Windows Server 2025 / DNS-Grundlagen: Zonen, Einträge und Namensauflösung
Das Domain Name System (DNS) ermittelt zu Namen passende IP-Adressen und Dienststandorte. Windows Server speichert die Einträge in Zonen; auch die Active Directory-Domänendienste (AD DS) verwenden DNS, um Domänencontroller und Verzeichnisdienste zu finden.
Eine Abfrage richtet sich an einen konfigurierten DNS-Server
Eine Abfrage enthält einen Namen und den gewünschten Eintragstyp, etwa A für eine IPv4-Adresse. Der Resolver ist die Komponente, die nach der Antwort sucht. Der DNS-Server kann aus eigenen Zonen antworten, eine zwischengespeicherte Antwort verwenden oder abhängig von seiner Konfiguration andere Server durch Weiterleitung oder Rekursion befragen. Die Zuordnung von Namen und Adressen kann sich ändern.
So kann fs1.lab.example.test auf 172.24.50.20 zeigen, damit Benutzer die Adresse nicht auswendig kennen müssen. Dieser Eintrag richtet weder eine Dateifreigabe noch eine Website oder Authentifizierung ein und erteilt keine Zugriffsrechte. Prüfen Sie Namensauflösung und tatsächlichen Dienstzugriff getrennt.
Eine Zone grenzt den verwalteten Namensraum ab
Eine Zone ist ein auf einem DNS-Server verwalteter Teil des Namensraums. Dieser Kurs trennt die Übungszone lab.example.test von der Active Directory-Domäne ad.example.test. Die Namen liegen unter .test, das im IANA-Verzeichnis für spezielle Domainnamen aufgeführt ist; erwarten Sie von einem öffentlichen DNS-Server keine Kenntnis Ihrer internen Laboreinträge. Microsofts Dokumentation zu DNS-Zonen beschreibt Speicherung und Replikation.
| Zone, Speicherung oder Suchrichtung | Zweck |
|---|---|
| Primäre Zone | Enthält die Einträge, die erstellt, geändert oder gelöscht werden können |
| Sekundäre Zone | Erhält eine schreibgeschützte Kopie von einem anderen DNS-Server |
| AD DS-integriert | Speichert Daten im Verzeichnis eines Domänencontrollers mit DNS; nutzt AD DS-Replikation und unterstützt sichere dynamische Updates |
| Reverse-Lookupzone | Enthält PTR-Einträge für die Suche nach Namen anhand von IP-Adressen |
AD DS-Integration setzt einen Domänencontroller mit installierter DNS-Serverrolle voraus. Ein eigenständiger Server oder Mitgliedsserver wird durch die DNS-Installation allein nicht dazu. Verwenden Sie vor der Heraufstufung von DC1 eine dateibasierte primäre Übungszone; die integrierte Domänenzone wird bei der Domänenkonfiguration eingerichtet. Die Tabelle vergleicht unterschiedliche Aspekte: primär oder sekundär beschreibt die Kopie, AD DS-Integration die Speicherung und Replikation, Reverse Lookup die Suchrichtung. Eine Reverse-Lookupzone kann zugleich primär und AD DS-integriert sein.
Eintragstypen enthalten unterschiedliche Daten
| Typ | Bedeutung |
|---|---|
| A | Name zu IPv4-Adresse (Internetprotokoll Version 4): fs1 → 172.24.50.20 |
| AAAA | Name zu IPv6-Adresse (Internetprotokoll Version 6) |
| CNAME | Alias zu einem anderen Namen: portal → fs1.lab.example.test |
| PTR | Rückwärtszuordnung einer Adresse zu einem Hostnamen |
| SRV | Dienststandort mit Zielhost und Port, unter anderem für die Suche nach Active Directory-Diensten |
| TXT | Text, beispielsweise Angaben zur Bestätigung des Domainbesitzes |
Das Ziel eines CNAME muss auflösbar sein. Bei Webaliasen können passende Websitebindungen und Zertifikate für den verwendeten Namen erforderlich sein. Auch SMB (Server Message Block) für den Dateizugriff stellt serverseitige Anforderungen an alternative Namen. Ein DNS-Eintrag allein benennt keinen Dienst vollständig um und richtet dessen Zugriff nicht ein.
Fehlt die Rückwärtsauflösung für die IP-Adresse des DNS-Servers selbst, kann nslookup diesen als Unknown oder UnKnown anzeigen, obwohl die A-Antwort für den abgefragten Namen korrekt ist. Unterscheiden Sie die Serveranzeige vom Ergebnis für fs1.lab.example.test. Vorwärtsauflösung von Name zu Adresse und Rückwärtsauflösung von Adresse zu Name sind getrennte Prüfungen; nicht jede Anwendung benötigt beide.
Berücksichtigen Sie Cache und TTL
Die Lebensdauer TTL (Time to Live) begrenzt, wie lange eine Antwort im Cache bleiben darf. Nach einer Eintragsänderung kann ein anderer Resolver oder Client noch den alten Wert liefern, bis sein Cache abläuft oder aktualisiert wird. Microsofts Beschreibung der DNS-Architektur erklärt das Verhalten. Vergleichen Sie denselben Namen und Eintragstyp und prüfen Sie den antwortenden Server. -Type A wählt IPv4, -Server den DNS-Server; das zweite Argument von nslookup wählt denselben Server:
Resolve-DnsName -Name 'fs1.lab.example.test' -Type A -Server 172.24.50.10
nslookup fs1.lab.example.test 172.24.50.10Führen Sie die Befehle auf CLIENT1 aus, nachdem der DNS-Server 172.24.50.10 konfiguriert, die Zone lab.example.test angelegt und der A-Eintrag fs1 mit 172.24.50.20 erstellt wurde. Die erwartete A-Antwort enthält 172.24.50.20. Vor dieser Vorbereitung ist für den Labornamen keine erfolgreiche Auflösung zu erwarten. Die Antwort, dass ein Name nicht existiert, ist eine negative DNS-Antwort; bei einer Zeitüberschreitung kam keine rechtzeitige Antwort an. Prüfen Sie dann Server, Verbindung und Konfiguration. Die Referenzen zu Resolve-DnsName und nslookup erläutern Parameter und Ergebnisse.
Nutzen Sie internes DNS für die Domänendienstsuche
Ein Domänencomputer benötigt DNS, um Controller und Dienste zu finden. Erfolgreiches Surfen im Internet beweist keine funktionierende Domänenauflösung: Öffentliche Resolver kennen die SRV-Einträge einer privaten AD DS-Zone nicht. Beachten Sie die Rolle von DNS in Active Directory, nutzen Sie für die interne Dienstsuche den passenden internen DNS-Server und planen Sie Weiterleitungen für externe Namen.
Verstehen Sie vor manuellen Änderungen an Active Directory-Diensteinträgen deren Zweck und Registrierung. Üben Sie Änderungen an A-, CNAME- und PTR-Einträgen in lab.example.test, getrennt von ad.example.test. So lernen Sie die Namensauflösung, ohne die zur Suche nach Domänencontrollern benötigten Einträge zu verändern.
