Warum Active Directory ohne DNS nicht lebt
DNS ist kein Beiwerk
Ein Client kennt den Domänencontroller nicht. Er kennt nur seinen eigenen DNS-Server und den Domänennamen. Die eigentliche Frage lautet:
„Welcher Rechner bietet in
corp.labden Dienst LDAP auf Port 389?“
Die Antwort steht nicht in einer Konfigurationsdatei, sondern in DNS – genauer in SRV-Records. Deshalb ist DNS für AD keine optionale Rolle, sondern Voraussetzung.
_ldap._tcp.corp.lab SRV 0 100 389 dc01.corp.lab
_kerberos._tcp.corp.lab SRV 0 100 88 dc01.corp.lab
Der Aufbau eines SRV-Werts:
| Teil | Beispiel | Bedeutung |
|---|---|---|
| Priorität | 0 | Niedriger Wert = bevorzugt |
| Gewicht | 100 | Verteilung unter gleicher Priorität |
| Port | 389 | Dienstport (LDAP 389, Kerberos 88) |
| Ziel | dc01.corp.lab | Rechner, der den Dienst anbietet |
Die drei Zonenarten im Alltag
| Zone | Zweck | Beispiel |
|---|---|---|
| Forward-Lookup | Name → IP | dc01.corp.lab → 10.10.10.10 |
| Reverse-Lookup | IP → Name | 10.10.10.10 → dc01.corp.lab |
| Conditional Forwarder | Delegation für eine andere Domäne | partner.lab an deren DNS |
Reverse-Zonen werden „rückwärts“ benannt: Das Netz 10.10.10.0/24 heißt
10.10.10.in-addr.arpa, und der Record-Name ist nur das letzte Oktett.
Achtung
Ohne funktionierende Reverse-Zone ist die Namensauflösung nicht kaputt – aber viele Protokolle (Mail, Logs, Sicherheitsprüfungen) werden langsamer oder unzuverlässig, weil sie eine Rückwärtsauflösung versuchen.
Typische Record-Typen
- A – IPv4-Adresse. Der häufigste Eintrag.
- AAAA – IPv6-Adresse.
- CNAME – Alias auf einen anderen Namen. Kein CNAME auf Zonenwurzel.
- MX – Mailserver mit Priorität (
10 mail.corp.lab). - TXT – Freitext, u. a. SPF/DKIM für Mail.
- PTR – Reverse-Lookup, Gegenstück zu A.
Merke
Ein Record ist ein Paar aus Name und Wert, eingeordnet in eine Zone. Der
vollständige Name entsteht aus Name + "." + Zone – im Simulator wird das direkt angezeigt.
Was der Simulator abbildet
Zonen, Records, Typen und Werte werden echt gespeichert und geprüft. Nicht simuliert werden Zonenübertragungen zwischen Servern, DNSSEC und die Cache-Logik eines echten Resolvers.