Verständniss DNS für 70-291

[Genom 10]

Hallo Leute,

 

nach meiner erfolgreichen 270 und 290 Prüfung bin ich dabei, mir die Kenntnisse für die 291 beizubringen. (Die Prüfung ist etwas knackiger habe ich das Gefühl.)

 

Tatsächlich brauche ich mittlerweile 6 VM´s um mir DNS und Co beizubringen.

 

Habe ich folgendes richtig verstanden :

 

Primäre Zone :

 

Diese Zone ist der "Master", hier können Änderungen vorgenommen werden und die Clients aktualisieren unter Umständen Ihre Host(A) und PTR Einträge selbstständig. (autorisierend)

 

 

Sekundäre Zone :

 

Falls ich Redundanz brauche, richte ich noch eine sekundäre Zone ein, die eine Kopie der primären Zone darstellt. Änderungen sind hier nicht möglich.

 

Zwischenfrage : Wie können dynamische Updates klappen, wenn Clients meinen sekundären Server als primären DNS Server eingestragen haben, in der sekundären Zone aber eigentlich nichts geändert werden darf ?

 

Stubzone :

 

Eigentlich dachte ich habs verstanden...Aber....

 

Zum Beispiel ist der Vorteil gegenüber einer Weiterleitung, dass Änderungen an den Namenservern nicht nachgepflegt werden müssen; aber würde man das nicht auch einfach durch das Einrichten einer sekundären Zone hinbekommen ?

Der einzige Vorteil, den ich jetzt noch kenne, ist, dass nur NS und Host(A) Einträge übertragen werden, und somit nicht soviel Traffic entsteht. Werden MX Einträge auch übertragen ? Und eine Stubzone ist nicht autorisierend...Heisst das, dass Clients deswegen hier nichts ändern können ?

 

Weiterleitung :

 

Alles was er nicht auflösen kann, soll dahin (außer der DNS Server ist z.b. direkt mit dem Internet verbunden und kann eine Rekursion über die Stammserver machen)

Nachteil : Man muss Nameserver pflegen...

 

Delegierung :

 

Sowas wie eine Weiterleitung, nur nach unten... Also zum Beispiel habe ich die Zone mcseboard.de und es gibt noch eine testcenter.mcseboard.de Zone. Mit einer Delegierung stelle ich sicher, das ich dort alles auflösen kann.

 

 

Wäre toll, wenn mal einer drüberlesen könnte und mir die eine oder andere Anmerkung zu schreiben könnte :)

 

LG

 

Genom

[Genom 10]

Kleiner Nachtrag :

 

DNS in AD:

 

Wenn das ganze in AD integriert wird, werden alle Zonen automatisch über AD repliziert. Außerdem sind sichere dynamische Updates möglich (nur an der Domäne authentifizierte Benutzer dürfen Updates durchführen)

Zondendaten werden inkrementell übertragen..

 

Soweit richtig ?

 

Muss mal morgen in meinen VM`s nachspielen, was dann mit den ganzen Einstellungen passiert, wenn sie im AD integriert ist; müsste dann ja alles automatisch funzen.

 

Gruß

[grizzly999 11]

Kleiner Nachtrag :

 

DNS in AD:

 

Wenn das ganze in AD integriert wird, werden alle Zonen automatisch über AD repliziert. Außerdem sind sichere dynamische Updates möglich (nur an der Domäne authentifizierte Benutzer dürfen Updates durchführen)

Ja, aber es dürfen theoretisch alle Clients im AD (authentifizierte Benutzer).

Zondendaten werden inkrementell übertragen..

Das kann 2003 auch ohne AD-integrierte Zone

 

grizzly999

[grizzly999 11]

Primäre Zone :

 

Diese Zone ist der "Master", hier können Änderungen vorgenommen werden und die Clients aktualisieren unter Umständen Ihre Host(A) und PTR Einträge selbstständig. (autorisierend)

Korrekt.

