各位先進大佬好
小弟是剛接 AD 沒多久之後又被叫去接 DNS 的菜鳥
想詢問一下我目前的理解跟設定是否有錯誤?

我們公司目前汰換過後的 ADDC 總共有三台
而有另外一台 Infoblox 的 DNS SERVER (所有對外 DNS、防火牆、跟其他分公司的連線，都掛在這台上面)

我在剛接手的時候看到 網域內的USER端 DNS 都是設定 Infoblox 為主要 DNS 而 ADDC 設為次要 DNS
那時候前輩交接下來是說因為所有對外服務都掛在 Infoblox 上 所以他要設為主要

但是大概去年開始會發生設定 Infoblox 為主要 DNS 時會無法讓USER端進入網域 (會顯示解析失敗)
而將 DNS 改成直接指向 ADDC 後就能正常進退網域
當時以為是因為 DNS 設定有問題才導致 (因為當時網域重建的時候 Infoblox 是直接從舊設定複製到新設定，當時建立的是 SECONDARY ZONE)，後面自己邊查 GPT 跟官方說明書邊自己重建，將設定改為 Authoritative Zone 之後發現主要 DNS 設為 Infoblox 時就能夠正常進入網域，但是有發現無法產生新加入電腦的 A record

這部分也有問 AD 的廠商，他們是說這個設定很奇怪，但他們也不熟 Infoblox 不確定是否真的要這樣設，也有提到說 AD 以外的 DNS 應該都要設定為次要，而 USER 端應該都只指向到 AD 上，由 AD 去轉介到 Infoblox 上來連對外服務，但她不是很肯定，而我們的 Infoblox 因為機器買很多年，又沒有簽維護合約，後續設定都沒辦法請 Infoblox 廠商協助

目前我做的設定

三台 ADDC：
DNS 上三台 ADDC 互指，並且將 Infoblox 也設定在其中，分別為：主要 DNS 為 Infoblox，次要 DNS 為另外兩台 ADDC 及 127.0.0.1
在名稱伺服器中將 Infoblox 設定在其中，並且在區域轉送中設定 "只到列在 [名稱伺服器] 索引標籤上的伺服器

Infoblox：
建立了一個正向權威 ZONE (Authoritative ZONE)及一個反向權威 ZONE
在正向 Authoritative ZONE 裡面設定了三台 ADDC 及 Infoblox 的名稱伺服器，而 Infoblox 為 Primary，三台 ADDC 為 Ext Secondary
在 正向 Authoritative ZONE 的 Zone Transfers 及 Updates 選項中將 Set of ACEs 設定導向至三台 ADDC
在 Active Directory 選項中將三台 ADDC 設定進去
後續有自動產生了三台 ADDC 的 NS Record 及 SOA Record 紀錄，並且在 SUBZONES 區域中有自動產生了

1. _sites.DOMAINMANE
2. _tcp.DOMAINMANE
3. _udp.DOMAINMANE
4. forestdnszones.DOMAINMANE
5. domaindnszones.DOMAINMANE
6. _msdcs.DOMAINMANE
   但是 Infoblox 上不會產生 "網域內電腦的 A record"

USER 端：
主要 DNS:Infoblox
次要 DNS:ADDC

目前有用 GPT 稍微看一下，說是我這個設定有問題
但前輩說以前就這樣設定的，他們也沒特別研究過，所以不清楚 QQ

我現在應該要怎麼改設定才能讓整個架構變成正確的架構？
對外服務跟防火牆一樣只會掛在 Infoblox 上，避免所有服務都掛在 ADDC 上造成風險
再麻煩各位先進提供解惑
感謝