Мы — долго запрягаем, быстро ездим, и сильно тормозим.

FreeBSD
  настройка
  подсчёт трафика
  программы
  frox
  SARG
  samba & ClamAV
  named
  proftpd
  cacti
  SAMBA+AD+NT ACL
  MySQL
  hylafax
  DDNS+DHCP
  cvsupd
  Samba как PDC
  Основы LDAP
  LDAP+SSL
  LDAP auth
  knockd
  rsync
  MRTG
  Rejik
  Jabber - OpenFire
  Samba(PDC) + Ldap
  squid+AD
  ATSlog
  vsftpd
  LDAP: samba, dns, dhcp
  Free-SA
  cups-samba на samba+AD
  irc + services
  Nagios - мониторинг сети
  TeamSpeak
  icecast2
  verlihub (p2p)
  Icecast2 + Darkice
  OOPS
  vsftpd + mysql
  Amanda
  HAVP
  Рыбалка на FreeBSD
  DNS сервер NSD
  DNS сервер Unbound
  mpd5, msmtp, dynamic ip
  ProFTPd + LDAP
  OpenVPN + LDAP
  Samba (PDC+BDC)
  BIND & AD
  POWERDNS
  3proxy
  eGroupWare
  GLPI
  SugarForge CRM
  Bacula
  Mysql - базовое описание
  Asterisk IP PBX
  Samba & CUPS & AD & ACL
  SMSTools 3
  Samba+ NT ACL
  phpmyadmin
  1С:Предприятие 8.1
  PurefFTPd
  qemu network
  AimSniff
  comms/scmxx
  Zoneminder
  Openfire Jabber Server
  Zoneminder 2
  Принт-Сервер Samba+LPD & AD
  Кластер OpenLDAP 2.4
  Lightsquid
  Установка Zabbix-1.6
  Установка net2ftp
  VSFTPD + AD && MySQL
  Network UPS Tools
  mpd5 L2TP client
  Apache 2.2 as a proxy
  ejabberd+mysql+icq
  HotSpot
  Установка и использование Zenoss на FreeBSD 7.2
  mysql-proxy
  DNS zones
  squid+sams+sqstat
  transmission-daemon
  Squid+AD (group access)
  SysAid Server
  MySQL Master+Master
  proftpd file auth&quota
  usb_modeswitch
  NSDadmin
  iperf Тест скорости между хостами
  Простой факс-сервер mgetty+sendfax
  SQUID-MultiCpuSystem
  vsftpd + system users
  Syslog server
  Температура в серверной
  Nagios+Digitemp
  Avast! FreeBSD
  Настройка git+gitosis
  Firefox SyncServer
  Scan+Print server FreeBSD 9
  proftpd,pgsql,web
  почтовые системы
  Шелезяки
  Мелочи
  Файловая система
  WWW
  Security
  system
  Games Servers
  X11
  Programming
Очумелые Ручки
OpenBSD
Cisco


www.lissyara.su —> статьи —> FreeBSD —> программы —> BIND & AD

BIND как DNS сервер в Active Directory

Автор: Andy2k.


1. Введение.

Недавно в одной из организаций, с которой я сотрудничаю было принято решение перейти на режим терминальной работы с заменой всех компьютеров в сети на бездисковые рабочие станции (терминалы). Сразу встал вопрос - каким образом организовать разграничение доступа в Интернет для пользователей будущего сервера терминалов? Ранее эта проблема легко решалась на шлюзе под управлением FreeBSD с помощью IPFW и NetAMS, благо каждый пользователь сети однозначно идетифицировался по собственному IP.
Но в новых условиях работы все пользователи будут выходить в интернет с одного физического адреса, а именно сервера терминалов. Долгое гугление дало одно-единственное решение - proxy-сервер с авторизацией. Статья SQUID+AD на этом сайте помогла сделать окончательный выбор.
Не могу сказать, что я пришел в восторг от перспективы создания домена, да еще на Мастдае, но другой альтернативы нет. Но первое же "лабораторное" тестирование будущей схемы (на VMWARE) принесло еще один неприятный сюрприз - для подъема Active Directory жизненно необходим DDNS (Dynamic DNS) сервер. Таковой у меня имелся на том же шлюзе - "старый добрый" BIND, но Мастдай наотрез отказался с ним работать, ссылаясь на маловразумительные ошибки типа "SERVER_FAILURE", при этом, разумеется, в логах BIND никаких ошибок не было. Если же поднимать DNS на самом контроллере домена, ситуация искривлялась еще больше - появлялись два DNS сервера, обслуживающих одну и ту же зону, при этом обновлять ее РЕАЛЬНЫМИ ДАННЫМ мог только BIND (именно ему DHCP сообщал свои данные при выдаче  новых адресов, да и TFTPD для загрузки по PXE тоже находится на FreeBSD). Замаячила совсем уж безрадостная перспектива подъема на Мастдае DHCP и TFTP. Но на это я, как говорил герой одной замечательной комедии, "пойтить не могу"!.
Новое гугление принесло еще больше неразберихи - кто-то утверждал, что ему удалось заточить BIND для обслуживания запросов Active Directory, другие в один голос утверждали, что это невозможно, более того, возникший вследствие такого решения букет проблем превратит жизнь админа-испытателя в сущий ад, а закончится все неминуемым падением домена и полным разрушением Active Directory вообще :). Ну, как говорится, "глаза боятся, а руки делают", тем более я то пока буду "тренироваться на кошках".

