LDAP://Yusufs.Directory.Blog/ - DNS

DNS vs. WINS

Yusuf Dikmenoglu — Sun, 06 Apr 2008 18:46:13 GMT

Ist es nun mit dem Windows Server 2008 das endgültige aus für den Windows Internet Naming Service (WINS) Server?

Microsoft sieht diesen Dienst nicht mehr als eine wichtige Rolle an, denn der WINS-Server ist nicht etwa im
Windows Server 2008 unter den Rollen zu finden, sondern, unter den Features. Unter Windows Server 2003 befand sich
der WINS-Server noch neben den Server-Funktionen: Domänencontroller, DNS, DHCP etc.

Mit dem WINS-Dienst werden NetBIOS-Namen in IP-Adressen aufgelöst. Dieser Dienst stellt das Pendant zum
Domain Name System (DNS) dar, denn es arbeitet ähnlich wie das DNS, dynamisch. Ein Unterschied zwischen
DNS und WINS sind die genutzten Ports. DNS verwendet den Port 53 und WINS die Ports 137, 138, 139 und 445.
WINS ist ein älterer Dienst der NetBIOS über TCP/IP (NetBT) nutzt und der elementare Dienst für die Namensauflösung
im Windows 9x bzw. Windows NT Umfeld ist. Mit Einführung von Windows 2000 führte Microsoft das Active Directory ein
und forcierte somit die Nutzung des DNS.

Falls kein WINS-Server in der Domäne zur Verfügung steht, werden NetBIOS-Namen durch Broadcasts aufgelöst. Durch die
Broadcasts kann sich je nach Größe der Umgebung sowie den eingesetzten Applikationen, der Netzwerkverkehr erheblich erhöhen.
Das betreiben eines WINS-Server in der Domäne ist zwar nicht zwingend, es ist aber mehr als empfehlenswert.
Warum? Weil zum einen jede Applikation die eine NetBIOS-Namensauflösung benötigt vom WINS profitiert und zum anderen,
der administrative Aufwand gegenüber dem Nutzen in keinem Verhältnis steht. Wenn z.B. eine Applikation ein langsames
Start- oder Arbeitsverhalten an den Tag legt, könnte das durch einen fehlenden WINS-Server hervorgerufen werden.
Einmal den WINS-Server installiert sowie konfiguriert, produziert er im täglichen Leben kaum Arbeit.

Weitere Beispiele die eine NetBIOS-Namensauflösung benötigen und somit von einem WINS-Server profitieren, wären z.B.:

die Netzwerkumgebung
Windows 9x Clients
Windows NT Clients sowie Server
Exchange 2000/2003
Anwendungen die eine Browsingliste verwenden u.v.m.

Was hat das nun mit dem Windows Server 2008 auf sich?

Da das Internet Protokoll in der Version 6 (IPv6) langsam aber sicher Einzug in den Unternehmen erhält und WINS
sowie NetBT nicht das IPv6 Protokoll unterstützen, hat Microsoft im Windows Server 2008 eine weitere neue Funktion,
nämlich die Global Names Zone (GNZ) im DNS eingeführt. Diese neue Funktion kann natürlich auch mit dem IPv4 Protokoll
genutzt werden. Bei der GNZ handelt es sich um eine Forward Lookup Zone (FLZ) mit statischen, globalen Einträgen,
die in erster Linie für größere Umgebungen konzipiert wurde.

Die GNZ ist kein neuer Zonentyp, sondern, dieser zeichnet sich alleine durch seinen reservierten Namen aus.
Diese Zone erlaubt das Auflösen von single-label, den sogenannten kurzen (NetBIOS) Namen, alleine durch den DNS-Dienst.
Somit können nun Unternehmen die auf ein reines IPv6-Netzwerk wechseln, dank der GNZ im DNS, die Namensauflösung mit
nur einer Domänenbezeichnung weiterhin nutzen. Oder wenn ein Unternehmen komplett auf die NetBIOS-Namensauflösung
verzichten und dabei aber trotzdem die single-label Namensauflösung nutzen möchte, dem wird das ebenfalls durch die GNZ ermöglicht.
Natürlich sollte vorher sichergestellt sein, dass nicht doch noch Applikationen existieren, die evtl. hart-codiert eine
NetBIOS-Namensauflösung benötigen. Auch ist diese Funktionalität für die Unternehmen interessant, die das verteilen
von DNS-Suffixen z.B. per GPO nicht als praktikabel ansehen.

