23.01.2023, aktualisiert um 12:23:42 Uhr

3302

DNS Ausfall sicherheit

Hallo zusammen,

ich habe einen DNS Prämiere und sekundäre erstellt, normalerweise wenn der Prämiere ausfällt dann übernimmt der Sekundäre die Rolle, aber wir können auf Sekundäre DNS keinen neue Einträge erstellen wenn Prämiere nicht da ist.

wenn man einen Sicherung für der ganze prämiere DNS Maschine macht dachte das wird gut sein, das dauert aber lange wenn man die Sicherung wiederherstellt.

ich habe gelesen dass einige Anwendungen gibt, die gut in DNS Verwaltung sind z. B. Bluecat, aber Bluecat ist teuer.

ich möchte gern eure Ideen für das Thema wissen, um einen Ausfallsicherheit für DNS Master zu machen?
welche der passende Anwendung oder Appliance, der als auch VM eingerichtet könnte.

Geräte sind eine Windows Server VMs
ich habe mich mit DNS nicht Zuviel Beschäftigt, deswegen würde eure Ideen eine gute Erfahrung für mich sein.

danke im voraus

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 5577305125

Url: https://administrator.de/forum/dns-ausfall-sicherheit-5577305125.html

Ausgedruckt am: 01.04.2025 um 15:04 Uhr

26 Kommentare

Neuester Kommentar

Moin,

im Windows Umfeld nimmt man i.d.R. AD-Integrierten DNS, der kümmert sich dann selbst um die Replikation zum Gegenüber.

Ansonsten BIND auf Linux. HowTos zur Master/Slave Einrichtung gibt's zu hunderten im Netz.

lg,
Slainte

das stimmt, aber in diesem Fall wenn schon einen DNS Master und Slave konfiguriert, und passiert dass der Master DNS ausfällt dann auf Slave kann ich keine neue DNS Einträge erstellen, und hier habe ich gedacht ok dann einen Appliance , der DHCP, DNS, IPAM mangen kann ist besser, und hier ich weiß nicht was ist die richtige Entscheidung sein kann, danke für Ihre Antwort

Moin,

habe ich gedacht ok dann einen Applianc

so einfach würde ich es mir nicht machen. Schau dass deine DNS Büchsen richtig funktionieren und nutze, sofern möglich, Microsoftboardmittel (DNS Rolle). Korrekt eingerichtet, solltest damit so gut wie keine Probleme haben.

Grüße

ich möchte es nicht einfach machen, sondern ich möchte nur sichern dass die DNS EInträge weiter erstellt werde kann, wenn der Master nicht da ist.
und als Test DNS habe ich bemerkt dass die DNS Einträge können nicht erstellt werden auf DNS Slave wenn der Master DNS ausfällt.

als Info, ich möchte das DNS Server ist von AD getrennt sein.

danke für Ihre Antwort

Moin

Zitat von @Obaida:
ich möchte es nicht einfach machen, sondern ich möchte nur sichern dass die DNS EInträge weiter erstellt werde kann, wenn der Master nicht da ist.

Also erstmal: Es heißt nicht mehr Master/Slave sondern Primary und Secondary bzw. Backup. Mittlerweile sind die IHK-Prüfer auch angehalten den richtigen Sprachgebrauch mit zu bewerten und für Master/Slave gibt es mitlerweile abzüge. Nur so am Rande.
Zu deiner Frage: DNS-Einträge zu erstellen, wenn der AD den Job macht ist einfach und erfüllt deine Anforderungen.

als Info, ich möchte das DNS Server ist von AD getrennt sein.

Warum? Welchen Vorteil versprichst du dir davon?

Gruß
Doskias

Moin,
es ist unausweichlich, dass du uns einmal dein Design niederschreibst. Es gibt heutzutage so viele mögliche Möglichkeiten, dass mit deiner plumpen Aussage eigentlich keine zielführender Kommentar möglich ist.

Also pack die Fakten auf den Tisch:
- Handelt es sich um dedizierte DNS-Server für das LAN und/oder DMZ?
- Du hast oben geschrieben, dass es sich bei den DNS-Server um Windows Server handelt. Wird die integrierte Rolle DNS-Server verwendet oder nutzt du z.B. Bind9?
- Wenn diese im LAN stehen, gibt es dort ein Microsoft Active Directory? Wenn dem so ist, handelt es sich um die AD integrierten DNS-Server?

wenn man einen Sicherung für der ganze prämiere DNS Maschine macht dachte das wird gut sein, das dauert aber lange wenn man die Sicherung wiederherstellt.

