Active Directory بدون DNS کار نمی‌کند. وقتی رایانه‌ای می‌خواهد کنترلر دامین را پیدا کند، کاربری وارد شود یا Group Policy دریافت شود، اولین قدم یک پرس‌وجوی DNS است. به همین دلیل، بسیاری از مشکلاتی که شبیه خرابی دامین به نظر می‌رسند، در واقع یک تنظیم اشتباه DNS هستند.
DNS در دامین چه نقشی دارد؟
هر کنترلر دامین رکوردهای ویژه‌ای از نوع SRV در DNS ثبت می‌کند؛ مثل _ldap._tcp.dc._msdcs.example.local برای دامینی با نام example.local. رایانه‌ها با پرس‌وجوی همین رکوردها می‌فهمند کنترلرهای دامین کجا هستند. اگر رایانه‌ای از یک DNS بیرونی استفاده کند، این رکوردها را پیدا نمی‌کند و عملاً دامین را گم می‌کند.
Zoneهای DNS دامین معمولاً از نوع Active Directory-Integrated هستند؛ یعنی داخل خود Active Directory ذخیره می‌شوند، همراه با آن بین کنترلرهای دامین همگام می‌شوند و از به‌روزرسانی پویای امن (Secure Dynamic Update) پشتیبانی می‌کنند.
تنظیم درست DNS روی کلاینت‌ها و سرورها
- رایانه‌ها و سرورهای عضو دامین فقط باید آدرس کنترلرهای دامین را به‌عنوان DNS داشته باشند؛ چه دستی، چه از طریق DHCP.
- آدرس‌هایی مثل
8.8.8.8یا DNS مودم را حتی به‌عنوان DNS دوم روی کلاینت‌ها قرار ندهید؛ رایانه ممکن است در زمانی نامعلوم سراغ آن برود و دامین را پیدا نکند. - روی هر کنترلر دامین، توصیه رایج این است که DNS اول یک کنترلر دامین دیگر باشد و DNS دوم خودش، با آدرس
127.0.0.1. - برای دسترسی به اینترنت، روی سرورهای DNS دامین Forwarder تعریف کنید؛ به DNS ارائه‌دهنده اینترنت یا یک DNS عمومی معتبر. کلاینت‌ها نام‌های اینترنتی را هم از همان DNS دامین می‌پرسند.
اگر در DHCP یا تنظیمات کارت شبکه، یک DNS اینترنتی کنار DNS دامین آمده، همین امروز اصلاحش کنید. این یکی از رایج‌ترین دلایل مشکلات متناوب و عجیب در شبکه‌های دامین است.
نگهداری: Scavenging، Reverse Zone و Conditional Forwarder
- Scavenging: رکوردهای رایانه‌هایی که مدت‌هاست در شبکه نیستند پاک می‌شوند تا نام‌ها به آدرس اشتباه نرسند. Aging را روی Zone و Scavenging را روی یکی از سرورهای DNS فعال کنید و بازه‌ها را با دقت تنظیم کنید؛ تنظیم بی‌احتیاط ممکن است رکوردهای لازم را هم پاک کند.
- Reverse Lookup Zone: برای تبدیل IP به نام؛ بسیاری از ابزارهای عیب‌یابی و گزارش‌ها از آن استفاده می‌کنند.
- Conditional Forwarder: اگر با دامین شرکت یا شعبه دیگری از طریق VPN ارتباط دارید، برای نام آن دامین یک Forwarder شرطی بسازید تا پرس‌وجوها مستقیم به DNS آن‌ها برود.
عیب‌یابی گام‌به‌گام
- با
ipconfig /allروی رایانه مشکل‌دار ببینید DNS آن دقیقاً چه آدرس‌هایی است. - با
nslookupنام دامین و نام کنترلر دامین را بپرسید و ببینید پاسخ از کدام سرور و با چه آدرسی برمی‌گردد. - با
nltest /dsgetdc:example.localبررسی کنید رایانه می‌تواند کنترلر دامین را پیدا کند. - روی کنترلر دامین،
dcdiag /test:dns /vسلامت DNS و رکوردهای دامین را بررسی می‌کند. - اگر رکوردهای SRV یک کنترلر دامین ناقص است، سرویس Netlogon آن را ری‌استارت کنید تا رکوردها دوباره ثبت شوند.
- برای ثبت دوباره نام یک رایانه
ipconfig /registerdnsو برای پاک کردن حافظه موقت DNS آنipconfig /flushdnsرا اجرا کنید.
اشتباه‌های رایج
- اضافه کردن DNS اینترنتی روی کلاینت‌ها یا کارت شبکه کنترلر دامین
- حذف دستی رکوردها بدون دانستن کاربرد آن‌ها
- کنار گذاشتن کنترلر دامین قدیمی بدون پاک شدن رکوردهایش از DNS
- نداشتن دست‌کم دو سرور DNS برای دامین
چک‌لیست
- همه کلاینت‌ها فقط از DNS کنترلرهای دامین استفاده می‌کنند.
- Zoneها از نوع AD-Integrated با Secure Dynamic Update هستند.
- Forwarder اینترنتی روی سرورهای DNS تعریف شده است.
- Aging و Scavenging با دقت فعال شده است.
- dcdiag به‌صورت دوره‌ای بدون خطای DNS اجرا می‌شود.
کارشناسان ITPlus724 می‌توانند تنظیمات DNS دامین شما را بررسی کنند، خطاها را رفع کنند و مطمئن شوند همه کلاینت‌ها و سرورها درست از آن استفاده می‌کنند.