Fakt ist aber, die GNZ ist kein Ersatz für den WINS-Dienst!

Da keine dynamischen Updates in der GlobalNames Zone registriert werden können wie im WINS, sollte die single-label
Namensauflösung in der GNZ primär für die wichtigsten Server oder Webseiten konfiguriert werden. Das bedeutet,
die Verwaltung dieser FLZ unterliegt dem Administrator. Dieser muss die Einträge händisch pflegen. Nach der Erstellung
der GlobalNames Zone im DNS, muss der Administrator manuell die Einträge in dieser Zone erstellen, hinzufügen, bearbeiten und entfernen.

Die Gründe für den Einsatz der GlobalNames Zone wären:>>

WINS soll nicht mehr verwendet werden.
Umstellung auf ein reines IPv6 Netzwerk.
Die Namensauflösung von einfachen, kurzen Namen soll lediglich für wichtige Server und Webseiten möglich sein.
Alle autorisierenden DNS-Server der Zone laufen unter Windows Server 2008.
Wenn es sich um eine große Umgebung mit vielen Domänen handelt,
kann das bereitstellen der Suffixsuchlisten auf den Clients sehr aufwändig sein.
Wenn keine zentrale Verwaltung in großen Umgebungen möglich ist,
kann auch nicht die Eindeutigkeit von Hostnamen sichergestellt werden.

Die Gründe gegen den Einsatz der GlobalNames Zone wären:

Es werden keine dynamischen DNS-Updates unterstützt!
Die Einträge in der GNZ müssen manuell gepflegt werden.
Die GNZ funktioniert ausschließlich auf DNS-Servern die unter Windows Server 2008 laufen.

Die Vorrausetzungen und die Besonderheiten der Global Names Zone wären:

Alle autoritativen DNS-Server einer Zone müssen unter Windows Server 2008 laufen.
Die Global Names Zone wird wie eine ganz normale Forward Lookup Zone (FLZ) im DNS implementiert. Der Name der FLZ
muss dabei zwingend GlobalNames lauten. Falls bereits eine FLZ mit diesem Namen existieren sollte, ist diese vorher zu entfernen.
Die GlobalNames Zone sollte AD-integriert gespeichert sein und auf alle DNS Server in der Gesamtstruktur repliziert werden.
Wenn aber lediglich eine begrenzte Anzahl der Server für die GlobalNames-Zone autorisierend sein soll, kann dazu eine
eigene DNS-Anwendungsverzeichnispartition erstellt werden.
Alle Einträge in der GNZ sollten als Alias-Einträge (einem sogenannten CNAME-Eintrag) erfolgen.
Auf jedem autoritativen DNS-Server in der Domäne und Gesamtstruktur muss ab sofort und für die Zukunft,
der folgende Befehl mit Administratorrechten ausgeführt werden, damit die GNZ-Funktionalität auf den
Windows Server 2008 DNS-Servern gewährleistet ist:
Dnscmd Servername /Config /EnableGlobalNamessupport 1.

Hinweis: Als Servername ist der Name des entsprechenden Servers einzutragen.
Wobei der lokale Server mit einem Punkt angegeben werden kann. Somit entfällt die Eingabe des Servernamen.
Der Befehl würde dann so aussehen: Dnscmd . /Config /EnableGlobalNamessupport 1.
Mit diesem Befehl wird in dem Registry-Pfad
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\DNS\Parameters der DWORD-Schlüssel EnableGlobalNamessupport
mit dem Wert 1 erstellt. Natürlich kann dieser Schlüssel manuell in der Registry erstellt werden,
damit sich das Ausführen von DNSCMD erübrigt.

