win2k domæne med extern bind dns

>> den klager over at den ikke har fuld råderet over dns, hvilket den ikke skal have.

Det kan du lige tro at den skal have. Ellers kan du godt glemme at køre Active Directory. Din DNS server skal der kunne skrives i fra AD, den skal ligeledes have support for SRV records, hvilket ikke alle versioner af BIND har. Derudover skal den have en SOA record hvis jeg husker ret.

Hvad er det lige formålet med at køre DNS server på fbsd er?

formålet er at den windows maskine kun er til leg, jeg har ikke særlig stor tiltro til windows systemer, derfor tør jeg ikke basere mit netværk på den.
hvad så med et almindeligt domain uden ad, kan det lade sig gøre?
freebsd står som dhcp og sørger for dyndns samt proxy og mange andre netværksservices i det netværk

hmm ok, tillad mig at være grov et øjeblik. Jeg er MCSE i win2k, men samtidig er jeg også linux bruger/admin gennem flere år. Der hersker en udbredt misforståelse blandt *nix brugere at man ikke kan stole på Windows, og at Windows går ned og ikke virker osv.
Roden til misforståelsen kan jeg se er at de mener at Windows er primitivt og dermed nemt at administrere, og de går derfor til opgaven med et stort mål af arrogance og bedrevidenhed. Når disse urutinerede Windows admins fejler, så er det i deres hoveder ikke deres skyld, men blot fordi at "Windows sucks". Det er grænseløst irriterende at se. De 6000-7000 siders stof jeg læste for at bestå mine eksaminer var altså ikke bare skæg og ballade.

ok, nu hvor mit sure opstød er af vejen, så er det altså sådan at man sagtens kan køre et stabilt Windows netværk hvis man vel og mærke er en dygtig Windows admin. Det er pointen.

Angående dine spørgsmål: AD blev introduceret i Windows 2000. Det er en directory service ligesom feks Novell NDS eller OpenLDAP. Basalt set er det en objekt-database som indeholder en logisk repræsentation af dit netværk. Det vil sige den indeholder informationer om objekter, som feks brugere, printere, servere, ACL'er, replikerings topologier osv.
Man kan ikke køre et Windows 2000 eller 2003 domæne uden denne directory service, fordi den er hjørnestenen i det hele. Selv brugernes passwords er gemt inde i databasen, præcist ligesom i feks OpenLDAP. I typisk MS stil er der lavet proprietary extensions til deres kerberos og LDAP implementering, så du kan altså ikke gå ind og erstatte servicen med noget andet, som feks igen, OpenLDAP. Man kan diskutere længe om MS's motiver til at lave extensions. Jeg tror ikke det er for decideret at lukke konkurrenter ude, men snarere for at levere et produkt som er smartere. At de så står stejlt på at forsvare deres "intellectual property" og ikke gør deres extensions tilgængelige er en anden ting, og det kan selvfølgelig godt være irriterende.
Kort og godt så er et "almindeligt domain" i dag med AD. Windows NT4 domains var uden, men NT4 har nået sin EOL (End of Life) og der kommer ikke flere sikkerhedsopdateringer og lignende til den. Derfor er det en dårlig ide at starte på et NT4 domain i dag.
De førnævnte extensions gør at Samba, som kan emulere en windows domain controller, ikke kan fungere sammen med AD. Man kan ikke blande Windows og Samba domain controllere i et netværk. Det er enten-eller. Samba kan fungere som en Windows domain controller som svarer i funktionalitet til et NT4 domæne. Samba kan til gengæld fungere med OpenLDAP, hvis du ønsker at køre en directory service. Med Samba kan man også få sin linux/bsd server til at fungere som et medlem af et AD windows domain (men stadig ikke som domain controller!), hvor man får fordelene med single sign-on osv med.
Angående din DNS infrastruktur, så bør du, uanset hvad du kører dine DNS servere på, sørge for at din eksterne infrastruktur kører helt separat fra din interne. DNS navneopløsning bør aldrig gå igennem en firewall.
Et godt setup er hvor AD har sin egen DNS zone som feks ad.ditdomæne.dk, eller ditdomæne.local, og hvor brugerne på netværket benytter Windows DNS service til at opløse navne internt. DNS benyttes internt i AD til at finde ting i databasen. Det er derfor at det er så vigtigt at det fungerer. Herefter kan Windows DNS service sættes op til også at opløse internet domæne navne for brugerne, eller den kan sættes op til at forwarde requests til feks din BSD server. Samtidig bør man, efter min erfaring, ikke sætte en Windows DNS service op og regne med at den kan servicere de Internet domæner du hoster. Det er bedre gjort med Linux/BSD i en ekstern DNS infrastruktur placeret i DMZ.

