Combinaison active directory et DNS
Bonjour,
J'ai monté mon petit virual lab,ou j'ai dans la machine hôte windows server 2012,qui est contrôleur de domaine, mais je ne lui ai pas donné le rôle du DNS, vu que j'ai trouvé bon d'installer ce rôle dans un autre serveur. Et dans l'hyper-v,j'ai installé windows serveur 2008 comme serveur DHCP,windows serveur 2012 comme serveur DNS,et le problème se pose quand je tente je joindre mon serveur DNS et DHCP d'hyper-v au domaine donc dans la machine hôte, j'ai des erreurs me disant "an activé directory domaine controller for the domain 'mondolain.com' couldn't br contacted". Et pourtant les machine communiquent en ping. Est-ce que le problème vient du fait que mon contrôleur de domaine ne soit pas en même temps serveur DNS ?
merci
J'ai monté mon petit virual lab,ou j'ai dans la machine hôte windows server 2012,qui est contrôleur de domaine, mais je ne lui ai pas donné le rôle du DNS, vu que j'ai trouvé bon d'installer ce rôle dans un autre serveur. Et dans l'hyper-v,j'ai installé windows serveur 2008 comme serveur DHCP,windows serveur 2012 comme serveur DNS,et le problème se pose quand je tente je joindre mon serveur DNS et DHCP d'hyper-v au domaine donc dans la machine hôte, j'ai des erreurs me disant "an activé directory domaine controller for the domain 'mondolain.com' couldn't br contacted". Et pourtant les machine communiquent en ping. Est-ce que le problème vient du fait que mon contrôleur de domaine ne soit pas en même temps serveur DNS ?
merci
3 réponses
-
ContributeurBonjour,
J'utilise le terme DC pour Domain Controller (contrôleur de domaine).
tout d'abord d'installer les service active directory dans le premier serveur, et joindre par la suite installer le service DNS
Je ne sais pas comment vous avez monté votre AD sans DNS ;-) Personnellement je ne sais pas faire.
Généralement DNS est installé avant ADDS - pendant le "wizard" et c'est aussi installé sur la même machine.
service hyper-v sous Windows server 2012, on ne doit plus faire jouer celui-ci le rôle du contrôleur de domaine
Vous êtes sur un lab, donc en test - vous faites au mieux avec le matos certes.
Mais de manière générale, un domain controller a uniquement les rôles ADDS et DNS. (dans certains cas on peut aller sur du DHCP).
Par contre Hyper-V c'est moche , même très très moche sur un controleur de domaine ; on rajoute des cartes réseaux virtuelles etc ... et un DC qui a plusieurs adresses IP = beaucoup de problèmes en vue ; c'est pas préconisé par Microsoft d'ailleurs. (cela s'appelle le multi-homing)
Je préconise seulement les rôles ADDS+DNS, rien d'autre sur un contrôleur de domaine.
-
Lorsque vous aurez compris les adhérences entre Active Directory et DNS, ainsi que les enregistrements SRV, vous pourrez alors monter séparément un serveur DNS sur une autre machine (et même sur un Linux/Bind9 si ça vous chante) - ceci dit, il y a peu/pas d'intérêt quand même à avoir DNS séparé d'un Domain Controller.
Pour l'instant réinstallez les machines, en faisant DNS+ADDS sur la même machine.
Le reste viendra tout seul.
Using a registry "compactor" on top of a registry "cleaner" would be equivalent to rinsing your throat with a swig of Jack Daniels after swallowing a pint of snake oil....-
Ce que vous dites est vrai, mais malgré que débutant, lors de mon premier virtual lab, j'étais sous Virtualbox, et dans mon un même DC j'avais ADDS,DNS et DHCP et j'ai fait pleins de testes intéressants, et j'ai voulu maintenant les faire séparément, parce que j'ai lu que dans des organisations souvent ces rôles sont séparés
-- -
ContributeurJe vais détailler un peu plus comment ça se passe :
1. Problématique DNS et AD
ADDS et DNS sont installés sur les DCs, pour une très bonne raison : les enregistrements SRV. Et cela est utilisé pour la recherche des DCs et de leurs services. Et c'est également utilisé pour la réplication entre les DCs; et ce grâce à la zone _Msdcs.
Ces enregistrements sont mis à jour continuellement automatiquement, c'est ce qu'on nomme le "dynamic update".
a. Si l'on a un DNS géré par un d'autres serveurs DNS qui ne sont pas DC (Windows ou Linux) :
- On perd la réplication des zones DNS par Active Directory.
- On perd le dynamic update "sécurisé".
- gestion manuelle des enregistrements SRV.
- gestion manuelle/ processus/workflow de gestion des enregistrements/zones DNS.
Gérer manuellement les enregistrements SRV est problématique : en cas de mise à jour d'un DC (changement IP), ajout / suppression d'un DC ; il faut avoir les enregistrements en conséquence ; si c'est une autre équipe qui gère cela, ba ça peut être long (et puis parler des enregistrements SRV à une équipe réseau ... c'est moche) ... c'est possible hein, mais c'est très lourd en terme d'administration.
Et des processus lourds = une exploitation chère et pas performante.
De plus on va générer pas mal d'erreurs Netlogon sur les DCs qui chercheront à mettre à jour eux même leurs enregistrements SRV - On peut activer le Dynamic Update sur Bind, mais c'est pas authentifié - c'est un filtrage par IP. Au de la de ça, si on ajoute des DCs il faut re-demander le changement de la configuration et redémarrer le serveur DNS, pas sur que l'équipe en charge le fasse dans la journée.
b. Ce qui se passe vraiment :
- On garde DNS installé sur les DCs pour la réplication AD entre les DCs et les enregistrements SRV.
- Si une autre architecture DNS est mise en oeuvre pour la gestion des enregistrements des Postes de travail -> attention aux noms de zone, elles doivent être différentes de celle d'AD.
il faut prévoir une gestion des enregistrements dans ces zones (desktops/servers/imprimantes etc ...) ; les outils proposés pour ce type d'usage en entreprise coutent très chers.
Il faut penser à l'industrialisation des postes de travail et des serveurs qui en dépendent aussi ... c'est cher et lourd ;) mais ça se fait.
-
2. DHCP installé sur un DC
Si l"on souhaite déléguer l'administration du service DHCP à une autre équipe que celle qui gère Active Directory, on doit donner des droits administrateurs pour gérer le DHCP.
Or quand on est administrateur sur un DC , on est administrateur de la base Active Directory (et c'est moche), donc on donnerait trop de privilèges à une équipe qui est sensée uniquement gérer un DHCP...
Donc si on veut un DHCP Windows et qu'il soit géré par une autre équipe que celle qui gère Actie Directory -> on l'installe sur une machine qui n'est pas domain controller.
-