 

 

Sekundäre Zone :

 

Falls ich Redundanz brauche, richte ich noch eine sekundäre Zone ein, die eine Kopie der primären Zone darstellt. Änderungen sind hier nicht möglich.

Korrekt.

 

Zwischenfrage : Wie können dynamische Updates klappen, wenn Clients meinen sekundären Server als primären DNS Server eingestragen haben, in der sekundären Zone aber eigentlich nichts geändert werden darf ?

Schau dir mal den Abschnitt an, wie dyn. Updates durchgeführt werden. Der Client ruft zuerst bei seinem bevorzugten DNS den SOA-Eintrag ab. Warum wohl! Was will er mit dem SOA?

Den Eintrag des primären DNS?! Richtig ;)

 

 

Stubzone :

 

Zum Beispiel ist der Vorteil gegenüber einer Weiterleitung, dass Änderungen an den Namenservern nicht nachgepflegt werden müssen

Richtig, außer den Master-DNS. Dessen Änderung muss bei beiden nachgetragen werden.

 

aber würde man das nicht auch einfach durch das Einrichten einer sekundären Zone hinbekommen ?

Ja, aber dann hat man den Replikationsverkehr von jeder Änderung, die da stattfindet. Wenn ich nur wissen will, wer sind die Nameserver in der anderen Zone, dann wäre eine sek. Zone zuviel des Guten.

 

Der einzige Vorteil, den ich jetzt noch kenne, ist, dass nur NS und Host(A) Einträge übertragen werden,

Genaugenommen NUR die Glue-Records, also die A-Records, die zu den NS-Einträgen gehören (sofern vorhanden). Nicht alle A-Records!

 

Werden MX Einträge auch übertragen ?

Nein. Nur SOA, NS und die o.g. Glue-Records.

 

Und eine Stubzone ist nicht autorisierend...Heisst das, dass Clients deswegen hier nichts ändern können ?

Richtig. Wobei das Erste nicht das zweite bedingt. Nicht authorisierend bedeutet, dass der Server nicht die volle Zone mit allen Infos hat.

Aber nicht authorisierend ist nicht der Grund, dass die Clients keine Änderungen dort durchführen können, sondern weil da keine Einträge zum Ändern sind (wobei es sich ja auch um eine "kastrierte" sekundäre Zone handelt.)

Eine sekundärer DNS mit der sekundären Zone IST authorisierend, und dennoch können die Clients sich da nicht updaten.

 

Weiterleitung :

 

Alles was er nicht auflösen kann, soll dahin

Nur, wenn das so eingetragen ist. Man kann auch auch bestimmte DNS-Suffixe forwardne (conditional forwarding)

(außer der DNS Server ist z.b. direkt mit dem Internet verbunden und kann eine Rekursion über die Stammserver machen)

Das kann er im Standardfall auch, wenn der Forwarder nicht innerhalb der spezifizeriten Zeit antwortet. Außer man nimmt das Häkchen "Rekusrion für diese Domäne verwenden" raus, dann geht er für diese Abfragen nicht über die eingetragenen Root-Server

 

Delegierung :

 

Sowas wie eine Weiterleitung, nur nach unten... Also zum Beispiel habe ich die Zone mcseboard.de und es gibt noch eine testcenter.mcseboard.de Zone.

Richtig ;)

 

Mit einer Delegierung stelle ich sicher, das ich dort alles auflösen kann.

Jo, mit einer Weiterleitung oder einer Stub-Zone oder eine sek. Zone auch .....

 

 

 

grizzly999

[Genom 10]

@grizzly999

 

Vielen Dank für Deine ausführliche Antwort. Klasse!

Ich scheine das Ganze schon fast verstanden zu haben :=)

 

Der Rest ist ja nur Fleißarbeit (DHCP, RAS, Richtlinien usw.)

 

Schönen Gruß

 

Genom