madmax93

Benötigen neuen DNS Server

Hallo zusammen,

in unserem Netzwerk treten immer wieder Probleme mit der DNS-Auflösung auf. Die genaue Ursache konnten wir bislang nicht eindeutig identifizieren. Aktuell wird unser DNS über zwei Domaincontroller mit Active Directory betrieben. Da es auf diesen Domaincontrollern wiederholt zu Replikations- und Berechtigungsproblemen kommt, vermuten wir, dass hier noch ein tieferliegendes Problem besteht.

Aus diesem Grund möchten wir die DNS-Verwaltung künftig nicht mehr über das Active Directory abwickeln. Wir stehen nun vor der Frage, welche Alternative sich hierfür am besten eignet:
Sollten wir einen separaten Windows Server 2022 aufsetzen und den DNS-Dienst darüber laufen lassen – oder gibt es vielleicht bessere Optionen mit höherer Zuverlässigkeit und besserer Administrierbarkeit, etwa durch Drittanbieter-Tools oder spezialisierte Lösungen?

Wir wären für eure Empfehlungen und Erfahrungen sehr dankbar – vielen Dank im Voraus!

MadMax93
Auf Facebook teilen
Auf X (Twitter) teilen
Auf Reddit teilen
Auf Linkedin teilen

Content-ID: 672864

Url: https://administrator.de/forum/benoetigen-neuen-dns-server-672864.html

Ausgedruckt am: 05.06.2025 um 12:06 Uhr

gammelobst
gammelobst 13.05.2025 um 15:37:45 Uhr
Goto Top
Hallo,

DNS ist grundvoraussetzung für die Domäne, wenn also nicht die Einträge vom Domänen-DNS mit drin sind, wird das mit der Domäne nicht lange gut gehen.
Besser wäre z.B. ein Unbound, an den die Domänen-DNS weiterleiten für das was sie nicht kennen.

cya
Michi91
Michi91 13.05.2025, aktualisiert am 14.05.2025 um 07:44:32 Uhr
Goto Top
Moin,

die korrekten Wege lauten:
- Uns ausreichend Infos liefern (also was genau kann nicht aufgelöst werden? Interne DNS-Adresse, Externe, Reverse Einträge. Wie alt die die Domäne? Welches Serverversion etc)
- Auf Tipps von uns warten ODER
- Einen AD-Profi das Problem lassen ODER
- Die komplette AD neu aufsetzen, wenn das Problem tiefer liegt, werdet ihr es sonst nicht dauerhaft los

Michi91
Visucius
Visucius 13.05.2025 um 15:46:31 Uhr
Goto Top
Doofe Frage: Wie groß ist denn das Netzwerk überhaupt?
Hubert.N
Hubert.N 13.05.2025 um 15:49:25 Uhr
Goto Top
Moin

nichts spricht gegen AD-integrierte DNS-Zonen!

Wenn Du Probleme mit dem AD hast und dieses nicht mehr korrekt repliziert, dann solltest Du primär dieses Problem lösen.

Gruß
em-pie
em-pie 13.05.2025 um 16:40:58 Uhr
Goto Top
Moin,

Zitat von @Hubert.N:
Wenn Du Probleme mit dem AD hast und dieses nicht mehr korrekt repliziert, dann solltest Du primär dieses Problem lösen.
+1

Wie sind denn die NICs der DCs im Hinblick auf die zu nutzenden DNS-Server eingestellt?
Ich hoffe doch, dass dort ausschließlich die IPs der beiden DCs hinterlegt sind, und nichts anderes.
Dabei als ersten DNS den anderen "DC" und als zweiten DNS sich selbst.

Wenn das nicht gegeben ist: womöglich löst das schon euer Kernproblem!?
Vision2015
Vision2015 13.05.2025 um 19:27:20 Uhr
Goto Top
Moin...

Aus diesem Grund möchten wir die DNS-Verwaltung künftig nicht mehr über das Active Directory abwickeln. Wir stehen nun vor der Frage, welche Alternative sich hierfür am besten eignet:

na der MS DNS Server und ein AD was sauber läuft!
also fixe die Fehler, und es läuft alles sauber!
Die genaue Ursache konnten wir bislang nicht eindeutig identifizieren.
warum nicht?
wie und wer hat gesucht?

Frank
SeaStorm
SeaStorm 13.05.2025 um 21:26:39 Uhr
Goto Top
Hi

der Klassiker. Schlecht aufgesetztes AD und mangelndes Verständnis wie man das korrigiert.
Die Replikationsfehler kommen vermutlich von den DNS Problemen.

In jedem Fall: DNS im Windows AD ist Pflicht. Dir bleibt also nichts übrig als dir das genauer anzusehen und das Problem zu beheben.

Fang mal damit an was über deine Umgebung zu erzählen. Wie gross ist sie. Sind die DCs im selben Netz?
Wie sind die DNS Settings der DCs (also primary und secondary DNS auf der NIC)

Wie ist der Output von

Repadmin /Queue
Repadmin /replsummary
Repadmin /Showrepl
jsysde
jsysde 13.05.2025 um 22:23:12 Uhr
Goto Top
Moin.

