DNS

Il DNS (Domain Name System) è il protocollo di risoluzione dei nomi per le reti TCP/IP, ad esempio Internet. Un server DNS ospita le informazioni che consentono ai computer client di risolvere nomi DNS alfanumerici descrittivi negli indirizzi IP utilizzati dai computer per comunicare tra loro. Negli argomenti seguenti viene descritto il ruolo server DNS nel sistema operativo Windows Server® 2008 e vengono illustrate le procedure per l'installazione, la configurazione e la gestione di server DNS nella rete.

  • Panoramica del DNS

  • Elenco di controllo: aggiungere un controller di dominio con il servizio Server DNS

  • Elenco di controllo: archiviare dati in una partizione applicativa di Servizi di dominio Active Directory

  • Elenco di controllo: utilizzare server d'inoltro

  • Elenco di controllo: rimuovere automaticamente i record di risorse obsoleti

  • Elenco di controllo: creare un record di alias (CNAME)

  • Elenco di controllo: utilizzare record di risorse

  • Elenco di controllo: proteggere il server DNS

  • Elenco di controllo: configurare le impostazioni dei client DNS

  • Elenco di controllo: eseguire la migrazione di un server DNS

  • Elenco di controllo: creare una zona di ricerca inversa

  • Installare e configurare i server

  • Gestire server e zone

  • Aggiungere zone

  • Configurare le proprietà delle zone

  • Gestire record di risorse

  • Gestire client

  • Proteggere il DNS

  • Risolvere i problemi relativi al DNS

  • Strumenti DNS

  • Interfaccia utente: Server DNS


Nuove funzionalità di DNS per Windows Server 2008 R2

Poiché DNS è spesso soggetto ad attacchi di tipo man-in-the-middle, spoofing e poisoning della cache difficili da neutralizzare, in Windows Server® 2008 R2 è stato introdotto il supporto di Domain Name System Security Extensions (DNSSEC) per il server e il client DNS. In breve, DNSSEC consente la firma crittografica di una zona DNS e di tutti i record inclusi nella zona. Quando un server DNS che ospita una zona firmata riceve una query, restituisce le firme digitali insieme ai record per cui è stata eseguita la query. Un resolver o un altro server possono ottenere la chiave pubblica della coppia di chiavi pubblica/privata e verificare che le risposte siano autentiche e non siano state alterate. A tale scopo, il resolver o il server deve essere configurato con un trust anchor per la zona firmata o per un elemento padre della zona firmata.

Le estensioni DNSSEC di base sono specificate in RFC 4033, 4034 e 4035 e aggiungono autorità delle origini, integrità dei dati e negazione autenticata dell'esistenza di dati DNS. Oltre a numerosi nuovi concetti e operazioni per il server DNS e il client DNS, DNSSEC implementa per la prima volta quattro nuovi record di risorse (DNSKEY, RRSIG, NSEC e DS) in DNS.

Di seguito sono elencate le modifiche disponibili nel server DNS in Windows Server 2008 R2:

  • Capacità di firmare una zona e ospitare zone firmate.

  • Supporto per modifiche al protocollo DNSSEC.

  • Supporto per i record di risorse DNSKEY, RRSIG, NSEC e DS.

Di seguito sono elencate le modifiche disponibili nel client DNS in Windows Server 2008 R2:

  • Capacità di specificare il riconoscimento di DNSSEC nelle query.

  • Capacità di elaborare i record di risorse DNSKEY, RRSIG, NSEC e DS.

  • Capacità di verificare se il server DNS con cui comunica abbia eseguito la convalida per conto del client.

Il comportamento del client DNS rispetto a DNSSEC viene controllato tramite la tabella dei criteri di risoluzione dei nomi, in cui sono archiviate le impostazioni che definiscono tale comportamento. Tale tabella viene in genere gestita tramite Criteri di gruppo.

Ulteriori riferimenti

  • Pagina relativa alle novità di DNS (http://go.microsoft.com/fwlink/?LinkId=139322)


Panoramica del DNS

Il DNS (Domain Name System) è un sistema per la denominazione di computer e servizi di rete organizzato in una gerarchia di domini. La denominazione DNS viene utilizzata nelle reti TCP/IP, ad esempio Internet, per individuare computer e servizi utilizzando nomi descrittivi. Quando un utente immette un nome DNS in un'applicazione, i servizi DNS possono risolvere il nome in altre informazioni a esso associate, ad esempio un indirizzo IP.