2. Как же она работает или для чего Active Directory DNS?

На верный путь наставила статья "Dynamic DNS and Windows 2000 at Yale University" (http://babs.its.yale.edu/yalead/ddns.asp).
В ней достаточно подробно описано почему наличие DDNS так необходимо Мастдаю, что именно ему требуется от него,  какие данные он там хранит и как использует. Если вкратце - для запуска многих служб (LDAP, Kerberos, Global Catalog и т.д.) ему необходимо иметь информацию, на каких серверах домена они запускаются и работают. Для этого в DNS заносятся соответствующие "SRV" записи. Но это еще не все: по идеологии мелкомягких локальная зона обязана содержать еще ряд вложенных зон (_msdcs, _tcp и прочие). Именно эти зоны он и апдейтит для занесения туда нужных ему сведений. Ну тут все понятно - парни из Редмонда готовы спать на потолке и брюки одевать через голову, лишь бы быть не такими как все остальные. Одни имена подзон чего стоят, если вспомнить, что underscore "_" в именах доменов вообще-то запрещены RFC :). Вобщем, ничего "военного"  масдайный DNS в себе не несет, а значит мы вполне сможем без него обойтись.

3. Настраиваем BIND.

Вообще-то для безопасного обновления зон в BIND предусмотрен механизм ключей (hmac-md5), которыми BIND обменивается с желающими обновить ту или иную зону. Разумеется, гордая птица Мастдай выше все этого и ничего подобного делать не станет. Поэтому разрешения на обновления зон будет выдавать на определенный(ные) IP, на что BIND будет разумеется ругаться.
Предположим, что у меня есть зона TEST.LOCAL с подсетью 192.168.10.0/24. BIND установлен на хосте с именем squid.test.local. Терминальный сервер иметт IP 192.168.10.10 и называется t-server.test.local.
В named.conf она описана как:

zone "test.local" {
        type master;
        file "dynamic/test.local";
};


zone "10.168.192.in-addr.arpa" {
        type master;
        file "dynamic/10.168.192.in-addr.arpa";
};

Нам нужно создать ACL для обновления зон и указать в нем адрес контроллера домена. А так же создать следующие подзоны для корректной работы Active Directory:

_msdcs
_tcp
_udp
_sites
DomainDnsZones
ForestDnsZones


Вот как это будет выглядеть в named.conf:

acl AD-Server {
        192.168.10.10;
};

// Active Directory - _msdcs
zone "_msdcs.test.local" {
        type master;
        allow-update {AD-Server;};
        check-names ignore;
        file "dynamic/_msdcs.test.local";
};

// Active Directory - _sites
zone "_sites.test.local" {
        type master;
        allow-update {AD-Server;};
        check-names ignore;
        file "dynamic/_sites.test.local";
};

// Active Directory - _tcp
zone "_tcp.test.local" {
        type master;
        allow-update {AD-Server;};
        check-names ignore;
        file "dynamic/_tcp.test.local";
};

// Active Directory - _udp
zone "_udp.test.local" {
        type master;
        allow-update {AD-Server;};
        check-names ignore;
        file "dynamic/_udp.test.local";
};

// Active Directory - DomainDnsZones
zone "DomainDnsZones.test.local" {
        type master;
        allow-update {AD-Server;};
        check-names ignore;
        file "dynamic/DomainDnsZones.test.local";
};

// Active Directory - ForestDnsZones
zone "ForestDnsZones.test.local" {
        type master;
        allow-update {AD-Server;};
        check-names ignore;
        file "master/ForestDnsZones.test.local";
};

Параметр "check-names ignore" заставит BIND на обращать внимание на "_". И на всякий случай разрешить обновление нашей зоны TEST.LOCAL

zone "test.local" {
        type master;
        allow-update {AD-Server;};
        file "dynamic/test.local";
};


zone "10.168.192.in-addr.arpa" {
        type master;
        allow-update {AD-Server;};
        file "dynamic/10.168.192.in-addr.arpa";
};

Затем в каталоге dynamic создаем сами файлы зон следующего содержания:

файл _msdcs.test.local

$ORIGIN .
$TTL 86400      ; 1 day
_msdcs.test.local       IN SOA  squid.test.local. root.test.local. (
                                200110230  ; serial
                                28800      ; refresh (8 hours)
                                7200       ; retry (2 hours)
                                2419200    ; expire (4 weeks)
                                86400      ; minimum (1 day)
                                )
                        NS      squid.test.local.
$ORIGIN _msdcs.test.local.

файл _sites.test.local

$ORIGIN .
$TTL 86400      ; 1 day
_sites.test.local       IN SOA  squid.test.local. root.test.local. (
                                200110223  ; serial
                                28800      ; refresh (8 hours)
                                7200       ; retry (2 hours)
                                2419200    ; expire (4 weeks)
                                86400      ; minimum (1 day)
                                )
                        NS      squid.test.local.
$ORIGIN _tcp.Default-First-Site-Name._sites.test.local.

файл _tcp.test.local

$ORIGIN .
$TTL 86400      ; 1 day
_tcp.test.local         IN SOA  squid.test.local. root.test.local. (
                                200110224  ; serial
                                28800      ; refresh (8 hours)
                                7200       ; retry (2 hours)
                                2419200    ; expire (4 weeks)
                                86400      ; minimum (1 day)
                                )
                        NS      squid.test.local.
$ORIGIN _tcp.test.local.

