DNS server werkt niet goed in AD domein

[Perphide]

Graag zou ik jullie hulp vragen omtrent het volgende: ik werk in een active dircectory domain waarin er maar één domain controller is. Hierop draait ook DHCP en DNS. Het OS is Windows Server SBS 2011.

Nu is de situatie dat wanneer er een machine (laptop, desktop of vm, dat maakt niet uit) een IP verkrijgt vanuit DHCP de computernaam keurig bekend wordt gemaakt in de DNS. Dit werkt op zowel Windows als Linux systemen.

Echter, als een machine niet via DHCP verbind maar statisch een IP ingesteld krijgt, met de juiste gateway en DNS instellingen verschijnt de computernaam niet in de DNS. Via nslookup is er geen record terug te vinden op de DNS server. De IP range is bij het statisch instellen trouwens gelijk aan de DHCP rang, echter de statische adressen zijn buiten de scope. De scope is 10.0.1.0 tot 10.0.1.255 met uitsluiting van 10.0.1.0 tot 100 en van 200 tot 255. Dus DHCP deelt alleen uit van 10.0.1.101 tot en met 199. Een statisch adres is bijvoorbeeld 10.0.1.10.

Wie kan mij wellicht in de goede richting helpen om dit probleem op te lossen?


Ik heb reeds geprobeerd:
- de computernaam te registreren door ipconfig /registerdns uit te voeren
- bekeken hoe dynamic dns ingesteld staat, ik begreep dat deze service benodigd is (het staat ingesteld op secure updates only, maar ook op non secure werkt het niet)
- de DNS server (dnsmgmt.msc) is actief, en gekoppeld aan de juiste netwerkkaart/ip
- er is een forward lookup zone ingesteld op de range 10.0.1

Helaas rijkt mijn kennis niet verder dan dit op het gebied van DNS. Wie zou mij kunnen helpen?

[kraats]

Staat bij de netwerkinstellingen op de client aangevinkt dat hij die verbinding moet gebruiken om zich te registreren bij de DNS server? Is het juiste DNS domein ook aangegeven bij de client?

[FREAKJAM]

Dit al eens doorgenomen?
https://blogs.msmvps.com/...on-rules-of-engagement-2/

[Perphide]

Wauw, dat zijn vlotte reacties!

Het DNS domein heb ik op de linux clients ingesteld, in de Windows clients weet ik eerlijk gezegd niet eens waar dit exact moet. Ik heb wel de nameserver IP adressen goed ingesteld, maar dit is denk ik niet wat kraats bedoeld met welke verbinding op de client gebruikt moet worden voor DNS?

Ik ga de link van FREAKJAM doornemen en zal daarna mijn bevindingen en vragen hier laten weten. Alvast enorm bedankt!

EDIT:
Ik heb denk ik gevonden wat kraats bedoeld: in Windows in de advanced tcp ipv4 settings kan ik een dns suffis opgeven. Die staat op de Windows clients wellicht verkeerd.

[ Voor 23% gewijzigd door Perphide op 23-03-2019 11:08 ]

[kraats]

Ik ben altijd gewend om op de client dit tabblad ook in te vullen met DNS-suffixen, maar dat heeft bij ons ook te maken met het gebruik van meerdere domeinen:

Perphide schreef op zaterdag 23 maart 2019 @ 11:06:
EDIT:
Ik heb denk ik gevonden wat kraats bedoeld: in Windows in de advanced tcp ipv4 settings kan ik een dns suffis opgeven. Die staat op de Windows clients wellicht verkeerd.

Check.. die dus

[ Voor 38% gewijzigd door kraats op 23-03-2019 11:15 ]

[Hero of Time]

Kijk ook even in je event logs voor DNS. Zijn de systemen die een vast adres krijgen lid van het domein? Zoniet, dan is dat waarschijnlijk het probleem. Windows DNS met AD integratie staat namelijk alleen vertrouwde updates toe en die relatie is er alleen als het systeem is aangemeld bij AD. Dat je een suffix moet opgeven op je connectie zegt ook wel iets over het wel of niet bij AD zijn aangemeld (niet namelijk, anders zou deze al reeds bekend zijn, zie o.a. ipconfig /all).

Maar SBS 2011. Is het niet een idee om die eens uit te faseren? Denk niet dat er nog lang support op zit.

[HKLM_]

Hero of Time schreef op zaterdag 23 maart 2019 @ 12:04:
Kijk ook even in je event logs voor DNS. Zijn de systemen die een vast adres krijgen lid van het domein? Zoniet, dan is dat waarschijnlijk het probleem. Windows DNS met AD integratie staat namelijk alleen vertrouwde updates toe en die relatie is er alleen als het systeem is aangemeld bij AD. Dat je een suffix moet opgeven op je connectie zegt ook wel iets over het wel of niet bij AD zijn aangemeld (niet namelijk, anders zou deze al reeds bekend zijn, zie o.a. ipconfig /all).