Was heißt lange, 30 Minuten, 5 Stunden, 3 Tage? Wodurch wird die lange Wiederherstellzeit verursacht?

ich habe gelesen dass einige Anwendungen gibt, die gut in DNS Verwaltung sind z. B. Bluecat, aber Bluecat ist teuer.

Die notwendige Verfügbarkeit kostet nun mal Geld. In welcher Form sei erst einmal dahingestellt. Um so wichtiger Ziele zu definieren um hinterher keine böse Überraschungen zu erleben.

als Info, ich möchte das DNS Server ist von AD getrennt sein.

Wir haben die DNS-Server auch auf getrennten Server installiert, trotzdem sind diese AD integriert. Somit sind wir erneut bei der Thematik mit der Definition. Meinst du also mit getrennt dedizierte VMs und/oder keine AD Integration? Wenn keine AD Integration, warum nicht?

Gruß,
Dani

Moin

die Antwort auf deine Frage wurde Dir doch eigentlich gleich schon zu Anfang gegeben:

Zitat von @SlainteMhath:
im Windows Umfeld nimmt man i.d.R. AD-Integrierten DNS, der kümmert sich dann selbst um die Replikation zum Gegenüber.

Soweit wir uns also über eine AD-Umgebung unterhalten: Wandle Deine DNS-Zone in AD-Integriert und schon bist Du das Problem los. Dann kannst Du DNS auf beiden Servern pflegen.

Gruß

Mittlerweile sind die IHK-Prüfer auch angehalten den richtigen Sprachgebrauch mit zu bewerten und für Master/Slave gibt es mitlerweile abzüge. Nur so am Rande.

Moin Moin,
Oh ruhig mein freund, ich entschuldige, ja Primary und Secondary.
also erstmal Danke für deine Korrektur, das stimmt, aber ich habe nur die falsche Wörter ausgewählt, ich meinte Backup.

und ich bin hier, um mich mehr zu entwickeln und Ideen lerne, ich finde das ist nicht Beinlich ;)

nur so am Rand "mitlerweile soll mit double tt geschrieben und Abzüge soll A Groß sein, in Diktat gibt es auch Abzüge ".

vielleicht habe ich auch Schreiben Fehler aber, das weil Deutsch habe ich noch nicht ganz gut gelernt, "ich entschuldige nochmal mein freund"

Warum? Welchen Vorteil versprichst du dir davon?

das ist nicht meine Anforderung, hier gibt ist 2 ADs und deswegen die Idee kommt dass wir unabhängige DNS Server brauchen.
ich finde das auch nicht richtig aber ich habe hier meine frage gestellt weil ich wissen möchte oder lass uns sagen, ich möchte lernen was ist richtig in solche Situationen.

danke aber trotzdem für deine nette Antwort.

Moin,

warum bist du so sauer, alles gut, du könntest mein Kommentar auch ignorieren

Zitat von @Dani:

Moin,
es ist unausweichlich, dass du uns einmal dein Design niederschreibst. Es gibt heutzutage so viele mögliche Möglichkeiten, dass mit deiner plumpen Aussage eigentlich keine zielführender Kommentar möglich ist.

Also pack die Fakten auf den Tisch:
- Handelt es sich um dedizierte DNS-Server für das LAN und/oder DMZ?

es Handelt um dedizierte DNS-Server für das LAN und DMZ.

- Du hast oben geschrieben, dass es sich bei den DNS-Server um Windows Server handelt. Wird die integrierte Rolle DNS-Server verwendet oder nutzt du z.B. Bind9?

nein wir möchten DNS-Server nicht integrierte Rolle verendet

wenn man einen Sicherung für der ganze prämiere DNS Maschine macht dachte das wird gut sein, das dauert aber lange wenn man die Sicherung wiederherstellt.

Was heißt lange, 30 Minuten, 5 Stunden, 3 Tage? Wodurch wird die lange Wiederherstellzeit verursacht?

auch wenn das 30 min dauert, das find ich nicht gut, oder?

ich habe gelesen dass einige Anwendungen gibt, die gut in DNS Verwaltung sind z. B. Bluecat, aber Bluecat ist teuer.

Die notwendige Verfügbarkeit kostet nun mal Geld. In welcher Form sei erst einmal dahingestellt. Um so wichtiger Ziele zu definieren um hinterher keine böse Überraschungen zu erleben.

ich weiß aber, und ich bin hier um zu wissen was würde günstigere Lösung sein.

danke für deine Antwort.

Zitat von @Hubert.N:

Moin

die Antwort auf deine Frage wurde Dir doch eigentlich gleich schon zu Anfang gegeben:

Zitat von @SlainteMhath:
im Windows Umfeld nimmt man i.d.R. AD-Integrierten DNS, der kümmert sich dann selbst um die Replikation zum Gegenüber.