файл _udp.test.local

$ORIGIN .
$TTL 86400      ; 1 day
_udp.test.local         IN SOA  squid.test.local. root.test.local. (
                                200110222  ; serial
                                28800      ; refresh (8 hours)
                                7200       ; retry (2 hours)
                                2419200    ; expire (4 weeks)
                                86400      ; minimum (1 day)
                                )
                        NS      squid.test.local.
$ORIGIN _udp.test.local.

файл DomainDnsZones.test.local


$ORIGIN .
$TTL 86400      ; 1 day
DomainDnsZones.test.local    IN SOA  squid.test.local. root.test.local. (
                                200110220  ; serial
                                28800      ; refresh (8 hours)
                                7200       ; retry (2 hours)
                                2419200    ; expire (4 weeks)
                                86400      ; minimum (1 day)
                                )
                        NS      squid.test.local.
$ORIGIN DomainDnsZones.test.local.

файл DomainDnsZones.test.local


$ORIGIN .
$TTL 86400      ; 1 day
ForestDnsZones.test.local    IN SOA  squid.test.local. root.test.local. (
                                200110220  ; serial
                                28800      ; refresh (8 hours)
                                7200       ; retry (2 hours)
                                2419200    ; expire (4 weeks)
                                86400      ; minimum (1 day)
                                )
                        NS      squid.test.local.
$ORIGIN ForestDnsZones.test.local.

Проверям, что владельцем всех файлов в каталоге dynamic является bind

#chown bind *

и делаем BIND-у рестарт

#/etc/rc.d/named restart

И бежим смотреть в логи:

Jul 16 14:27:31 squid named[1182]: starting BIND 9.3.4-P1 -t /var/named -u bind
Jul 16 14:27:31 squid named[1182]: zone 'test.local' allows updates by IP address, which is insecure
Jul 16 14:27:31 squid named[1182]: zone '10.168.192.in-addr.arpa' allows updates by IP address, which is insecure
Jul 16 14:27:31 squid named[1182]: zone '_msdcs.test.local' allows updates by IP address, which is insecure
Jul 16 14:27:31 squid named[1182]: zone '_sites.test.local' allows updates by IP address, which is insecure
Jul 16 14:27:31 squid named[1182]: zone '_tcp.test.local' allows updates by IP address, which is insecure
Jul 16 14:27:31 squid named[1182]: zone '_udp.test.local' allows updates by IP address, which is insecure
Jul 16 14:27:31 squid named[1182]: zone 'DomainDnsZones.test.local' allows updates by IP address, which is insecure
Jul 16 14:27:31 squid named[1182]: zone 'ForestDnsZones.test.local' allows updates by IP address, which is insecure
Jul 16 14:27:31 squid named[1182]: command channel listening on 192.168.10.1#953
Jul 16 14:27:32 squid named[1182]: running

Как и ожидалось есть ругань в сторону безопасности, но в целом все путём и BIND готов.

Теперь можно поднимать Active Directory. Мастер dcpromo на определенном этапе проверит указанный ему DNS и никаких изъянов в нем не обнаружит :) Через некоторое время в папке dynamic появятся файлы *.jnl (логи BIND), а еще через некоторое время в файлах зон появятся записи навроде этих:

$TTL 600 ; 10 minutes
c17a065c-5d3c-40dc-97e8-234a6d973edb CNAME t-server.test.local.
$ORIGIN _tcp.Default-First-Site-Name._sites.dc._msdcs.test.local.
_kerberos SRV 0 100 88 t-server.test.local.
_ldap SRV 0 100 389 t-server.test.local.
$ORIGIN _tcp.dc._msdcs.test.local.
_kerberos SRV 0 100 88 t-server.test.local.
_ldap SRV 0 100 389 t-server.test.local.
$ORIGIN _msdcs.test.local.
_ldap._tcp.77b49ee2-e89c-43a7-b609-6161feeef8e5.domains SRV 0 100 389 t-server.test.local.
gc A 192.168.10.10
$ORIGIN gc._msdcs.test.local.
_ldap._tcp.Default-First-Site-Name._sites SRV 0 100 3268 t-server.test.local.
_ldap._tcp SRV 0 100 3268 t-server.test.local.
$ORIGIN _msdcs.test.local.
_ldap._tcp.pdc SRV 0 100 389 t-server.test.local.

Вот собственно и все :).

4. Заключение.

Не смотря на то, что с BIND проблему решить удалось, я все таки остался недоволен всей схемой решения в целом. Ну не люблю я, образно говоря, ковырять в зубах спичкой, если под рукой есть зубочистка :)
Это я про то, что proxy-сервер в моем понимании должен заниматься ПРОКСИРОВАНИЕМ, а не контролем доступа или квотированием трафика. Есть для этого гораздо более удобные и функциональные инструменты, как, например, уже упомянутые выше NetAMS и IPFW. Да и само по себе поднятие домена только ради избирательной раздачи Интернета (в случае работы всех пользователей в терминале все можно прекрасно разрулить локальными политиками) - тоже пальба из пушки по воробьям.

PS: сейчас я прорабатываю одну схемку, которая позволит мне обойтись без домена, прокси, ntlm аутентификации и всего этого кордебалета. Точнее говоря, будет использована старая добрая схема фильтрации по IP, но с учетом особенности работы в терминале. Если получится - обязательно напишу еще одну статью.



