Consulta con el equipo de Windows : DNS

¿Cómo "esconder" tus Controladores de Dominio?

esplat — Mon, 09 Mar 2009 12:55:00 GMT

Hola, soy Yolanda Muñoz, del equipo de Directorio Activo. En algunas ocasiones, nos hemos encontrado con la necesidad de disminuir la carga de logon en determinados DCs o bien por ser el de menor recursos hardware del Site o porque se encuentre destinado a otro tipo de operaciones/aplicaciones. En estos casos sugerimos implementar las siguientes recomendaciones:

Quitar la opción de GC.
Ajustar el “weight” (peso) y la “priority” (prioridad) de los registros SRV en DNS para minimizar el número de peticiones de logon recibidas por los DCs.

Si lo que queremos conseguir es reducir proporcionalmente el número de peticiones clientes recibidas, ajustaremos el “weight”.
Sin embargo, si lo que queremos es minimizar al máximo el número de peticiones recibidas,ajustaremos la “priority”.

En esta ocasión nos detendremos a explicar la segunda de las recomendaciones:

El Directorio Activo asigna por defecto el valor de 100 para el “weight”. Si queremos reducir a la mitad el número de peticiones atendidas por el DC, crearemos la clave del registro que controla dicho valor y lo estableceremos a 50.

Como cambiar el “weight” de los registros SRV en DNS:

1. In the Run dialog box, type regedit, and then press ENTER.
2. In the registry editor, navigate to
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters
3. Click Edit, click New, and then click DWORD value.
4. For the new entry name, type LdapSrvWeight, and then press ENTER. (The value
name is not case sensitive.)
5. Double-click the entry name you just typed.
6. In the Edit DWORD Value dialog box, select Decimal as the Base option.
7. Enter a value between 0 and 65535 (the recommended value is 10), and then click OK.
8. Click File, and then click Exit to close the registry editor.

El Directorio Activo asigna por defecto el valor de 0 para la “priority” . Así, si creamos la clave del registro que controla dicho valor y lo establecemos a 200, las peticiones de autenticación de los clientes serán atendidas por los DCs cuya “priority” sea menor. De esta manera, el equipo configurado con mayor valor de “priority” no atenderá ninguna petición siempre que existan DCs disponibles con un valor de “priority” menor.

Cuando el valor de “priority” es el mismo para varios DCs, el valor especificado en “weight” determinará el orden en que los servidores van a ser contactados por los clientes.

Como cambiar la “priority” de los registros SRV en DNS:

1. In the Run dialog box, type regedit, and then press ENTER.
2. In the registry editor, navigate to
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters
3. Click Edit, click New, and then click DWORD value.
4. For the new entry name, type LdapSrvPriority, and then press ENTER.
5. Double-click the entry name that you just typed.
6. In the Edit DWORD Value dialog box, select Decimal as the Base option.
7. Enter a value between 0 and 65535 (the recommended value is 500), and then click OK.
8. Click File, and then click Exit to close the registry editor.

Para que los valores mencionados anteriormente sean efectivos, es necesario reiniciar el servicio de Netlogon (net stop netlogon && net start netlogon). El servicio al iniciar leerá la nueva configuración y actualizará los registros en DNS con los nuevos valores, siempre que las actualizaciones dinámicas estén permitidas en la zona.

Los nuevos valores quedan reflejados tanto en el archivo netlogon.dns (%Systemroot%\System32\config), como en el netlogon.log (%Systemroot%\debug) si el valor DBFlag está establecido a 0x2080FFFF.

- Yolanda Muñoz Muñoz

Cómo auditar la creación y el borrado de zonas DNS integradas en DA

esplat — Thu, 18 Sep 2008 13:43:00 GMT

Hola, soy Paula, del equipo de Directorio Activo. Hoy vamos a hablar de cómo habilitar la auditoria para poder disponer de información en el caso de que se cree o elimine una zona DNS integrada en Directorio Activo.

Habilitar la auditoría va a conllevar que el log de eventos de Seguridad registre una cantidad mayor de eventos, con lo que requerirá mayor espacio en disco (para no perder eventos, se puede incrementar el tamaño del log).