nu tager du fejl af mig, jeg er til daglig  windows supporter ved en af danmarks største virksomheder, jeg har intet i mod windows i dagligdagen, jeg har respekt for din fine msce, kender mange folk der har den, har endda læst en del af stoffet selv.
jeg er hverken arogant eller bedrevidende, og jeg har i alt fald ikke sagt noget om at windows sucks, det egner sig bare ikke til det brug jeg har i dette netværk.
jeg har valgt freebsd fordi det er mit foretrukne styresystem når man har en server stående med services direkte ud mod internettet.
et system er kun så sikkert og stabilt som dets admin, dette er jeg klar over, dette lever jeg efter.

min bind dns kører med view så de externe og interne dns opslag er ikke ens.
det jeg er ude efter er en løsning på hvordan jeg kan sætte en windows domain controller op i mit allerede eksisterende netværk.
jeg er ikke interesseret i at skifte væk fra opensource systemer da dette er hjørne stenene i mit setup.
jeg undrer mig bare over at det er så svært at kombinere disse 2 systemer.
men løsningen må så være at adskille det fuldstændigt, dette er bare næsten umuligt grundet et blandet miljø af windows og unix klienter, men hva, sådan må det jo være

godt så =)

Du kan godt få AD til at virke med bind hvis du virkelig virkelig vil. Microsoft har 3 forskellige versioner af bind som de har testet og derefter sagt at de virker fint med vores software. Jeg husker ikke de præcise versionsnumre, men de kan findes på technet. Men det kræver stadig skriveadgang i bind server, support for SRV records (som nogle versioner af bind har), og en SOA record i den zone som AD skriver i.
Samba er dit bedste bud på en bro mellem *nix og Windows, men om det kan køre på dine unix klienter er selvfølgelig tvivlsomt.

jeg har brug for en windows til andre services også, det er faktisk derfor jeg har den.
men hvad faen skal den bruge adgang til dns´en for? den får jo alle hostnames serveret på et fad

Det er på grund af SRV records. Når en windows klient logger på et windows domæne forespørger den en SRV record i DNS. SRV records er navn til ip opløsning af en domain controller.
Hvis der ikke er nogen SRV record så kan klienten ikke logge på. På samme måde bruges SRV records når man melder en ny DC ind i et domæne. Netlogon processen benytter også SRV records aaaand so on.
Samtidig har AD behov for at opdatere disse SRV records dynamisk. En domain controller kunne jo gå ned, eller skifte ip, eller meget andet, og de bruges også i forbindelse med replikering hvis jeg husker ret.

lyder reelt nok :)
nu har jeg fået sat den bind op de efterspørger, men hvordan får jeg windows serveren til at smide data i den zone?
jeg har for længe siden oprettet domænet med ad og så bare kørt på localhost med den, men af en uvis grund fik jeg lavet lort i det så nu er den lokal kopi væk.
findes der ikke en måde man kan få serveren til at oprette srv records og det hele igen?
ipconfig /registerdns forespørger godt nok de før nævnte records, men den indsætter intet

