Почему DNS так важен для IP-конфигурации вашего клиента

Введение

В сети Active Directory есть много движущихся компонентов, которые необходимо понимать, чтобы помочь отследить проблемы, которые могут возникнуть с контроллерами домена, серверами и рабочими столами. Со стороны устранения неполадок рабочего стола многие проблемы можно отследить до IP-адреса DNS, настроенного для свойств IP. Если IP-адрес DNS неверен, произойдет много ошибок, которые в основном остаются за кадром, и ничто не укажет, в чем заключается истинная проблема. Чтобы увидеть, что может пойти не так, а также понять, что происходит за кулисами, в этой статье будут описаны все эти движущиеся части, чтобы выявить общие проблемы. Когда вы закончите читать, вы будете гораздо лучше понимать, как ваши настольные компьютеры (и даже серверы) получают всю информацию, необходимую им для аутентификации и доступа к сетевым ресурсам.

Первый шаг рабочего стола

Во время загрузки операционная система будет делать то, что ей нужно, чтобы установить основные файлы и параметры Windows. Это делается с помощью файлов boot.ini, ntoskrnl и других. Все эти файлы обеспечивают установку последней загруженной операционной системы и конфигураций. Это будет включать в себя реестр, файлы конфигурации и даже убедиться, что выбрана правильная операционная система, если на компьютере загружено несколько.

После того, как операционная система подготовлена, компьютеру необходимо настроить сеть. Для большинства корпораций сеть настраивается с использованием DHCP, что означает протокол динамической конфигурации хоста. DHCP очень хорошо известен, и большинство из вас уже знают эту аббревиатуру. Чтобы ваш рабочий стол мог связаться с DHCP, он выполняет широковещательную рассылку по сети для связи с DHCP-сервером. DHCP-сервер(ы) уже прослушивают эти запросы и перехватят широковещательный запрос и ответят, когда один из них услышит запрос.

Примечание:
Начиная с Windows 2000, если DHCP-сервер не отвечает (имеется в виду, что в сети есть сервер, который не отвечает, или его вообще нет в сети), рабочий стол автоматически настроит для себя IP-адрес. Это адрес APIPA, который означает автоматический частный IP-адрес. Диапазон IP-адресов APIPA составляет от 169.254.0.1 до 169.254.255.254.

Когда настольный компьютер связывается с DHCP-сервером, он получает конфигурации, связанные с IP. Конфигурации IP, которые большинство DHCP-серверов доставляют клиенту, включают:

айпи адрес

Маска подсети

Шлюз по умолчанию

IP-адрес DNS

WINS IP-адрес

доменное имя DNS

Если рабочий стол не получает правильные параметры IP, такие как IP-адрес или маску подсети, то рабочий стол может даже не взаимодействовать с другими компьютерами в сети. Если указан неверный шлюз по умолчанию, рабочий стол не сможет обмениваться данными за пределами своей подсети, в которую может не входить DNS-сервер.

Если рабочий стол настроен так, чтобы пользователь был локальным администратором, пользователь также может вручную изменить настройки IP-адреса. Это переопределит любые настройки, полученные DHCP-сервером, и в некоторых случаях может исключить все соединения с DHCP-сервером. В конце концов, рабочий стол может быть ограничен в общении со всеми другими компьютерами в сети. Он также может не связаться с правильным DNS-сервером, если запись DNS-сервера неверна для сети и домена Active Directory, в котором находится рабочий стол.

Второй шаг рабочего стола

Теперь, когда у рабочего стола есть вся необходимая информация о конфигурации IP, теперь ему необходимо найти и установить связь с контроллером домена для домена Active Directory. Вместо того, чтобы эта первоначальная связь была широковещательной, как это было для связи с DHCP-сервером, рабочий стол напрямую связывается с DNS-сервером, который он настроил для поиска контроллеров домена.

Рабочий стол устанавливает прямой контакт с DNS-сервером и ожидает ответа от DNS-сервера с информацией о контроллерах домена. Когда DNS-сервер получает запрос от рабочего стола, он должен проанализировать полученную информацию.

• DNS-сервер будет оценивать, в какой подсети находится рабочий стол, на основе IP-адреса и маски подсети, настроенных на рабочем столе.
• DNS-сервер должен оценить, на каком сайте Active Directory находится рабочий стол, если в DNS настроены какие-либо сайты.
• DNS-сервер должен оценить порядок контроллеров домена, которые он отвечает, на основе приоритета контроллера домена, сайтов и контроллеров домена, настроенных для использования для других сайтов.

Результат, который DNS-сервер передает рабочему столу, называется DCLIST и представляет собой иерархический список контроллеров домена, основанный на критериях, заданных DNS во время анализа. В верхней части списка DCLIST должны находиться контроллеры домена на сайте настольных компьютеров, а затем другие контроллеры домена, не находящиеся на сайте.

DNS-сервер также предоставляет другие SRV (записи ресурсов службы) на рабочий стол, которые ему необходимы. Сюда входят KDC (центр распространения ключей для Kerberos) и серверы DFS (если они настроены в DNS).

Если рабочему столу не удастся получить записи SRV, он не сможет использовать ничего, связанное с Active Directory, поскольку клиент может использовать Active Directory только для получения записей TCP, LDAP, DC и KDC SRV, которые он получает. из ДНС. Это приведет к сбою Kerberos, групповой политики и всех других соединений с контроллерами домена через Kerberos и LDAP.

Третий шаг рабочего стола

Теперь, когда настольный компьютер имеет IP-адрес контроллеров домена, он может установить прямое подключение к первому контроллеру домена в списке. Это должно быть быстрое соединение, так как контроллер домена должен находиться на сайте рабочих столов.

Если контроллер домена доступен, он ответит, и рабочий стол и контроллер домена будут обмениваться данными. Рабочий стол предоставляет информацию контроллеру домена, чтобы рабочий стол мог быть аутентифицирован как член домена.

После проверки подлинности рабочего стола он получит важную информацию, для которой он предназначен, например, сценарии запуска, параметры групповой политики и т. д. Эти данные передаются от контроллера домена через безопасное соединение, которое используется совместно из домена. контроллер через общий ресурс NETLOGON.

Есть большая вероятность, что рабочий стол, наконец, пройдет аутентификацию, но он будет использовать NTLMv2 или NTLM. Kerberos используется только тогда, когда рабочий стол может получить KDC и другие записи SRV из DNS. Опять же, если связь Kerberos с контроллером домена отсутствует, все функции Active Directory для рабочего стола завершатся сбоем.

Резюме

Как видите, конфигурация DNS для рабочего стола очень важна. Если на рабочем столе есть какие-либо неправильные настройки, либо вручную, либо с DHCP-сервера, рабочий стол не будет правильно взаимодействовать с DNS-сервером или контроллером домена Active Directory. Так как от правильной конфигурации DNS зависит так много, важно, чтобы DNS был правильно настроен для всех компьютеров Windows, присоединенных к домену Active Directory. Без правильной настройки рабочий стол не будет использовать Kerberos, не получит групповую политику и не сможет правильно использовать Active Directory из-за того, что не было установлено соединение с DNS-сервером для получения записей SRV, которые Active Directory помещается туда для поиска ресурсов AD.