Maar SBS 2011. Is het niet een idee om die eens uit te faseren? Denk niet dat er nog lang support op zit.

14-01-2020 zo te zien dus upgraden is sowieso nodig. Gelijk een goed moment om een tweede DC in je infra te prikken.

[ Voor 4% gewijzigd door HKLM_ op 23-03-2019 12:09 ]

[Perphide]

Het is inderdaad zo dat de systemen die een vast IP krijgen, doorgaans niet in het domein zitten. Echter, als die systemen via DHCP ingesteld ziijn werkt de DNS per direct, maar statisch niet.

De secure en unsecure update settings had ik reeds mee geexperimenteerd: ook op unsecure kan ik niet vanaf buiten het domein de DNS updaten.

Het ontbrekende DNS suffix ga ik maandag gelijk corrigeren, bedankt kraats!

En ja, Hero of Time heeft helemaal gelijk, SBS 2011 is oud en moet nodig vervangen worden. Ook een tweede DC ben ik voorstander van, dit advies geef ik mee aan de beheerder/werkgever.


Tot slot één laatste ding wat mij opviel: op de SBS 2011 server zijn 3 windows services te vinden die met DNS te maken hebben:
- DNS Server
- DNS client
- Dynamic DNS

De Dynamic DNS is naar mijn idee de service die regelt dat er dynamisch geupdate kan worden, of dit nou secure of unsecure is. Maar deze service staat uit, terwijl hij is ingesteld op automatisch starten. Handmatig starten van de service gaat niet, zonder foutmelding. Kan dit welilicht ook een oorzaak zijn?

[Hero of Time]

De updates die je ziet bij DHCP systemen komen omdat de update niet uit de systemen die een adres krijgt komen, maar vanuit DHCP zelf. Als een systeem om een adres vraagt aan de DHCP server, wordt de hostnaam meegestuurd in het verzoek. De DHCP server geeft dan een adres uit de pool uit en stuurt ook een update record naar de DNS met de hostnaam die het in het DHCP verzoek kreeg.

Omdat dat wel werkt, zal het probleem niet aan de Dynamic DNS service liggen. Lees de omschrijving maar eens van de service. Zonder direct Windows voor m'n neus te hebben denk ik dat het een service is dat op de client draait om dynamisch de DNS hostnaam te zetten op het systeem. De suffix die je nog mist op de statische systemen zeg maar.

De secure vs unsecure updates heeft meer met DNSSEC te maken waarschijnlijk, of dat updates via een beveiligd kanaal worden geaccepteerd.

[Perphide]

FREAKJAM zijn blog artikel heb ik nog eens zorgvuldig doorgenomen, en ik haal hieruit een belangrijk punt:

“IPv6 is a mandatory part of the Windows operating system and it is enabled and included in standard Windows service and application testing during the operating system development process. Because Windows was designed specifically with IPv6 present, Microsoft does not perform any testing to determine the effects of disabling IPv6. If IPv6 is disabled on Windows Vista, Windows Server 2008, or later versions, some components will not function. “

Ik weet dat de beheerder van de server IPv6 uitgezet heeft onder het mom van "dat gebruiken we niet". Ik zal maandag eens bekijken of het inschakelen hiervan i.c.m. alle andere tips uit dit topic het probleem kan oplossen.

Hero of Time ook bedankt, ik ga de suffix ook onmiddelijk instellen tezamen met unsecure updates.

[Hero of Time]

Voordat je die unsecure updates toestaat, lees even goed in wat het doet en wat de implicaties zijn.

[Perphide]

Hero of Time schreef op zondag 24 maart 2019 @ 10:07:
Voordat je die unsecure updates toestaat, lees even goed in wat het doet en wat de implicaties zijn.

Wat ik tot dusver begrijp is dat secure updates alleen updates vanuit het domein / dhcp mogelijk maakt. En dat hieraan aan ACL hangt. Als ik DNS updates wil van buiten het domein zal ik dus unsecure moeten gebruiken.

Of heb ik dit verkeerd begrepen?

[Hero of Time]

Als dat is wat er staat, dan heb je dat goed begrepen. Ik kan het nu niet nakijken op de server op m'n werk en ben nu even te lui om Google te vragen.

[PROnline]

Maar als je toch vast ipadressen aan het configureren bent, waarom niet even de makkelijke weg en ook op de DNS servder een Aname aanmaken.

En het is al gezegd, maar go and prepair an upgrade ASAP.

[ Voor 18% gewijzigd door PROnline op 24-03-2019 12:41 ]

[Perphide]

PROnline schreef op zondag 24 maart 2019 @ 12:40:
Maar als je toch vast ipadressen aan het configureren bent, waarom niet even de makkelijke weg en ook op de DNS servder een Aname aanmaken.

