Übersicht über DNS
Werbung
Einrichten von DNS (Engl. Originaltitel: Setting Up a Domain Name System) Duwamish Online Aaron Ching Microsoft Developer Network Dezember 2000 Zusammenfassung: Dieser Artikel gibt einen Überblick über den DNS-Dienst (Domain Name System), der im Lieferumfang des Betriebssystems Microsoft Windows 2000 enthalten ist, einschließlich einer Beschreibung der Beziehung zwischen DNS und dem Microsoft Active Directory-Dienst. Anschließend wird auf DNS-Aspekte eingegangen, die für Duwamish Online spezifisch sind. Einführung Sicherlich ist es Ihnen schon einmal passiert, dass Ihnen die Telefonnummer eines Freundes entfallen ist, vor allem, wenn es sich um eine Telefonnummer im Ausland mit einer langen Vorwahl handelt. Um sich das Leben zu erleichtern, verwenden Sie ein Adressbuch, um Namen und Telefonnummern einander zuzuordnen. Stellen Sie sich nun vor, Sie würden im Internet surfen und dabei nur IP-Adressen (Internet Protocol) des Formats "10.283.47.193" verwenden. Wahrscheinlich hätte sich das Internet niemals durchgesetzt. Als natürliche Ergänzung zu IP-Adressen wurde DNS (Domain Name System) schon früh im Rahmen der Kerntechnologien der Internetrevolution eingeführt, um die Netzwerkkommunikation benutzerfreundlicher zu gestalten. In diesem Artikel wird die Funktionsweise von DNS sowie die Beziehung zwischen DNS und dem Microsoft® Active Directory™-Dienst erläutert. Anschließend wird auf die für Duwamish Online spezifischen DNSAnforderungen sowie die DNS-Konfiguration für die Duwamish Online-Servergruppe eingegangen. Da der DNS-Dienst innerhalb von Microsoft® Windows® 2000 eine immer größere Rolle spielt, ist es wichtig, die zugrunde liegende Technologie zu verstehen, um eine solche Netzwerkumgebung erfolgreich bereitstellen und verwalten zu können. Übersicht über DNS Was ist ein Domänenname? Ein Domänenname, z. B. microsoft.com, besteht im Allgemeinen aus einer Reihe von Wörtern, die durch Punkte getrennt sind. Der letzte Teil eines Domänennamens, z. B. com, wird als Top-Level-Domäne (TLD) bezeichnet, während der vorausgehende Teil meistens den Namen eines Unternehmens oder einer Organisation angibt. Ein voll qualifizierter Domänenname (FQDN), wie z. B. server1.microsoft.com, besteht üblicherweise aus einem Hostnamen, der dem Domänennamen der Organisation vorangestellt ist (dieser wird als primärer Domänenname bezeichnet), um einen bestimmten Server oder ein anderes Gerät im Netzwerk eindeutig zu identifizieren. Wie in Abbildung 1 dargestellt, werden DNS-Domänennamen in einer hierarchischen Baumstruktur, die als Domänennamespace bezeichnet wird, organisiert, wobei mehrere Top-Level-Domänen von einer Registrierungsstelle für Namen im Internet verwaltet werden. Abbildung 1: Hierarchische Baumstruktur eines DNS-Namespaces Die am häufigsten verwendeten Top-Level-Domänen sind die folgenden: com für kommerzielle Organisationen. edu für Bildungsanstalten. org für Organisationen ohne Erwerbscharakter. net für Computernetzwerkorganisationen. gov für Organisationen der US-Regierung. Aus zwei oder drei Buchstaben bestehende Länder- bzw. Regionscodes, wie z. B. jp für Japan. Diesen Top-Level-Domänen sind Domänennamen der entsprechenden Organisationen untergeordnet. Diesen können wiederum die Domänennamen der verschiedenen Abteilungen innerhalb einer Organisation (die als untergeordnete Domänen bezeichnet werden) untergeordnet sein. Schließlich wird der Namensstruktur ein Hostname vorangestellt, um einen FQDN zu bilden, wie z. B. server2.msdn.microsoft.com. Bei msdn.microsoft.com handelt es sich ebenfalls um einen FQDN, der