DNS-Einträge per DHCP: fehlende Berechtigung

[MonsterX 10]

We want to switch our DNS servers to SecureDNS. Firstly because of the security and secondly we want to use the DNS for our IP address management. If we use unsecured DNS the DNS entries which were created manually could be overwritten by clients or our DHCP servers.

 

Before we started to change settings in our productive environment I build up a test environment. One server acts as DC and DNS and the other server acts as DHCP. We've tested some different client operating systems and everything worked great. Then we began to prepare our productive environment for SecureDNS. The current state is as followed:

 

-> We've got lot's of DCs that are working as DNS. They allow "nonsecure and secure" dynamic updates and they are all "Active Directory-Integrated"

 

-> There's one server (none of the DCs) that acts as DHCP. Configuration:

- Dynamically update DNS A and PTR records only if requested by DHCP clients

- Dynamically update DNS A and PTR records for DHCP clients that do not request updates (for example, clients running Windows NT 4.0)

- "DNS dynamic updates registration credentials" are set to an extra account for DHCP

 

Everything works fine except one little important thing: The DNS entries which should be registered by the DHCP service don't have the correct credentials. The account which should be used for those entries doesn't have the "general write" access. But in our test environment it works great.

 

Are there any other settings which influence this behaviour?

 

Das wurde nur in Englisch geschrieben, damit ich, falls ich hier keine Lösung bekommen, das gleich an M$ schicken kann... :-)

 

Freundliche Grüße,

Denis Hierholzer

[blub 115]

-welches OS benutzt du für DC und DHCP?

-hast du im DHCP Credentials eingetragen, falls w2k3

-sind die Member Gruppe DNS Updateproxy in Test -Prdoduktionsumgebung gleich

 

cu

blub

[MonsterX 10]

Wir benutzen Windows Server 2003 für alle unsere Server. Im DHCP hab ich natürlich die Credentials eingetragen -> genau um die geht es in meiner Frage. Alle Server von denen ich gesprochen habe sind in der Gruppe DNSupdateProxy eingetragen.

[blub 115]

nochmal, die Gruppe "dnsupdateproxy" sieht in beiden Umgebungen gleich aus?

Entweder sollen die Computeraccounts der DHCP server oder der credentialaccount enthalten sein. Nicht beide!

 

cu

blub

[MonsterX 10]

Sowohl in der Testumgebung als auch in der prudktiven Umgebung sind jeweils alle Computeraccounts der DHCP-Server in der Gruppe DNSupdateProxy. Meines Wissens nach muss doch der Computer-Account in diese Gruppe eingetragen werden und nicht die Credentials, welche ich für DDNS-per-DHCP benutze, oder liege ich da falsch? Also M$-Dokumente weisen jedenfalls daraufhin.