将 Windows DNS 集成到现有 DNS 命名空间 - Windows Server

本文介绍如何将 Windows DNS 集成到已实现 DNS 命名空间的组织，其中，具有 Active Directory 域名称的区域权威 DNS 服务器不支持 RFC 2136（动态更新）。

原始 KB 数： 255913

总结

Windows 域名系统（DNS）的一项功能是支持动态主机更新（RFC 2136 中记录）。 若要利用此功能，可以在没有其他 DNS 服务器的环境中以及已实现非动态 DNS 服务器的环境中（例如 BIND 4.9.7 及更早版本等）部署 Windows DNS。 在已实现 BIND 服务器的环境中部署 Windows DNS 时，有几个集成选项：

• 将区域从非动态权威 DNS 服务器迁移到运行 Windows DNS 的服务器。
• 在父 DNS 域下委托子 DNS 域。 对于与区域根名称不相同的 Active Directory 域名，将子域委托给 Windows DNS。 例如，如果 Active Directory 域 dev.reskit.com 的名称和包含此名称的区域为 reskit.com，则委托 dev.reskit.com 给运行 DNS 的基于 Windows 的服务器。
• 将域控制器（DC）定位符记录（SRV 记录）使用的每个子域委托给基于 Windows 的服务器。 这些子域是_msdcs.reskit.com，_sites.reskit.com和_tcp.reskit.com``_udp.reskit.com。 此选项用于 Active Directory 域名（例如 reskit.com，与区域根名称（例如） reskit.com相同的 Active Directory 域名（例如，）不能直接委托给运行 DNS 的基于 Windows 的服务器。 （可选）客户端可以是调用 reskit.com的 Active Directory 域的成员，但可以在调用 dynamic.reskit.com的 DNS 区域中注册。

本文记录了上面列出的第四个选项，如何将 Windows DNS 集成到已实现 DNS 命名空间的组织，其中，具有 Active Directory 域名称的区域的 DNS 服务器不支持 RFC 2136（动态更新）。 本文还讨论了当具有 Active Directory 域名称的区域的 DNS 服务器权威性不支持动态 DNS 更新时，域成员使用与 Active Directory 域名称不同的主 DNS 后缀允许基于 Windows 的计算机动态注册 DNS 记录的情况。

详细信息

若要将 Windows DNS 集成到基于非动态 DNS 服务器的现有命名空间中，可以委托定位符记录（SRV 记录）使用的子域，以便可以使用动态更新（根据 RFC 2136）。 执行以下步骤：

1. 在具有 Active Directory 域名称的区域权威的非动态 DNS 服务器上，将以下区域委托给运行 DNS 的基于 Windows 2000 的服务器：

   _udp。 DNSDomainName _tcp。 DNSDomainName _网站。 DNSDomainName _msdcs。 DNSDomainName

   例如，如果根区域名为reskit.com“委托_udp.reskit.com”、“_tcp.reskit.com``_sites.reskit.com委托”和_msdcs.reskit.com“基于 Windows 的服务器”。

   还必须委托另外两个子域：

   ForestDnsZones。 ForestDNSName DomainDnsZones。 DNSDomainName

2. 在基于 Windows 的服务器上，创建在步骤 1 中委托的转发区域，并启用区域进行动态更新。

   创建新区域：

   1. 在 Windows 服务器上启动 DNS 管理器。
   2. 展开 DNS 管理器中的相应 DNS 服务器。
   3. 右键单击“转发查找区域”文件夹，然后单击“新建区域”。
   4. 启动“新建区域向导”时，单击“下一步”，选择“主区域”，然后选中“在 Active Directory 中存储区域”复选框，然后单击“下一步”。
   5. 对于 AD 集成区域，请选择区域数据应转到的位置，选择域或林中的所有 DNS 服务器，或选择域中的所有 DCS（仅在 Windows 2000 中选项）。
   6. 在名称框中键入区域的名称。 例如，键入 _msdcs.reskit.com。
   7. 单击“下一步”。 查看向导的摘要后，单击“完成”。

   若要使区域能够接受动态更新，请执行以下操作：

   1. 在运行 DNS 的 Windows 服务器上使用 DNS 管理器，右键单击新区域，单击“属性”，然后单击“常规”选项卡。
   2. 在“允许动态更新”框中，单击“仅安全更新”或“是”。 只有在将服务器提升到域控制器后，“唯一的安全更新”选项才可用。 重复此过程，直到创建并允许动态更新步骤 1 中所述的所有四个区域。 这允许在 DNS 中动态注册和取消注册域控制器定位器记录。

