Mise en œuvre de la délégation de zone Schéma de la réalisation.local Serveur01 xp01 DOMAINE : LABO Serveur02 xp02 DOMAINE MONLABO Configuration de départ Nom netbios ip Serveur préféré Suffixe dns Nom complet (FQDN) Serveur01 192.168.10.1 192.168.10.1 XP01 192.168.10.10 192.168.10.1 Serveur02 192.168.10.2 192.168.10.2 XP02 192.168.10.12 192.168.10.2 La maquette comprend deux postes W2003 : Serveur01 et Serveur02, configurés au départ comme de simples «serveurs membres» (WORKGROUP :sans Active Directory), avec des adresses IP statiques. 1. Désinstallez les éventuels services DNS et DHCP existants avec Ajouter/supprimer des composants Windows du Panneau de configuration. On peut «finir le ménage» en supprimant, dans Winnt\system32 le contenu des dossiers DNS et DHCP éventuels. 2. Vérifiez que vos deux serveurs ont bien une connectivité IP en effectuant les «pings» appropriés. Etape N 1 : Installation du domaine parent (Serveur01) Labo.local Préalable : Les suffixes DNS des postes (client XP01 et serveur01) ont été au préalablement saisis : Panneau de configuration/système/nom ordinateur/modifier/autres Installation du service DNS (voir TP précédent) Pouvez-vous pinguer sur les noms FQDN des machines XP01 et serveur01? Configuration des zones de recherche (voir TP précédent) Sélectionnez SERVEUR01 dans l arborescence de console, puis faites un clic-droit sur ce serveur. Création des zones de recherche directe Création des zones de recherche inversée Effectuez les vérifications nécessaires et observez: SOA Fichier DNS (system32/dns/labo.local.dns) Effectuer des pings entre les postes XP01 et Serveur01, sur leurs noms FQDN Pouvez-vous pinguer sur les noms FQDN des machines XP01 et serveur01? 1/7
Annexe 2 : Serveur 01 avant redirection et délégation Installation du domaine enfant sur Serveur02 Nous allons à présent créer le domaine «enfant» Monlabo.Labo.local. Installation du service DNS sur Serveur02 (idem serveur01) Création de la zone de recherche directes du Serveur02 1. Sélectionnez le serveur DNS SERVEUR02 dans l arborescence de la console, et faites un clic-droit sur ce serveur. 2. Cliquez sur Configurer le serveur l «Assistant de Configuration de serveur DNS» démarre. 3. Sélectionnez l option «Un ou plusieurs serveurs DNS sont présents sur ce réseau», saisissez l adresse IP du serveur SERVEUR02 puis cliquez sur «Suivant>». 4. Sélectionnez l option «Ceci est le premier serveur DNS sur le réseau», puis cliquez sur «Suivant>». 5. Sélectionnez l option par défaut «Oui, créer une zone de recherche directe», puis cliquez sur «Suivant>». 6. Sélectionnez l option par défaut «Zone principale», puis cliquez sur «Suivant>». 7. Dans la zone «Entrez le nom de la zone :», nous allons indiquer le nom de la zone qui doit correspondre au suffixe DNS principal de l ordinateur, soit ici Monlabo.Labo.local, puis cliquez sur «Suivant>». 8. Acceptez l option «Créer un nouveau fichier avec ce nom de fichier :» Monlabo.Labo.local.dns dans la fenêtre suivante, puis cliquez sur «Suivant>». 9. Création de la zone de recherche inversée du serveur secondaire SERVEUR02 On passe maintenant à la création de la zone de recherche inversée (Adresse IP Nom). 10. Sélectionnez l option par défaut «Oui, créer une zone de recherche inversée», puis cliquez sur «Suivant>». 11. Sélectionnez l option par défaut «Zone principale standard», puis cliquez sur «Suivant>». 12. Saisissez l ID réseau puis cliquez sur «Suivant>». 13. Cliquez enfin sur «Terminer». serveur02 avant redirection et délégation 2/7