La maggior parte degli utenti ad esempio preferisce utilizzare un nome descrittivo, come corp.contoso.com, per individuare un computer quale un server di posta o un server Web in una rete. Un nome descrittivo è più facile da memorizzare e da ricordare. I computer tuttavia comunicano in rete utilizzando indirizzi numerici. Per semplificare l'utilizzo delle risorse di rete, i sistemi di nomi come il DNS consentono di eseguire il mapping tra il nome descrittivo di un computer o un servizio e il relativo indirizzo numerico.

Il ruolo Server DNS in Windows Server 2008 combina il supporto dei protocolli DNS standard con i vantaggi offerti dall'integrazione in Servizi di dominio Active Directory e altre funzionalità di rete e sicurezza di Windows, ad esempio funzionalità avanzate come l'aggiornamento dinamico sicuro dei record di risorse DNS.

Funzionalità server

Il ruolo Server DNS rende disponibili le funzionalità seguenti:

  • Un server DNS conforme alle specifiche RFC (Request for Comments)

    Il DNS è un protocollo aperto, standardizzato da un insieme di specifiche RFC. Microsoft supporta e soddisfa tali specifiche di standard.

  • Interoperabilità con altre implementazioni server DNS

    Poiché il servizio Server DNS in Windows Server 2008 è conforme alle specifiche RFC e può utilizzare i formati di record di risorse e file di dati DNS standard, può interagire con la maggior parte delle altre implementazioni server DNS, ad esempio quelle in cui viene utilizzato il software BIND (Berkeley Internet Name Domain).

  • Supporto di Servizi di dominio Active Directory

    Il DNS è necessario per supportare Servizi di dominio Active Directory e consentire così ai computer della rete di individuare i controller di dominio e supportare la replica di Servizi di dominio Active Directory. Se si installa il ruolo server Servizi di dominio Active Directory in un server, è consigliabile installare e configurare contemporaneamente il servizio Server DNS nel nuovo controller di dominio. In questo modo si ottengono la migliore integrazione e il miglior supporto possibili di Servizi di dominio Active Directory e delle funzionalità server DNS avanzate. È comunque possibile utilizzare un altro tipo di server DNS per supportare la distribuzione di Servizi di dominio Active Directory. Se si utilizzano altri tipi di server DNS, è necessario considerare gli ulteriori problemi correlati all'interoperabilità del DNS.

  • Miglioramenti per l'archiviazione delle zone DNS in Servizi di dominio Active Directory

    Le zone DNS possono essere archiviate nelle partizioni di directory dominio o applicative di Servizi di dominio Active Directory. Una partizione di directory applicativa è una struttura dati di Servizi di dominio Active Directory che distingue i dati in base allo scopo della replica. È possibile specificare in quale partizione di directory applicativa di Servizi di dominio Active Directory deve essere archiviata una zona e di conseguenza l'insieme di controller di dominio tra cui verranno replicati i dati di tale zona. Il servizio Server DNS gestisce in ogni dominio e foresta due partizioni di directory applicative, DomainDnsZones e ForestDnsZones, per archiviare le zone per la replica standard.

  • Server d'inoltro condizionali

    Il servizio Server DNS estende la funzionalità dei server d'inoltro standard dando la possibilità di utilizzare server d'inoltro condizionali. Un server d'inoltro condizionale è un server DNS di una rete che inoltra query DNS in base al nome di dominio DNS contenuto nella query. È ad esempio possibile configurare un server DNS per inoltrare tutte le query ricevute per i nomi che terminano con corp.contoso.com all'indirizzo IP di un determinato server DNS o agli indirizzi IP di più server DNS.

  • Zona di stub

    Il DNS supporta un tipo di zona denominato zona di stub. Si tratta di una copia di una zona contenente solo i record di risorse necessari per identificare i server DNS autorevoli per tale zona. Una zona di stub consente di mantenere aggiornato un server DNS che ospita una zona padre con i server DNS autorevoli della relativa zona figlio, garantendo così una risoluzione efficiente dei nomi DNS.

  • Funzionalità di sicurezza DNS avanzata

    Nel DNS è disponibile una funzionalità di amministrazione della sicurezza avanzata per il servizio Server DNS, il servizio Client DNS e i dati DNS.

  • Integrazione con altri servizi di rete Microsoft

    Il servizio Server DNS garantisce l'integrazione con altri servizi e offre ulteriori funzionalità oltre a quelle indicate nelle specifiche RFC. Tra queste funzionalità sono inclusi l'integrazione con Servizi di dominio Active Directory, WINS (Windows Internet Name Service) e i servizi DHCP (Dynamic Host Configuration Protocol).

