Cos'è il DNS in Active Directory?

Gli amministratori IT lavorano con e intorno a Active Directory dalla presentazione della tecnologia in Windows 2000 Server. Windows 2000 Server è stato rilasciato il 17 febbraio 2000, ma molti amministratori hanno iniziato a lavorare con Active Directory alla fine del 1999, quando è stato rilasciato per la produzione (RTM) il 15 dicembre 1999.

Cos'è Active Directory DNS?

AD DS fornisce un metodo integrato per memorizzare e replicare i DNS records utilizzando le zone DNS integrate in Active Directory.

Tutti i record e i dati di zona memorizzati all'interno della zona vengono replicati su altri server DNS utilizzando il servizio nativo di AD DS replication service. Ogni DC conserva una copia scrivibile dei dati di zona DNS per i namespace di cui sono autoritativi. Le zone integrate in Active Directory offrono anche la possibilità di utilizzare aggiornamenti dinamici sicuri, che supportano il controllo di quali computer possono effettuare aggiornamenti e prevengono modifiche non autorizzate.

I dati della zona DNS sono memorizzati in una partizione di directory dell'applicazione. Una partizione estesa a tutta la foresta chiamata ForestDnsZones è utilizzata per i dati della zona. Per ogni dominio AD DS, viene creata una partizione di dominio denominata DomainDnsZones.

Di solito, le implementazioni DNS sono utilizzate con uno contiguous namespace.

Ad esempio, il Fully Qualified Domain Name (FQDN) di un dominio AD DS potrebbe essere corp.contoso.com, e il FQDN di un client in quel dominio sarebbe client.corp.contoso.com. Tuttavia, AD DS e le zone DNS integrate in Active Directory supportano disjoint namespaces. In uno scenario del genere, il FQDN del dominio AD DS potrebbe essere na.corp.contoso.com, mentre un FQDN del client potrebbe essere client.corp.contoso.com. Notare che la parte “na” del FQDN non è presente nel FQDN del client. Ci sono diversi requisiti e considerazioni quando si utilizza un disjoint namespace.

Per maggiori informazioni, consulta https://technet.microsoft.com/en-us/library/cc731125%28v=ws.10%29.aspx.

Tre specifici componenti DNS

AD DS richiede DNS per funzionare e utilizza tre componenti specifici per l'infrastruttura di AD DS:

• Localizzatore del controller di dominio.

Il Locator è implementato nel servizio Net Logon e fornisce i nomi dei DC in un ambiente AD DS. Il Locator utilizza record DNS di risorse di indirizzo (A) e di servizio (SRV) per identificare i DC in un ambiente AD DS.

• Nomi di dominio Active Directory in DNS.

I nomi di dominio AD DS in DNS sono il FQDN di cui abbiamo discusso in precedenza.

• Oggetti DNS di Active Directory.

Sebbene i domini DNS e i domini AD DS abbiano tipicamente lo stesso nome, sono due oggetti separati con ruoli diversi. DNS memorizza zone e dati di zona richiesti da AD DS e risponde alle query DNS dei client. AD DS memorizza nomi di oggetti e record di oggetti e utilizza query LDAP per recuperare o modificare dati. Le zone DNS che sono memorizzate in AD DS hanno un oggetto contenitore che appartiene alla classe dnsZone. L'oggetto dnsZone possiede un nodo DNS, che utilizza la classe dnsNode. Ogni nome unico in una zona DNS ha un oggetto dnsNode unico. Per AD DS, ciò include anche funzioni individuali. Pertanto, un DC può avere più ruoli, come quello di essere un server global catalog che è indicato nell'oggetto dnsNode.

Record DNS in Active Directory

Come accennato in precedenza, i DC sono identificati dai SRV records in una DNS zone. I componenti di AD DS sono memorizzati in DNS utilizzando il seguente formato nel sottodominio _msdcs: _Service.Protocol.DcType._msdsc.DnsDomainName.

Ad esempio, il servizio Lightweight Directory Access Protocol (LDAP) del Primary Domain Controller (PDC) nel dominio AD DS di contoso.com sarebbe _ldap._tcp.pdc.contoso.com. Le stringhe di servizio e protocollo utilizzano il trattino basso (_) come prefisso per evitare potenziali collisioni con risorse o record esistenti nello spazio dei nomi.

Il servizio Net Logon richiede 17 diversi record SRV per eseguire ricerche. Un elenco completo dei record SRV può essere trovato su https://technet.microsoft.com/en-us/library/cc759550%28v=ws.10%29.aspx.

Oltre ai record SRV, il servizio Net Logon richiede anche due record A per i client che potrebbero non essere a conoscenza dei SRV. Questo include un record per il DnsDomainName, e un record per gc._msdsc.DnsForestName. Ciò consente ai client non a conoscenza dei SRV di cercare un controller di dominio o un server di catalogo globale utilizzando un record A.

Migliori pratiche

Il DNS è suscettibile a minacce alla sicurezza, come il foot printing, attacchi di denial-of-service, modifica dei dati e reindirizzamento.

Per mitigare queste minacce, le zone DNS possono essere protette utilizzando secure dynamic updates, restringendo i trasferimenti di zona, oltre all'implementazione della delega di zona e delle DNS Security Extensions (DNSSEC). Utilizzando secure dynamic updates, i computer verranno autenticati tramite Active Directory e le impostazioni di sicurezza verranno applicate durante l'esecuzione di un trasferimento di zona.

Inoltre, i trasferimenti di zona possono essere limitati a specifici indirizzi IP all'interno della rete. La delega di zona può essere affrontata utilizzando due metodi.

Innanzitutto, è limitare le modifiche DNS a un unico team o entità, con tutte le modifiche tracciate e approvate. Questo metodo limita il numero di persone che apportano modifiche, ma consente un unico punto di fallimento.

In secondo luogo, le zone possono essere delegate a individui che gestiranno ogni componente di una rete o dominio. Anche se le modifiche potrebbero ancora dover essere approvate e monitorate, ciò distribuisce il rischio tra più persone e potrebbe limitare i danni se solo un componente viene compromesso.

DNSSEC

DNSSEC convalida le risposte DNS fornendo autorità di origine, integrità dei dati e negazione autenticata dell'esistenza. L'implementazione di DNSSEC in Windows Server 2012 rispetta gli standard per RFC 4033, 4034, e 4035.

Ci sono sei tipi di record di risorse che vengono utilizzati specificamente con DNSSEC:

• Firma del record di risorsa (RRSIG)
• Next Secure (NSEC)
• Next Secure 3 (NSEC3)
• Next Secure 3 Parameter (NSEC3PARAM)
• Chiave DNS (DNSKEY)
• Delegation Signer (DS)

Per maggiori informazioni su ciascuno dei tipi di record e il loro utilizzo, consulta https://technet.microsoft.com/en-us/library/jj200221.aspx.

Ulteriori informazioni sulle nozioni di base di Active Directory le troverai nel nostro AD tutorial for beginners.