Ссылка на обсуждение: http://forum.lissyara.su/viewtopic.php?t=17580.

размещено: 2008-07-16,
последнее обновление: 2008-07-17,
автор: Andy2k

оценить статью:

vlakas, 2008-07-16 в 22:51:19

Так сам же M$ говорит о возможности взаимодействия АД с DNS других производителей, которые должны соответствовать определенным требованиям (к сожалению так с ходу ссылу и не дам). Так что успех ваш не чудо :) Но за статью спасибо.

Sadok, 2008-07-16 в 23:26:56

М-м-м-.. И зачем такие пляски? Можно сосиски и в чайнике варить. Если уж AD, так почему родное не использовать?

Andy2k, 2008-07-16 в 23:54:31

2Sadok

А зачем мне ломать то что у меня уже есть и ставить масдайную приблуду, которая мне не нужна? И есть большие сомнения в надежности и безглючности масдайного ДНС

Sadok, 2008-07-17 в 0:13:56

Энди, сомнения надуманы :) Я не говорю о возможностях функциональности (мелодии Дунаевского оно не умеет играть), но работает нормально. И заточен для AD.

Вот у тебя один AD. А если несколько сайтов? А если лес? Доверительные отношения?

Я не говорю, что это работать не будет (и проверять не стану), но...

Статья полезная, не спорю, но если уж разорились на AD, то надо его средства использовать, ИМХО.

m0ps, 2008-07-17 в 9:20:19

полностью согласен с Sadok. раз уж КД на винде, то и dns с dhcp уже лутше на ней подымать. главный плюс - они практически не требуют никакой настройки, в процессе добавления роли контролера AD винда сама все сделает.

vlakas, 2008-07-17 в 10:09:14

Я не вижу больших проблем в использовании уже существующего ДНС для внедренного АД в опять же таки существующую инфраструктуру основанную на никсах. Виндовый ДНС, как показывает практика, работает нормально и больших проблем не создает: нормально обслуживает АД и нормально перенаправляет запросы, напр., на внешний ДНС. А вот с DHCP я был бы поосторожнее...

Andy2k, 2008-07-17 в 10:34:51

2Sadok

В теории с тобой согласен, но мой случай несколько особый.

Тут не в сомнениях дело. Перечитай еще раз введение - поднятие AD - вынужденная мера, на которую пришлось пойти ради прозрачной ntlm аутентификации в проксе. О каком лесе доменов может идти речь, нафик он сплющился, если там ОДИН видовый сервак и 40 терминалов на Thinstation? А поднятие виндового DNS потянуло бы за собой еще и виндовый DHCP+TFTP...

pgrishin, 2008-07-17 в 13:58:43

Статья как минимум полезна несмотря на мнения выше, т.к. таким образом можно поднять и бесплатный резервный dns+dhcp на bsd.

m0ps, 2008-07-17 в 17:09:02

pgrishin, нет почему же... очень интересно почитать-попробовать (на vmware), для общего развития отлично, но в реальной среде я бы так не поступил.

reLax, 2008-07-20 в 7:05:43

особо не вникая в статью, подумал, а не проще ли было сделать трансфер зон на BSD-сервер с DC ?

max, 2008-07-20 в 15:54:16

Статья полезна очень,ИМХО :)

wintester, 2008-07-21 в 14:50:23

Статья очень интересна, хотя я пользуюсь 2мя рассматриваемых DNS и "подружил" их трансферами, распределением обязанностей. И кстати MS DNS пока стабильностью очень нравится и все её критики от непонимания ЕЁ задач ;)

ALex_hha, 2008-08-06 в 14:53:58

Глупо использовать bind, когда в windows 2k3 server идет свой ДНС сервер, имхо. К тому же, если выходит из строя сервер на freebsd, у вас ложится AD, а это глупо.

> И есть большие сомнения в надежности и безглючности масдайного ДНС
факты в студию, а то языком все могут чесать. Посмотри сколько дырок находили/находят в BIND ;)

Andy2k, 2008-08-07 в 13:00:46

Что глупо а что умно - ты за других не решай.
Насчет вышедшего из строя FreeBSD - 5 баллов, давно так не смеялся.
Факты - факт у меня один: uptime на продакшен серваке под фрей уже более чем 8 месяцев, а мастдай перегружаю каждые 2 недели. А если уж взялся дырки считать - тебе сюда windowsupdate.microsoft.com ;)

ALex_hha, 2008-08-08 в 13:16:02

> uptime на продакшен серваке под фрей уже более чем 8 месяцев
Началось мерянье пиписьками (аптаймами) :)

> Насчет вышедшего из строя FreeBSD - 5 баллов, давно так не смеялся.
Мда, сразу видно твой уровень. А у тебя на freebsd какое то особое железо? Неламающееся :)

> а мастдай перегружаю каждые 2 недели
ну если руки из одного места, то уже никто не поможет. У нас почему то месяцами работают без перезагрузок. Исключение - накатка апдейтов, требующих перезагрузку.

> А если уж взялся дырки считать - тебе сюда windowsupdate.microsoft.com ;)
я спрашивал КОНКРЕТНЫЕ уязвимости в ДНС, тебе показать сколько было найдено уязвимостей в BIND?

Andy2k, 2008-08-08 в 13:21:56

ALex_hha
Юноша, не засоряйте камменты. Ваш уровень культуры и у мение вести конструктивную дискуссию вы уже всем продемонстрировали.

