Was ist DNS in Active Directory?

IT-Administratoren arbeiten seit der Einführung der Technologie in Windows 2000 Server mit und um Active Directory herum. Windows 2000 Server wurde am 17. Februar 2000 veröffentlicht, aber viele Administratoren begannen bereits Ende 1999 mit Active Directory zu arbeiten, als es am 15. Dezember 1999 zur Herstellung freigegeben wurde (RTM).

Was ist Active Directory DNS?

AD DS bietet eine integrierte Methode zum Speichern und Replizieren von DNS records mithilfe von Active Directory-integrierten DNS zones.

Alle Datensätze und Zonendaten, die innerhalb der Zone gespeichert sind, werden mithilfe des nativen AD DS replication service auf andere DNS-Server repliziert. Jeder DC speichert eine beschreibbare Kopie der DNS-Zonendaten für Namensräume, für die sie autoritativ sind. Active Directory-integrierte Zonen bieten auch die Möglichkeit, sichere dynamische Updates zu nutzen, die steuern, welche Computer Updates durchführen dürfen und nicht autorisierte Änderungen verhindern.

DNS-Zonendaten werden in einer Anwendungsverzeichnispartition gespeichert. Eine partition für den gesamten Wald namens ForestDnsZones wird für die Zonendaten verwendet. Für jede AD DS-Domäne wird eine Domänenpartition erstellt, die DomainDnsZones genannt wird.

Üblicherweise werden DNS-Implementierungen mit einem contiguous namespace verwendet.

Beispielsweise könnte der Fully Qualified Domain Name (FQDN) einer AD DS-Domäne corp.contoso.com sein, und der FQDN eines Clients in dieser Domäne wäre client.corp.contoso.com. Jedoch unterstützen AD DS und Active Directory-integrierte DNS-Zonen disjoint namespaces. In einem solchen Szenario könnte der FQDN der AD DS-Domäne na.corp.contoso.com sein, während ein Client-FQDN client.corp.contoso.com sein könnte. Beachten Sie, dass der Teil „na“ des FQDN im Client-FQDN nicht vorhanden ist. Es gibt mehrere Anforderungen und Überlegungen bei der Verwendung eines disjoint namespace.

Weitere Informationen finden Sie unter https://technet.microsoft.com/en-us/library/cc731125%28v=ws.10%29.aspx.

Drei spezifische DNS-Komponenten

AD DS benötigt DNS zum Funktionieren und verwendet drei spezifische Komponenten für die AD DS-Infrastruktur:

• Domain Controller-Locator.

Der Locator ist im Net Logon-Dienst implementiert und stellt die Namen der DCs in einer AD DS-Umgebung bereit. Der Locator verwendet Adress- (A) und Dienst- (SRV) DNS-Ressourceneinträge, um DCs in einer AD DS-Umgebung zu identifizieren.

• Active Directory-Domänennamen im DNS.

Die AD DS-Domänennamen in DNS sind die FQDN, über die wir zuvor gesprochen haben.

• Active Directory DNS-Objekte.

Obwohl DNS-Domänen und AD DS-Domänen normalerweise denselben Namen haben, handelt es sich um zwei separate Objekte mit unterschiedlichen Rollen. DNS speichert Zonen und Zonendaten, die von AD DS benötigt werden und beantwortet DNS-Anfragen von Clients. AD DS speichert Objektnamen und Objektdatensätze und verwendet LDAP-Anfragen, um Daten abzurufen oder zu ändern. DNS-Zonen, die in AD DS gespeichert sind, haben ein Containerobjekt, das zur dnsZone-Klasse gehört. Das dnsZone-Objekt hat einen DNS-Knoten, der die dnsNode-Klasse verwendet. Jeder eindeutige Name in einer DNS-Zone hat ein einzigartiges dnsNode-Objekt. Für AD DS beinhaltet dies auch individuelle Funktionen. Daher kann ein DC mehrere Rollen haben, wie zum Beispiel die eines global catalog-Servers, was im dnsNode-Objekt angezeigt wird.

