Как я могу перенаправить запросы DNS в неавторизационную зону в своего рода сценарии «следующего перехода»?
Настройки следующие:
Один домен ADDS (contosob.local), содержащий два DNS-сервера, эти серверы должны иметь возможность искать записи для другого домена ADDS (contosob.local), однако эти серверы не могут разговаривать напрямую. Это просто для безопасности, а не из-за конфликта подсетей.
Однако есть другой домен (notconsoto.local), который может взаимодействовать как с доменом contosoa.local, так и с доменом contosob.local. DNS-серверы в этом домене имеют зону-заглушку, которая перенаправляет все поисковые запросы для contosob.local на свои DNS-серверы. Все работает как задумано.
Однако мне по-прежнему нужен contosoa.local для поиска записей для contosob.local. Я попытался создать другую зону-заглушку, которая указывала на поиск в зоне заглушки в notcontoso.local, но, поскольку это не авторитетная зона, мне было отказано.
Как я могу перескочить поиск DNS через notcontoso.local из contosoa.local? Я попытался добавить один из DNS-серверов contosob.local к DNS-клиенту на требуемых хостах, однако это не сработало, поскольку Windows, похоже, не использует циклический перебор так далеко в списке.
Это, безусловно, разовый случай, но после тестирования в моей домашней лаборатории кажется, что можно настроить условные пересылки таким образом.
Таким образом, contosoa.local имеет сервер условной пересылки для contosob.local, который переходит к notcontoso.local, у notcontoso.local есть сервер условной пересылки для contosob.local, который переходит к contosob.local. DNS-запрос contosob.local из contosoa.local будет проходить через notcontoso.local.
Я успешно протестировал это и подтвердил поток трафика с помощью Microsoft Network Monitor.
Обратите внимание, что при настройке, когда мастер запрашивает, что DNS-сервер не является полномочным для зоны, все равно добавьте его. После настройки «связанных» серверов условной пересылки в contosoa.local и notcontoso.local DNS-запрос для contosob.local из contosoa.local должен проходить через notcontoso.local.