Любите мастдай - Вам сюда - www.microsoft.com.

lissyara, 2008-08-08 в 14:36:47

"Юноша" зрелого возраста вынужденно занимается виндой и только виндой.
Это приводит к таким вот непонятным порывам, хотя раньше был вполне правильным товарисчем, написавшим одну из самых популярных статей на сайте...

ALex_hha, 2008-08-08 в 18:30:52

> Ваш уровень культуры
жжешь. И это говорит человек, пишущий - "Замаячила совсем уж безрадостная перспектива подъема на Мастдае DHCP и TFTP." :) Неужели установить и настроить DHCP и TFTP так сложно? Или из серии - не асилил, многа букаф?!

> и у мение вести конструктивную дискуссию вы уже всем продемонстрировали
Про уязвимости вообще плавно съехал, это у тебя такой конструктивный довод?

> Не могу сказать, что я пришел в восторг от перспективы создания домена, да еще на Мастдае, но другой альтернативы нет.
про openldap не слышал? Использовать АД только для аутентификации?! Мда, вам явно надо почитать несколько книг для понимания сути вопроса.

P.S.
ничего личного, но когда такое встречаешь.

Как по мне, статья - просто попробовать и знать, что такое можно сделать. Но ставить такое в продакшене сможет только самоубийца. Это вам скажет любой вменяемый windows администратор

lissyara, 2008-08-08 в 18:32:47

Мда...
Лёх, чё-то ты совсем поплохел...

ALex_hha, 2008-08-08 в 19:32:50

Умнеем. Просто работаю в конторе, где час простоя стоит столько, сколько мы с тобой за 5 лет не заработаем вместе :). Работа в режиме 24*7*365. Доступность сервисов 98 или 99%. 1 или 2 %, сейчас уже не помню, идут на т.н. мейнтенансы. Так что такой экстремизм у нас не приветствуется :)

Я всего лишь высказываю точку зрения со стороны windows администратора. Речь идет конечно о т.н. продакшен серверах, а не сервере для небольшой фирмы ~ 50 человек.

Буду рад выслушать КОНСТРУКТИВНУЮ критику, с реальными фактами, а не freebsd рулез, windows must die. Для чего это все надо и какую выгоду мы от этого получим.

lissyara, 2008-08-08 в 19:54:00

У меня час простоя ещё дороже.
Однако - файлопомойка на самбе, фря везде кроме баз даных, и начальник периодически пинает по переводу домена на лдап...
Вот от последнего я морожусь.
=======
Думаю, ты становишься типичным виндузятником.
А жаль...

Sadok, 2008-08-08 в 21:05:57

Ну, Лис, ты слишком критичен. На суровые бизнес-критичные сервисы я Фрю не ставлю. Пардонте.. Поддержка Хьюлета, все дела... Не готово сейчас *nix-сообщество гарантировать (пусть за деньги!) мне спокойствие.

По мелким конторам- да. Фря любимая :) И дома пользуюсь.

lissyara, 2008-08-08 в 21:53:58

После падений файлопомойки на винде, на ровных местах - чё-то меня не тянет её на этой роли юзать.
Какие ещё процессы? Всё в сумме - это и есть бизнес процесс - простой любого компоента - убытки.
И очень много компонентов под фрёй. И про многие уже просто забываем - работает и всё.
======
И вообще - давайте завязывать с дискуссией в камментах. В форум.

N/A, 2008-08-16 в 11:07:10

По поводу целесообразности поднятия bind'a если можно поднять виндовый DNS. Поднял днс и ад на одном серваке, и минут 10 ждал пока эти друзья соблаговолят договориться, кому из них вперед запускаться :(

Sadok, 2008-08-16 в 14:00:25

Читайте документацию - там все написано.

kron, 2008-12-01 в 12:45:53

Статья очень полезна, спосиба, у меня несколько другая причина применить такое решение, АД стоит в Москве, зоны ДНС просто не нарисованы для моего Питерского филиала(сам в шоке, ХЗ кто додумался), права хрен даждешься на винды и денег на W2k3 пакет тоже(политика партии), посему вариант одын, для того чтобы все работало нормально, BIND обновляющийся с АД москвы и моего ДШСП(FreeBSD). И ИМХО говорить, что решение другово человека глупость, только по той причине, что тебя не ставили в его условия, вот это и есть глупость

thealexis, 2009-01-28 в 19:49:39

На сайте M$ решение вопроса с BIND висит с незапамятных времен: http://www.microsoft.com/technet/archive/interopmigration/linux/mvc/cfgbind.mspx?mfr=true
Там все культурно расписано, но только на english.

