防止DNS记录确定的服务资源（SRV）记录

出处：TechTarget 作者：Gary Olsen 时间：2006-8-27 23:31:00

　　在Windows 2000和2003中，域控制器位置进程定位域控制器去为不同的客户端和应用执行确定的功能。这个进程查找DNS服务位置记录，并被每一个域控制器注册，用来作为寻找像一个LDAP服务器，Kerberos(计算机网络中一种安全的服务认证请求方式)服务器，全球目录服务器以及PDC仿真器这样的应用目的。然而，合理的原因去防止为确定的域控制器进行确定的SRV记录。这将会强制要求像验证请求这样的操作去避免确定的域控制器，或者寻找另外的方法，它将会强制验证来只允许确定的域控制器作为带宽限制或性能因素。

　　举例来说，在先前的文章中，我描述了使用 the "lag site"去直接推动“在线”错误删除对象的修复。在这个方法里，两个域控制器中每一个域被放置在一个单独的站点(没有其他的域控制器)中，并且预定进行每周一次或者两次的复制，这取决于你的恢复策略。从而，如果你误删除了一个具有10，000用户的组织单位(OU)的话，你可以到一个还没有复制删除的lag site的域控制器上，执行一个权威修复来恢复被删除的对象。这消除了来自于备份修复的时间和争论。

　　在我先前的文章中简单的提到了在这个策略中，你一定要避免来自于鉴别用户的lag站点域控制器，因为他们将会潜在地包括旧口令和账户信息，并且能够导致用户验证失败。因此，我们需要去避免这些来自于校验用户的域控制器。

　　为了能够实现这一点，你可以使用一个组策略设置，“域控制器位置DNS记录不能通过域控制器注册”。这项设置允许你去制定哪一个DNS记录将不会被注册。当然，整个策略中重要的一个部分是去确认这个策略只能被应用在那些选定的域控制器。你不要想去定义一个策略来预防被审定需要的SRV记录的注册，并且将它应用到所有的域控制器上，你将会收获一大堆非常不满意的用户。

　　警告:记住以下的文字是很重要的:在你的活动目录环境上执行这项策略能带来损失惨重的影响。在将它运用到你的生产域上之前，切记要对执行这项策略作彻底的测试。

　　按照下面的步骤，一步步的去做防止DNS的SRV记录注册的设置:

　　创建一个指定的组织单位(OU)。创建一个脱离了域控制器组织单位的子组织单位，并确认在这个新的组织单位中放置的域控制器是没有注册确定的SRV记录。

　　为这个组织单位创建一个名为“约束证明” 单独的组策略:

　　a. 找到计算机设置→管理模板→系统→NetLogon服务→DC位置DNS记录。

　　b.选择“域控制器位置DNS记录不能通过域控制器注册”设置，并且点击“可以”按钮。这些设置允许你去指定哪一个SRV记录不是通过NetLogon服务注册的，就像下面图1中显示的那样。

　　c.在助记键部分中，你要列出那些没有被注册的记录。所有记录的描述在说明标签中被显示出来。注意图1中显示，你输入的每一个SRV记录在助记件部分是被约束的。这些记录在空间上是单独出来的。

　　举例:如果你执行了一个Lag站点域控制器，去约束来自于鉴别客户端的域控制器，你将需要去约束除了CNAME和主机记录之外的所有SRV记录。这些需要进入到助记键部分中，就像这里显示出的通过空间分离出的:

　　Ldap LdapAtSite Pdc Gc GcAtSite GcIpAddress DcByGuid Kdc KdcAtSite Dc DcAtSite

　　Rfc1510Kdc Rfc1510KdcAtSite GenericGc GenericGcAtSite Rfc1510UdpKdc

　　Rfc1510Kpwd Rfc1510UdpKpwd.

　　图1:

　　注意:特别需要注意的是这个操作是有因果关系的。请注意了解一下的提示:

　　如果你进行这样的操作为灾难修复执行一个lag站点。你应该将Lag域控制器放入一个单独的站点，并且将它作为一个站点策略来执行。

　　如果你想要防止一些域控制器注册Kerberos记录，并且其他的域控制器注册LDAP记录，那么你将会需要去创建多策略。

　　请在正式应用之前，确定它已经被作了全面的测试。这个例子中描述的是能够很好的通过Lag站点域控制器防止鉴定。如果你想要利用这个方法为其他的应用作约束SRV记录注册操作的话，你首先必须要确认在正式使用之前，你已经得到了想要的结果。

　　希望看到更全面的有关在活动目录灾难恢复中使用lag站点的这个策略执行，请关注我的书《Windows Server 2003 on ProLiant Servers》，在第872到873页中，你会看到更全面地解释。

操作系统

防止DNS记录确定的服务资源（SRV）记录