現象
Makale Özeti: Bu makale, Active Directory etki alanında DNS yapılandırması için en iyi yöntem önerilerini sağlar.
Active Directory'nin hedeflendiği gibi çalışması için DNS'nin düzgün yapılandırılması çok önemlidir. Yanlış yapılandırılmış DNS; oturum açma hataları, Grup İlkesi işleme ve çoğaltma sorunları dahil olmak üzere çeşitli sorunlara neden olabilir. Aşağıdaki en iyi uygulamalar listesi her şeyi kapsamasa da bir Active Directory etki alanı içinde uygun ad çözümlemesini sağlamaya yardımcı olur.
- Küçük bir ortamda en az bir etki alanı denetleyicisi (DC), DNS sunucusu olmalıdır. Windows olmayan sunucular dahil olmak üzere etki alanı denetleyicisi olmayan sunuculara DNS yüklemek mümkündür ancak DNS'nin etki alanı denetleyicisine yüklenmesi AD tümleşik arama bölgelerinin (aşağıya bakın) kullanılmasına olanak tanır, bu da güvenliği artırıp bölge çoğaltmayı kolaylaştırır.
- Daha büyük bir ortamda her fiziksel sitede en az iki etki alanı denetleyicisinin DNS sunucusu olması gerekir. Bu, bir etki alanı denetleyicisinin beklenmeyen bir şekilde çevrimdışı kalması durumunda yedeklilik sağlar. Etki alanına katılan makinelerin bundan yararlanabilmek için birden çok DNS sunucusu kullanacak şekilde yapılandırılması gerektiğini unutmayın.
- Birden fazla etki alanı denetleyicisi DNS sunucusu olarak yapılandırıldığında birinci olarak çözümleme, ikinci olarak da kendileri için birbirlerini kullanacak şekilde yapılandırılmalıdır. Her etki alanı denetleyicisinin DNS sunucusu listesi kendi adresini içermelidir ancak listedeki ilk sunucu olmamalıdır. Etki alanı denetleyicisi, çözümleme için yalnızca kendisini kullanırsa diğer etki alanı denetleyicilerini çoğaltmayı durdurabilir. Elbette tek bir etki alanı denetleyicisi olan bir etki alanında böyle bir sorun yaşanmaz.
- Etki alanına katılan tüm bilgisayarlar yalnızca dahili DNS sunucularını kullanmalıdır. Etki alanına katılan bir bilgisayar alternatif DNS sunucusu olarak harici bir sunucuyu kullanacak şekilde yapılandırıldığında dahili DNS sunucusuna geçici bir bağlantı kesintisi, bu makinenin çözümleme için harici sunucuyu kullanmaya başlamasına neden olur. Bu harici sunucu AD etki alanı içindeki sorguları çözümleyemez ve bağlantı tekrar sağlandığında istemci makine, dahili DNS sunucusuna otomatik olarak dönemez. Bu durum genellikle etkilenen makineden gelen etki alanındaki kaynaklara erişim sorunu olarak sonuçlanır. İstemci makinelere DHCP adresleri atamak için küçük ofis/ev ofis (SOHO) yönlendiricisi kullanıyorsanız manuel olarak aksi şekilde yapılandırılmadığı sürece, yönlendiricinin bu istemcilere harici DNS sunucuları da atayabileceğini unutmayın.
- Birden çok siteli bir ortamda etki alanı üyeleri farklı bir sitedekinden önce kendi yerel sitelerindeki DNS sunucularını kullanacak şekilde yapılandırılmalıdır. Bu, daha yavaş WAN bağlantılarından geçen DNS trafiği miktarını en aza indirir.
- Güvenliği artırmak ve DNS çoğaltma işlemini basitleştirmek için Active Directory ile tümleştirilmiş DNS bölgelerini kullanın. AD ile tümleştirilmiş DNS bölgeleri Active Directory içindeki dizin bölümlerinde depolanır. Bu dizin bölümleri AD'nin kalan kısmıyla birlikte çoğaltılır ve bu nedenle de DNS çoğaltma için başka bir yapılandırma (ör. bölge aktarması kurulumu) gerekmez. Ayrıca AD ile tümleştirilmiş bölgeler güvenli dinamik güncelleştirmelerin kullanılmasına da olanak tanır. Bu, etki alanıyla kimlik doğrulaması yapamayan makinelerden DNS kayıtlarının güncelleştirilmesini önler.
- Aksinin yapılmasını gerektiren önemli bir neden yoksa DNS bölgeleri yalnızca güvenli dinamik güncelleştirmelere izin vermelidir. Güvenli olmayan dinamik güncelleştirmelere izin verilmesi etki alanının parçası olmayan makinelerin etki alanının DNS sunucularındaki kayıtları değiştirebilmesini sağlar, bu da bir güvenlik riskidir. Dinamik güncelleştirmeleri tümden devre dışı bırakmak DNS kayıtlarının güvenliğini sağlar ancak etki alanı yönetimini daha zor hale getirir.
- İnternete bağlı bir ortamda harici ad çözümlemesi için ileticileri veya kök ipuçlarını yapılandırın. İleticiler harici sorgulara daha hızlı yanıt verebilir ancak bu yazı itibarıyla var olan yaygın olarak dağıtılmış 374 kök DNS sunucusundan daha az yedeklidir. Kök ipuçları Windows sunucularda varsayılan olarak mevcuttur ancak ileticilerin manuel olarak yapılandırılması gerekir.
- Etki alanı içindeki DNS sunucuları birbirlerini iletici olarak kullanmamalıdır. İleticiler bir DNS sunucusunun yanıt veremediği sorguları (ör. barındırmadığı bölgelerdeki kayıtlara yönelik sorgular) gönderdiği sunuculardır. Etki alanı içindeki DNS sunucularının tümü genellikle aynı bölgeleri barındırır. Bu nedenle biri bir sorguya yanıt veremediğinde hiçbiri yanıt veremez ve bu sorguyu bir sunucudan diğerine iletmek yalnızca gecikmelere neden olur.
- Eski DNS kayıtlarından kaçınmak için yaşlandırmayı ve kayıt atmayı yapılandırın. Yaşlandırma ve kayıt atma düzgün şekilde yapılandırıldığında eski kayıtlar (belirli bir yaştan önce olanlar, bu ayar yapılandırılabilir) DNS'den otomatik olarak temizlenir.
- DNS En İyi Uygulama Çözümleyicisi'ni kullanın. DNS En İyi Yöntem Çözümleyicisi burada belgelenenden daha fazla öğeyi denetler ve bulduğu tüm sorunların çözümü için rehberlik sağlar. DNS En İyi Uygulama Çözümleyicisi hakkında daha fazla bilgiye Etki Alanı Adı Sistemi için En İyi Yöntemler Çözümleyicisi sayfasından ulaşılabilir.
Not
: DNS En İyi Uygulamalar ile ilgili daha fazla ve ayrıntılı bilgi için işletim sistemi sürümünüze uygun resmi Microsoft belgelerine bakın.