Falscher Ansatz - Windows DNS ist "rock solid", das läuft einfach und man muss sich anstrengen, es kaputt zu konfigurieren. Und "spezialisierte Lösungen" für die Verwaltung eines DNS-Servers? Da reicht der (klare) Kopf eines Admins locker für aus. face-wink

Cheers,
jsysde
NordicMike
NordicMike 14.05.2025 um 07:13:09 Uhr
Goto Top
Selbst, wenn ihr nun einen externen DNS Server einsetzt, wird Euch das AD und die Replikation ständig um die Ohren fliegen. Deswegen würde ich erst einmal das vorhandene System entstören, bevor ihr noch mehr Sachen einbaut.

Es gibt eigentlich nur 3 verschiedene Probleme, wenn die Replikation nicht läuft:
1) DNS Einstellungen
2) DNS Einstellungen
3) DNS Einstellungen

4) Und evtl noch Firewall und Routing, falls sie sich nicht im selben Subnetz befinden

Beschreibe doch mal was Du hast:
  • DNS Einstellungen vom Betriebssystem DC1
  • DNS Einstellungen vom DNS Server Dienst auf DC1
  • DNS Einstellungen vom Betriebssystem DC2
  • DNS Einstellungen vom DNS Server Dienst auf DC2
  • Domain Name (nur um zu sehen wie viel Punkte im Namen sind und ob es mit evtl .local endet)
gammelobst
gammelobst 14.05.2025 um 09:42:46 Uhr
Goto Top
Hallo,

haben auch alle DC's das Domänenprofil als Netzwerkprofil augewählt?

cya
shebang
shebang 14.05.2025 um 11:19:19 Uhr
Goto Top
Hi,

wiederholt zu Replikations- und Berechtigungsproblemen kommt, vermuten wir, dass hier noch ein tieferliegendes Problem besteht.
Das kann man durchaus vermuten. Wird sogar so sein.

Was gibt denn ein dcdiag so aus?
lazyadmin.nl/it/dcdiag/

Wenn Du Probleme mit dem AD hast und dieses nicht mehr korrekt repliziert, dann solltest Du primär dieses Problem lösen.
This und nur this.

Kaufst ja auch kein neues Auto, nur weil Du die Räder nicht festgenug angezogen hast.
ogiesber
ogiesber 15.05.2025 um 12:20:23 Uhr
Goto Top
Die Probleme (Replikation und DNS) lassen sich sicher in zwei Stunden remote komplett lösen.

Kann ich mir gerne anschauen. Wenn nach zwei Stunden nicht gelöst, gibt es keine Rechnung.

Wenn Interesse, dann gerne melden.

Ein alternativer DNS löst das AD-Thema auf keinen Fall und behandelt nur die Symptome der fehlerhaften Auflösung.
DivideByZero
DivideByZero 15.05.2025 um 15:10:31 Uhr
Goto Top
... das scheint ja mal wieder ein dringendes Problem gewesen zu sein, so ohne Reaktion des TO ...
ogiesber
ogiesber 15.05.2025 um 17:08:38 Uhr
Goto Top
Manchmal hilft es ja, sich die vorhandenen Probleme einfach von der Seele zu schreiben 😀.

Oder die Antwort, die ALLE hier gegeben haben, ist halt nicht die, die man gerne hören wollte, weil man eigentlich nur eine Bestätigung gesucht hat, und keine Lösung.
Roland567
Roland567 19.05.2025 um 10:15:06 Uhr
Goto Top
Hallo MadMax,

wir haben uns vor vielen Jahren dazu entschieden das Thema DNS vom Windows Server zu trennen.
Ich habe dies noch keine Minute bereut.
Wir setzen auf Infoblox, welche du physisch, wie auch virtuell kaufen kann.
Wir haben den 1. DNS als Cluster (physisch), also 2 Boxen, welche die gleich IP haben.
Die 2 IP ist dann eine virtuelle Box.

DHCP und NTP kommt logischerweise auch von der Box, da es eine IPAM Lösung ist.

Der grosse Vorteil.
der DNS reagiert SOFORT; also kein Kaffee holen, bis eine Anpassung mal zieht.
Nie mehr DNS/DHCP Sorgen, bei einem DC ersetzen.
Wir verhindern, dass Server selbst DNS Registrierungen machen dürfen, was ein grosses Sicherheitsplus darstellt.
- keine Manipulation von einem Server aus möglich.
- klar lassen wir es da zu, wo es nötig ist, was aber in der Regel nur Cluster Server (WFC) sind.