  • Semplificazione dell'amministrazione

    Gestore DNS, lo snap-in DNS di Microsoft Management Console (MMC), offre un'interfaccia utente grafica (GUI) migliorata per la gestione del servizio Server DNS. Sono inoltre disponibili diverse configurazioni guidate per eseguire le attività più comuni di amministrazione dei server. Oltre allo snap-in DNS, sono disponibili altri strumenti che contribuiscono a migliorare la gestione e il supporto dei server e client DNS nella rete.

  • Supporto del protocollo di aggiornamento dinamico conforme alle specifiche RFC

    Il servizio Server DNS consente ai client di aggiornare in modo dinamico i record di risorse in base al protocollo di aggiornamento dinamico (RFC 2136). In questo modo è possibile ottimizzare l'amministrazione DNS, riducendo il tempo necessario per la gestione manuale di tali record. I computer che eseguono il servizio Client DNS possono registrare i relativi nomi DNS e indirizzi IP in modo dinamico.

  • Supporto del trasferimento di zona incrementale tra server

    I server DNS che archiviano i dati DNS in file utilizzano trasferimenti di zona per replicare le informazioni relative a una parte dello spazio dei nomi DNS. Per il trasferimento di zone non integrate in Servizi di dominio Active Directory, il servizio Server DNS utilizza il trasferimento di zona incrementale in modo da replicare solo le parti modificate di una zona, senza pertanto incidere sulla larghezza di banda della rete.

  • Risoluzione dei nomi host con etichetta singola senza WINS

    Il servizio Server DNS supporta una zona, denominata GlobalNames, in cui possono essere inclusi nomi con etichetta singola, ovvero nomi che non contengono il nome di un dominio padre, ad esempio .com. Nelle reti in cui l'utilizzo di WINS non è un'opzione possibile la zona GlobalNames consente di eseguire la risoluzione dei nomi con etichetta singola per un insieme limitato di server amministrati in modo centralizzato con indirizzi IP fissi.


Elenco di controllo: aggiungere un controller di dominio con il servizio Server DNS

L'integrazione del DNS (Domain Name System) in Servizi di dominio Active Directory rende possibile la replica automatica tra controller di dominio in un dominio o una foresta comune. Installando più controller di dominio in un dominio con il servizio Server DNS, si garantisce che il DNS continuerà a funzionare in caso di guasto o di disconnessione di un controller di dominio per l'esecuzione di attività di manutenzione. Se si dispone di più controller di dominio, è inoltre possibile individuare i server nei siti che possono essere raggiunti in modo più efficiente dai client DNS. Si ottiene così un bilanciamento del carico che contribuisce inoltre a migliorare le prestazioni globali del DNS.

Attività | Riferimento
Leggere informazioni sull'integrazione del DNS in Servizi di dominio Active Directory. | Informazioni sull'integrazione in Servizi di dominio Active Directory
Pianificare la suddivisione dello spazio dei nomi di dominio e degli indirizzi di rete DNS in zone di ricerca diretta e inversa, in base alle proprie esigenze. | Pianificare zone DNS
Pianificare la distribuzione dei server, inclusa la determinazione del numero di server da utilizzare e della posizione in cui collocarli nella rete, tenendo presente che per impostazione predefinita i controller di dominio operano anche come server DNS. | Pianificare server DNS
Se i client della rete devono essere in grado di risolvere i nomi DNS esterni, valutare la necessità di configurare e utilizzare server d'inoltro nei server DNS all'interno della rete. | Utilizzare server d'inoltro; Configurare un server DNS per l'utilizzo di server d'inoltro
Determinare la modalità di gestione delle configurazioni dei resolver nei client DNS. | Elenco di controllo: configurare le impostazioni dei client DNS
Installare e configurare controller di dominio e domini in cui ospitare le zone. | Installare un server DNS; Configurare un server DNS per l'utilizzo con Servizi di dominio Active Directory
Aggiungere nelle zone padre deleghe per gli eventuali sottodomini in base alle proprie esigenze. Se ad esempio si aggiunge sub.corp.contoso.com come nuovo dominio Active Directory, sarà necessario aggiungergli una delega nella zona corp.contoso.com. | Informazioni sulla delega delle zone; Creare la delega per una zona


Elenco di controllo: archiviare dati in una partizione applicativa di Servizi di dominio Active Directory

È possibile archiviare le zone DNS (Domain Name System) in partizioni di directory dominio o applicative di Servizi di dominio Active Directory. Una partizione di directory applicativa è una struttura dati di Servizi di dominio Active Directory che distingue i dati in base allo scopo della replica. Quando si archivia una zona DNS in una partizione di directory applicativa, è possibile controllare l'ambito di replica della zona definendo l'ambito di replica della partizione. Affinché una zona venga archiviata nella partizione di directory applicativa specificata, è necessario che il server DNS che ospita la zona sia integrato in tale partizione. Per impostazione predefinita, ogni server DNS integrato in Servizi di dominio Active Directory gestisce le proprie integrazioni nelle partizioni di directory applicative DomainDnsZones e ForestDnsZones appropriate.

