DNS-Verwaltung in multiplen Win2K-Domänenumgebungen

Wenn der primäre DNS-Server in der Top-Domäne läuft, haben Sie zwei Alternativen, die Win2K-Domänen mit DNS zu verbinden.

Alternative 1: Eine Forward-Lookup-Zone für jede Child-Domäne wird in der jeweiligen Domäne auf einem Windows-2000-Server konfiguriert. Der DNS-Server in jeder der Child-Domänen sollte auch hierbei als Standard/Primär konfiguriert werden. Eine Reverse-Lookup-Zone für jede Child-Domäne kann ebenfalls konfiguriert werden, aber die Child-Domän-Server sollten Standard/Sekundär bleiben, da sich der Primärserver für die Reverse-Lookup-Zone in der TOP.LOCAL-Domäne befindet.

Vergessen Sie nicht: Die Reverse-Lookup-Zone ist für alle Computer im selben Subnetz gleich, denn die Zuordnung erfolgt nach IP-Adressen und nicht nach Domänennamen. Daher sollte der erste DNS-Server in der TOP.LOCAL-Domäne gegenüber jedem Server der Child-Zonen als Sekundärserver erstellt und für MIDDLE.TOP.LOCAL und BOTTOM.MIDDLE.TOP.LOCAL konfiguriert werden. Jetzt können alle DNS-Server über den Zonen-Transfer-Prozess miteinander kommunizieren.

Sowie alle Forward- und Reverse-Lookup-Zonen ordentlich funktionieren, können sämtliche Zonen in das Active Directory-integriert werden. Klicken Sie einfach unter „Allgemeine Eigenschaften der Zone“ auf den Button „Ändern“. Mit dem Befehl „Nslookup“ können Sie alle Zonen auf korrekte Funktionsweise prüfen. Die korrekte Antwort enthält den FQDN und die IP-Adresse des Name-Servers und des angefragten Computers. Jede Antwort, die „…nicht gefunden“ enthält, weist darauf hin, dass die Server oder Clients nicht ordentlich konfiguriert wurden. Zwischen den TCP/IP-Eigenschaften des Clients, der DNS-Management-Konsole des Servers und der Eingabeaufforderung finden Sie alle Informationen, die Sie zur DNS-Fehlersuche brauchen.

Die Herausforderung bei multiplen Zonen und ins Active Directory integrierten Zonen ist der Weg, über den Zonen-Datenbanken von einem Server zum nächsten gelangen. Ins Active Directory integrierte Zonen nutzen für den Zonentransfer nicht die Standardmethode. Die Standardmethode beinhaltet, dass der DNS-Server während des Benachrichtigungsprozesses in Abständen von fünf bis zehn Minuten einen Zonentransfer vom Primärserver durch den Sekundärserver ausführt. Ins Active Directory integrierte Zonen werden über die Replikation des Active Directory verteilt. Die gute Nachricht ist, dass die Replikation des Active Directory sich nicht mit dem Zonentransfer überlagert und dass es zu einer effizienteren Bandbreitennutzung führt, wenn man nur Replikationen und nicht Replikation und Zonentransfer nutzt.

Die schlechte Nachricht ist, dass Active Directory domänenspezifisch ist. Es wäre logisch zu erwarten, dass in einem zusammenhängenden Namensraum der DNS-Server an der Top-Level-Domäne letztlich die Informationen der Child-Domänen durch Replikation und Konvergenz erhält. Die Active-Directory-Datenbanken sind jedoch nur auf die Domänen-Controller einer Domäne aufgeteilt. Wie kann die Top-Level-Domäne dann jemals etwas von den Zonen unter sich erfahren? Das ist die Funktionsweise mit Zonenübertragung. Wir schauen uns das noch in der zweiten Alternative an.

Alternative 2: Einen anderen Weg zur Konfiguration von DNS-Servern stellt die Zonenübertragung dar. Dabei handelt es sich um den Prozess der Erstellung von Subdomänen, bei denen die Zuständigkeiten der DNS-Server auf die Windows-2000-Server der jeweiligen Child-Domäne übertragen werden. Der Unterschied besteht darin, dass auf dem ersten DNS-Server der Top-Domäne eine Verzeichnisstruktur erstellt wird, die beinahe identisch mit der Hierarchie des Active Directory Windows-2000-Domänstrukturen ist.

Der Vorgang besteht aus zwei Stufen. Der New Delegation Wizard erstellt zuerst den übertragenden Server und die Verzeichnisse für die Subdomäne. Als nächstes wird in der Child-Domäne auf dem DNS-Server eine identische Zone erstellt. Damit wird ein saubererer, direkterer Weg zur gegenseitigen Kommunikation der DNS-Server geschaffen.

Wenn das abgeschlossen ist, gibt es für den ersten DNS-Server und alle weiteren zugelassenen DNS-Server (die auf dem Name-Server als Kartenreiter für die jeweilige Zone eingestellt sind) eine hierarchische Verzeichnisstruktur, bei der sich die untere Child-Domäne im mittleren Child-Verzeichnis befindet, das seinerseits im Parent-Verzeichnis liegt. Die Struktur spiegelt die Hierarchie des Active Directorys in Form eines logischen Netzwerks wieder und ermöglicht die Kommunikation aller DNS-Server untereinander. Für jeden Administrator, der eine gewisse Zeit mit einem Netzwerk mit Active Directory verbracht hat, ist dies der kritische Punkt bezüglich der Funktionsfähigkeit des Netzwerkes.

Zusammenfassung
Die DNS-Verwaltung in Netzwerken mit mehreren Windows-2000-Domänen erfordert etwas Voraussicht und sorgfältige Planung. Ich habe zwei Wege zur Integration von Windows-2000-Domänen aufgezeigt, so dass diese dann miteinander kommunizieren können und sichergestellt ist, dass die Systeme in ihrem Netzwerk auf die Ressourcen zugreifen können, die sie benötigen.