Soweit wir uns also über eine AD-Umgebung unterhalten: Wandle Deine DNS-Zone in AD-Integriert und schon bist Du das Problem los. Dann kannst Du DNS auf beiden Servern pflegen.

ach so wenn AD integriert ist, dann kann ich DNS auf beiden Servern peflegen, danke, ja ich wusste das nicht oder wie es geht, ich habe es getestet nur wenn der AD nicht integriert ist.

danke für diesen Info
Gruß

Moin,

erstmal zum Sprachlichen:

Eine Prämie ist eine Sonderzahlung, die man für besondere Leistungen bekommt.
Eine Premiere ist die erste Aufführung eines Theaterstücks, einer Oper, eines Films usw.
Der Primäre ist der erste. Es ist also der primäre DNS-Server.

Zum Problem:
Änderungen können nur auf der SOA oder auch dem primären DNS-Server vorgenommen werden. Das ist so. Microsoft trickst da ein wenig rum. Wird das DNS in das AD integriert, dann ist jeder DNS-Server auch SOA. Also kann man auch auf jedem Änderungen vornehmen, die dann über den Replikationsmechanismus des AD repliziert wird. Deshalb solltest Du dem Rat der Kollegen folgen, das DNS ins AD zu integrieren. Davon ganz unabhängig ist, ob man die DNS-Server auf den DCs betreibt oder separat.

hth

Erik

Zitat von @erikro:

Moin,

erstmal zum Sprachlichen:

Eine Prämie ist eine Sonderzahlung, die man für besondere Leistungen bekommt.
Eine Premiere ist die erste Aufführung eines Theaterstücks, einer Oper, eines Films usw.
Der Primäre ist der erste. Es ist also der primäre DNS-Server.

Zum Problem:
Änderungen können nur auf der SOA oder auch dem primären DNS-Server vorgenommen werden. Das ist so. Microsoft trickst da ein wenig rum. Wird das DNS in das AD integriert, dann ist jeder DNS-Server auch SOA. Also kann man auch auf jedem Änderungen vornehmen, die dann über den Replikationsmechanismus des AD repliziert wird. Deshalb solltest Du dem Rat der Kollegen folgen, das DNS ins AD zu integrieren. Davon ganz unabhängig ist, ob man die DNS-Server auf den DCs betreibt oder separat.

hth

Erik

Moin Erik,

das hilft auf jeden Fall, danke dir.

sprachlich, ich weiß diese Infos, weil die, in Englisch auch gleich ist. aber ich habe leider Fachlich die falsche Wörter ausgewählt

Also zunächst einmal: Ich bin ruhig, aber ich bin nicht dein Freund. Wenn mich unbekannte als Freund bezeichnen, dann werde ich unruhig. Freund sind für mich Personen denen ich vertraue. Ich will dir auf keinen Fall zu nahe treten, aber da gehörst du bei weitem nicht zu.

nur so am Rand "mitlerweile soll mit double tt geschrieben und Abzüge soll A Groß sein, in Diktat gibt es auch Abzüge ".

Ich korrigiere hier nicht deine Rechtschreibung oder deine Tippfehler. Darum geht es hier nicht im Ansatz. Es geht um die Verwendung von richtigen Fachbegriffen. Primary/Slave wird weltweit in Standards nicht mehr genutzt und durch Primary/Secondary ersetzt. Das hat nichts mit Rechtschreibung zu tun und kann auch nicht auf entsprechende Sprachkenntnisse zurückgeführt werden.

hier gibt ist 2 ADs und deswegen die Idee kommt dass wir unabhängige DNS Server brauchen.

Und nochmal zur klaren Formulierung: Hast du zwei ADs, also zwei Domänen oder zwei AD-Server, also zwei Server für die gleiche Dömäne? Das ist mir noch nicht ganz klar. Dennoch:
Hast du zwei Domänen, dann sollte jede Domänen seinen eigenen internen DNS-Server haben.

Hast du zwei Server für eine Domäne, was ich eher raus lese, dann installierst du einfach auf jedem AD-Server den DNS-Dienst mit. Die ADs gleichen sich dann untereinander ab und wenn ein AD-Server (inkl. DNS) ausfällt, dann übernimmt der andere, vorausgesetzt du verteilst auch beide AD-Server als DNS-Server via DHCP.