Los pasos a seguir para habilitar la auditoría son los siguientes:

1. Habilitar la auditoría al acceso a los servicios de directorio (Directory Service Access):

a. Editar la política Default Domain Controllers Policy o crear una nueva GPO en la OU de los controladores de dominio. Si se tienen varios dominios y se desea auditar la actividad en todos dependiendo del tipo de replicación de la zona, habrá que habilitar la auditoría en todos ellos.

b. Habilitar Success (también se puede auditar Failure) en la siguiente ruta de la GPO:

Computer Configuration > Windows Settings > Security Settings > Local Policies > Audit Policy > Audit directory service access

2. Establecer la auditoría sobre el objeto de Directorio Activo que deseemos. Esta operación se puede realizar, por ejemplo, mediante ADSIEdit:

a. Acceder a la partición que se desee auditar (Botón derecho sobre la raíz "ADSI Edit" y seleccionar Connect to...). Como se comentó anteriormente aquí, las zonas DNS pueden albergarse bajo el contenedor MicrosoftDNS en tres particiones diferentes en Directorio Activo dependiendo de su configuración de replicación:

CN=MicrosoftDNS,CN=System,DC=domain,dc=com -> Partición del dominio: La zona está configurada para replicar a todos los DCs del dominio

CN=MicrosoftDNS,DC=DomainDNSZones,DC=domain,DC=com -> Partición de aplicación DomainDNSZones: La zona replica a todos los servidores DNS del dominio

CN=MicrosoftDNS,DC=ForestDNSZones,DC=domain,DC=com -> Partición de aplicación ForestDNSZones: La zona replica a todos los servidores DNS del bosque

b. Acceder a las propiedades de la partición ForestDNSZones (por ejemplo) > Seguridad > Avanzadas > Auditoría

Agregar al usuario Everyone (o al usuario/grupo que se desee auditar)

Aplicar a Container objects

Tipo de acceso Create dnsZone Objects y Delete dnsZone Objects

Una vez se habilite, esta configuración es homogénea para todo el dominio, es decir, todos los DCs van a auditar estos accesos. Siempre es recomendable que se realicen algunos tests en un entorno de pruebas para comprobar que la auditoria cumple los requisitos que se necesitan.

Un ejemplo del evento que se generan al crear una nueva zona:

Event Type: Success Audit

Event Source: Security

Event Category: Directory Service Access

Event ID: 566

Date: 9/18/2008

Time: 1:17:42 PM

User: HALEDOMAIN\paula

Computer: HALEDC01

Description:

Object Operation:

Object Server: DS

Operation Type: Object Access

Object Type: container

Object Name: CN=MicrosoftDNS,DC=ForestDnsZones,DC=haledomain,DC=com

Handle ID: -

Primary User Name: HALEDC01$

Primary Domain: HALEDOMAIN

Primary Logon ID: (0x0,0x3E7)

Client User Name: paula

Client Domain: HALEDOMAIN

Client Logon ID: (0x0,0x226DB)

Accesses: Create Child

Properties:

Create Child

dnsZone

Additional Info: DC=prueba.com,cn=MicrosoftDNS,DC=ForestDnsZones,DC=haledomain,DC=com

Additional Info2: DC=prueba.com,CN=MicrosoftDNS,DC=ForestDnsZones,DC=haledomain,DC=com

Access Mask: 0x1

Ejemplo de una eliminación:

Event Type: Success Audit

Event Source: Security

Event Category: Directory Service Access

Event ID: 566

Date: 9/18/2008

Time: 1:31:20 PM

User: HALEDOMAIN\paula

Computer: HALEDC01

Description:

Object Operation:

Object Server: DS

Operation Type: Object Access

Object Type: dnsZone

Object Name: DC=..Deleted-prueba.com\0ADEL:39fd87f0-46f8-4474-8a53-1392aaf34a95,CN=Deleted Objects,DC=ForestDnsZones,DC=haledomain,DC=com

Handle ID: -

Primary User Name: HALEDC01$

Primary Domain: HALEDOMAIN

Primary Logon ID: (0x0,0x3E7)

Client User Name: paula

Client Domain: HALEDOMAIN

Client Logon ID: (0x0,0x226DB)

Accesses: DELETE

Properties:

DELETE

dnsZone

Additional Info:

Additional Info2:

Access Mask: 0x10000

Esperamos que esta información os sirva en caso de que necesitéis auditar la creación/borrado de zonas DNS.

- Paula Tomás Galed

¿Dónde se almacenan las zonas DNS integradas en Directorio Activo?

esplat — Wed, 20 Aug 2008 10:57:00 GMT

Hola de nuevo,

Hoy veremos dónde se almacena la información correspondiente a las zonas integradas en Directorio Activo.

Para ello, antes tenemos que recordar que en Windows Server 2003 se introdujeron las nuevas Particiones de Aplicación. Las dos particiones de aplicación que se crean por defecto para DNS son ForestDNSZones y DomainDNSZones. También es posible crear nuevas particiones de aplicación mediante las herramientas ntdsutil y dnscmd.