SirYorik, 2009-03-20 в 16:07:38

господа, жаль, что не набрели на практически бесплатную Novell eDirectory - до стрельбы AD по проксям.

yeaa, 2009-03-21 в 11:34:45

у меня в конфиге win2008serverSP1  + BIND 9.4.2-P2 на freebsd 7.1  при поднятии нового AD dcpromo вупор не хочет использовать подготовленные зоны на BIND 9.4.2-P2 на freebsd 7.1  упорно делает их на своём DNS говоря чтото про делегирование зоны.  

yeaa, 2009-03-22 в 11:23:17

блин походу сервак с win2008serverSP1 подломили пытается апдатить АД зоны на левом хосте d4461e57.rev.mira.dk
вот кусок tcpdump,  хотя сканирование вируса на сервере не находит:
14:16:14.827334 IP dep-w8s-1.dzn.nso.ru.61479 > .domain: 17353 update [1n] SOA? _tcp.dzn.nso.ru. (97)
14:16:19.823354 IP dep-w8s-1.dzn.nso.ru.61479 > d4461e57.rev.mira.dk.domain: 17353 update [1n] SOA? _tcp.dzn.nso.ru. (97)
14:16:29.823467 IP dep-w8s-1.dzn.nso.ru.61479 > d4461e57.rev.mira.dk.domain: 17353 update [1n] SOA? _tcp.dzn.nso.ru. (97)

Touch, 2009-03-30 в 0:25:26

Не знаю, не знаю .. у себя просто скопировал в bind зону с мастдая, после чего удалил её там и создал slave'а который апдейтится из bind'ом, в свою очередь bind апдейтится по ключам из isc-dhcpd. В результате получил ddns+dhcpd на FreeBSD который доменом не апдейтится - да и нафиг нужно, пусть апдейтится из isc-dhcpd при выдаче IP'шника ;)

Mike, 2009-06-10 в 14:33:09

Не понимаю вопросов "Зачем делать на freebsd, если есть windows?"
ИМХО правильнее "зачем делать на windows, если есть freebsd/*nix?"
Я реализовал описанную схему на drbd-кластере под Ubuntu, всё прекрасно работает, зоны реплицируются на 2 серваках. Плюс, привязал к bind'у dhcpd, работающий на этих же 2-х узлах в режиме failover. И это не "экстремизм", убийство виндовых dns и dhcp прошли совершенно незаметно. На виндовых серверах осталась голая Active Directory, все остальное переведено на linux. Следующим шагом будет перевод домена на openldap, но это уже другая история. Такой вот роадмап...
Отказоустойчивость и надежность *nix-решений - это факт, главное все грамотно реализовать. И будет вам 24*7*365...

dD, 2009-06-22 в 13:30:04

Спасибо за статью, реально помогла, "кошками" были bind9 на debian lenny , AD на server 2008 std. =)

holly, 2009-07-15 в 15:24:06

а зачем столько зон описывать ...
должно наверное и test.local одной хватить ...

Andy2k, 2009-07-15 в 15:25:58

holly
а ты попробуй и тут отпишись :)

holly, 2009-07-16 в 5:26:31

Andy2k досточно ...

serge, 2009-10-06 в 10:05:33

1. Спасибо за статью.
2. С некоторых пор dns от MS стал открывать около 100 портов. При попытке вернуть старую версию система сам обновляется и ставит "новую" версию.

f0s, 2009-11-19 в 12:06:05

так можно же было просто поднять домен на той же фре, с хранением всего в опенлдап.. у меня тоже бездисковые терминалы.. и три терминальных сервера. 100 клиентов. винда стоит тока на терминалах.. :)

Mikula, 2009-12-17 в 10:59:16

Прочитал всё, в том числе  перепалку про правильность/неправильтность использования BIND вместо виндового DNS (ЕМНИП в 2000 был "портирован" с BIND4). У меня возник другой вопрос. Зачем нужен был AD не проще ли было реализовать авторизацию на сквиде через домен созданный с помощью samba?

titan, 2010-03-03 в 12:39:07

Статья полезная. Спасибо Автору.
На счет продакшен версии не согласен - сервера на Windows целиком можно заменить на Unix систему, за исключением некоторых технологий(.Net,MS SQL и др). Но для этого надо быть гуру в Мастдае и Unix.

Считаю правильнее настроить систему на базе Unix, чтобы она работала 5 лет, практически без участия админа, чем постоянно мониторить масдай проекты.

Плюсы:
     1. Система работает как часы. По статистике время наработки без отказа на порядок выше.
     2. Уровень безопасности на порядок выше.
     3. Знание всех мелочей позволяет конфигурировать систему, как захочешь.
     4. За счет Unix выигрыш по ресурсам - как следствие система на Unix сможет выдержать большую нагрузку на том же железе чем версия на Масдае.
     5. По статистике на Масдай решениях приходить больше админов, чем на Unix решениях - экономия на зарплате.
     6. Выгодно по Лицензиям - огромная экономия.

Минусы:
     1. Гуру быть не каждому дано... система на Unix крайне сложна и при уходе спеца из компании (или по другим причинам) - систему не возможно конфигурировать, найти человека с такими знаниями почти не реально. При выходе из строя системы, бизнес процессы компании будут парализованы очень долго.
     2. Больше нету, но первого пункта достаточно...

goodle, 2010-08-24 в 14:11:11

Может спрашиваю очевидные вещи, но что значит строчка
$ORIGIN _tcp.Default-First-Site-Name._sites.test.local.
в файле _sites.test.local?
Там точно не не написано ничего лишнего?

nitro, 2010-11-15 в 16:43:54

Спасибо автору (во первых)но есть вопрос создаются два одинаковых DomainDnsZones.test.local это тест на смекалку ? )))) я так понял что второй ForestDnsZones.test.local

nerve, 2010-11-17 в 19:47:16

по крайней мере для Win2003  эта статья не подходит. нужно создавать не зоны, а SRV-записи для домена.
к тому же в статье есть ошибки, как отмечено выше, что недопустимо.