Attività | Riferimento
Leggere informazioni sull'integrazione in Servizi di dominio Active Directory. | Informazioni sull'integrazione in Servizi di dominio Active Directory
Leggere informazioni sulla replica di zone. | Informazioni sulla replica di zone DNS in Servizi di dominio Active Directory
Creare una partizione di directory applicativa. | Creare una partizione di directory applicativa DNS
Integrare controller di dominio aggiuntivi nella partizione di directory applicativa. | Integrare un server DNS in una partizione di directory applicativa DNS
Configurare l'ambito di replica delle zone impostandolo sull'ambito della partizione di directory applicativa. | Cambiare l'ambito di replica di una zona


Elenco di controllo: utilizzare server d'inoltro

Utilizzando un server d'inoltro, è possibile gestire la risoluzione dei nomi esterni alla rete, ad esempio i nomi su Internet oppure i nomi di altre foreste o di altri domini.

Attività | Riferimento
Leggere informazioni sui server d'inoltro. | Informazioni sui server d'inoltro
Pianificare la modalità di distribuzione dei server d'inoltro nella rete. | Utilizzare server d'inoltro
Configurare il firewall utilizzato dalla rete per consentire a un solo server DNS (Domain Name System) di comunicare con Internet. |
Configurare altri server in modo da utilizzare il server DNS come server d'inoltro. | Configurare un server DNS per l'utilizzo di server d'inoltro


Elenco di controllo: rimuovere automaticamente i record di risorse obsoleti

Il conteggio del periodo di permanenza e lo scavenging costituiscono insieme un meccanismo per la rimozione dei record di risorse obsoleti. Questi record di risorse possono accumularsi nei dati delle zone DNS (Domain Name System) con il tempo quando i computer si disconnettono definitivamente dalla rete. Se ad esempio un computer registra il proprio record di risorse host (A) all'avvio e successivamente viene disconnesso dalla rete, è possibile che il relativo record di risorse host (A) non venga eliminato. Se nella rete operano utenti mobili e computer portatili, questa situazione può verificarsi frequentemente.

Attività | Riferimento
Leggere informazioni sul conteggio del periodo di permanenza e lo scavenging. | Informazioni sul conteggio del periodo di permanenza e lo scavenging
Attivare e configurare il conteggio del periodo di permanenza e lo scavenging per il server DNS. | Impostare le proprietà di conteggio del periodo di permanenza e scavenging per il server DNS
Attivare e configurare il conteggio del periodo di permanenza e lo scavenging per le zone. | Impostare le proprietà di conteggio del periodo di permanenza e scavenging per una zona
Configurare il conteggio del periodo di permanenza e lo scavenging per i singoli record di risorse. | Reimpostare le proprietà di conteggio del periodo di permanenza e scavenging per un determinato record di risorse


Elenco di controllo: creare un record di alias (CNAME)

Con i record di risorse alias (CNAME), è possibile utilizzare più nomi per puntare a un singolo computer. È ad esempio possibile utilizzare un record di risorse alias (CNAME) per consentire a un server denominato serverweb.contoso.com di essere conosciuto anche come www.contoso.com.

Attività | Riferimento
Leggere informazioni sui record di risorse alias (CNAME). | Aggiungere record di risorse
Aggiungere record di risorse alias (CNAME) in base alle proprie esigenze. | Aggiungere un record di risorse alias (CNAME) a una zona


Elenco di controllo: utilizzare record di risorse

Oltre a consentire ai client DNS (Domain Name System) di individuare le risorse di rete in base al nome, il DNS fornisce informazioni sui servizi di rete e sui server che li ospitano. Queste informazioni sono contenute in record di risorse che è possibile aggiungere a una zona per associare il servizio di rete al relativo server host. Per identificare ad esempio il server di posta di un dominio, è possibile aggiungere un record MX alla zona corrispondente al dominio.

