- PR -

AD用のDNSサーバーについて

1
投稿者投稿内容
ZYX
大ベテラン
会議室デビュー日: 2004/11/08
投稿数: 109
投稿日時: 2007-08-16 10:29
いつも大変お世話になっております。
皆さんから頂く回答のお陰で、非常に助かっております。
今回も質問させて頂きます。

社内にADを立てております。
ドメインコントローラーは、Windows2003です。

ADに連携するDNSサーバーを社内に立てています。
インターネットに公開している自社ドメイン用のDNSサーバーを
DMZに配置しています。

社内LANにあるサーバー及びPCは、社内DNSサーバーで名前解決を行い、
基本的にDMZにあるDNSサーバーは、利用していません。

今回、社内にある1台のサーバー（ADに参加）を、ファイルサーバー兼Proxyサーバーとして
利用したいため、環境構築しています。

社内DNSサーバーを利用すると、Yahooなどインターネット上のサイトにアクセスした場合、
エラーが多発してサイト表示に時間がかかるため、DMZのDNSサーバーを利用しようと思います。
（DMZのDNSサーバーを利用すれば、サイト表示が速くなり、問題が解決します）

そこで、質問なのですが、ADに参加している端末のDNSの設定で、
ADと連携するDNSサーバーを指定しなかった場合、何か問題が出るのでしょうか？

教えてください。よろしくお願い致します。
ue
ぬし
会議室デビュー日: 2005/05/07
投稿数: 581
お住まい・勤務地: 広島市
投稿日時: 2007-08-16 11:30
こんにちは。

ご質問への回答ではありませんが、TechNet の チェックリスト : DNS インフラストラクチャを保護する を参考に
DMZ に配置の自社ドメイン用 DNS サーバーを社内 DNS サーバーのフォワーダに指定してみてはいかがでしょうか。
_________________
上本亮介 (ue) @ わんくま同盟
Microsoft MVP for VSTO (Jul 2008 - Jun 2009)
Hello Another World!
.NET 勉強会 / ヒーロー島
ZYX
大ベテラン
会議室デビュー日: 2004/11/08
投稿数: 109
投稿日時: 2007-08-20 10:05
ueさん、お返事頂き、ありがとうございます。

引用:

ueさんの書き込み (2007-08-16 11:30) より:

DMZ に配置の自社ドメイン用 DNS サーバーを社内 DNS サーバーのフォワーダに指定してみてはいかがでしょうか。

アドバイスありがとうございます。

社内DNSサーバーの「forwarders」に『DMZのDNSサーバー』を設定したいのですが、セキュリティが低下する事を恐れて、社内で否認されました。
そういった経過があり、DNSの設定は一切変更できないため、今回の質問となりました。

社内DNSサーバーの参照を自社からに限定すればいいことは分かりますが、社内承認を得ることは難しいです。
※いくら正論を述べても、納得していただけないお客様との交渉に苦労したSEの方は多いと思いますので、ご理解いただけるのではないでしょうか？

DNSの設定変更は抜きにして、AD参加サーバーが、AD指定のDNSサーバーへの参照を一切しなくても、運用上問題がないか教えてください。

よろしくお願いします。

[ メッセージ編集済み 編集者: ZYX 編集日時 2007-08-20 10:07 ]
basty
常連さん
会議室デビュー日: 2006/10/06
投稿数: 42
投稿日時: 2007-08-20 10:42
こんにちは。

引用:

ZYXさんの書き込み (2007-08-16 10:29) より:

そこで、質問なのですが、ADに参加している端末のDNSの設定で、
ADと連携するDNSサーバーを指定しなかった場合、何か問題が出るのでしょうか？

教えてください。よろしくお願い致します。


当然ながら、ADの資源情報を見ることができなくなるので、
問題が多々出てくるかと思います。
(ログオンできなくなったり、ファイルサーバとして使われているようですので、アクセス権が読み取れなくなったり)

単純ですが、社内DNSサーバのフォワーダとして、御社でお使いのISPのDNSを利用するのは不可なのでしょうか。
kaz
ぬし
会議室デビュー日: 2003/11/06
投稿数: 5403
投稿日時: 2007-08-20 12:09
こんにちは．
引用:

ZYXさんの書き込み (2007-08-20 10:05) より:

社内DNSサーバーの「forwarders」に『DMZのDNSサーバー』を設定したいのですが、セキュリティが低下する事を恐れて、社内で否認されました。
そういった経過があり、DNSの設定は一切変更できないため、今回の質問となりました。

basty 様のご指摘通り，Active Directory の client が
Active Directory のために準備された DNS Server を参照させないのは
「Active Directory を正常に使うつもりがない」という意味だと
思った方が良いでしょう．

で，疑問なのですが，DNS Server が上位の DNS Server へ forward すると，
具体的にどんなことが security 上の問題点になるのでしょうか？
普通に考えてそんなことが思いつかないので，後学のためにご教示ください．
1

スキルアップ／キャリアアップ（JOB@IT）