Das einrichten einer GlobalNames Zone

Die GNZ kann entweder über die Benutzeroberfläche oder Kommandozeile eingerichtet werden.

Die Vorgehensweise über die GUI wäre folgende:

Im ersten Schritt gilt es die DNS-Managementkonsole (dnsmgmt.msc) entweder über „Start - Programme - Verwaltung - DNS“
oder über „Start - Ausführen - dnsmgmt.msc“ aufzurufen.
Mit einem Rechtsklick auf den Servernamen oder dem Eintrag Forward-Lookupzonen ist die Option Neue Zone… auszuwählen.
Nach der Willkommensseite ist der Zonentyp zu wählen. Es ist die erste Option Primäre Zone sowie das Kontrollkästchen
Zone in Active Directory speichern (DNS-Server muss als schreibbarer Domänencontroller eingerichtet sein) auszuwählen.
Damit die Zone im AD gespeichert werden kann, muss der DNS-Server auf einem DC installiert sein. Ansonsten kann diese
Option nicht aktiviert werden (sie ist dann ausgegraut).
Im nächsten Schritt möchte der Assistent auf der Active Directory-Zonenreplikationsbereich Seite wissen, auf welche
Server zum einen diese Zonendaten repliziert und zum anderen, in welcher Anwendungsverzeichnispartition diese Informationen
gespeichert werden sollen. Dabei ist es zwingend notwendig die erste Option
Auf allen DNS-Servern in der Gesamtstruktur:Root-Domäne.TLD zu wählen. Mit dieser Auswahl wird die Zone in der
Anwendungsverzeichnispartition ForestDNSZones gespeichert und wird zudem auf alle DNS-Server in der Gesamtstruktur repliziert.
Als nächstes ist es notwendig, den Namen der neuen Zone einzutragen. Dieser muss GlobalNames lauten.
Die Schreibweise des Namens ist zu vernachlässigen, denn sie ist in diesem Fall nicht „case-sensitive“.
Im darauffolgenden Schritt möchte der Assistent wissen, welche Art von dynamischen Updates für diese Zone gelten soll.
Da die GNZ keine dynamischen Updates unterstützt und die Einträge manuell zu pflegen sind, ist die letzte Option
Dynamische Updates nicht zulassen auszuwählen.
Im letzten Schritt angelangt, wird mit einem Klick auf Fertig stellen der Assistenten beendet.
Anschließend steht die neue Zone zur Verfügung.

Das einrichten der GlobalNames Zone über die Kommandozeile wäre folgende:

Mit Administratorrechten ist die Kommandozeile über „Start - Programme - Zubehör - Eingabeaufforderung“ aufzurufen.
Nun ist der folgende Befehl auszuführen:
Dnscmd ServerName /ZoneAdd GlobalNames /DsPrimary /DP /Forest

Hinweis: Als Servername ist der Name des entsprechenden Servers einzutragen.

Einträge zur GlobalNames Zone hinzufügen

Auch beim Hinzufügen von DNS-Einträgen hat der Administrator die Auswahl zwischen der GUI und der Kommandozeile.

Über die Benutzeroberfläche wird ein Eintrag wie folgt erstellt:

Mit einem Rechtsklick auf die FLZ GlobalNames ist die Option Neuer Alias (CNAME)… auszuwählen.
Im Feld Aliasname ist der gewünschte Name einzutragen.
Im Feld Vollqualifizierter Domänenname des Zielhosts ist der Ziel-Host mit seinem Fully Qualified Domain Name (FQDN) einzutragen.