sich auf ein bestimmtes Webservercluster in microsoft.com bezieht. Funktionsweise von DNS DNS wurde als verteiltes Datenbanksystem entwickelt, das Informationen zur Übersetzung von Domänennamen in IP-Adressen bereitstellt. Diese Methode der Übersetzung von Namen in IP-Adressen wird als Namensauflösung bezeichnet. Im Allgemeinen führt jede Organisation ihre eigenen DNS-Server aus und verwaltet die Datensätze der Namensauflösungsdatenbank bzw. die Ressourceneinträge für ihre Domäne. Wenn eine Namensauflösungsanforderung erfolgt, überprüft ein DNS-Server zunächst seine eigenen Datensätze auf die entsprechende IP-Adresse. Wird die Antwort nicht gefunden, werden Informationen von anderen DNS-Servern abgefragt. Erhält ein Webbrowser beispielsweise eine Anforderung für den Zugriff auf die Site msdn.microsoft.com sucht er nach der IP-Adresse für den Domänennamen, indem er die folgenden Schritte ausführt: 1. 2. Der Webbrowser ruft einen (als Resolver bezeichneten) DNS-Client auf und versucht, die Abfrage lokal aufzulösen, wobei aus einer vorherigen Abfrage gespeicherte Informationen verwendet werden. Falls die Abfrage nicht lokal aufgelöst werden kann, fragt der Client einen bekannten DNS-Server nach der Antwort. Hat dieser DNS-Server innerhalb eines bestimmten Zeitraums mehrere Anforderungen für denselben Domänennamen, z. B. msdn.microsoft.com, erhalten, ruft er die entsprechende IP-Adresse aus seinem Cache ab und gibt sie an den Client zurück. 3. 4. 5. Kann der DNS-Server die Antwort nicht finden, kann sich der Client an einen der globalen StammDNS-Server wenden, die Verweise auf die autorisierenden DNS-Server für die Top-Level-Domänen verwalten und zurückgeben. In diesem Fall wird die IP-Adresse des autorisierenden Servers für die Domäne com an den Client zurückgegeben. Ähnlich fragt der Client den Server com, wo sich der Server microsoft.com befindet. Anschließend leitet der Client die ursprüngliche Abfrage an den Server microsoft.com weiter. Da der Server microsoft.com die autorisierenden Datensätze der Domäne msdn.microsoft.com lokal verwaltet, gibt er das Endergebnis an den Client zurück und schließt die Suche nach der bestimmten IPAdresse ab. Beachten Sie, dass DNS-Ressourceneinträge auf beliebig vielen DNS-Servern im Netzwerk gespeichert werden können. Möglicherweise sind auf dem in Schritt 2 erwähnten DNS-Server keine Einträge für msdn.microsoft.com zwischengespeichert; der Server verfügt jedoch wahrscheinlich über den Eintrag für microsoft.com oder zumindest über den Eintrag für die Domäne com. Auf diese Weise kann sich der Client eine oder mehrere Abfragen sparen, um das Endergebnis zu erhalten, und der Suchprozess kann beschleunigt werden. Damit die Informationen im DNS-Cache stets aktuell sind, werden den zwischengespeicherten Einträgen Einstellungen für die Gültigkeitsdauer zugewiesen (ähnlich dem Haltbarkeitsdatum auf Milchtüten). Wenn diese abläuft, muss erneut nach den Einträgen gesucht werden. DNS-Ressourceneinträge Wie bereits erwähnt, besteht jede DNS-Datenbank aus Ressourceneinträgen. Im Allgemeinen enthalten Ressourceneinträge Informationen, die sich auf einen bestimmten Hostcomputer beziehen, z. B. dessen IPAdresse, den Besitzer des Hosts oder die Art der Dienste, die dieser anbietet. Tabelle 1: Häufige Arten von Ressourceneinträgen Art des Beschreibung Ressourceneintrags Erklärung SOA (Start of authority) Autoritätsursprung Dieser Eintrag bezeichnet den Anfang einer Zone. Er enthält Informationen wie den Zonennamen, die E-Mail-Adresse des Zonenadministrators sowie Einstellungen, die festlegen, wie sekundäre DNS-Server