שליטה ב-AD DNS Forwarders וב-Conditional Forwarders

שרתי DNS של Windows משתמשים במפנה DNS ובמפנה תנאי DNS כחלק חשוב מתשתיות ה-DNS שלך. במדריך זה, אנו הולכים לכסות את המפנים של DNS של AD ואיך תוכל לנהל אותם בסביבתך.

תגלה שמדי פעם תצטרך להוסיף או לנהל כתובות אלו של המפנה. חלק מהשינויים הללו צריכים להתבצע במספר שרתי DNS בארגונך. למרבה המזל, באמצעות פקודות כמו ה-cmdlet של Set-DnsServerForwarder ב-PowerShell ואחרים, תוכל לנהל את שני שירותי ה-DNS הללו בקלות.

פוסט בלוג זה כולל סרטון משולב שנוצר על ידי תורם של TechSnips, דיוויד לאמב. ניתן לצפות בו או, אם אתה מעדיף טקסט, להמשיך לקרוא!

החלפת מפנים של DNS

שרת DNS משתמש במפנה DNS כדי לחפש שאילתות עבור כתובות שאינן מוכלות באף אחת מהאזורים שבהם השרת הוא שליט. זה מספק לשרתי DNS שלך דרך יעילה לפתור שמות. ללא המפנים במקום, השרת DNS שלך היה צריך לשאול את שרתי הרמז שורש כדי להתחיל לפתור כתובות שאינן ידועות.

בעוד שכתובות המפנים הללו מוגדרות בנפרד על כל שרת DNS, שימוש ב-PowerShell יכול להקל על ניהולם רבות על ידי האפשרות להשתמש ב-cmdlet של Set-DnsServerForwarder.

התחל בצפייה בהגדרות המעבירים שמוגדרות כעכשיו עבור שרת ה־DNS המקומי. נעשה זאת באמצעות ה־cmdlet של Get-DnsServerForwarder. אנו משתמשים תחילה ב־cmdlet של Get-* כי עליך למצוא קודם את כל המעבירים הקיימים.

כפי שניתן לראות למטה, ישנם שני מעבירים מוגדרים עם כתובות IP של 8.8.8.8 ו־8.8.4.4.

PS> Get-DnsServerForwarder

כעת הוסף מעביר נוסף. המעביר הזה יכול להיות שרת DNS חדש שהגדרת ב־DMZ שלנו, או אולי באמצעות כתובת המעביר שסופקה על ידי ספק האינטרנט שלנו. במקרה זה, תשתמש ב־cmdlet של Set-DnsServerForwarder כדי להגדיר את הכתובת החדשה ואז תשתמש ב־Get-DnsServerForwarder כדי לוודא שהכתובת הוגדרה כהלכה.

Set-DnsServerForwarder -IPAddress 192.168.1.1
Get-DnsServerForwarder

לצערנו, זה לא הביא לתוצאה הרצויה. כפי שאתה רואה למעלה, שימוש ב־cmdlet של Set-DnsServerForwarder בעצם מחליף את רשימת המעבירים במקום להוסיף אליה. כדי להוסיף את הכתובת לרשימה, במקום להחליף את כל הרשימה, עליך להשתמש ב־Add-DnsServerForwarder.

כדי לתקן זאת, החלף את הרשימה עם שני המעבירים המקוריים, הוסף את הכתובת החדשה ואז בדוק האם הצלחת.

Set-DnsServerForwarder -IPAddress 8.8.8.8, 8.8.4.4
Add-DnsServerForwarder -IPAddress 192.168.1.1
Get-DnsServerForwarder

עכשיו יש לך את כל שלושת המעבירים הנוספים.

הסרת מעבירי DNS

נניח שברצונך להסיר כתובת מעביר, תשתמש ב־cmdlet של Remove-DnsServerForwarder כמו שמוצג למטה. לאחר מכן, תבדוק האם הכתובת הוסרה.

אם Set-DnsServerForwarder מחליף את מעביר ה־DNS, Remove-DnsServerForwarder מסיר אותו לחלוטין.

Remove-DnsServerForwarder -IPAddress 192.168.1.1
Get-DnsServerForwarder

Scaling to Multiple DNS Servers

לעיתים יש צורך להוסיף או להסיר כתובת מפנה במספר שרתי DNS. במקרה כזה, Set-DnsServerForwarder לא יעבוד. ממש כאן, פוורשל PowerShell מקל על כל התהליך של התקנת והסרת כתובת מפנה במספר שרתי DNS. אם אתה משתמש ב־Invoke-Command, כלול רשימה של כל שרתי ה-DNS שלך, ואז שים את Add-DnsServerForwarder בערך של פרמטר ה־scriptblock, תוכל לשנות את כל שרתי ה-DNS בפקודה אחת. ואז, באמצעות פקודה דומה, ראה את תוצאות השינויים שלך.

Invoke-Command -ComputerName DC01, DC02, DC03 -ScriptBlock {
    Add-DnsServerForwarder -IPAddress 192.168.1.1
}
Invoke-Command -ComputerName DC01, DC02, DC03 -ScriptBlock { Get-DnsServerForwarder }

DNS Conditional Forwarders

A special type of forwarder, called a conditional forwarder, cannot be modified with the Set-DnsServerForwarder cmdlet. This type of forwarder can be used when you have been provided with the IP address(es) of the DNS server(s) for a known DNS domain name.

פנה קדימה תנאי של DNS משתמש בפנה קדימה של השרת DNS לפני שהוא משתמש בפורודרים המופיעים במאמר זה.

לדוגמה, אם יש לך פנה קדימה תנאי שמוגדרת עבור tailspintoys.com, השרת DNS שלך יבדוק, לאחר שהוא וודא שזה לא תחום שהוא אוטוריטטיבי עבורו, וימצא שישנה רשומה. בנקודה זו, שרת ה-DNS שלך ישאל את שרת ה-DNS שמופיע לכתובת הרצויה בדומיין tailspintoys.com.

תכונה נחמדה של פנאה קדימה תנאי של DNS היא שניתן לשכפל אותן לשרתי DNS אחרים באותו אופן שכל אזור DNS משולב בפעולת Active Directory יכול להישכפל.

התחל על ידי בדיקה האם יש לך פנה קדימה תנאי שמוגדרת על ידי השימוש ב־Get-DnsServerZone cmdlet.

PS> Get-DnsServerZone

מעברית קדם להופיע ברשימה עם ZoneType של forwarder. במקרה זה, אין לנו אחד מוגדר. לכן, יש להשתמש ב-Add-DnsServerConditionalForwarderZone כדי ליצור את ההופנים התנאי, להגדיר אותם לשקף לכל יעד ביער ה Active Directory, ולאחר מכן לוודא שנוצרו בהצלחה.

PS> Add-DnsServerConditionalForwarderZone `
    -Name tailspintoys.com `
    -MasterServers 10.10.14.240,10.10.14.241 `
    -ReplicationScope Forest

PS> Get-DnsServerZone

הפלט מראה שיש לך את ההופנים התנאי שלנו מוגדרים, והם מוכנים לשימוש.

סיכום

פוורשל PowerShell מקל על ניהול הופנים DNS ואף מספק דרכים רבות לאוטומציה. עם PowerShell, תוכל כעת לנהל ולאוטומציה של הופנים AD DNS בדרכים רבות. ככה שככה התמודדנו עם הופנים בכל זווית אפשרית.