Der Befehl zum erstellen eines Eintrags über die Kommandozeile sieht so aus:

Dnscmd /RecordAdd GlobalNames <Name> CNAME <FQDN des Ziel-Hosts>

Ein Windows 2000, XP oder Windows Vista Client hängt in folgender Reihenfolge das DNS-Suffix an: >

Zuerst wird das primäre DNS-Suffix angehängt, außer wenn (z.B. per GPO für XP/Vista-Clients) eine Suffixsuchliste konfiguriert wurde.
Das primäre DNS-Suffix ist standardmäßig der Domänenname, in welcher der Client Mitglied der Domäne ist. Das primäre DNS-Suffix
findet man unter: Systemsteuerung - System - Reiter Computername - Ändern - Weitere…
Falls keine Suffixsuchliste an den Clients konfiguriert wurde, wird anschließend das Verbindungsspezifische DNS-Suffix
der entsprechenden Netzwerkkarte verwendet.
Ist eine Suffixsuchliste bei den Clients konfiguriert, so werden einzig und alleine diese anstatt des primären und verbindungsspezifischen
DNS-Suffix angewendet. An Windows XP und Windows Vista Clients können per GPO eine Suffixsuchliste verteilt werden
(Computerkonfiguration-Administrative Vorlagen-Netzwerk-DNS-Client-„Suchliste für DNS-Suffix“).

How to configure a domain suffix search list on the Domain Name System clients

Ergänzend

Die aktuellen Betriebssysteme Windows Vista sowie Windows Server 2008 unterstützen zudem noch das
Link-Local Multicast Name Resolution (LLMNR), auch bekannt als Multicast DNS oder mDNS. Mit diesem neuen Protokoll wird
eine weitere Möglichkeit zur Auflösung von Hostnamen im gleichen Subnet zur Verfügung gestellt. Dies ist insbesondere dann
interessant, wenn kein DNS-Server zur Verfügung steht.

Mehr dazu: Link-Local Multicast Name Resolution

Fazit

Auch unter Windows Server 2008 lautet die Antwort: WINS hat weiterhin seine Daseinsberechtigung!

Weitere Informationen:
DNS Server GlobalNamesZone Deployment
Exchange Server 2003 and Exchange 2000 Server require NetBIOS name resolution for full functionality

Weiterhin viel Spass beim Lesen wünscht Yusuf Dikmenoglu.

DNS Server umziehen

Yusuf Dikmenoglu — Sun, 29 Oct 2006 20:43:11 GMT

Wie kann man einen DNS-Server bzw. die DNS-Zonen umziehen ?

Falls sich der vorhandene DNS-Server auf einem Domänencontroller befindet und dieser seine DNS-Zonen im Active Directory speichert,

repliziert sich das DNS automatisch mit anderen Domänencontrollern (die ebenfalls das DNS installiert haben),

sofern mehrere Domänencontroller vorhanden sind.

Wenn die DNS-Zonen nicht im Active Directory gespeichert werden,

befinden sich die DNS-Zonendateien im Verzeichnis „%windir%\system32\dns“. Dort befinden sich die Zonendateien mit dem Namen „NamederFLZ.dns“.

Diese kopiert man auf den anderen/neuen Server in das gleiche Verzeichnis „%windir%\system32\dns“ und richtet dort im DNS Snap-In

(das DNS muss bereits installiert sein) eine neue Zone ein. Man folgt den Anweisungen des „Assistenten zum Erstellen neuer Zonen“

und gibt im Menü-Punkt „Zonendatei“ den Namen der vorhandenen (kopierten) Zonendatei ein:

Eine weitere Möglichkeit stellt das Tool „dnscmd“ (aus den Windows Support Tools, dass sich im Verzeichnis Support auf der Windows Server 2003 CD befindet)

dar, worauf ich hier auf die wichtigsten Befehle eingehen möchte, denn das Tool kann weitaus mehr [1].

Mit dem Befehl „dnscmd <Servername> /ZoneExport <Zonenname> <Zonendatei>“ kann man eine Active Directory integrierte Zone exportieren,

wobei die exportierte Text-Datei im Verzeichnis „%windir%\system32\dns“ gespeichert wird.

