Controlador de domínio usando subdomínio enquanto o provedor de hospedagem faz o DNS principal

Question

Estou tentando configurar um controlador de domínio no Windows Server 2012 R2. Eu li que as melhores práticas são não usar um TLD composto (como .local, .lan, etc.), mas use algo que você realmente possui (diga mysite.com). Eu registrei um domínio através do namecheap.com, e eles fazem a hospedagem de e-mail e o DNS. Eu não tenho um endereço IP estático (ele raramente muda, mas é possível). Eu gostaria de continuar a usá-los para o DNS (eu só tenho alguns registros, @ e www, mas pode adicionar mais alguns no futuro). Eu uso uma ferramenta que atualiza o DNS com eles se meu endereço IP mudar. Eu decidi que farei a raiz do meu Domain Controller dc.mysite.com.

As pessoas normalmente têm algo como AD.mysite.com ou DC.mysite.com em seu DNS que está voltado para o público? Eu preferiria tê-lo resolvido para 192.168.1.x em vez da Internet voltada para IP.

Parece que preciso delegar para um subdomínio do controlador de domínio. A função DNS seria instalada no mesmo servidor. Seria apenas para o controlador de domínio. Eu gostaria de criar um subdomínio localmente (apenas intranet) sem envolver meu provedor de DNS (namecheap.com) - isso é possível? Eu preferiria manter apenas a intranet e deixar as consultas para @ e www passarem e permitir que o DNS namecheap.com seja autoritário para isso.

    

Answer 1

A menos que você ofereça serviços relacionados ao Active Directory para máquinas que usem resolvedores de DNS públicos (o que não é recomendável, porque a postura de segurança do AD não foi projetada para ser exposta diretamente à Internet pública) você não precisa exponha seu namespace DNS do AD à Internet. Normalmente, todos os computadores membros do seu domínio (incluindo os computadores Controlador de Domínio (DC)) devem servidores DNS em execução em controladores de domínio em sua floresta. Esses servidores normalmente seriam protegidos por firewall do Intenrnet.

O que você está dizendo em seu último parágrafo é mais ou menos correto. Quando você diz "..." e deixa as consultas para @ e www passarem ... ", isso parece indicar que você acha que precisa fazer algo. Supondo que você não crie uma zona" mysite.com "na sua A configuração de DNS do DC do serviço do Servidor DNS resolverá recursivamente automaticamente todos os domínios para os quais não é autoritativo.

    

Answer 2

Você está correto em saber que a sabedoria convencional atual (e a prática recomendada amplamente considerada) é usar um subdomínio não usado do seu domínio público para o AD. Para todos os efeitos, é aí que o relacionamento pára. Seu DNS público e seu DNS AD não precisam interoperar. Você não precisa delegar o subdomínio a seus servidores DNS do AD porque seu DNS público e seu DNS do AD devem ser gerenciados como namespaces separados. Você não deve expor seu servidor DNS do AD à Internet.

Se o seu domínio do AD tiver o nome ad.mysite.com , o seu servidor DNS do AD será autoritativo para ad.mysite.com . Não é autoritativo para mysite.com . Todas as solicitações internas de mysite.com recursos serão resolvidas pelos seus servidores DNS externos.