Vérifications globales Etape N 1. XP01 ping serveur01(fqdn) et réciproquement OUI XP02 ping serveur02 (FQDN) et réciproquement OUI XP01 ping serveur02 (FQDN) et réciproquement OUI XP02 ping serveur01 (FQDN) et réciproquement OUI Qu en déduisez-vous? Conclusion :... Remarque : Il est possible d aménager la console DNS de SERVEUR01 afin d administrer le serveur DNS de SERVEUR02. Ainsi, depuis la seule console du serveur SERVEUR01, il sera possible de gérer les deux serveurs DNS du domaine «parent» et du domaine «enfant». 1. Faites, si besoin, Démarrer, Programmes, Outils d administration, DNS. 2. Dans l'arborescence de la console, faites un clic-droit sur DNS, puis cliquez sur Connecter à l'ordinateur 3. Dans la boîte de dialogue «Sélection de l'ordinateur de destination», sélectionnez «L'ordinateur suivant», saisissez SERVEUR02, laissez cochée la case «Se connecter à l ordinateur spécifié maintenant» puis cliquez sur «OK». Les deux serveurs DNS doivent apparaître. 3/7
Etape N 2 : Permettre les postes de la zone enfant de communiquer avec les postes de la zone parents. Création des redirecteurs sur le serveur02 1. Présentation des redirecteurs (voir Annexe redirecteurs) 2. Configuration du redirecteur DNS Redirection sur le domaine parent 1. Ouvrez l outil d administration DNS, faites un clic droit sur serveur DNS et sélectionnez l option Propriétés 2. Dans l onglet Redirecteurs, cliquez sur le bouton Nouveau 3. Entrez le domaine DNS et ajoutez son adresse IP à la liste d adresse IP. Validez. Vérification : Serveur01 vers serveur02 XP01 ping serveur02 (FQDN) XP02 ping serveur01 (FQDN) XP02 ping Xp01 (FQDN) Conclusion : la redirection permet du domaine enfant vers domaine parent mais pas la réciproque Nous allons à présent tenter de vérifier si les serveurs DNS jouent bien leur rôle. 1. Faites un clic droit sur le serveur SERVEUR02 et cliquez sur Propriétés. 2. Cliquez sur l'onglet «Analyse» et cochez les deux cases de test proposées puis lancez le test en cliquant sur le bouton «Tester». Le résultat à «Requête simple» est-il «Correct»? Le résultat à «Requête récursive» est-il «Correct»? Etape N 2 : Création de la délégation de zone L objectif de la délégation de zones est de permettre aux machines d une zone de résoudre des noms de postes d une autre zone. Ici nous devons permettre aux postes de la zone parent (Labo.local) de résoudre les noms de toutes les machines de la zone «enfant» bien qu elles soient dans un autre domaine (Monlabo) et gérées à la base par un autre serveur DNS (serveur02). Sur le serveur DNS gérant la zone parent (SERVEUR01), nous allons ainsi créer une délégation de zone. Attention, nous sommes toujours sur le poste SERVEUR02 et nous continuons à administrer les serveurs DNS au travers de la console DNS habituelle. 1. Sélectionnez le serveur DNS SERVEUR01. 2. Clic-droit sur le nom de la zone parent (Labo.local), cliquez sur Nouvelle délégation «Suivant >». 3. Saisissez, dans la zone «Domaine délégué :», le nom du domaine enfant sans le suffixe (Monlabo). «Suivant >». 4. 5. Cliquez sur le bouton «Ajouter». L objectif est d ajouter le(s) nom(s) de(s) serveur(s) DNS se trouvant dans la zone déléguée. Saisissez donc dans la zone «Nom du serveur :», le nom du serveur DNS du domaine «enfant» (soit SERVEUR02 dans notre cas) puis cliquez sur «Résoudre». Que cherchait-on à faire? Le résultat (erreur) est logique, au vu des déductions issues des pings précédents Pourquoi? 6. Dans la zone «Adresse IP :» saisissez donc l adresse IP du serveur DNS du domaine enfant (soit 192.168.10.2, adresse IP du serveur SERVEUR02 ) puis cliquez sur «Parcourir» et sur «OK». 4/7
7. Cliquez ensuite sur «Suivant >» puis sur «Terminer». Les ordinateurs du domaine DNS parent devraient désormais pouvoir résoudre les noms de machines appartenant au domaine enfant, puisque nous avons délégué le contrôle de cette zone enfant au serveur DNS de la zone parent. Il doit aussi être possible de savoir qui est le serveur DNS ayant autorité sur la zone enfant Nous allons essayer de le vérifier. Vérification Sur le serveur SERVEUR01 1. Faites un ping SERVEUR02. Monlabo.Labo.local Alors que nous sommes sur un poste du domaine parent, nous avons bien résolu un nom FQDN, pour une machine appartenant au domaine enfant. 