Der Export-Befehl sieht folgendermaßen aus [2]:

dnscmd mzdcon01.contoso.com /ZoneExport intra.contoso.com intra.contoso.com.dns

Der Import einer Zonendatei, die aus einer primären Active Directory integrierten Zone exportiert wurde, kann über folgenden Befehl realisiert werden:

dnscmd <Servername> /Zoneadd <Zonenname> /Primary /File <Dateiname> /Load

dnscmd mzdcon01.contoso.com /Zoneadd intra.contoso.com /Primary /File intra.contoso.com.dns /Load

Damit diese Zone im Active Directory integriert gespeichert werden soll, gilt es folgenden Befehl einzugeben [3]:

dnscmd <Servername> /ZoneResetType <Zonenname> /Dsprimary

dnscmd mzdcon01.contoso.com /ZoneResetType intra.contoso.com /Dsprimary

Des Weiteren kann man z.B. noch die Option „Nur sichere dynamische Updates zulassen“ aktivieren. Dies geht mit dem Befehl [4]:

dnscmd <Servername> /Config <Zonenname> /AllowUpdate 1

dnscmd mzdcon01.contoso.com /Config intra.contoso.com /AllowUpdate 1

Eine Erleichterung stellt dieses Skript [5] dar. Damit lassen sich nicht nur die Zonen exportieren,

sondern auch die DNS-Server Konfiguration abspeichern. Das Skript muss als *.CMD gespeichert werden, bevor es ausgeführt werden kann.

Eine andere Variante wäre noch, dass man eine Kopie (sekundäre Zone) von der primären Zone erstellt und diese dann ggf. zur primären Zone deklariert.

Wenn eine sekundäre- zu einer primären Zone gestuft wird, müssen allerdings alle anderen sekundären Zonenserver umkonfiguriert werden,

um ihre Kopien vom „neuen“ primären Zonenserver anzufordern.

Weitere Informationen:

[1] Dnscmd Syntax

http://technet2.microsoft.com/WindowsServer/en/library/d652a163-279f-4047-b3e0-0c468a4d69f31033.mspx?mfr=true

[2] Dnscmd Examples

http://technet2.microsoft.com/WindowsServer/en/library/ed0e4eeb-34a5-420e-aa6a-961ae5fa0f291033.mspx?mfr=true

[3] Ändern des Zonentyps

http://www.microsoft.com/technet/prodtechnol/windowsserver2003/de/library/ServerHelp/6bf2981f-085c-4ed8-bce0-53412a83463f.mspx?mfr=true

[4] Zulassen von dynamischen Updates

http://www.microsoft.com/technet/prodtechnol/windowsserver2003/de/library/ServerHelp/f90323fc-dcd0-4242-9b2c-755053670b78.mspx?mfr=true

[5] http://www.reskit.net/DNS/dnsdump.cm_

How to move Windows 2000 DNS zones to another Windows 2000-based server

http://support.microsoft.com/kb/280061/en-us

Weiterhin viel Spass beim Lesen wünscht Yusuf Dikmenoglu.

Welcher DNS-Server sollte eingetragen werden ?

Yusuf Dikmenoglu — Tue, 12 Sep 2006 08:03:26 GMT

Es kommt immer wieder auch heute noch vor, dass Administratoren in den TCP/IP-Einstellungen ihrer Domänencontroller die das DNS installiert haben, als "Ersten DNS"-Server ihn selbst eintragen, aber mit der Localhost-Adresse 127.0.0.1. Dort sollte die "echte" IP-Adresse eingetragen werden, nicht zuletzt wegen:
RAS Clients Receive 127.0.0.1 for DNS Server Address

Trägt man den DC selbst als ersten DNS-Server ein, können bei einem Neustart die bekannten Fehlermeldungen mit der Fehler-ID: 4000, 4004, 4015 ...usw. in der Ereignisanzeige auftauchen, da dass DNS starten möchte, es aber nicht kann weil dass Active Directory noch nicht geladen wurde bzw. bereit ist.