die Zonendatendateien aktualisieren sollen. A Adresse Dieser Eintrag gibt die IP-Adresse für einen bestimmten Hostnamen an. Hierbei handelt es sich um den wichtigsten Eintrag für die Namensauflösung. CNAME Kanonischer Name Dieser Eintrag gibt einen Alias oder Spitznamen für den standardmäßigen (kanonischen) Hostnamen an. MX Mail-Exchanger Dieser Eintrag gibt den Hostcomputer an, der für den Empfang der an eine Domäne gesendeten E-Mails verantwortlich ist. NS Namenserver Dieser Eintrag gibt den für eine bestimmte Zone verantwortlichen Namenserver an. DNS-Zone Die DNS-Datenbank wird im Allgemeinen in verschiedene Datensätze zusammengehöriger Ressourceneinträge partitioniert. Diese Sätze mit Einträgen werden als Zonen bezeichnet. Eine Zone kann Ressourceneinträge für die gesamte Domäne, einen Teil der Domäne oder auch nur für eine oder mehrere untergeordnete Domänen enthalten. Ein DNS-Server, der eine bestimmte Zone (oder einen bestimmten Satz mit Einträgen) verwaltet, wird als der autorisierende Namenserver der Zone bezeichnet. Jeder Namenserver kann für eine oder mehrere Zonen gelten. Der Hauptzweck der Verwendung mehrerer Zonen innerhalb einer Domäne besteht darin, DNSVerwaltungsaufgaben zu vereinfachen, indem die Verwaltung jeder Zone an den entsprechenden Satz autorisierender Namenserver delegiert wird. Auf der Grundlage dieser verteilten Architektur können Administratoren verschiedener Zonen ihre eigenen untergeordneten Domänen effektiv verwalten, während der Domänennamespace expandiert. In bestimmten Fällen ist es schwierig, zwischen einer Zone und einer Domäne zu unterscheiden. Eine Zone ist eine Teilmenge einer Domäne. Man kann sie sich als einen Zweig (oder eine Teilstruktur) eines Domänennamespaces vorstellen. Beispielsweise könnte der Microsoft-Namenserver gleichzeitig für die Zone microsoft.com, die Zone msdn.microsoft.com und die Zone marketing.microsoft.com verantwortlich sein. Zonen der untergeordneten Domänen, z. B. msdn.microsoft.com können jedoch an andere dedizierte Namenserver delegiert werden. Wurde eine Zone so eingerichtet, dass Sie alle Ressourceneinträge der gesamten Domäne enthält, würde diese Zone vom Umfang her der Domäne entsprechen. Unter Windows 2000 können Zoneninformationen entweder im traditionellen Textdateiformat gespeichert oder in die Active Directory-Datenbank integriert werden. Weiter unten wird die Integration von DNS und Active Directory näher erläutert. Primäre und sekundäre DNS-Server Um die Verfügbarkeit des Dienstes zu gewährleisten, ist es erforderlich, dass mehrere Namenserver jede Zone durch Redundanz unterstützen. Ressourceneinträge einer bestimmten Zone werden entweder manuell oder automatisch auf einen einzelnen Masternamenserver aktualisiert, der als primärer DNS-Server bezeichnet wird. Ein primärer DNS-Server kann als autorisierender Server für mehrere Zonen eingesetzt werden. Andere redundante Namenserver, die als sekundäre DNS-Server bezeichnet werden, dienen als Sicherungsserver für den primären Server derselben Zone, falls der primäre Server nicht erreichbar oder nicht verfügbar ist. Sekundäre DNS-Server kommunizieren in regelmäßigen Abständen mit dem primären DNS-Server, um sicherzustellen, dass die Zoneninformationen aktuell sind. Ist dies nicht der Fall, erhalten die sekundären DNSServer eine Kopie der neuesten Zonendatendateien vom primären Server. Der Prozess der Replikation von Zonendateien auf mehrere Namenserver wird als Zonenübertragung bezeichnet. Beziehung zwischen Active Directory und DNS Active Directory ist der neue Verzeichnisdienst unter Windows 2000. Der