Logisch kostet es etwas, aber ehrlich, man spart sich damit sehr viele grauen Haare.

hope it helps

Gruss Roland
ogiesber
ogiesber 19.05.2025 um 11:20:42 Uhr
Goto Top
Damit sind aber die AD-Replikationsprobleme des TO ziemlich sicher nicht gelöst.
Und dem DNS wie auch dem DHCP-Kaffeetrink-Pausen-Problem kann man auch einfach mit Bordmitteln (Aufgabenplaner Start-Task bei DNS- oder DHCP-Eventlog-Eintrag) erledigen.
Roland567
Roland567 19.05.2025 um 11:44:22 Uhr
Goto Top
Das ist richtig.
Trotzdem hat er nach einer Alternative gefragt, die ich sehr gut nachvollziehen kann.
Da die Wege der Microsoft und des Windows oft unergründliche sind, schade es nicht, eine Alternative einzusetzen. face-smile
shebang
shebang 19.05.2025 aktualisiert um 11:48:37 Uhr
Goto Top
die ich sehr gut nachvollziehen kann
Ich überhaupt nicht. Auch dein Post lässt seltsames erahnen.

Da die Wege der Microsoft und des Windows oft unergründliche sind
... oder die des faulen Admins ....

Zumal dein Vorschlag nett ist, sein Problem aber nicht lösen wird. Im Gegenteil. Noch mehr Undurchsichtigkeit und Chaos sowie weitere Points of failures (was passiert eig. wenn die externe DNS Lösung hängt? Support gibts dann nirgendwo mehr - auch nicht von MS)

Gruß
Visucius
Visucius 19.05.2025 um 12:00:36 Uhr
Goto Top
Ich will ja nix sagen, aber der TE hat sich seit der Eröffnung (knapp ne Woche her) nicht mehr gemeldet und war seit Tagen nicht mehr im Forum.

Ist vielleicht gar nicht nötig, sich hier noch gegenseitig die jeweils gewählten Lösungen madig zu machen. 😉
Dani
Dani 19.05.2025 um 20:36:56 Uhr
Goto Top
Moin,
der DNS reagiert SOFORT; also kein Kaffee holen, bis eine Anpassung mal zieht.
wie groß ist deine Umgebung, dass dein DNS nicht "sofort" reagiert hat?

Nie mehr DNS/DHCP Sorgen, bei einem DC ersetzen.
Hat man eigentlich nie, wenn es nach Best Practice umgesetzt ist und weiß was man tut.

DHCP und NTP kommt logischerweise auch von der Box, da es eine IPAM Lösung ist.
Das sind meine Lieblingsgerät. Genauso wie die ganzen unsicheren Firewall UTMs...

Wir verhindern, dass Server selbst DNS Registrierungen machen dürfen, was ein grosses Sicherheitsplus darstellt.
Das kannst du bis ein gewisser Anzahl von Server und Clients machen. Danach ist es einfach nur ein ABM und macht mehr Ärger als Nutzen.

- keine Manipulation von einem Server aus möglich.
Wenn es soweit ist, hast du eigentlich schon ganz andere Problem. Da machen sich die wenigsten Angreifer über den DNS her.

Ich will ja nix sagen, aber der TE hat sich seit der Eröffnung (knapp ne Woche her) nicht mehr gemeldet und war seit Tagen nicht mehr im Forum.
Beitrag lass ich mal noch stehen.... evtl. einfach im Urlaub, krank, etc.


Gruß,
Dani
Roland567
Roland567 23.05.2025 um 13:12:48 Uhr
Goto Top
Witzig, dass hier auf einmal manche wohl absolut Microsoft versessen sind. face-smile
Sonst wird doch eigentlich immer nur über Microsoft abgelästert. face-smile

Schön für euch, wenn ihr damit happy seit.
Wir sind mit unsere Lösung definitiv auch äußerst happy und möchte nichts anderes mehr.

Jeder darf wie er möchte.
ogiesber
ogiesber 23.05.2025 aktualisiert um 13:24:41 Uhr
Goto Top
Ja ist denn heute Freitag? 😃

seid (Verb), nicht seit (ZeiTTTT-Angabe).

Aber ja, jeder soll mit seinen Dingen happy sein, FullAck!

Aber die Replikationsprobleme müssen weg, egal, was für ein DNS-System eingesetzt wird...

... Schönes Wochenende!
NordicMike
NordicMike 26.05.2025 um 09:03:26 Uhr
Goto Top
Witzig, dass hier auf einmal manche wohl absolut Microsoft versessen sind. face-smile
Sonst wird doch eigentlich immer nur über Microsoft abgelästert. face-smile

Wer denn? Ich habe im Beitrag keine Versessenheit gefunden, obwohl ich eigentlich der erste bin, der Microsoft verteidigt, wenn ein Linux Nerd wieder darüber ablästert face-smile

Wenn eine AD Umgebung existiert, dann ist es auch richtig, wenn jeder empfiehlt den Microsoft DNS erst einmal in Ordnung zu bringen. Was nützt ein Linux DNS Server oben drauf, wenn sich die AD Controller nicht mehr ordentlich replizieren.

Linux ist dort ok, wo es seine stärken hat und keine Infrastruktur Verbindungen zum Microsoft AD benötigt.