Windows Server 2003 Active Directory 應用篇：DNS 整合、SRV 記錄、動態更新與 WINS 淘汰

AD 與 DNS 緊密整合：核心架構

• AD 命名空間 = DNS 命名空間：網域名稱即 DNS 網域名稱 (如 corp.contoso.com)。
• DC 定位依賴 DNS SRV 記錄：
  _ldap._tcp.dc._msdcs.corp.contoso.com → 指向網域控制站
  _kerberos._tcp.dc._msdcs.corp.contoso.com → 指向 KDC
• 用戶端登入/查詢流程：
  1. 查詢 SRV 記錄找 DC → 2. Kerberos/LDAP 與 DC 通訊 → 3. 完成驗證/查詢。

DNS 伺服器角色部署建議

1. AD 整合區域： 區域資料儲存在 AD 資料庫，透過 AD 複寫自動同步，無需區域傳輸，支援安全動態更新。
2. 每個網域至少兩部 DNS 伺服器 (通常即 DC)，設定為彼此的轉寄器/根提示。
3. 用戶端 DNS 設定： 僅指向內部 AD 整合 DNS，勿混用 ISP/公共 DNS，否則無法解析內部 SRV 記錄導致登入緩慢/失敗。

動態更新協定 (RFC 2136) 自動註冊

• DC 啟動時自動註冊 A 記錄、SRV 記錄、CNAME (DsaGuid)、GC 記錄。
• 用戶端 (Win2K 以上) 定期重新註冊 A/PTR 記錄 (預設 24 小時)，IP 變更即時更新。
• 安全性：AD 整合區域僅允許經驗證的電腦帳號更新自己的記錄 (ACL 控制)，防止惡意註冊/劫持。

WINS 淘汰與向後相容

• Win2K 以前：NetBIOS 名稱解析依賴 WINS/廣播/LMHOSTS。
• Win2K/WS2003：DNS 動態更新取代 WINS 動態註冊功能；NetBIOS 名稱解析可透過 DNS 搭配 GlobalNames 區域 (WS2008+) 或 NetBIOS over TCP/IP 相容。
  → 純 Win2K/WS2003 環境可 移除 WINS 伺服器，降低基礎設施複雜度。

DNS 擴充：支援 AD 的新記錄類型

最佳實務摘要

1. 部署 AD 時同步安裝 DNS 伺服器角色，建立 AD 整合區域。
2. 確保所有 DC 指向自身為主要 DNS，次要指向同站台其他 DC。
3. 啟用「安全動態更新」(預設)，定期稽核 DNS 事件記錄 (事件 ID 4000, 4004, 4015 等)。
4. 大型環境啟用 DNS 區域分區 (Application Directory Partitions) 控制複寫範圍。