BIND9 mit Active Directory Zusammenspiel konfigurieren

Hallo Leute,

ich nutze zwei BIND9-Server (=192.168.0.1 + 192.168.0.2) auf Debian Squeeze Basis (primary+secondary). Sämtliche Clients haben in ihrer Netzwerkconfig diese zwei DNS-Server eingetragen. Nun möchte ich mit Samba4 einen neuen Active-Directory Domänencontroller erstellen (=192.168.0.100). Der hat einen internen DNS-Server am Laufen. Es gibt drei Möglichkeiten die Kommunikation zwischen meinem bestehenden BIND9 und dem AD-DC zu bewerkstelligen. Zwei dieser Optionen fallen weg, weswegen ich gerne die dritte nutzen möchte und zwar folgende:

Alle Anfragen der Clients die was mit AD zu tun haben, müssen den Samba4-Server (IP= .100) erreichen können. Deshalb muss ich meinem BIND9 beibringen, dass alle AD-relevanten Anfragen an die 192.168.0.100 weitergeleitet werden sollen. Sollte ich an diesem Schritt schon falsch liegen, so bitte ich um Korrektur.

Meine bestehende BIND9-Konfiguration sieht wie folgt aus:

__/etc/bind9/named.conf.local:__

__/etc/bind9/named.conf.options:__

__/var/cache/bind/forwardzone.mycompany.de:__

Meine DNS-Zone im LAN heißt mycompany.de, meine Hosts sehen also so aus "rechner1.mycompany.de", "rechner44.mycompany.de", usw.

Ich bin mir nun nicht sicher, ob ich für meinen neuen AD-Controller die realm "ad.mycompany.de" nutzen sollte und als Domänenname "AD", oder doch lieber die realm "mycompany.lan" und Domänenname "AD". Was empfiehlt sich hier, um keine zukünftige Komplikationen zu begegnen?

Und dann bin ich mir nicht sicher, wie ich meine config ergänzen muss, um diese neue Zone fürs AD einzurichten. Ich denke hier an zwei Lösungsansätze

(Möglichkeit A)
Wenn ich statt meiner bisherigen mycompany.de DNS-Domäne für die neue AD-Domäne einfach mycompany.lan verwenden würde (siehe oben), so könnte ich ja einfachhalber eine neue Zone in meiner BIND9-Config hinzufügen, á-la:

dann erstelle ich eine /var/cache/bind/forwardzone.mycompany.lan Datei und schreibe dort rein:

Dann würde quasi sämtlicher Verkehr was mit mydomain.lan zu tun hat zum Server 192.168.0.100 weitergeschickt werden, oder nicht?

-oder-

(Möglichkeit B)
Ich behalte meine DNS-Struktur bei integriere meinen neuen AD in diese Domäne hinein, indem der neue Domänencontroller dc1 die Domäne ad.mycompany.de nutzt (realm=ad.mycompany.de, Domänenname=AD). Somit bleib ich in meiner vorhandenen DNS-Zone mycompany.de

Also müsste ich explizit alle AD-relevanten Abfragen herauspicken und explizit diese nur an den 192.168.0.100 (=dc1) senden. Ich dachte dabei an folgende config, nachdem ich mir dieses Microsoft WhitePaper angeschaut habe (http://technet.microsoft.com/en-us/library/dd316373.aspx):

Ich dachte, damit in Zukunft weitere DCs dynamisch schreiben dürfen, erstelle ich lieber eine neue Zone, extra für ad.mycompany.de. Ich könnte natürlich auch meine vorhandene Zone mycompany.de nutzen, aber wenn BIND9 dynamisch in Zonenfiles reinschreibt, dann würfelt er die Anordnung total durcheinander und das kann schnell unübersichtlich werden ( siehe DHCP-Zonenfiles ). Also erstelle ich eine extra Zone mit extra Datei:

__ich füge in meine bestehende /etc/bind/named.conf.local eine neue Zone ein:__

__jetzt erstelle ich eine neue Zonendatei /var/cache/bind/forwardzone.ad mit diesem Inhalt:__

Und die Namen auf der linken und rechten Seite benötigen wirklich einen . am Ende ?? Ich kenn das normalerweise nur von den reverse Zone files so, dass der . da sein muss. Apropos reverse Zone: Eine reverse Zone benötigt AD also nicht, wenn ich das richtig verstanden habe?

Ich würde mich freuen wenn sich ein DNS Profi hier zu Wort melden könnte, und mir feedback zu diesem Vorhaben oder Thematik geben könnte. Recht herzlichen Dank im Voraus.

Grüße,
Pangu.