Tror du bliver nødt til at oprette dem manuelt, og så dernæst få win2k til at benytte bind i de almindelige tcp/ip indstillinger, dernæst genstarte og bed en bøn =)
Jeg mener nok at win2k dns zone filerne ligger i ren tekst et sted på hdd, så du kan nok cut/paste dem over i bind på bsd stort set. Måske formatet er en smule anderledes.

hm.. nu ser det ud til at jeg har fået den maskine til at lave i bukserne.

jeg kan ikke oprette et domain fordi der allerede er et, og kan ikke fjerne det gamle fordi dens dns er fucked up :)
hyggeligt hyggeligt :)

hehe...

aaah ja, det er sikkert netlogon der brokker sig. Hvis du opretter en dns zone den kan skrive i, og dernæst genstarter så er der måske en chance for at den kan genopbygge dem under genstart. Ellers er det nok nemmest med en ominstallering.

nu kommer unix manden op i mig igen :)
det burde sgu ikke være muligt at man kan smadre en maskine så den skal ominstalleres ved at pille lidt ved dens services..

ominstallering tager en krig(flere dage grunde det den ellers kører af services) så det kan godt live hyggeligt

Helt enig. De har lavet AD en smule for automatiseret, og lidt for svær at fixe når lokummet virkelig brænder.

har du nogen idé om hvor de har kastet de system filer hen?

mener du AD databasen? Eller DNS zone filerne? eller?

zone filerne

Hvis jeg ikke husker helt forkert så er det ca der hvor hosts filen også er. Det vil sige windows/system32/drivers/etc/ men måske jeg husker forkert. Er desværre arbejdsløs ligenu, så jeg har ikke så mange servere ved hånden.

et teoretisk løsningsforslag til problemetikken omkring hvorvidt du skal lade din windows køre dns.
du kunne (teoretisk) oprette en primær zone på din windows, indsætte din freebsd-dns som nameserver på windows maskinens dns, og allowe axfr til den freebsd'en (eller alle interne ip'er), derefter sætte freebsd'en til at være slave for zonen, og sætte masters til din windows maskines ip.
hvis du kører det på ovenståene måde, forudsat at din bind version understøtter det, vil din freebsd få en zonetransfer med de forskellige srv records og andre oplysninger, som den så gemmer så dine klienter kan bruge dem.
begge zoner ligger på begge servere, men din windows svarer autorativt for zonen.
jeg er ikke sikker, men jeg tror at mens du indmelder maskiner i dit AD, så skal dns'en sættes til din windows server.

din dns ved jeg jo at du kan sætte op, for det har jeg set ;-)

/Kasper.

fik ikke lige resten med.
du kan så sætte dns på din windows til primært at være den selv, og sekundært til at være din freebsd.
nu burde din windows server kunne skrive alt det den har lyst til (da den opretter zonen gennem din dcpromo guide)

tilgiv mig hvis jeg roder totalt rundt, jeg er kun newbie på datafagtekniker udd. ;-)

nu skal jeg først have smækket den windows maskine rundt, den har det ikke så godt, så må vi se om jeg stadig gider rode med det

hehe.
hvis den mister sin dns/ad, så dør den ;-)
der er vel en måde at redde den på strych9?
jeg spurgte ad ansvarlig på arbejde, og fik at vide at det nemmeste var at smide hele systemet ind fra backup igen, så jeg gætter det er svært...

Hvis der ikke er nogen tidsinvestering på serveren, så som at man har brugt mange timer på at oprette brugerbasen eller lignende, så er det absolut nemmeste en geninstallering af OS. Eventuelt fulgt op af en backup.

Microsoft har lavet forskellige værktøjer til at reparere AD, men de er meget bekvemt (for MS) lagt i Win2000 resource kit, og det betyder at der ikke er support på værktøjerne. De er altså relativt udokumenterede, man skal have en god indsigt i hvordan AD fungerer internt, og så skal man have en god portion tålmodighed til at prikke rundt. - Faktisk præcist ligesom med Linux ;)