O Windows Server 2012 suportará um encaminhador condicional aninhado?

Question

Eu trabalho para uma empresa com uma configuração de DNS dividida no domínio do AD. Eu sei que isso é menos que ideal, mas não estou em condições de promover mudanças nessa área. Eu possuo DNS autoritativo (interno e externo) onde o Active Directory não está envolvido, e outra equipe possui os controladores de domínio.

Antecedentes:

• Temos um domínio dividido chamado example.com , que reside em todos os controladores de domínio.
• Os DCs são configurados para usar encaminhadores para todos os domínios para os quais não são autoritativos.
• Existe um subdomínio ( sub.example.com ) que é delegado a endereços IP públicos em uma DMZ usando NS records. Tenho a necessidade de eliminar esses endereços IP usando endereços IP internos que estão fora da DMZ.
• Os novos endereços IP podem ser acessados pelos encaminhadores, mas não pelos controladores de domínio.

Para representar isso visualmente:

    example.com. (DCs are authoritative)
sub.example.com. (subdomain not managed by the DCs)

Gostaria de ter os registros sub.example.com. NS convertidos em um encaminhador condicional que envia tráfego para os encaminhadores padrão, mas os administradores do nosso domínio informam que o DNS do Windows não permitirá um encaminhador dentro de uma zona de pesquisa direta.

É verdade que esta é uma configuração não suportada? Outros produtos DNS não têm nenhum problema com um encaminhador que está abaixo de uma zona autoritativa, portanto, quero ter certeza de que estou trabalhando com as informações corretas antes de passar para uma estratégia diferente, como falhas de firewall para cada DC que ignoram os encaminhadores . (argh)

Já analisei encaminhar solicitações para subdomínio para outro servidor DNS no Windows 2k3 e a resposta aceita que recomenda uma delegação NS , que não responde a essa pergunta.

    

Answer 1

Vou começar com o aviso de que não estou muito familiarizado com os detalhes do MSDNS.

Antes de mais nada, posso confirmar que, se você tentar adicionar apenas uma zona de encaminhamento (por exemplo, uma zona de encaminhamento sub.example.com quando example.com existe como uma zona regular), você verá esta caixa de diálogo de erro:

---------------------------
DNS
---------------------------
A problem occurred while trying to add the conditional forwarder.
A zone configuration problem occurred.
---------------------------
OK   
---------------------------

(Gloriosa representação ASCII gerada automaticamente pelo Windows.)

No entanto, como é observado na documentação Usando encaminhadores (ênfase adicionada):

A DNS server cannot forward queries for the domain names in the zones it hosts. For example, the authoritative DNS server for the zone microsoft.com cannot forward queries according to the domain name microsoft.com. The DNS server authoritative for microsoft.com can forward queries for DNS names that end with example.microsoft.com, if example.microsoft.com is delegated to another DNS server.

Ou seja, se você delegar primeiro sub.example.com em outro lugar (limitando o escopo de sua example.com zona), ele permitirá que você adicione uma zona de encaminhamento para sub.example.com .

Se seguir esse caminho realmente funciona, provavelmente dependerá dos detalhes básicos do seu cenário.

Por que vale a pena, notei é que parece que o MSDNS por algum motivo ignora o bit RD (recursão desejada) para encaminhar zonas (isto é, encaminha mesmo quando RD não está definido), então aparece a delegação acima mencionada não é realmente visível nesta configuração.