Attività | Riferimento
Leggere informazioni sui record di risorse. | Aggiungere record di risorse
Aggiungere record di risorse a una zona in base alle proprie esigenze. | Aggiungere un record di risorse a una zona


Elenco di controllo: proteggere il server DNS

Soprattutto nel caso di server DNS (Domain Name System) che operano con Internet, è importante che l'infrastruttura DNS sia protetta da attacchi esterni o persino interni all'organizzazione. Il server DNS, se integrato con Servizi di dominio Active Directory, può essere configurato in modo da utilizzare aggiornamenti dinamici sicuri per impedire modifiche non autorizzate dei dati DNS. Per ridurre il rischio che un malintenzionato possa compromettere l'integrità dell'infrastruttura DNS è inoltre possibile adottare ulteriori misure.

Attività Riferimento

Determinare quali sono i rischi di sicurezza DNS più significativi per il proprio ambiente e il livello di sicurezza necessario.

Informazioni sulla sicurezza per il DNS

Per evitare che utenti esterni all'azienda possano ottenere informazioni della rete interna, utilizzare server DNS separati per la risoluzione dei nomi interni e Internet. È consigliabile che lo spazio dei nomi DNS interno sia ospitato in server DNS protetti dal firewall della rete e che la propria presenza DNS Internet esterna venga gestita da un server DNS in una rete perimetrale. Per garantire la risoluzione dei nomi Internet per gli host interni, è possibile configurare i server DNS interni in modo che utilizzino un server d'inoltro per inviare query esterne al server DNS esterno. Configurare il router esterno e il firewall in modo da consentire il traffico DNS solo tra i server DNS interni ed esterni.

Informazioni sui server d'inoltro;

Utilizzare server d'inoltro

Se per i server DNS della rete esposti a Internet è necessario che il trasferimento di zona sia attivato, limitare i trasferimenti di zona DNS ai server DNS identificati nella zona in base ai record di risorse server dei nomi (NS, Name Server) o a server DNS specifici nella rete.

Modificare le impostazioni dei trasferimenti di zona

Se il server che esegue il servizio Server DNS è un computer multihomed, impostare il servizio Server DNS affinché resti in ascolto solo sull'indirizzo IP di interfaccia utilizzato dai relativi server interni e client DNS. In un server che opera come server proxy ad esempio possono essere presenti due schede di rete, una per la rete Intranet e una per Internet. Se tale server inoltre esegue il servizio Server DNS, sarà possibile configurare il servizio affinché resti in ascolto del traffico DNS solo sull'indirizzo IP utilizzato dalla scheda di rete per l'Intranet.

Configurare i server multihomed;

Impostare un server DNS per restare in ascolto solo su determinati indirizzi

Verificare che non siano cambiate le opzioni server predefinite che proteggono le cache di tutti i server DNS da un utilizzo non autorizzato dei nomi. L'utilizzo non autorizzato dei nomi si verifica quando nelle risposte alle query DNS sono contenuti dati non autorevoli o dannosi.

Proteggere la cache del server da un utilizzo non autorizzato dei nomi

Consentire esclusivamente aggiornamenti dinamici sicuri per tutte le zone DNS. In questo modo solo gli utenti autenticati potranno inviare aggiornamenti DNS con un metodo sicuro, evitando così che un malintenzionato possa sferrare un attacco e assumere il controllo degli indirizzi IP di host attendibili.

Informazioni sull'aggiornamento dinamico;

Consentire solo gli aggiornamenti dinamici sicuri

Disattivare la ricorsione nei server DNS che non rispondono direttamente ai client DNS e che non sono configurati con server d'inoltro. Un server DNS richiede la ricorsione solo se risponde a query ricorsive di client DNS o se è configurato con un server d'inoltro. I server DNS comunicano tra loro mediante query iterative.

Disattivare la ricorsione nel server DNS

Se si dispone di uno spazio dei nomi DNS interno privato, configurare i parametri radice dei server DNS interni in modo da puntare solo ai server DNS che ospitano il dominio radice interno e non ai server DNS che ospitano il dominio radice di Internet.

Aggiornare i parametri radice;

Aggiornare i parametri radice nel server DNS

Se il server che esegue il servizio Server DNS è un controller di dominio, utilizzare gli elenchi di controllo di accesso (ACL, Access Control List) di Active Directory per proteggere il controllo di accesso del servizio.

Modificare la sicurezza per il servizio Server DNS in un controller di dominio

Utilizzare solo zone DNS integrate in Servizi di dominio Active Directory. Nelle zone DNS archiviate in Servizi di dominio Active Directory è possibile utilizzare le funzionalità di sicurezza di Active Directory, ad esempio gli aggiornamenti dinamici sicuri e la possibilità di applicare le impostazioni di sicurezza di Servizi di dominio Active Directory a server, zone e record di risorse DNS.

