今天爬文的時候不經意看到某篇教學文
Windows AD 架設
看到dns設定127.0.0.1 ，有點疑惑 因為記得這樣設定，似乎會有些問題，client端會找不到DC之類的，想問是否是我弄錯了 ，一直以還我都是會改成private ip,想問大家都什麼做呢??
謝謝
已邀請的邦友 {{ invite_list.length }}/5
你沒把文看清楚, 然後就自己把整篇文章腦補成:
Client 電腦 DNS 要設成 127.0.0.1...
請先看, 第二張圖底下這樣寫:
AD的架構是要透過DNS解析的，所以我們把慣用DNS伺服器指向自己 127.0.0.1 。
請留意: 此時我們還在操作 DC01 喔!! 也就是 Domain Controller 本身, 由於 AD 的 DNS Server 就是在 DC01 上面, 所以 DC01 自己指向 127.0.0.1 當然可以查得到自己的 DNS, 這個怎麼會有問題?
然後, 請往下拉到第 11 張圖, 下面寫著:
我們這邊有一台用戶端電腦要加入網域，首先先把DNS指向DC01那台，不然沒辦法解析AD。
看到沒? Client 電腦並沒有指向 127.0.0.1 喔!! 他是指向 DC01 的 IP (192.168.1.253), 所以 Client 電腦會去這個 IP 問 DC01 關於 DNS Server 的查詢, 並不是去問 Client 電腦自己的 127.0.0.1....
這樣兩者都不會有問題啊....
我沒誤會啊？我懂那篇文章所說的意思，只是以往這樣作都會遇到問題，所以我都乾脆把DC1踏台的dns server都設定private ip，而不是127.0.0.1。我晚點在自己做一次lab看看好了，看看我以前到底那裏做錯
謝謝雷神的回覆 應該是我以前沒有去找到問題所在。
好的, 是我誤會了...通常在單一台 DC 的環境下, DC 指向自己的 localhost 不會有問題的...但多 DC 的環境就不建議這樣作....
為何多DC 不建議這樣做呢?? 之前都至少會有第二台DC，所以問題出在這嗎??以前工作至少都會有兩台以上的DC，第二台等於當備援這樣
請改掉「第二台DC等於當備援」這樣的觀念...
這個觀念源自於當初 NT 3.5 時代 PDC/BDC 架構; 但事實上, 這個架構已經在 Windows 2000 就被改成 Active Directory (也就是 AD)....這個已經被改了 20 年的架構, 竟然還有講師和書本在說: PDC/BDC 互相備援, 然後套用到現在的 AD 上去, 真是誤人不淺....
NT 時代的 PDC, 到了 AD 時代, 為了相容性的理由, 被納入 AD 的 FSMO 五大角色內, 成為其中一員, 但是 BDC 卻被捨棄掉沒納進來, 所以到了 AD 時代之後, PDC 並沒有備援能力...事實上:
AD 的 FSMO 五大角色都沒有備援能力!!
AD 的 FSMO 五大角色都沒有備援能力!!
AD 的 FSMO 五大角色都沒有備援能力!!
(很重要所以要講三次)
AD 雖然可以讓你架設多台 DC, 也會複寫資料, 但是複寫的目的不是備援, 是為了負載平衡, 在這個架構下, 他原始設計是預期你:「所有加入的 DC 都必須健康的活著」, 並不是說: 有一台死掉, 另外一台就會接手的概念....
翻以前的舊文章出來複習:
ITHelp: AD DC PDC BDC
這樣講好了:
我們有兩隻手, 這兩隻手是互相備援嗎?
右手斷掉, 左手馬上可以跟右手同樣速度寫字?
右手斷掉, 左手馬上可以右手一樣拿筷子吃飯?
若不能立即無縫接管相同功能, 就不能稱為備援.
你可以試試看: 把 AD 裡面的 FSMO 那台 DC 關掉, 不做任何調整, 其他 DC 可否正常接手? (例如: 加網域/退網域, 改GPO, 改密碼...)
誠然, 右手斷了, 左手確實可以執行少部分右手的工作, 但是他一來做不好, 二來幾乎大部分的工作都沒辦法做, 這樣你還能正常生活嗎? 其餘的 DC 能繼續維持 AD 所有工作的正常嗎?
兩台 DC 架好後, 先關掉一台, 然後等活著的那台掛掉時, 再開第二台「你以為可以備用的」 DC 起來接手? 這樣接得起來嗎?....實情是: 你的 AD 會全部毀掉...
所以, 不要再把多台 DC 當備援!! AD 的設計是沒有備援的, 你一但加入了新的 DC, 就必須確保它們跟第一台 DC 一樣的健康, 一樣每天開機, 一樣不能讓他掛掉; 如果你的多台 DC 每天開開關關, 走走停停的話, 你的 AD 遲早有一定會全部都掛掉...
加入他就要保護他, 每台 DC 都是平等的, 不可以厚此薄彼, 忽略任何一台; 至於, 他們之間有甚麼高低階級關係, 那是它們自己的事情 , 不需要你去操心; 除非它們自己搞不定, 你才需要介入. 你的任務只有: 維持每一台 DC 都正常活著, 有哪一台掛了, 就要把他修到好恢復上線, 其他的事情讓 AD 架構去處理.
回到您的問題, 為何多台 DC 不能指向自已?
還記得上面的概念嗎? 多台 DC 時, 大家是生命共同體, 所以每一台 DC 都必須相信其他 DC 是正常的, 在這個前提下, 多台 DC 啟動的時候, DNS 指向其他台 DC, 才能驗證這個概念, 因為 DNS Zone 裡面會帶出重要的 AD NTDS 資訊來查詢; 如果每一台都指向自己的話, 萬一自己的 NTDS 資料庫有問題, 他只查了自己的 DNS, 並不知道自己已經跟別人不一樣了. (你應該知道 AD 的 DNS 跟 Internet DNS 功能不一樣吧? 例如: _ldap, _gc, _kerbros...這些用途, 還有 _msdcs partition 的功能...這些資訊都來自 NTDS 資料庫)
唯一能指向自己, 而不會有問題的, 就是 FSMO 那台 DC. 所以這也是為何: 只有一台 DC 的時候可以指向自己, 因為那個情境下, 他自己一定是 FSMO...
以後還有人在講 AD 自己會備援的, 叫他回去重考 MCSA 證照..
謝謝你花這麼長的篇幅回復，感恩
iThome鐵人賽
看影片追技術