Dienst speichert Informationen zu sämtlichen Netzwerkressourcen, wie z. B. Computer, freigegebene Ordner, Benutzer usw. Darüber hinaus stellt er diese Informationen über ein Standardinternetprotokoll - LDAP (Lightweight Directory Access Protocol) Benutzern und Anwendungen bereit. Weitere Informationen zu Active Directory finden Sie im Artikel Einrichten einer Active Directory-Domäne bzw. Setting Up an Active Directory Domain (englischsprachig). Im Gegensatz zum Domänencontroller unter Microsoft Windows NT® 4.0 sind Active Directory und DNS eng miteinander verbunden. DNS ist sogar für die Unterstützung von Active Directory erforderlich. Falls kein DNSServer im Netzwerk gefunden werden kann, wird bei der Einrichtung eines Active Directory-Servers während des Installationsprozesses gleichzeitig ein DNS-Server eingerichtet. Unterstützung als Locatordienst für Domänencontroller Eine der wichtigsten Neuerungen in Windows 2000 ist, dass ein Computer nicht mehr mithilfe eines NetBIOSNamens (Network Basic Input/Output System) identifiziert wird; stattdessen verwendet DNS einen voll qualifizierten Domänennamen (FQDN), z. B. server1.duwamishonline.com. Um sich an eine Windows NT-Domäne anmelden bzw. auf Ressourcen in dieser Domäne zugreifen zu können, ist ein Computer unter Windows 2000 erforderlich, der nach einem DNS-Server sucht. Dieser wiederum sucht nach den Active Directory-Domänencontrollern. DNS wird also als Locatordienst für Domänencontroller verwendet. Integration mit Active Directory Eine weitere wichtige Funktion des DNS-Servers von Windows 2000 ist die Integration von DNS-Zonen in Active Directory, um die Fehlertoleranz und die Sicherheit zu erhöhen. Jede in Active Directory integrierte Zone wird automatisch auf alle Domänencontroller innerhalb der Active Directory-Domäne repliziert. Dennoch kann der DNS-Server von Windows 2000 als traditioneller dateibasierter DNS-Server konfiguriert werden. Um Fehlertoleranz für den DNS-Dienst bereitzustellen, muss jedoch zusätzlich zum primären DNSServer manuell ein sekundärer DNS-Server eingerichtet werden. Konfigurieren von DNS-Diensten für Duwamish Online Für Duwamish Online ist sowohl externe als auch interne Domänennamensauflösung erforderlich. Extern ordnen die DNS-Dienste www.DuwamishOnline.com der IP-Adresse unseres Webservers zu. Die interne Namensauflösung wird von der Duwamish Online-Anwendung verwendet, um Servernamen aufzulösen. DNS ist für Active Directory erforderlich, das wiederum erforderlich ist, um von eingereihten COM+Komponenten aus auf öffentliche Warteschlangen in Message Queuing (MSMQ) zuzugreifen. Weitere Informationen zu MSMQ und Netzwerkarchitekturen finden Sie im Artikel Duwamish Online Message Queuing Configuration (englischsprachig). . Das Einrichten von DNS-Diensten unter Windows 2000 ist relativ einfach. Die Sicherheitsanforderungen sind jedoch für externe und interne DNS-Informationen unterschiedlich. In diesem Abschnitt werden Sicherheitsprobleme sowie mögliche Lösungen diskutiert. Außerdem wird die Beziehung zwischen den von der Message Queuing-Konfiguration verwendeten Active Directory-Diensten und DNS innerhalb der Duwamish Online-Servergruppe beschrieben. Schließlich wird erklärt, wie Sie Domänennamen registrieren und DNSServer unter Windows 2000 einrichten können. Sicherheitsdiskrepanzen zwischen öffentlichen und privaten DNSInformationen Ursprünglich wurden zwei DNS-Server eingerichtet: ein primärer DNS-Server und ein sekundärer DNS-Server für Redundanz. Auf diesen DNS-Servern wurden zwei Zonen eingerichtet: eine für die externe Internetdomäne DuwamishOnline.com