Andy2k, 2010-11-19 в 10:17:27

Именно на Windows Server 2003 проделыалось все, что написано в статье. Связка из контроллера AD и DNS сервера на BIND работает по сей день. Так что не пишите ерунду.

nerve, 2010-11-19 в 11:36:30

хорошо. зачем создавать зоны, если все что требуется, это дописать SVR-записи к имеющемуся домену "навроди" тех, которые в последнем скрине приведены?

nerve, 2010-11-19 в 11:37:01

хорошо. зачем создавать зоны, если все что требуется, это дописать SVR-записи к имеющемуся домену "навроди" тех, которые в последнем скрине приведены?

Andy2k, 2010-11-19 в 14:20:01

Читай статью - там все написано. Не веришь написанному - бери и пробуй сделать сам, может тогда поймешь -  почему все делается именно так, а не иначе.

andy03, 2010-11-20 в 18:37:25

2 Andy2k
линк http://babs.its.yale.edu/yalead/ddns.asp кривой

Bonhead, 2010-12-08 в 2:49:31

Дорогие коллеги!!!

Хватит жевать сопли и мерятся пиписьками. прикращайте камменты... читайте МАНЫ

joseph, 2011-01-22 в 12:33:22

Хмм, у меня в офисе так:
масдай с AD и файлопомойкой на борту, далее машинка - pf+squid+lightsquid+bind(slave)+dhpc+www.... все прекрасно работает, не знаю на счет терминалов правда, не использую

*, 2011-02-25 в 23:10:58

to joseph
забыли написать как у Вас в офисе про бекап...

joseph, 2011-02-26 в 12:06:20

Банально и просто - ZFS с пару терабайт на борту.

Max ID, 2011-10-18 в 13:35:55

Огромное спасибо автору за доступно написанную статью!
Побольше бы таких!

P.S. Использую Packet Filter

vold, 2013-12-14 в 5:02:37

"а еще через некоторое время в файлах зон появятся записи навроде этих:"

В bind-9.9.3 не появятся. W2K будет тихо послан.

А в далёком 2008 г., действительно, появлялись.


Оставьте свой комментарий:
Ваше имя:   *
e-mail:  
жирный
наклонный
подчёркнутый
ссылка
цвет
Нынешний год:   *
 


Хостинг HOST-FOOD

2014-07-27, lissyara
gmirror

Удалённое создание софтверного зеркала средствами gmirror, на диске разбитом с использованием gpart. Использование меток дисков для монтирования разделов.
2013-08-20, zentarim
Scan+Print server FreeBSD 9

Настройка сервера печати и сервера сканирования под управлением операционной системы FreebSD 9 для МФУ Canon PIXMA MP540
2011-11-20, BlackCat
Разъём на WiFi-карту

Делаем съёмной несъёмную антену на WiFi-карте путём установки ВЧ-разъёма
2011-09-14, manefesto
Настройка git+gitosis

Настройка системы контроля версия исходного кода в связке git+gitosis+ssh
2011-08-14, zentarim
Wi-FI роутер + DHCP + DNS

Настройка Wi-Fi роутера на Freebsd 8 + DNS сервер + DHCP сервер: чтобы Wi-Fi клиенты были в одной подсети с проводными, проводные и беспроводные клиенты получали адреса автоматически по DHCP, кэширующ
2011-06-15, -ZG-
Охранная система на FreeBSD+LPT

В этой статье описана попытка реализации простой охранной системы на базе FreeBSD с подключением к ней охранных устройтсв на LPT порт и видеорегистрацией.
2011-03-13, terminus
ng_nat

Описание работы ng_nat, практическое использование, достоинства и недостатки в сравнении с ipfw nat
2011-02-20, Капитан
Nagios+Digitemp

Статья описывает создание системы оповещения о превышении температуры в специальных помещениях на основе Nagios с использованием программы Digitemp.
2011-02-17, Le1
Zyxel Configuration

Скрипт для массового изменения конфига свичей Zyxel. Берет из файла iplist список ip-шек, заходит последовательно на каждый и выполняет комманды из файла commands, записывая происходящее в лог файл.
2011-02-16, fox
hast carp zfs ucarp cluster

HAST (Highly Available Storage), CARP, UCARP, ZFS, Cluster настройка и одаптация плюс личные размышления…
2011-02-04, BlackCat
Восстановление ZFS

История о том, как был восстановлен развалившийся RAIDZ ZFS-пул (перешедший в FAULTED) с помощью скотча и подручных средств. Или о том, какие приключения ожидают тех, кто не делает резервных копий.
2011-02-03, Капитан
1-Wire

Статья описывает самостоятельное изготовление контроллера DS9097 для съёма показаний с датчиков температуры DS1820 с помощью программы Digitemp.
2011-01-28, Капитан
Температура в серверной

Статья описывает построение системы наблюдения за температурой в помещении серверной с использованием программы Digitemp и выводом графиков в MRTG
2011-01-21, m4rkell
Syslog server

Как то буквально на днях, у нас завалилось, что то в еве) или не в еве не суть. Суть в том, что когда захотели снять логи с хостов esx обнаружили, что хранят эти негодяи логии только за последнии сутк
2011-01-07, lissyara
Canon/gphotofs

Монтирование цифровых фотоаппаратов Canon (PTP) как файловой системы, автоматизация этого процесса через события devd и внешние скрипты.
2010-12-13, Al
IPSec