Gruß
Doskias

@Doskias,

alles gut, ich weiß nicht warum du so einfach die Menschen ohne zu kennen attackiert, aber wie was du gesagt hast, das ist nicht unseren Thema.

ich habe verstanden dass es ist nicht richtig wenn DNS Dienst nicht mit AD integriert.

bei mir war das so, wir haben zwei DCs zwei ADs, früher gab es 2 DNS und 2 DHCP, jetzt eine hat zu Idee gekommen dass wir unabhängige 2 DNS (Primery and Secondary) Servers für unsere Tree brauchen und zwei DHCP(Primery and Secondary) für DCs brauchen.

als erstmal, habe ich zwei unabhängige DNS und DHCP eingerichtet.
und ich habe der Primary aus gemacht und ich wollte weitere Einträge auf Secondary erstellen.

das geht nicht wenn der Primary nicht da ist, deswegen haben wir gesehen das als Nachteil und haben entschieden einen Produkt zu finden, der Besser und sicher ist. (Deswegen wollte euch fragen)

Wenn die Deutsch Sprache nicht die Mutter Sprache ist dann das ist wirklich schwierig, die Situation ganz gut zu verstehen und die Situation mit alle passende Wörter zu bringen, aber das macht nichts, das macht mir stärker

wer mein Freund sein möchte dann das wird mich freuen.

LG

Zitat von @Obaida:
Wenn die Deutsch Sprache nicht die Mutter Sprache ist (...)

Ja.... Das hätten eigentlich alle hier merken sollen. Und dann vielleicht mal etwas zurückhaltender sein sollen, was Bemerkungen zur Sprache betrifft...

Zitat von @Obaida:
das geht nicht wenn der Primary nicht da ist, deswegen haben wir gesehen das als Nachteil und haben entschieden einen Produkt zu finden, der Besser und sicher ist. (Deswegen wollte euch fragen)

Wenn Du ein AD betreibst, dann bist Du auch auf den Windows-DNS-Server angewiesen. In dem Server speichert das AD auch Einträge, die für den Betrieb der Domäne wichtig sind.
Da der ohne Probleme funktioniert, habe ich mir auch niemals Gedanken darüber gemacht, ob man den DNS auch auch einem anderen System installieren kann.
Also: Stelle die Zone auf AD-Integriert um. Das geht auch nachträglich.

gruß

Also: Stelle die Zone auf AD-Integriert um. Das geht auch nachträglich.

danke

Zitat von @Hubert.N:

Zitat von @Obaida:
Wenn die Deutsch Sprache nicht die Mutter Sprache ist (...)

Ja.... Das hätten eigentlich alle hier merken sollen. Und dann vielleicht mal etwas zurückhaltender sein sollen, was Bemerkungen zur Sprache betrifft...

Danke. Das hab ich mir auch weiter oben gedacht.

@Obaida
Du kannst, wenn es dir leichter fällt, hier auch gerne in Englisch schreiben. Da du uns ja prinzipiell verstehst, kannst du das bei weiteren Fragen gerne im Vorfeld erwähnen. Dann helfen dir auch (weiterhin) die, die Englisch nicht so flüssig beherrschen.

Gern kannst du dein Problem auch mit Skizzen untermalen.

Zu deinem Problem:
Wenn du in AD agierst, nutze auch die ins AD integrierten DNS-Dienste.

@Doskias
Master und Slave gibt es in DNS-Settings nach wie vor. Setze dich mal mit BIND und HA o. ä. Auseinander

In dem Zusammenhang stolpert man auch über das von @Obaida genannte Problem. Denn für ein Failover- DNS-Konzept, muss man etwas „tricksen“…
https://www.root101.net/highly-available-bind-dns-cluster-design-million ...

Moin

Zitat von @em-pie:
@Doskias
Master und Slave gibt es in DNS-Settings nach wie vor. Setze dich mal mit BIND und HA o. ä. Auseinander

Ich habe ja nicht gesagt, dass es die Funktion nicht mehr gibt, sondern lediglich, dass man Master/Slave als Begriffe nicht mehr verwenden sollte.

Aus Wikipedia:
Im Dezember 2017 entschied das Internet Systems Consortium die Wörter „primary“ und „secondary“ als Ersatz für die master/slave-Terminologie in ihrer DNS-Software BIND zuzulassen

Aber ich denke dabei belassen wir es auch. Wir schweifen sosnt vom Thema ab.

Gruß
Doskias

@Doskias

... dass man Master/Slave als Begriffe nicht mehr verwenden sollte.
...
Aber ich denke dabei belassen wir es auch. Wir schweifen sosnt vom Thema ab.