DNS-Einträge in Active Directory

Wie bereits erwähnt, werden DCs durch die SRV records in einer DNS zone identifiziert. Komponenten von AD DS werden im DNS unter Verwendung des folgenden Formats in der _msdcs-Subdomain gespeichert: _Service.Protocol.DcType._msdsc.DnsDomainName.

Beispielsweise wäre der Dienst des Lightweight Directory Access Protocol (LDAP) des Primary Domain Controller (PDC) in der contoso.com AD DS-Domäne _ldap._tcp.pdc.contoso.com. Die Dienst- und Protokollzeichenfolgen verwenden Unterstriche (_) als Präfix, um mögliche Kollisionen mit bestehenden Ressourcen oder Einträgen im Namensraum zu vermeiden.

Der Net Logon-Dienst benötigt 17 verschiedene SRV-Einträge für Abfragen. Eine vollständige Liste der SRV-Einträge finden Sie unter https://technet.microsoft.com/en-us/library/cc759550%28v=ws.10%29.aspx.

Neben den SRV-Einträgen benötigt der Net Logon-Dienst auch zwei A-Einträge für Clients, die möglicherweise nicht SRV-kompatibel sind. Dies umfasst einen Eintrag für den DnsDomainName und einen Eintrag für gc._msdsc.DnsForestName. Dies ermöglicht es nicht-SRV-kompatiblen Clients, einen Domänencontroller oder globalen Katalogserver über einen A-Eintrag zu finden.

Best Practices

DNS ist anfällig für Sicherheitsbedrohungen, wie Footprinting, Denial-of-Service-Angriffe, Datenmanipulation und Umleitung.

Um diese Bedrohungen zu mildern, können DNS-Zonen durch die Verwendung von secure dynamic updates, Einschränkung von Zonentransfers sowie Implementierung von Zonendelegierung und DNS Security Extensions (DNSSEC) gesichert werden. Durch die Verwendung von secure dynamic updates werden Computer über Active Directory authentifiziert und Sicherheitseinstellungen beim Durchführen eines Zonentransfers angewendet.

Zusätzlich können Zonentransfers auch auf bestimmte IP-Adressen innerhalb des Netzwerks beschränkt werden. Die Zonendelegation kann mit zwei Methoden angegangen werden.

Zuerst ist es die DNS-Änderungen auf ein einzelnes Team oder eine Entität zu beschränken, wobei alle Änderungen nachverfolgt und genehmigt werden. Diese Methode begrenzt die Anzahl der Personen, die Änderungen vornehmen, erlaubt aber einen einzelnen Ausfallpunkt.

Zweitens können Zonen an Einzelpersonen delegiert werden, die jede Komponente eines Netzwerks oder einer Domäne verwalten. Obwohl Änderungen möglicherweise immer noch genehmigt und verfolgt werden müssen, verteilt dies das Risiko auf mehrere Personen und kann den Schaden begrenzen, falls nur eine Komponente kompromittiert wird.

DNSSEC

DNSSEC validiert DNS-Antworten, indem es Herkunftsnachweis, Datenintegrität und authentifizierte Verweigerung der Existenz bereitstellt. Die Implementierung von DNSSEC in Windows Server 2012 entspricht den Standards für RFC 4033, 4034, und 4035.

Es gibt sechs Resource Record-Typen, die speziell mit DNSSEC verwendet werden:

• Resource Record Signature (RRSIG)
• Next Secure (NSEC)
• Next Secure 3 (NSEC3)
• Next Secure 3 Parameter (NSEC3PARAM)
• DNS-Schlüssel (DNSKEY)
• Delegation Signer (DS)

Weitere Informationen zu den einzelnen Datensatztypen und deren Verwendung finden Sie unter https://technet.microsoft.com/en-us/library/jj200221.aspx.

Weitere Informationen zu den Grundlagen von Active Directory finden Sie in unserem AD tutorial for beginners.