewnętrznych komputerów nigdy nie dotarły do tego serwera.

Rozwiązanie tego problemu jest proste: Utwórz rekord hosta o nazwie www w strefie Domain.com na kontrolerze domeny (DC ) , aby zapisać adres IP tej witryny. Urządzenia, które badają, że serwer DNS, a następnie otrzymują właściwą odpowiedź i mogą przeglądać stronę internetową.

Problem 2: Niedostępna w ramach biura publiczna witryna sieci Web obsługiwana wewnętrznie
Może to być uznane za wariant problemu 1 powyżej. Różnica w tym przypadku polega na tym, że witryna sieci Web jest hostowana wewnętrznie, za pomocą zapory w wewnętrznej sieci firmy lub w obszarze DMZ. Powinna być dostępna zarówno dla użytkowników wewnętrznych, jak i zewnętrznych, ale użytkownicy wewnętrzni nie mogą jej połączyć, natomiast użytkownicy zewnętrzni zgłaszają brak problemów.

Przyczyna problemu jest podobna do problemu 1, ale użytkownicy wewnętrzni w tym przypadku mogą poprawnie rozpoznać nazwę witryny na swoim publicznym adresie IP. Nadal jednak nie mogą dotrzeć do strony internetowej ze względu na sposób konfiguracji zapory. Oczekuje się, że użytkownicy w sieci wewnętrznej uzyskają dostęp do witryny internetowej przy użyciu adresu prywatnego, a nie adresu publicznego.

Jeszcze raz, istnieje prosta Poprawka: Utwórz rekord hosta o nazwie www w strefie Domain.com na kontrolerze domeny, ale ten czas będzie zawierać zapis prywatnego adresu IP danej witryny internetowej. Komputer wewnętrzny rozpoznaje nazwę serwisu na tym adresie prywatnym, podczas gdy zewnętrzne komputery nadal rozpoznają nazwę na adres publiczny.

Problem 3: Witryna sieci Web ładuje się całkowicie lub nadal nie ładuje się po dokonaniu
powyższych zmian. Może się to zdarzyć, jeśli kod strony internetowej przekieruje przeglądarki od www.domain.com do Domain.com lub jeśli łącza wewnętrzne znajdują się w witrynie jako Domain.com zamiast www.domain.com. Na komputerach wewnętrznych są wyświetlane te same objawy, czy witryna jest hostowana wewnętrznie czy zewnętrznie:

• Witryna może nie ładować się wcale, w którym to przypadku przeglądarka użytkownika zazwyczaj wyświetla Domain.com w pasku adresu, nawet jeśli użytkownik wpisze www.domain.com w przeglądarce.
• Witryna może nie ładować się w całości; części witryny mogą nie być wyświetlane i/lub nie mogą być odłączane wewnątrz tej lokalizacji.
• W obu przypadkach użytkownicy zewnętrzni mogą uzyskać dostęp do witryny sieci Web bez problemów.

Problem w tym przypadku jest nieco bardziej złożony. Aby komputery były rozpoznawane jako adresy IP, w DNS musi znajdować się pusty rekord hosta w strefie Domain.com . Nazwa tego rekordu jest wyświetlana w konsoli DNS Windows (analogiczne do folderu nadrzędnego) . W tym przypadku wystąpią jednak problem: Program AD używa pustych rekordów hosta w strefie Domain.com , aby reprezentować kontrolery domen do domeny Domain.com . Elementy członkowskie domeny wykorzystują te rekordy przy lokalizowaniu kontrolera domeny do uwierzytelniania i jeśli istnieją dodatkowe rekordy hosta w strefie Domain.com , mogą wystąpić opóźnienia lub problemy z uwierzytelnianiem.

W związku z powyższym przyczyną problemu nie można rozwiązać tylko DNS. Tworzenie pustego rekordu hosta z adresem IP tej witryny powoduje tylko przejściowy sposób rozwiązywania problemów z dostępem do witryn wewnętrznych, ponieważ w domenie znajdują się już inne puste rekordy hosta zawierające adresy IP kontrolerów domeny i powodują to problemy z uwierzytelnianiem domeny.

Najprostszym sposobem rozwiązania problemu jest zmodyfikowanie kodu serwisowego w celu usunięcia przekierowania lub naprawienia łączy wewnętrznych tak, aby wszystkie dane odnosiły się do witryny jako www.domain.com , a nie Domain.com. Jeśli modyfikacja kodu nie jest możliwa, jedyną inną opcją rozwiązania problemu jest zmiana nazwy domeny usługi Active Directory. Może to być skomplikowane zadanie, w zależności od rozmiaru i stopnia skomplikowania środowiska.