Se una zona DNS non è archiviata in Servizi di dominio Active Directory, proteggere il file della zona DNS modificando le autorizzazioni per il file o per la cartella in cui è archiviato. Le autorizzazioni per il file della zona o per la relativa cartella devono essere configurate in modo da consentire il controllo completo solo al gruppo Sistema. Per impostazione predefinita, i file di zona sono archiviati nella cartella %systemroot%\System32\Dns.

Informazioni sull'integrazione in Servizi di dominio Active Directory;

Configurare un server DNS per l'utilizzo con Servizi di dominio Active Directory


Elenco di controllo: configurare le impostazioni dei client DNS

La configurazione dei client DNS (Domain Name System) è importante quanto la configurazione dei server DNS per il corretto funzionamento dell'infrastruttura DNS. Tra gli elementi da prendere in considerazione per la configurazione dei client DNS vi sono le convenzioni di denominazione dei client, inclusi il nome host e il suffisso DNS primario, la specifica dei server DNS per un client, l'impostazione del protocollo DHCP (Dynamic Host Configuration Protocol) per l'assegnazione dei server DNS e la configurazione di un elenco di ricerca dei suffissi per la risoluzione dei nomi host brevi non qualificati. È inoltre possibile configurare impostazioni DNS specifiche della connessione per computer con più schede di rete o connessioni RAS (Servizio di Accesso Remoto, Remote Access Service).

Attività | Riferimento
Leggere informazioni sulla configurazione dei client. | Informazioni sulle impostazioni dei client DNS
Configurare client DNS statici. | Configurare il DNS per i client statici
Configurare server DHCP e client abilitati per il protocollo DHCP. | Attivare il DNS per client abilitati per il protocollo DHCP


Elenco di controllo: eseguire la migrazione di un server DNS

Per eseguire la migrazione di un server DNS, è possibile aggiornare un server DNS che esegue una versione precedente di Windows a Windows Server 2008, spostare i file di zona da un server DNS esistente che esegue un'altra implementazione di server DNS oppure eseguire la migrazione delle zone tramite trasferimenti di zona principale-secondaria in server DNS che eseguono Windows Server 2008. La migrazione di un server DNS (Domain Name System) consente di migliorare le prestazioni, la sicurezza e l'affidabilità dell'infrastruttura DNS, dando accesso alle funzionalità avanzate disponibili in Windows Server 2008.

  • Aggiornare un server DNS

  • Spostare i file di zona

  • Eseguire la migrazione delle zone da server BIND

  • Eseguire la migrazione delle zone da server DNS basati su Windows

Aggiornare un server DNS

Attività | Riferimento
Le zone oppure i file e i parametri di configurazione del server creati e archiviati utilizzando la versione Windows Server 2003 del servizio Server DNS vengono archiviati nelle stesse cartelle di sistema. Non viene eseguita alcuna conversione dei dati durante il processo di aggiornamento da Windows Server 2003 a Windows Server 2008. |

Spostare i file di zona

Attività Riferimento

Copiare i file di zona o di avvio creati con BIND (Berkeley Internet Name Domain) che si desidera utilizzare con il servizio Server DNS nella cartella %systemroot%\System32\DNS del server che esegue Windows Server 2008.

Se si continua a utilizzare un file di avvio BIND per fornire le impostazioni di configurazione iniziale che vengono utilizzate dal servizio Server DNS all'avvio, cambiare il metodo di avvio utilizzato dal servizio. In alternativa, rinominare i file di zona passando dalla convenzione di denominazione BIND a quella utilizzata dai server DNS in esecuzione con il servizio Server DNS fornito nei sistemi operativi Windows.

Cambiare il metodo di avvio utilizzato dal server DNS

Se non si esegue la migrazione del file di avvio BIND o non si specifica il nome BIND quando si creano le zone con Gestore DNS, sarà necessario rinominare le zone:

  • File di avvio: rinominare named.boot come Boot

  • File di zona di ricerca diretta: rinominare db.nome_dominio come nome_dominio.dns

  • File di zona di ricerca inversa: rinominare db.notazione_diretta_rete_IP come notazione_inversa_rete_IP.dns

Per una zona di ricerca inversa, BIND utilizza come convenzione di notazione dei nomi di dominio inverso una notazione diretta della rete IP mappata, ad esempio db.192.1.168 per una zona di ricerca inversa creata per un indirizzo di rete IP di esempio 192.168.1.0. I server DNS che eseguono Windows Server 2008 tuttavia utilizzano il nome di dominio completo (FQDN) per la zona, in cui è incluso il dominio in-addr.arpa, per completare il nome di file. In questo esempio il nome corretto da utilizzare per la stessa zona nel DNS in Windows Server 2008 è 168.1.192.in-addr.arpa.dns quando si copia e si rinomina il file.