2x FULLACK

Moin,

Zitat von @Doskias:

Zitat von @em-pie:
@Doskias
Master und Slave gibt es in DNS-Settings nach wie vor. Setze dich mal mit BIND und HA o. ä. Auseinander

Ich habe ja nicht gesagt, dass es die Funktion nicht mehr gibt, sondern lediglich, dass man Master/Slave als Begriffe nicht mehr verwenden sollte.

Das ist so nicht richtig. Primary und secondary beziehen sich auf die Funktion in der Domain. Der primary ist der Server, auf dem die Zonendatei gehostet wird. Auf dem secondary befindet sich eine Kopie. Master und slave sind Begriffe beim Zonentransfer. Der Master ist der, der die Zone überträgt, der Slave der, der sie erhält. Der primary kann nie slave sein. Aber der secondary ist immer slave, sofern er die Zone vom primary erhält. Er kann aber auch master sein, wenn er die Zone an einen anderen secondary überträgt. Es sind also zwei vollkommen unterschiedliche Sichtweisen auf das gleiche Phänomen.

Liebe Grüße

Erik

Hmm...

Zitat von @erikro:

Zitat von @Doskias:

Zitat von @em-pie:
@Doskias
Master und Slave gibt es in DNS-Settings nach wie vor. Setze dich mal mit BIND und HA o. ä. Auseinander

Ich habe ja nicht gesagt, dass es die Funktion nicht mehr gibt, sondern lediglich, dass man Master/Slave als Begriffe nicht mehr verwenden sollte.

willst du es nicht verstehen? Es geht nicht um die Funktion, sondern um die Verwendung von Master/Slave. Ok, vielleicht mag es beim Zonentransfer mit Primary und Secondary nicht zutreffend sein. Aber wenn wir einfach mal irgend einen anderen Artikel zu dem Thema nehmen, ich nehme diesen hier von ZDNet:

Zu den vorgeschlagenen Alternativen für Master/Slave gehören:
primary/secondary
main/replica oder subordinate
initiator/target
requester/responder
controller/device
host/worker oder proxy
leader/follower
director/performer

Sind wir uns sicher einig, dass man Begriffe findet die technisch zutreffender sind als Master/Slave. Beim Zonentransfer dann halt nicht primary/secondary sondern vielleicht initiator/target.

So.. und nun werde ich zu dem Thema wirklich nichts mehr schreiben.

Gruß
Doskias

Moin,

Zitat von @Doskias:
willst du es nicht verstehen? Es geht nicht um die Funktion, sondern um die Verwendung von Master/Slave.

Nein, Du willst es nicht verstehen, dass das eine Begriffe der Funktionen eines Servers und das andere Begriffe eines Mechanismus zur Übertragung von Informationen zwischen zwei Servern sind.

Ok, vielleicht mag es beim Zonentransfer mit Primary und Secondary nicht zutreffend sein. Aber wenn wir einfach mal irgend einen anderen Artikel zu dem Thema nehmen, ich nehme diesen hier von ZDNet:

ZDNet ist irrelevant. Die RFCs sprechen eine andere Sprache.

Sind wir uns sicher einig, dass man Begriffe findet die technisch zutreffender sind als Master/Slave. Beim Zonentransfer dann halt nicht primary/secondary sondern vielleicht initiator/target.

Initiator wäre dann wohl der slave, da der ja den Zonentransfer anfordert, oder?

Liebe Grüße

Erik

... und hier scheint es gerade nur noch um Phalluslängenmessung zu gehen...

Vergesst das Gendern nicht DNS Server DNS Serverin

Meine Güte.... das ganze Politicalcorectness geht einem auf den Zeiger....... Ich denke wenn jemand Master / Slave oder Primary und Secondary sagt weis jeder was gemeint ist

Ich verstehe jetzt nur noch Bahnnof...

Er hat zwei DNS Server welche zwei AD´s hosten, also jede Domäne hat nur einen DNS und er will vom DNS 1 für die Zone XYZ.de auf den DNS 2 welcher DMZ.xyz.de hostet replizieren ?
Oder hat er nur 1 Domäne und 2 DNS Server aber verschiedene Zonen ?
Oder noch anders ?

Wobei wenn der DNS in Windows AD Integriert ist dann sollten doch alle Zonen übertragen werden ?

Zitat von @Mr-Gustav:

Vergesst das Gendern nicht DNS Server DNS Serverin

Meine Güte.... das ganze Politicalcorectness geht einem auf den Zeiger....... Ich denke wenn jemand Master / Slave oder Primary und Secondary sagt weis jeder was gemeint ist

So sehe ich das auch.

gelöst Allgemein Netzwerkmanagement Windows Netzwerk Windows Server DNS

Mehr von Obaida

FortiGate Firewall KonfigurationObaida - 14 Kommentare

Heiß diskutiert