Windows 2000 中 DNS 與 Active Directory 的深度整合關係解析

前言

Windows 2000 作為微軟邁向企業級網路作業系統的里程碑，其最核心的創新在於引入 Active Directory（活動目錄）。而 Active Directory 的設計靈魂，在於將 DNS（網域名稱系統）與目錄服務緊密融合。這種「雙核合一」的架構雖然強大，卻也常讓初學者困惑：兩者究竟如何分工？又是如何協作？本文將從核心差異、結合機制兩大面向，為您拆解這對經典搭檔的運作邏輯。

一、 核心差異：名稱空間雖同，儲存與解析各異

1. 不同的資料庫，管理不同的物件

雖然 DNS 網域與 Active Directory 網域共用相同的階層式命名結構（例如 bjpeu.edu.cn），但它們操作的資料庫完全獨立：

• DNS 儲存的是「區域」與「資源記錄」（A 記錄、SRV 記錄等），解決的是「名稱對應 IP」的網路定位問題。
• Active Directory 儲存的是「網域」與「網域內的物件」（使用者、電腦、群組、印表機等），解決的是「身分驗證、授權與目錄查詢」的管理問題。

2. 不同的解析協議與流程

關鍵點在於：Active Directory 將 DNS 視為「定位服務」。用戶端透過 LDAP 查詢 AD 時，必須先透過 DNS 將網域控制器的名稱解析為 IP，才能建立連線。因此，DNS 伺服器必須支援 SRV 資源記錄（服務定位記錄），讓用戶端能找到提供 LDAP、Kerberos 等服務的 DC。微軟更建議啟用 動態更新，讓 DC 自動註冊 SRV 記錄，否則管理員需手動透過 netlogon.dns 檔案匯入。

二、 結合機制：三位一體的整合架構

1. 共享階層結構： 組織的 DNS 命名空間與 AD 命名空間結構完全一致。DNS 樹的每個節點（以點分隔）對應一個潛在的 AD 網域。
2. DNS 區域儲存於 AD： 使用 Windows 2000 DNS 服務時，主要區域可儲存於 AD 資料庫中，透過多主機複寫自動同步至其他 DC，並獲得 AD 整合的安全性（ACL 控制區域更新權限）。
3. 用戶端透過 DNS 定位 DC： 用戶端啟動或登入時，向設定的 DNS 伺服器查詢 _ldap._tcp.dc._msdcs.<DomainName> 等 SRV 記錄，取得最近的 DC IP 位址，進而發起 LDAP/Kerberos 請求。

總結

DNS 提供「找得到」的網路定位基礎，Active Directory 提供「管得好」的目錄管理能力。兩者在 Windows 2000 中透過共同命名空間、AD 整合區域、SRV 記錄定位三大機制深度綁定，奠定了現代 Windows 網域環境的基石。理解這層關係，是掌握 AD 部署、疑難排解與安全強化的前提。