Ulteriori considerazioni

  • Se si utilizza il file di avvio BIND con il servizio Server DNS dopo la migrazione, per l'utilizzo di questo file da parte del servizio si applicano altre restrizioni. Alcune direttive di avvio BIND, ad esempio, non sono supportate, in particolare xfrnets e altre direttive fornite con versioni di BIND come la versione 8.1.1 o successive. Per ulteriori informazioni, vedere gli articoli Q194513 e Q234144 della Microsoft Knowledge Base (http://go.microsoft.com/fwlink/?LinkID=4441).

  • Se si ha l'abitudine di modificare manualmente i file di zona DNS, ricordarsi che il servizio Server DNS utilizza la notazione conforme RFC (Request for Comments) per i relativi record di risorse supportati. Nella maggior parte dei casi il servizio Server DNS interpreta e carica i record di risorse da file di zona creati originariamente per server DNS basati su BIND senza che sia necessario apportare modifiche ai file. Se invece è stata utilizzata una formattazione non standard per i record, è possibile che il servizio Server DNS rilevi queste modifiche e le interpreti come dati di zona non validi.

Eseguire la migrazione delle zone da server BIND

Attività | Riferimento
Configurare i server BIND come server master per ognuna delle zone di cui si desidera eseguire la migrazione. |
Nel server che esegue il servizio Server DNS aggiungere zone secondarie per tutte le zone esistenti ospitate nei server DNS basati su BIND. | Aggiungere una zona di ricerca diretta
Se necessario, creare zone di ricerca inversa per tutte le zone di ricerca inversa esistenti ospitate nei server DNS basati su BIND. | Aggiungere una zona di ricerca inversa
Dopo aver effettuato i trasferimenti di zona, convertire le eventuali zone secondarie in zone primarie per le zone ottenute da zone primarie nei server BIND. | Cambiare il tipo di zona
Facoltativamente, se il server DNS che esegue Windows Server 2008 è un controller di dominio, archiviare la zona in Servizi di dominio Active Directory. | Cambiare il tipo di zona
Configurare i server primari precedenti come server secondari per le zone di cui è stata eseguita la migrazione o abbassare di livello i server primari precedenti. |
Per le altre zone secondarie restanti, aggiornare i relativi server master in modo da utilizzare i nuovi server DNS primari che eseguono Windows Server 2008. |

Eseguire la migrazione delle zone da server DNS basati su Windows

Queste attività sono necessarie solo se le zone di cui viene eseguita la migrazione sono ospitate in server basati su Windows e non sono archiviate in Servizi di dominio Active Directory.

Attività | Riferimento
Nel server che esegue Windows Server 2008 creare zone secondarie per tutte le zone esistenti ospitate nei server DNS basati su Windows. | Aggiungere una zona di ricerca diretta
Se necessario, creare zone di ricerca inversa per tutte le zone di ricerca inversa esistenti ospitate nei server DNS basati su Windows. | Aggiungere una zona di ricerca inversa
Dopo aver effettuato i trasferimenti di zona, convertire le zone secondarie in zone primarie per le zone di cui è stata eseguita la migrazione. | Cambiare il tipo di zona
Facoltativamente, se il server DNS che esegue Windows Server 2008 è un controller di dominio, archiviare la zona in Servizi di dominio Active Directory. | Cambiare il tipo di zona
Facoltativamente, per continuare a utilizzare i server master precedenti come server DNS, convertire in zone secondarie le zone di cui è stata eseguita la migrazione nei server master precedenti. | Cambiare il tipo di zona


Elenco di controllo: creare una zona di ricerca inversa

I server DNS (Domain Name System) possono consentire ai client di determinare il nome DNS di un host sulla base dell'indirizzo IP di quest'ultimo rendendo disponibile una zona speciale denominata zona di ricerca inversa. In una zona di ricerca inversa sono contenuti record di risorse puntatore (PTR) che mappano gli indirizzi IP al nome host. Alcune applicazioni, ad esempio le applicazioni Web sicure, si basano sulle ricerche inverse. Creare una zona di ricerca inversa solo se richiesto dalle applicazioni in esecuzione nella rete. In caso contrario, disattivare gli aggiornamenti dinamici dei record di risorse puntatore (PTR) da parte dei computer client.