und eine für die interne Domäne InternalDomain.com. Wie bereits erwähnt, ist die Einrichtung eines DNS-Servers für die interne Domäne eine neue Anforderung für eine Active Directory-Domäne unter Windows 2000. In dieser ursprünglichen Konfiguration sind die DNSServer sowohl mit der externen als auch mit der internen Domäne vernetzt, z. B. die externe Netzwerkschnittstellenkarte (NIC) mit der IP-Adresse 192.168.100.1 und die interne NIC mit der IP-Adresse 10.10.10.1. Internetbenutzer können den Server für unsere externe Zone abfragen. Da die externe und die interne Zone jedoch von demselben DNS-Server verwaltet werden, steht unsere interne Zone ebenfalls für DNS-Abfragen offen. Internetbenutzer können grundlegende Netzwerkprogramme wie NSLookup (Name Service Lookup) verwenden, um auf DNS-Informationen der internen Domäne zuzugreifen. Theoretisch ist es unmöglich, ein Netzwerkpaket an die interne Domäne weiterzuleiten, das unsere internen Server direkt angreift. Je weniger interne Informationen jedoch für andere zugänglich sind, desto sicherer sind unsere Operationen. Auf diese Weise wird ein möglicher Zugriff auf das Back-End und damit auf wichtige Geschäftsinformationen verhindert. Lösungen für die DNS-Bereitstellung Im Folgenden werden einige mögliche Lösungen für das Sicherheitsproblem unserer ursprünglichen Konfiguration aufgeführt: Verwenden separater DNS-Server für die zwei Domänen/Zonen Verwenden eines Internetdienstanbieters (Internet Service Provider, ISP) als Host für den externen DNS-Dienst Einrichten von zwei Zonen auf einem Server und Konfigurieren von Active Directory mit entsprechender Zugriffssteuerung Verwenden separater DNS-Server Eine Möglichkeit, das Sicherheitsproblem zu lösen, besteht darin, die DNS-Vorgänge der beiden Zonen zu isolieren, indem zwei separate DNS-Server verwendet werden: einer, der sich im öffentlichen Netzwerksegment befindet, und einer, der ausschließlich für interne DNS-Abfragen zur Verfügung steht. Das bedeutet jedoch die Verwaltung eines weiteren Servers, was im Falle kleinerer Weboperationen nicht unbedingt empfehlenswert ist. Um die allgemeine Empfehlung von mindestens zwei autorisierenden Servern für jede Zone umzusetzen, wären sogar vier DNS-Server erforderlich, um eine entsprechende Fehlertoleranz für beide Domänen zu gewährleisten, einschließlich eines primären und eines sekundären DNS-Servers, damit die Site auch bei Ausfall eines Servers funktionsfähig ist. In größeren Servergruppen ist diese Lösung vorzuziehen, da auf diese Weise absolute Kontrolle über die gesamte Betriebsumgebung gewährleistet ist und die Abhängigkeit von Drittanbietersystemen reduziert wird. Verwenden eines ISPs als Host für den externen DNS-Dienst Eine andere Möglichkeit besteht darin, die externe Domäne von einem Internetdienstanbieter verwalten zu lassen, während wir die DNS-Server für unsere interne Domäne verwalten. In dieser Konfiguration wären unsere DNS-Server lediglich mit dem internen Netzwerk verbunden und über das Internet nicht zugänglich. Wahrscheinlich ist dies der einfachste Weg, um die beiden Domänen zu isolieren und den Verwaltungsaufwand für die zusätzlichen DNS-Server zu minimieren. Darüber hinaus verfügen ISPs im Allgemeinen über bessere Netzwerk- und Systemredundanz für ihre DNS-Server. Anschließend kann im internen Netzwerk ein sekundärer DNS-Server eingerichtet werden, um Fehlertoleranz für interne Namenlookups bereitzustellen. Konfigurieren der Zugriffssteuerung von Active Directory Es ist möglich, die beiden Zonen auf einem Server einzurichten und die Zone mit den Active