DNS 在 Active Directory 中的關鍵角色與整合機制深度剖析

前言：從 NetBIOS 到 DNS 的範式轉移

Windows NT 4.0 時代，網路識別仰賴 NetBIOS 名稱，解析透過 WINS、廣播、LMHOSTS 完成。Windows 2000 Active Directory 全面採用 DNS 標準：AD 網域名即 DNS 網域名，AD 依賴 DNS 作為定位服務 (Locator Service)，將服務名稱 (LDAP、Kerberos、GC) 解析為 DC 的 IP 位址。這不僅統一了內部/外部命名空間，更奠定了 AD 於 Internet/Intranet 環境的互通基礎。

一、 AD 與 DNS 的核心差異

結論： DNS 可獨立存在；AD 必須有 DNS (支援 SRV 記錄與動態更新) 才能運作。

二、 整合機制三大支柱

1. 共享階層命名空間： 組織的 DNS 樹與 AD 樹結構同構。DNS 名稱每個標籤 (以點分隔) 對應一個潛在 AD 網域節點。根節點不同：DNS 根為空標籤 ""，AD 根為森林根網域 (提供 LDAP 入口)。
2. AD 整合區域： 使用 Windows 2000/2003 DNS 服務時，主要區域可儲存於 AD 資料庫 (分區: DomainDnsZones, ForestDnsZones)，透過 AD 多主機複寫自動同步至所有 DC/DNS 伺服器，並獲得 ACL 安全性控制區域更新權限。
3. 用戶端透過 DNS 定位服務： 用戶端啟動/登入時，查詢特定 SRV 記錄：
   • _ldap._tcp.dc._msdcs. — 尋找任意 DC
   • _ldap._tcp.._sites.dc._msdcs. — 尋找同站台 DC
   • _kerberos._tcp. — 尋找 KDC
   • _gc._tcp. — 尋找全域類別目錄伺服器
   DC 透過 NetLogon 服務動態註冊這些記錄 (需動態更新支援)。

三、 DNS 伺服器需求與部署建議

非 Microsoft DNS 伺服器 (BIND 等) 注意： 必須驗證支援 SRV 記錄；若不支援動態更新，DC 升級時需手動匯入 %SystemRoot%\System32\Config\NetLogon.dns 內容。

四、 動態 DNS (DDNS) 取代 WINS 的必然趨勢

• Windows 2000/2003 用戶端 (含 DC) 透過 DHCP Client 服務動態註冊 A/PTR 記錄至 DNS，即時更新 IP-名稱對照表。
• DDNS 為開放標準 (RFC 2136)，無廠商鎖定，支援跨平台 (Linux/Unix 用戶端亦可註冊)。
• WINS 為 Microsoft 私有協議，非 Internet 標準，逐步淘汰。純 Windows 2000+ 環境可移除 WINS 伺服器，僅保留相容性需求 (舊版應用/用戶端) 時部署。
• DNS 整合 WINS (WINS-R/WINS-N 記錄) 在 DDNS 普及後已無必要。

五、 命名空間規劃四大策略

1. 使用已註冊公網域名作為 AD 根網域 (如 example.com) — 內外部統一命名，簡化防火牆/憑證規劃，但內部資源直接暴露於公共 DNS 需謹慎控制委派。
2. 使用公網域名的子網域 (如 corp.example.com) — 推薦做法，內外部區隔明確，公共 DNS 僅委派子網域或不委派。
3. 使用完全內部專用名稱 (如 corp.local, internal) — 內外部完全隔離，但單一標籤名稱 (如 corp) 不支援 DC 重命名、部分應用相容性較差，建議至少二級。
4. 分離命名空間 — 公共服務用 example.com，內部 AD 用 internal.example.com 或 corp.local，跨界存取需完整 FQDN。

結語

DNS 是 Active Directory 的「神經系統」：提供命名空間結構、服務定位 (SRV)、動態註冊 (DDNS) 三大核心功能。正確規劃 DNS 架構 (AD 整合區域、安全動態更新、站台感知 SRV)、選擇適合的命名策略、淘汰 WINS 依賴，是構建穩健、安全、可擴展 AD 環境的基石。記住：沒有健康的 DNS，就沒有健康的 Active Directory。