Как настроить BIND для работы с контроллером домена?

Question

[Константин]

Стоит рабочий bind9 на centos, обслуживает одну небольшую внутреннюю зону (фирма в 100 пользователей). После выставления на доменном контроллере линукс-машины главным dns-сервером посыпались ошибки вида:

Проблема:
Запись ресурса "Rfc1510KdcAtSite" DNS-службы (SRV), объявляющая этот контроллер домена в качестве доступного сервера Kerberos для домена в рамках своего локального сайта, не зарегистрирована. Эта запись должна регистрироваться всеми серверами Kerberos в домене.

Воздействие:
Другие контроллеры и компьютеры-члены домена или леса не смогут найти этот контроллер домена в пределах локального сайта в качестве сервера Kerberos. Этот контроллер домена не сможет предоставить полный набор служб.

Разрешение:
С помощью групповой политики или реестра убедитесь, что запись "Rfc1510KdcAtSite" не настроена в списке "DnsAvoidRegisteredRecords". Перезапустите службу Netlogon. Убедитесь в том, что запись DNS "_kerberos._tcp.Default-First-Site-Name._sites.domain.local", указывающая на локальный контроллер домена "RED.domain.local", зарегистрирована в DNS.

Так понимаю, что контроллер не находит на dns этих записей. Как правильно исправить эту проблему? В какую сторону подкапывать?

Answer 1

[Константин]

Проблема решена:
На BIND9 прописаны зоны

_msdcs
_tcp
_udp
_sites
DomainDnsZones
ForestDnsZones

с параметром
allow-update {AD-Server;};
на всех серверах (вторичных контроллерах) поставил dns'ом AD-server

Нашел интересную статейку об этом случае:
Статья

Answer 2

[Сергей]

Контроллер домена должен быть Primary DNS, остальные все Slave. Так что переделывайте настройки на своем bind9 centos-е, чтоб он стал slave, а контроллер домена делайте держателем зоны

Comments

[Константин]

нашел решение по прописыванию _"корявых"._"зон" AD microsoft'а
www.lissyara.su/articles/freebsd/programms/bind+ad

По результату отпишусь.

[Сергей]

@fallen8rwtf Так у вас же Centos? Или все-таки у вас Microsoft ??

[Константин]

centos, работающий в среде active directory. проблема была в том, что не проходила репликация домена на удаленный офис из-за ошибки dns

Answer 3

[Максим Васильев]

Ещё можно зарядить контроллер в поддомен и делегировать его из основного. Ну и в поддомене сделать форвардинг.

Comments

[Константин]

возможно, но не вижу в этом нужды.домен всего один на фирме (на 2 офиса).
собственно, предыстория вопроса была в следующем: переводим серверную структуру с windows на Linux и частично на esxi. были переведены dhcp, файлопомойка, шлюз, мониторинг и последний пока что - dns.

[Максим Васильев]

Мне кажется родной dns будет менее заморочный, чем связка.
Не спроста же разработчики samba4 предпочти реализовать встроенный dns и ldap.

[Константин]

@qmax заморачиваться на самом деле особо не пришлось. по мануалы нужные зоны поднялись за минут 5-6, а работать с bind намного удобнее в плане редактирования, выгрузки и парсинга списков

Answer 4

[Niko]

Основной параметр check-names ignore; т.к. bind не дружит с соглашением имен в виндовс системах, остальное как и на всех биндах