DirectorySicherheitsfeatures zu integrieren. Mit der entsprechenden Zugriffssteuerung für DNS-Dateien in Active Directory können interne DNS-Abfragen theoretisch auf authentifizierte Benutzer beschränkt werden. Diese Lösung wurde jedoch noch nicht überprüft. Sie ist so komplex, dass umfangreiche Tests erforderlich wären, um sicherzustellen, dass die korrekten Einstellungen verwendet werden und nicht aus Versehen interne Informationen ins Internet exportiert werden. Registrieren eines Domänennamens Um Namespacekonflikte mit anderen Organisationen zu vermeiden, muss der vorgesehene Name unserer externen Domäne, DuwamishOnline.com, bei einer Registrierungsstelle für Domänennamen registriert werden. Am Anfang gab es nur eine Registrierungsstelle für den gesamten Domänennamespace. Da die US-Regierung jedoch die gesamte Internetinfrastruktur zunehmend privatisiert und globalisiert, gibt es inzwischen zahlreiche solcher Stellen. Eine Liste der weltweit akkreditierten Registrierungsstellen finden Sie auf der ICANN-Website (Internet Corporation for Assigned Names and Numbers) unter http://www.icann.org/ (englischsprachig). Dabei handelt es sich um eine Organisation ohne Erwerbscharakter, die von der US-Regierung damit beauftragt wurde, die Zuweisung von IP-Adressen zu überwachen und die DNS-Infrastruktur zu verwalten. Obwohl der Registrierungsprozess bei verschiedenen Registrierungsstellen unterschiedlich sein kann, folgt er mehr oder weniger demselben Prinzip. Auf der Website der Registrierungsstelle können Sie nach dem vorgesehenen Domänennamen suchen, um festzustellen, ob dieser bereits registriert wurde. Ist der Domänenname noch verfügbar, werden Sie aufgefordert, Kontakt- und Rechnungsinformationen einzugeben. Darüber hinaus müssen Sie die beiden IP-Adressen sowie die FQDNs eingeben, die den primären und sekundären DNS-Servern zugewiesen wurden. Falls Sie die DNS-Server für Ihre Internetdomäne von einem ISP verwalten lassen, fragen Sie diesen nach den entsprechenden Informationen, bevor Sie mit dem Registrierungsprozess beginnen. Die meisten Provider stellen nicht nur DNS-Dienste für Ihre Domäne zur Verfügung, sondern reichen auch Registrierungsanforderungen unter Ihrem Namen ein. Da die Einrichtung von DNS-Servern für die interne Domäne vom Assistenten zum Installieren von Active Directory automatisch vorgenommen wird, wird dieses einfache Verfahren in diesem Artikel nicht behandelt. Einrichten einer Active Directory-Domäne bzw. Setting Up an Active Directory Domain (englischsprachig). Konfiguration des DNS-Servers für die externe Domäne Falls Sie sich entscheiden, einen eigenen Satz mit DNS-Servern für die externe Domäne zu verwalten, wird im Folgenden die Basiskonfiguration für externe DNS-Server beschrieben. Installieren des DNS-Dienstes unter Windows 2000 Der DNS-Dienst ist im Lieferumfang des Betriebssystems Windows 2000 Server, Advanced Server und Datacenter Server enthalten. Er ist jedoch nicht Teil der Standardinstallation und muss installiert werden, bevor ein DNS-Server eingerichtet wird. So installieren Sie DNS 1. 2. Zeigen Sie im Menü Start auf Einstellungen und dann auf Systemsteuerung. Doppelklicken Sie auf Software, klicken Sie auf Windows-Komponenten hinzufügen/entfernen, und klicken Sie dann auf die Schaltfläche Komponenten. Wählen Sie im Assistenten für Windows-Komponenten Netzwerkdienste aus, und klicken Sie dann auf Details. Wählen Sie die Komponente Domain Name System aus, und klicken Sie auf OK. Einrichten eines primären DNS-Servers Der primäre DNS-Server enthält Ressourceneinträge für die externe Zone, DuwamishOnline.com. Der sekundäre DNS-Server dient als Sicherung für diesen Server. So richten Sie den primären DNS-Server ein 1. 