Weiterhin könnte es unter Windows 2000 zu gravierenden Fehlern kommen, das Microsoft als DNS Server becomes an island [1] bezeichnet.
Dieser Fall kann eintreten, wenn als „Bevorzugter DNS-Server“ oder „Alternativer DNS-Server“ der Domänencontroller selbst eingetragen wird.
Stattdessen empfiehlt Microsoft, als primären DC/DNS-Server den allerersten DC/DNS-Server in der Gesamtstruktur und als sekundären,
einen anderen DC/DNS-Server einzutragen.

Daher habe ich die möglichen DNS-Server Einstellungen hier mal aufgeführt:

Gängige Praxis ist auch die "Überkreuz" Einstellung. Existieren zwei DCs in der Domäne, so trägt man jeweils den anderen DC als "Bevorzugter DNS-Server" in den TCP/IP-Einstellungen des DCs ein und sich selbst dann als zweiten.
Einziger DC/DNS: Diesen trägt man selbst mit seiner echten IP (kein Localhost) ein. Es gibt ja bloß diesen einen.
Mehrere DCs/DNS: Wenn man einen zweiten DC/DNS installiert, trägt man in den TCP/IP Einstellungen einen bestehenden (i.d.R. den ersten
DC/DNS) als "Bevorzugter DNS-Server" ein und erst wenn die Replikation stattgefunden hat, stellt man diesen wenn gewünscht um.
Man kann unter Windows Server 2003 jeden DC als DNS-Server installieren, wo jeder sich selbst als ersten und einzigsten DNS-Server eingetragen hat.
Man setzt alle DCs auf den ersten installierten DC/DNS, der der einzige zentrale DNS Server ist und bleibt.
Eine Kombination wäre, als ersten DNS trägt man einen "zentralen" DNS ein um z.B. bei einem Serverstart den typischen Fehlern aus dem Weg zu gehen, wo DNS loslegen möchte, aber der Verzeichnisdienst noch nicht geladen/bereit ist - und als zweiten trägt man ihn selbst ein.

Die Empfehlung geht unter Windows Server 2003 dahin, einen zentralen/anderen DC/DNS-Server als ersten DNS-Server in den TCP/IP-Einstellungen und den DC/DNS-Server selbst, als sekundären DNS-Server einzutragen.
Inseleffekt vermeiden

Weitere Informationen:
[1] DNS Server becomes an island when a domain controller points to itself for the _msdcs.ForestDnsName domain
Best practices for DNS client settings in Windows 2000 Server and in Windows Server 2003

Weiterhin viel Spass beim Lesen wünscht Yusuf Dikmenoglu.

FLZ und RLZ im DNS einrichten

Yusuf Dikmenoglu — Sun, 06 Aug 2006 16:08:44 GMT

Wenn man einen DNS-Server installiert, richtet man überlicherweise nach der Installation seine DNS-Zonen ein.

Natürlich nur, wenn es kein "only Cache DNS-Server" sein soll.

Klickt man mit rechts auf den Server im DNS Snap-In, kann man z.B. die Option "Neue Zone..." auswählen.

Danach wird man vom Assistenten gefragt, ob man eine Forward Lookup Zone oder eine Reverse Lookup Zone einrichten möchte.

Das ganze geht natürlich auch gezielter, in dem man direkt (mit rechts) auf die Container "Forward-Lookupzonen" um eine FLZ bzw. auf "Reverse-Lookupzonen" um eine RLZ einzurichten.

Somit muss man zwei Wege gehen, um eine FLZ sowie RLZ für "eine" Zone einzurichten.

Das ganze geht auch in einem Vorgang.

Klickt man mit rechts auf den DNS-Server (im DNS-Snap-In) und wählt die Option "DNS-Server konfigurieren..." aus, kann man eine FLZ sowie RLZ gleichzeitig einrichten.

Weiterhin viel Spass beim Lesen wünscht Yusuf Dikmenoglu.