Frage an die DNS-Experten zu SRV-Records und RODC

[Errazzor 10]

Hallo zusammen,

 

hab da mal eine Frage an die DNS-Experten bez. RODC's und SRV-Records.

 

Mir ist aufgefallen, dass RODC's *keine* SRV-Einträge in folgendem Ordner erstellen:

 

testdom.local\_msdcs\dc\_tcp

Hier sind für den RODC keine SRV-Records für _kerberos (0_100_88) und _ldap (0_100_389)

 

Die RWDCs haben sich korrekt eingetragen.

 

testdom.local\_msdcs\gc\_tcp

Hier ist für den RODC kein SRV-Record für _ldap (0_100_3268)

 

Die RWDCs haben sich korrekt eingetragen.

 

An anderen Stellen sind die SRV-Einträge aber korrekt vorhanden, z.b. hier:

 

testdom.local\_msdcs\dc\_sites\Sitename\_tcp

Hier sind für den RODC SRV-Einträge für _kerberos und _ldap vorhanden.

 

Kann mir jemand erklären warum das so ist?

 

Nach meinem Verständnis erstellt der RODC SRV-Records in der jeweiligen Site, nicht jedoch im "Ordner" für die gesamte Domäne.

 

Wenn nun ein Client per DNS-Abfrage einen Server sucht, der den globalen Katalog oder Kerberos-Dienste für die gesamte Domäne anbietet, wird er niemals auf einen RODC verwiesen?

 

Würde mich über Aufklärung freuen. Danke schonmal.

[olc 18]

Hi,

 

Du hast es doch vollkommen richtig beschrieben. ;)

 

Der RODC registriert standardmäßig nur SRV Einträge in der eigenen Site. Das ist auch wünschenswert so, denn wenn er generische Einträge registrieren würde, würden Clients ohne Subnetz (oder ohne erreichbaren DC im Subnetz) ggf. über die generischen _tcp Einträge auf einem RODC landen, was man im Normalfall nicht möchte (keine gecachten Kennwörter, ggf. nicht erreichbar per Netzwerk usw.).

 

Die RWDCs jedoch sollen ja bei einem "fallback" auf die generischen _tcp Einträge erreichbar sein - deshalb registrieren sie sich dort. Jedoch kannst Du auch das verändern, sollte das notwendig werden. Siehe dazu auch: 7.3.1.10 DNSRegistrationSettings

 

Viele Grüße

olc

[Errazzor 10]

Ein Kollege hat mir gerade das hier geschickt. Das sagt mir zwar, dass das Verhalten korrekt ist (ein RODC erstellt nur innerhalb seiner Site SRV-Records), aber ich wüsste gerne noch: Warum?

 

Kann ein RODC nicht für die gesamte Domäne als DC/GC dienen!?

 

--------------------------- snip ----------------------------

 

RODC Server 

[b]If the DC is an RODC [/b]with default NC X (and NC X's GUID is G) in site Y and in forest Z, then it registers SRV records with Service.Proto.Name equal to the following.

_ldap._tcp.Y._[b][color="Red"]sites[/color][/b].X
_ldap._tcp.Y._[b][color="red"]sites[/color][/b].dc._msdcs.X
_kerberos._tcp.Y._[b][color="red"]sites[/color][/b].X
_kerberos._tcp.Y._[b][color="red"]sites[/color][/b].dc._msdcs.X

 

Link --> 7.3.2.3 SRV Records

 

--------------------------- snap ----------------------------

 

EDIT: @olc, hab dein Post zu spät gesehen. Vielen Dank für die Erklärung und den Link :thumb1:

[olc 18]

Gern, melde Dich einfach bei Rückfragen dazu. :)

 

Viele Grüße

olc