Cuando se crea/configura una zona DNS integrada en DA en Windows Server 2003 y Windows Server 2008, por defecto hay tres opciones disponibles para el ámbito de replicación:

1. To all DNS servers in the Active Directory forest midominio.local

Si seleccionamos esta opción, la información de la zona midominio.local se almacena en la partición de aplicación ForestDNSZones bajo el contenedor MicrosoftDNS:

CN=MicrosoftDNS,DC=ForestDNSZones,DC=domain,DC=local

Esta información va a ser replicada por todos los servidores DNS (que también sean DCs) del bosque.

2. To all DNS servers in the Active Directory domain midominio.local

Si optamos por esta segunda opción, la información de la zona midominio.local se almacenará en la partición de aplicación DomainDNSZones bajo el contenedor MicrosoftDNS:

CN=MicrosoftDNS,DC=DomainDNSZones,DC=domain,DC=local

Esta información va a ser replicada por todos los servidores DNS (que también sean DCs) del dominio.

3. To all domain controllers in the Active Directory domain midominio.local

La tercera opción corresponde a la forma clásica (Windows 2000) de almacenar las zonas DNS en Directorio Activo. Concretamente, la información de la zona midominio.local se almacenará en esta ocasión en la propia partición del dominio, bajo el contenedor MicrosoftDNS dentro de System:

CN=MicrosoftDNS,CN=System,DC=domain,DC=local

Esta información va a ser replicada por todos los Controladores de Dominio (DCs) del dominio así como por todos los DCs que sean Catálogos Globales (GCs) en el bosque.

Existe una cuarta opción disponible una vez se han creado nuevas particiones de aplicación: To all domain controllers specified in the scope of the following application directory partition. De esta manera, podremos seleccionar qué DCs específicos replican dicha partición y que sean ellos, por tanto, los que sirvan la zona DNS en la que se ha especificado que el ámbito de replicación corresponda a dicha partición.

Recomendaciones generales

Las recomendaciones generales (siempre habría que tener en cuenta las peculiaridades del entorno particular) en cuanto al almacenamiento de zonas en Directorio Activo son las siguientes:

· Si algún servidor DNS es Windows 2000 Server, habría que configurarlas para que replicaran a todos los DCs del dominio, por lo que la zona se almacenaría en la partición de dominio. De esta manera, los servidores DNS Windows 2000 Server podrían almacenar, cargar y servir dicha zona.

· Si todos los servidores DNS son Windows Server 2003, se recomienda que las zonas se almacenen en las nuevas particiones de aplicación que presenta Windows Server 2003:

o Las zonas que deban estar en todos los servidores DNS del dominio se almacenarán en la partición de aplicación DomainDNSZones

§ Para las nuevas zonas DNS creadas a partir de Windows Server 2003, esta es la configuración por defecto

§ Se recomienda configurar las zonas correspondientes a cada dominio con este tipo de replicación, de tal manera que todos los DNS de dicho dominio tengan la zona y no se replique a los GC del bosque, evitando así replicación y almacenamiento innecesarios.

§ Con esta configuración también se logra separar la información propia de AD (usuarios, equipos, grupos, etc.) de los datos de las zonas DNS

o Las zonas que deban estar en todos los servidores DNS del bosque se almacenarán en la partición de aplicación ForestDNSZones

§ Se recomienda configurar de este modo la zona _msdcs.midominio.local para que puedan cargarla todos los servidores DNS del bosque

Los datos de una zona almacenada en una partición de aplicación de DA no se replican a los GC del bosque, mientras que los datos almacenados en la partición del propio dominio sí se replican a los GC. Al utilizar particiones de aplicación, por tanto, se reduce el tráfico generado en la red así como la cantidad de datos replicados, ya que sólo los DCs que sean servidores DNS van a llevar a cabo la replicación de dichas particiones, dependiendo además del dominio/bosque al que pertenezcan.

Se puede encontrar más información sobre la configuración de la replicación de las zonas DNS y las recomendaciones generales en los siguientes enlaces:

· DNS zone replication in Active Directory

· Use DNS Application Directory Partitions

- Paula Tomás Galed

W2k8 Days Novedades en el Servicio DNS

esplat — Tue, 27 May 2008 10:40:00 GMT

Hola de nuevo,

Continuando con las novedades en W2008 pasamos ahora a un servicio que afecta a dos elementos de administración fundamentales en cualquier entorno como son la parte de red y Directorio Activo.

Nos referimos a DNS, un protocolo con bastante veteranía pero que ha sufrido algunas modificaciones y mejoras en esta nueva versión de sistema operativo.

En el link adjunto tenéis acceso a la presentación que realizó nuestra compañera Paula Tomás Galed para que podáis comenzar a trabajar con estar novedades.

Saludos y esperamos que os resulte de utilidad.