En het is al gezegd, maar go and prepair an upgrade ASAP.

De vaste IP's stel ik in op de clients. In een range waarvan ik weet dat die is uitgesloten van DHCP. De server kan ik zelf niet bij dus het aanmaken van A records zou ik dan moeten uitbesteden wat het weer een rompslomp maakt.
Ben het met je eens qua upgrade!

Tot slot goed nieuws: het is gelukt en de DNS werkt nu zoals gewenst.
Het was een combinatie van de instellingen die door kraats genoemd waren en de zone op unsecure updates instellen (zodat dynamisch updaten van buiten het domein is toegestaan).

Bedankt allemaal voor jullie hulp en inzicht, ik ben goed geholpen

[Equator]

Maar waarom je vaste IP adressen niet configureren met DHCP reserveringen? Dan heb je het voordeel van DHCP (en dus de juiste configuratie die je dan overal hebt) en een vast IP adres.

[Perphide]

Equator schreef op maandag 25 maart 2019 @ 12:58:
Maar waarom je vaste IP adressen niet configureren met DHCP reserveringen? Dan heb je het voordeel van DHCP (en dus de juiste configuratie die je dan overal hebt) en een vast IP adres.

Klopt, echter wil de beheerder van de server dat zelf niet hebben helaas. Te veel werk. En daarnaast zit ik dan zelf ook continu MAC adressen door te geven, dus ergens snap ik de beheerder wel.

[Hero of Time]

Maar nu vraag je gewoon om een IP conflict. Of wordt er wel ergens bijgehouden wie welk adres heeft? Iets wat DHCP voor je kan regelen trouwens.

Waar zijn die vaste IP adressen voor? Servers? Desktops/laptops? Andere apparaten?

[Perphide]

Hero of Time schreef op maandag 25 maart 2019 @ 15:12:
Maar nu vraag je gewoon om een IP conflict. Of wordt er wel ergens bijgehouden wie welk adres heeft? Iets wat DHCP voor je kan regelen trouwens.

Waar zijn die vaste IP adressen voor? Servers? Desktops/laptops? Andere apparaten?

Ja, de statische adressen worden bijgehouden uiteraard. Ze worden gebruikt voor VM's in een ESXi omgeving die buiten het domein draait.

Nu ben ik hierdoor bij het volgende obstakel aanbeland: in Linux en op de ESXi server krijg ik alsnog de DNS niet werkend. Terwijl het nu op de Windows machines wel keurig werkt. Wellicht een foutieve configuratie aan mijn kant dus: echter heb ik de hostname en het dns domain wel ingesteld zoals ik dat op Windows ook heb gedaan.

[Hero of Time]

Niet zo gek dat je hier tegenaan loopt. Windows is dolblij om z'n aanwezigheid over het netwerk te schreeuwen. Ken je het NetBIOS protocol? Als je je netwerk gaat sniffen met alleen Linux machines, zal je in principe niets van verkeer zien tenzij er twee servers met elkaar verbonden zijn voor een applicatie. Zet er een Windows machine bij en hoppa, het is lekker raak met de announces wie het is en op welk adres je 't kan bereiken.

Zodra Windows z'n netwerk online heeft, meldt het zich ook gelijk even bij de DNS server, zodat de rest van het netwerk die alleen via DNS vraagt om hostnamen (zoals Linux) hem kan vinden. Linux en ESXi doen dat niet tenzij je dat heel specifiek opgeeft. Met Google kan je vast wel vinden hoe dat werkt. Ik weet het niet uit m'n hoofd, want ik heb 't ook nooit nodig gehad (simpelweg omdat ik óf de machines via DHCP laat serveren óf statisch entries in DNS aanmaak ervoor).

[Perphide]

Hero of Time schreef op maandag 25 maart 2019 @ 19:25:
Linux en ESXi doen dat niet tenzij je dat heel specifiek opgeeft. Met Google kan je vast wel vinden hoe dat werkt. Ik weet het niet uit m'n hoofd, want ik heb 't ook nooit nodig gehad (simpelweg omdat ik óf de machines via DHCP laat serveren óf statisch entries in DNS aanmaak ervoor).

Klopt helemaal, ik ben dit tegengekomen en heb er ook al heel wat over opgezocht. Echter nog niets heeft gewerkt.

Ik heb al gekeken in de host file, dhclient.conf, en esxi configuratie misc\preferredhostname. Al deze oplossingen werden via zoeken op Google aangeboden maar niets mocht baten. Na elke wijziging heb ik het Management Netwerk van ESXi herstart, maar ik kon daarna geen DNS record vinden nog. Ik blijf er naar doorzoeken uiteraard, want ik wil het graag werkend hebben.