2. Faites un ipconfig /flushdns pour vider le cache DNS. 3. Faites un ipconfig /displaydns afin d afficher le contenu du cache. Il doit être «vide» hormis le «local host» 127.0.0.1 (boucle de test du protocole TCP/IP). 4. Faites un ping SERVEUR02 (qui n est pas un nom FQDN) 5. Faites un ipconfig /displaydns afin d afficher le contenu du cache. Que constatez-vous au sujet de SERVEUR02? Or vous avez pourtant du (en principe) résoudre le nom SERVEUR02. Étrange non? Réfléchissez et répondez aux points suivants : Le système arrive-t-il à faire une résolution de nom? OUI Utilise-t-il les services DNS? OUI On en conclut donc qu il a utilisé une autre technique de résolution de noms que DNS, pour le simple nom Netbios de la machine cible du ping (SERVEUR02 dans notre cas). C est la «Résolution de noms Netbios», objet d un autre TP. 6. Faites, dans l invite de commande, un nslookup type=ns Labo.local Quel est le poste qui sert de serveur de noms? Attention : ne répondez à la question suivante qu après avoir répondu au point 10 ci après. Le serveur de noms SERVEUR01 fait-il autorité sur la zone parent? OUI 7. Faites un ipconfig /flushdns pour vider le cache DNS. 8. Faites un ipconfig /displaydns afin d afficher le contenu du cache (il doit être «vide»). 9. Faites un ipconfig /registerdns afin de renouveler l inscription du client au serveur DNS. 10. Faites un nslookup type=ns Monlabo.Labo.local (nslookup type=ns permet de recueillir des informations concernant le serveur de noms chargé de gérer la zone Monlabo.Labo.local). Le serveur de noms SERVEUR01 fait-il autorité sur la zone enfant? OUI Aviez-vous ce message au point 6 ci-dessus? (vous pouvez donc répondre à ce point 6). Sur le serveur SERVEUR02 1. Faites un ipconfig /flushdns pour vider le cache DNS. 2. Faites un ipconfig /displaydns afin d afficher le contenu du cache. Il doit être «vide» hormis le «local host» 127.0.0.1 (boucle de test du protocole TCP/IP). 3. Faites un ping SERVEUR01. Labo.local 4. Faites un ipconfig /displaydns afin d afficher le contenu du cache. Vous devriez logiquement constater que les machines du domaine enfant (ici SERVEUR02) ne peuvent pas résoudre (à l heure actuelle) les noms de machines du domaine parent. 5. Faites un ipconfig /flushdns pour vider le cache DNS. 6. Faites un ipconfig /displaydns afin de vérifier que le cache est «vide». 7. Faites un ping SERVEUR01 Faites un ipconfig /displaydns afin d afficher le contenu du cache. En principe rien n a changé et pourtant vous avez du (en principe) résoudre le nom SERVEUR01. Étrange non? Mais déjà vu Répondez donc aux points suivants : Le système arrive-t-il à faire une résolution de nom? OUI Utilise-t-il les services DNS? OUI Quel type de résolution utilise-t-il donc : 5/7
11. Faites un nslookup type=ns Monlabo.Labo.local 12. Quel est le résultat? Quel est le poste qui sert de serveur de noms? 13. Faites un nslookup type=ns Labo.local 14. Quel est le résultat? Vous devriez constater à nouveau que les postes du domaine «enfant» (ici SERVEUR02) ne peuvent pas résoudre les noms de machines du domaine parent. En conclusion, grâce à la délégation de zone les postes du domaine «parent» savent maintenant résoudre les adresses IP de machines du domaine «enfant» mais l inverse n est toujours pas vrai. Redirection du serveur DNS pour la zone enfant Pour que les machines du domaine «enfant» aient la possibilité, d accéder au serveur DNS faisant autorité, il faut que les requêtes DNS soient redirigées vers le serveur ayant autorité sur la zone «parent». Il faut donc créer un «pointeur» du domaine enfant vers le domaine parent. Sur le serveur SERVEUR02 Attention, nous sommes toujours sur le poste SERVEUR02 et nous continuons à administrer les serveurs DNS au travers de la console DNS habituelle. 