3. 此外，可以创建和配置单个区域或多个区域，以允许客户端和服务器向 Windows 服务器动态注册自己。 例如，调用 dynamic.reskit.com 的区域可用于通过动态更新在网络上注册所有客户端和服务器。 若要配置此类区域，请执行以下操作：

   1. 在对父区域（例如，例如，）授权的非动态 DNS 服务器上， reskit.com将新区域委托给运行 DNS 的基于 Windows 的服务器。 例如，委托 .dynamic.reskit.com 区域到 Windows 服务器。
   2. 在 Windows 服务器上，为上面委派的区域创建正向查找区域（dynamic.reskit.com）。
   3. 在 Windows 服务器上，启用区域进行动态更新。

4. 当 Windows 域控制器启动时，Netlogon 服务会尝试在权威区域中注册多个 SRV 记录。 由于要注册 SRV 记录的区域已委托（步骤 1 和步骤 2）到可以动态更新的 Windows 服务器，因此这些注册将成功。 此外，DC 将尝试注册根区域中的 Netlogon.dns 文件中列出的 A 记录（例如 reskit.com）。 在这种情况下，由于根区域位于非动态 DNS 服务器上，因此这些更新不会成功。 以下事件将在 DC 上的系统日志中生成：

事件类型: 警告 事件源：NETLOGON 事件类别: 无 事件 ID：5773 日期： <DateTime> 时间： <DateTime> 用户：无 计算机：DC 说明: 此 DC 的 DNS 服务器不支持动态 DNS。 将文件 %SystemRoot%\System32\Config\netlogon.dns 中的 DNS 记录添加到为该文件中引用的域提供服务的 DNS 服务器。

若要更正此行为，请执行以下操作：

1. 每个 Windows DC 都有一个 Netlogon.dns 文件，该文件位于其 %SystemRoot%\System32\Config 文件夹中。 此文件包含一系列 DNS 记录，DC 将在 Netlogon 服务启动时尝试注册。 最好在进行以下更改之前创建此文件的副本，这样 DC 将尝试注册到 DNS 服务器的原始记录的列表。 请注意，每个 DC 将具有不同的记录，因为这些记录特定于每个 DC 上的每个网络适配器。 检查 Netlogon.dns 文件以标识文件中的所有 A 记录。 可以通过“IN”类描述符后面的记录类型来标识 A 记录。 例如，以下两个条目是 A 记录：

    `reskit.com`。 600 IN A 10.10.10.10`gc._msdcs.reskit.com`。 600 IN A 10.10.10.10

    Netlogon.dns 文件中的 A 记录数取决于 DC 具有的适配器数、每个适配器配置的 IP 地址数以及 DC 的角色。 DC 注册：

    - 每个 IP 地址的一条 A 记录，用于域名。
    - 如果 DC 也是全局目录 （GC） 服务器，则会注册gc.\_msdcs。 **每个 IP 地址的 DnsForestName** 。
2. 由于非动态 DNS 服务器不接受域控制器尝试动态注册 A 记录，因此必须在权威 DNS 服务器上手动配置 A 记录（本文中的示例是该区域 `reskit.com`的 DNS 服务器权威）。 对于 Windows 部署，不需要添加与域名称相对应的 A 记录（例如）， `reskit.com`并且仅当不支持 SRV DNS 记录的第三方 LDAP 客户端正在搜索 Windows DC 时，才可能需要添加 A 记录。

    在 Windows 服务器上，在相应的区域中创建在步骤 A 中标识的 GC 服务器特定的 A 记录。 例如，在 \_msdcs.reskit.com 区域中为 GC 服务器创建 A 记录。

    在对区域根目录具有权威性的非动态 DNS 服务器上，为在步骤 A 中标识的非 GC 服务器特定 A 记录在根区域中（例如`reskit.com`），创建 A 记录。例如，在区域中创建 A 记录`reskit.com``reskit.com`。
3. 应使用以下注册表项来禁用 DC 尝试注册 Netlogon.dns 文件中看到的 A 记录。 将 REG\_DWORD RegisterDnsARecords 值设置为 0 （零） 下：

    `HKLM\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters`

1. 若要更正此行为：建立 Active Directory 林和域后，应将 Active Directory 与运行 DNS 的 Windows 服务器负责的 DNS 域集成。 此外，应重新配置已配置为接受动态更新的区域，以仅接受安全的动态更新。