Описание принципов работы IPSEC и способов аутентификации.
2010-12-07, manefesto
FreeBSD on flash

Было принято решении переехать на USB Flash и установить минимальный джентельменский набор для работы своего роутера. Делаем =)
2010-12-05, Fomalhaut
root ZFS, GPT

Инструкция по установке FreeBSD с использованием в качестве таблицы разделов GPT и в качестве основной файловой системы - ZFS
2010-09-05, Cancer
Настройка аудиоплеера на ximp3

Цели: Простенький аудиоплеер, для того что бы тетя продавец в магазине утром пришла нажала на кнопку Power и заиграла в зале музыка, так же был доступ по сети, общая шара куда можно заливать музыку, к
2010-08-31, Cancer
Установка и настройка OpenVPN

На днях появилась задача - объединить головной офис и 3 филиала в одну сеть через интернет посредством OpenVPN, чтобы люди могли подключаться через RDP к базам 1С на серверах.
2010-08-25, manefesto
freebsd lvm

Использование linux_lvm для работы с LVM разделами из-под FreeBSD. Проблемы которые возники при монтирование lvm раздела
2010-04-30, gonzo111
proftpd file auth&quota

Proftpd - квоты и авторизация из файлов, без использования базы данных и/или системных пользователей
2010-04-22, lissyara
tw_cli

Пошаговая инструкция по восстановлению RAID на контроллере 3ware, из которого выпал один диск. Настройка мониторинга состояния рейда и отчётов о его состоянии на email.
2010-04-14, fox
MySQL Master+Master

MySQL (Master Master) and (Master Slave) Как настроить репликацию…
2010-03-09, terminus
DNS zones

Краткий ликбез про управление DNS зонами. Примеры проведения делегирования прямых и обратных DNS зон.
2010-03-09, aspera
Squid+AD (group access)

Настройка прокси сервера SQUID с автроризацией пользователей в AD. Разделение пользователей на группы
2010-03-02, BlackCat
Шлюз: Часть 4

Настройка дополнительных сервисов: синхронизация времени (OpenNTPD), клиент DynDNS.org.
2010-03-01, BlackCat
Шлюз: Часть 3

Настройка DHCP и DNS серверов для работы внутри частной сети, c поддержкой внутренних (частных зон) DNS, а так же интеграция DHCP и DNS сервисов.
2010-03-01, BlackCat
Шлюз: Часть 2

Конфигурация МСЭ pf для проброса портов с изменением порта назначения и без, а так же поддержки активного режима FTP и ограничения максимального размера сегмента
2010-03-01, BlackCat
Шлюз: Часть 1

Быстрая настройка шлюза/маршрутизатора с установлением PPPoE-соединения, поддержкой NAT и DNS-forwarding.
2010-02-23, Morty
darkstat

Простая считалка траффика, со встроенным веб-сервером. Очень маленькая, может делать отчеты трафика по хостам, портам, протоколам, а также строить графики
2010-01-23, gonzo111
squid+sams+sqstat

Пилим squid и sams - примеры конфигов с объяснениями. Установка SqStat.
2009-12-19, schizoid
mpd5 + radius + ng_car + Abills

Настройка pppoe-сервера с биллинговой системой Abills и шейпером ng_car
2009-11-16, lissyara
UFS->ZFS

Удалённая миграция с UFS на ZFS. Загрузка с раздела zfs. Настройка для работы с малым количеством памяти под архитектурой i386.
2009-11-13, gx_ua
fusefs-ntfs

Установка, настройка и использование fusefs-ntfs, драйвер NTFS, предназанченного для монтирования NTFS разделов под FreeBSD
2009-11-12, Morty
LiveCD

Создание собственного LiveCD с необходимыми вам изменениями, автоматизирование данного процесса, а так же вариант скоростной сборки СД.
2009-09-27, lissyara
Samba как PDC

Контроллер домена - аналог M$ NT4 домена под самбой, без использования LDAP и прочей хиромантии. Просто и быстро =)
2009-08-30, terminus
ipfw nat

Подробное руководство по ipfw nat, сложные случаи конфигурации.
2009-08-24, levantuev
HotSpot

Установка Hotspot системы в общественное заведение.
2009-08-18, lissyara
diskless

Создание бездисковых терминалов под управлением FreeBSD - с загрузкой по сети. Используются для старта rdesktop и подключения к виндовому серверу терминалов.
2009-07-29, BAV_Lug
Видеонаблюдение

Настройка бюджетного варианта видеонаблюдения на удаленном объекте
подписка

    вверх      
Статистика сайта
Сейчас на сайте находится: 2 чел.
За последние 30 мин было: 13 человек
За сегодня было
571 показов,
74 уникальных IP
 

  Этот информационный блок появился по той простой причине, что многие считают нормальным, брать чужую информацию не уведомляя автора (что не так страшно), и не оставляя линк на оригинал и автора — что более существенно. Я не против распространения информации — только за. Только условие простое — извольте подписывать автора, и оставлять линк на оригинальную страницу в виде прямой, активной, нескриптовой, незакрытой от индексирования, и не запрещенной для следования роботов ссылки.
  Если соизволите поставить автора в известность — то вообще почёт вам и уважение.

© lissyara 2006-10-24 08:47 MSK

Время генерации страницы 0.0673 секунд
Из них PHP: 47%; SQL: 53%; Число SQL-запросов: 77 шт.
Исходный размер: 232025; Сжатая: 39885