1. Sélectionnez le serveur DNS qui gère le domaine enfant (SERVEUR02 dans notre cas), faites un clic-droit sur le nom de ce serveur puis cliquez sur Propriétés. 2. Sélectionnez l onglet «Redirecteurs» et cochez la case «Activer les redirecteurs». 3. Dans la zone «Adresse IP :» entrez l adresse IP du serveur DNS vers lequel devront être redirigées les requêtes DNS de la zone enfant. Il s agit donc, dans notre cas, de l adresse IP de SERVEUR01, soit 10.10.3.51. Cliquez ensuite sur «Ajouter» puis sur «OK». 4. Faites un ping SERVEUR01. Labo.local Observation des fichiers d enregistrements DNS Sur le serveur SERVEUR02 1. Ouvrez le dossier C:\WINNT\System32\Dns. Vous devriez y observeur la présence des deux fichiers de zone (recherche directes et recherche inversée). 2. Ouvrez, au moyen du bloc-notes, le fichier MonlaboLabo.local.dns. Observez les divers enregistrements et leur type, contenus dans ce fichier. 3. Ouvrez, au moyen du bloc-notes, le fichier 3.10.10.in-addr.arpa.dns. Observez les divers enregistrements et leur type, contenus dans ce fichier. 4. Ouvrez, au moyen du bloc-notes, le fichier CACHE.DNS. A quoi correspondent les noms et adresses des serveurs enregistrés dans ce fichier? Fichier DNS serveur01 Database file labo.local.dns for labo.local zone. Zone version: 1 @ IN SOA serveur01.labo.local. hostmaster.labo.local. ( 1 serial number 900 refresh 600 retry 86400 expire 3600 ) default TTL Zone NS records @ NS serveur01.labo.local. Zone records serveur01 A 192.168.10.1 xp01 A 192.168.10.10 // A été ajouté manuellement Fichier DNS serveur02 Database file monlabo.local.dns for monlabo.local zone. Zone version: 4 @ IN SOA serveur02.monlabo.local. hostmaster.monlabo.local. ( 4 serial number 900 refresh 6/7
Zone NS records 600 retry 86400 expire 3600 ) default TTL @ NS serveur02.monlabo.local. Zone records serveur02 A 192.168.10.2 XP02 A 192.168.10.12 // A été ajouté manullement ANNEXE : Les redirecteurs Lorsque le serveur DNS n'est pas configuré pour utilisé des redirecteurs, il se sert des indications de racine pour résoudre les noms d'hôtes ou les adresses IP appartenant à des zones qu'il n'héberge pas. Les "serveurs DNS racines" sont au nombre de 13 à travers le monde. Cela signifie que si le serveur DNS reçoit une requête DNS dont il ignore la réponse, il va contacter un de ces serveurs racine pour l'obtenir. Si l'on ne souhaite pas que les clients puissent résoudre les noms de domaines utilisés sur Internet, il suffit de ne mettre aucun serveur DNS dans la liste des serveurs racine ou bien de spécifier le nom d'hôte d'un serveur DNS local. On peut configurer les "serveurs DNS racine" dans l'onglet Indication de racine ( clic droit / propriétés sur le nom du serveur DNS dans la console MMC). Un serveur DNS configuré pour utiliser un redirecteur se comporte comme suit : Lorsqu'il reçoit une requête, le serveur DNS essaie de la résoudre à l'aide des zones principales et secondaires qu'il héberge et à l'aide de sa mémoire cache. S'il ne parvient pas à résoudre la requête avec ces données locales, il l'envoie au serveur DNS désigné comme redirecteur. Le serveur DNS attend un court instant la réponse du redirecteur avant d'essayer de contacter les serveurs DNS indiqués dans ses indications de racine. Lorsqu'un serveur DNS transmet une requête à un redirecteur, il envoie à ce dernier une requête récursive. Cette requête est différente de la requête itérative envoyée par un serveur DNS à un autre serveur DNS lors d'une résolution de nom standard (ne faisant pas intervenir de redirecteur). Un redirecteur conditionnel est un serveur DNS d'un réseau qui sert à rediriger des requêtes DNS en fonction du nom de domaine DNS figurant dans la requête. Par exemple, un serveur DNS peut être configuré pour rediriger toutes les requêtes qu'il reçoit à propos de noms terminés par widgets.example.com vers l'adresse IP d'un serveur DNS spécifique ou vers les adresses IP de plusieurs serveurs DNS. 7/7