2. 3. Zeigen Sie im Menü Start auf Programme, Verwaltung. Klicken Sie auf DNS, um das DNSKonsolenprogramm zu starten. Wählen Sie im linken Fensterbereich den Server aus, den Sie konfigurieren. Wenn der DNS-Server noch nicht konfiguriert wurde, klicken Sie im Menü Vorgang auf Server konfigurieren, um den Assistenten zum Konfigurieren von DNS zu starten. Der Assistent führt Sie durch die Einrichtung sowohl der Forward-Lookupzone als auch der Reverse-Lookupzone. Anmerkung Wurde der DNS-Server für andere Zonen bereits konfiguriert, steht dieser Befehl im Menü nicht zur Verfügung. Sie müssen in einem separaten Schritt mit der rechten Maustaste auf die Ordner Forward-Lookupzone und Reverse-Lookupzone klicken und dann auf Neue Zone zeigen, um den Assistenten zum Erstellen neuer Zonen zu starten. Der Installationsprozess entspricht in etwa den im Folgenden beschriebenen Schritten. 4. 5. Folgen Sie den Anweisungen des Assistenten, um eine Forward-Lookupzone einzurichten. Die Forward-Lookupzone ist der Datensatz mit Ressourceneinträgen, der Domänennamen in IP-Adressen übersetzt. Sie ist zweifellos die wichtigste Datendatei eines DNS-Servers. Klicken Sie im Dialogfeld Assistent zum Erstellen neuer Zonen auf das Optionsfeld Primär (Standard), um den Zonentyp auszuwählen, der Zonendaten im traditionellen Textdateiformat speichert. Anmerkung Wird Active Directory im Netzwerk eingesetzt, können Sie stattdessen das Optionsfeld Active Directory-integriert auswählen. Mit dieser Option können Zonendaten in der Active DirectoryDatenbank gespeichert werden, die automatisch auf andere Active Directory-Server repliziert wird. 6. 7. 8. Geben Sie den voll qualifizierten Domänennamen (in unserem Fall DuwamishOnline.com) ein. Übernehmen Sie den Standarddateinamen für die neue Zonendatei. Erstellen Sie eine Reverse-Lookupzone, wenn Sie dazu aufgefordert werden. Die Reverse-Lookupzone ist der Datensatz mit Ressourceneinträgen, der IP-Adressen zurück in die entsprechenden Domänennamen übersetzt. Viele Internetdienste fordern diese Informationen aus Sicherheitsgründen an. 9. Bei der Festlegung des Namens für die Reverse-Lookupzone werden Sie aufgefordert, die Netzwerkkennung des externen Netzwerkes anzugeben. Befindet sich der DNS-Server beispielsweise in einem vollständigen Klasse-C-Netzwerk, sollten Sie die ersten drei Segmente der IP-Adresse des Servers eingeben. Fordern Sie diese Informationen von Ihrem ISP an. (Weitere Informationen zu IPAdressklassen finden Sie unter http://msdn.microsoft.com/library/wcedoc/wcecomm/tcpip_11.htm [englischsprachig].) 10. Verwenden Sie den Zonennamen als Datendateinamen für die Reverse-Lookupzone. Sie haben nun die Einrichtung des primären DNS-Servers abgeschlossen und können mit der Konfiguration zusätzlicher Ressourceneinträge für die Zonen beginnen. Konfigurieren eines primären DNS-Servers Der DNS-Server unter Windows 2000 umfasst mehrere nützliche Features. Im Folgenden werden die Mindestanforderungen für die Konfiguration einer Servergruppe wie DuwamishOnline.com beschrieben. Es wird davon ausgegangen, dass Sie anhand der obigen Beschreibung eine neue Forward- und ReverseLookupzone erstellt haben. So ändern Sie die SOA- und Namenservereinträge 1. 2. 3. Erweitern Sie im linken Fensterbereich der DNS-Konsole die Struktur unter dem ausgewählten Computernamen. Zeigen Sie auf den FQDN unter dem Ordner Forward-Lookupzonen (in unserem Fall lautet der FQDN duwamishonline.com), klicken Sie mit der rechten Maustaste, und wählen Sie Eigenschaften aus. Klicken Sie im Dialogfeld Eigenschaften auf die Registerkarte Autoritätsursprung (SOA). Ändern Sie gegebenenfalls den Eintrag im Feld Primärer Server. Dieses Feld sollte den FQDN für den primären DNS-Server enthalten. 4. 5. 6. 7. 8. 9. Ändern Sie gegebenenfalls den Eintrag im Feld Verantwortliche Person. Dieses Feld sollte die EMail-Adresse des DNS-Administrators enthalten. Dabei sollte als DNS-Standard jedoch kein at-Zeichen (@), sondern ein Punkt (.) eingegeben werden. Lautet die E-Mail-Adresse des Administrators beispielsweise [email protected], sollte das Feld den Eintrag admin.duwamishonline.com enthalten. Klicken Sie auf die Registerkarte Namenserver. Ändern Sie das erste Serverelement, wenn im Feld Primärer Server auf der Registerkarte Autoritätsursprung (SOA) Änderungen vorgenommen wurden. Fügen Sie ein zweites Element hinzu, um den FQDN und die IP-Adresse des sekundären DNS-Servers anzugeben. Klicken Sie auf die Registerkarte Zonenübertragungen. Klicken Sie auf das Optionsfeld, um Zonenübertragungen nur für auf der Registerkarte Namenserver aufgelistete Server zuzulassen. Klicken Sie auf OK. Ein neuer Namenservereintrag mit Informationen zum sekundären DNS-Server müsste jetzt angezeigt werden. Anmerkung Möglicherweise müssen Sie die Taste F5 drücken, damit der Bildschirm aktualisiert und die Änderungen angezeigt werden. So erstellen Sie einen neuen Eintrag für die Hostadresse 1. 2. 3. 4. 5. 6. Erweitern Sie im linken Fensterbereich der DNS-Konsole die Struktur unter dem ausgewählten Computernamen. Zeigen Sie auf den FQDN unter dem Ordner Forward-Lookupzonen (in unserem Fall lautet der FQDN duwamishonline.com), klicken Sie mit der rechten Maustaste, und wählen Sie Neuer Host aus. Geben Sie im Feld Name den Hostnamen des Webservers ein, in unserem Fall www. Geben Sie im Feld IP-Adresse die IP-Adresse des Webservers ein. Aktivieren Sie das Kontrollkästchen Verknüpften PTR-Eintrag erstellen. Auf diese Weise wird in der Reverse-Lookupzone automatisch ein neuer PTR-Eintrag für den entsprechenden Host erstellt. Klicken Sie auf die Schaltfläche Host hinzufügen, und klicken Sie anschließend auf Fertig, um die Änderungen zu übernehmen. Unter der Domäne der Forward-Lookupzone sollte nun ein neuer Ressourceneintrag angezeigt werden. Anmerkung Möglicherweise müssen Sie die Taste F5 drücken, damit der Bildschirm aktualisiert und die Änderungen angezeigt werden. Einrichten eines sekundären DNS-Servers Das Einrichten eines sekundären DNS-Servers ist ebenso einfach wie das Einrichten eines primären Servers. Beachten Sie, dass der sekundäre DNS-Server nicht auf demselben Computer eingerichtet werden kann wie der primäre DNS-Server. Dies würde bedeuten, dass der DNS-Dienst über keine Redundanz verfügt. So richten Sie einen sekundären DNS-Server ein 1. 2. Führen Sie die Schritte 1 und 2 des Abschnitts "Installieren des DNS-Dienstes unter Windows 2000" aus. Führen Sie dann dieselben Schritte aus, die Sie bei der Einrichtung eines primären DNS-Servers ausführen würden, wobei Sie jedoch Sekundär (Standard) als Zonentyp angeben. Sie werden aufgefordert, die IP-Adresse des primären DNS-Servers der Liste Master-DNS-Server hinzuzufügen. Schlussfolgerung Wir haben uns entschieden, unseren ISP als Host für externe DNS-Informationen zu verwenden, um den Bereitstellungsprozess zu beschleunigen sowie den Betriebs- und Verwaltungsaufwand für unsere Site zu minimieren. Da diese Funktionalität von vielen ISPs angeboten wird, werden sich die meisten Benutzer wahrscheinlich für diese Konfiguration ihrer Servergruppe entscheiden.