Attività | Riferimento
Leggere informazioni sulle ricerche inverse. | Informazioni sulla ricerca inversa
Creare una zona di ricerca inversa. | Aggiungere una zona di ricerca inversa


Installare e configurare i server

Il primo passaggio da eseguire per implementare il DNS (Domain Name System) in una rete consiste nell'installare e configurare i server che forniranno il servizio. Prima di procedere, è tuttavia importante pianificare la distribuzione in modo da garantire la massima efficacia dell'infrastruttura DNS. Oltre a pianificare il layout delle zone e la dislocazione e la funzione dei server, è necessario valutare se integrare l'infrastruttura DNS in Servizi di dominio Active Directory.

  • Informazioni sull'integrazione in Servizi di dominio Active Directory

  • Informazioni sui server d'inoltro

  • Utilizzare server d'inoltro

  • Pianificare zone DNS

  • Pianificare server DNS

  • Informazioni sulla replica di zone DNS in Servizi di dominio Active Directory

  • Installare un server DNS

  • Configurare un server DNS per l'utilizzo con Servizi di dominio Active Directory

  • Configurare un nuovo server DNS

  • Configurare un server DNS per l'utilizzo di server d'inoltro

  • Creare una partizione di directory applicativa DNS

  • Integrare un server DNS in una partizione di directory applicativa DNS

  • Rimuovere un server DNS da una partizione di directory applicativa DNS

  • Cambiare il metodo di avvio utilizzato dal server DNS

  • Configurare i server multihomed

  • Impostare un server DNS per restare in ascolto solo su determinati indirizzi

  • Proteggere la cache del server da un utilizzo non autorizzato dei nomi

  • Modificare la sicurezza per il servizio Server DNS in un controller di dominio

  • Disattivare la ricorsione nel server DNS

  • Aggiornare i parametri radice

  • Aggiornare i parametri radice nel server DNS


Informazioni sull'integrazione in Servizi di dominio Active Directory

Il servizio Server DNS è integrato nella struttura e nell'implementazione di Servizi di dominio Active Directory. Quest'ultimo è uno strumento a livello aziendale che consente di organizzare, gestire e individuare le risorse di una rete.

Quando i server DNS (Domain Name System) vengono distribuiti con Servizi di dominio Active Directory, tenere presente quanto segue:

  • Il DNS è necessario per l'individuazione dei controller di dominio.

    Il servizio Accesso rete utilizza il supporto dei server DNS per consentire la registrazione dei controller di dominio nello spazio dei nomi di dominio DNS.

  • I server DNS che eseguono Windows Server 2003 o Windows Server 2008 possono utilizzare Servizi di dominio Active Directory per l'archiviazione e la replica delle zone.

    Mediante l'integrazione delle zone in Servizi di dominio Active Directory, è possibile sfruttare le funzionalità DNS, ad esempio la replica di Servizi di dominio Active Directory, gli aggiornamenti dinamici sicuri, nonché il conteggio del periodo di permanenza e lo scavenging per i record.

Integrazione del DNS in Servizi di dominio Active Directory

Quando si installa Servizi di dominio Active Directory in un server, il livello del server viene innalzato al ruolo di controller di dominio per il dominio specificato. Nell'ambito di questo processo, viene chiesto di specificare un nome di dominio DNS per il dominio di Servizi di dominio Active Directory che si sta aggiungendo e per il quale si sta innalzando il livello del server. Si ha quindi la possibilità di installare il ruolo Server DNS. Questa opzione viene offerta per consentire a un server DNS di individuare il server o altri controller di dominio per i membri di un dominio di Servizi di dominio Active Directory.

Vantaggi dell'integrazione in Servizi di dominio Active Directory

Per le reti che distribuiscono il DNS per supportare Servizi di dominio Active Directory, è consigliabile utilizzare zone primarie integrate in Active Directory. In questo modo è possibile usufruire dei vantaggi seguenti:

  • Nel DNS sono disponibili funzionalità di replica dei dati multimaster e di sicurezza avanzata basate sulle funzionalità di Servizi di dominio Active Directory.

    In un modello di archiviazione di zone standard gli aggiornamenti DNS vengono eseguiti utilizzando un modello di aggiornamento a master singolo. In questo modello è designato come origine primaria di una zona un solo server DNS autorevole per la zona. Questo server mantiene la copia master della zona in un file locale. In base a questo modello, il server primario della zona rappresenta un singolo punto di errore fisso. Se il server non è disponibile, le richieste di aggiornamento provenienti dai client DNS non verranno elaborate per la zona.

    Con l'archiviazione integrata in Active Directory, gli aggiornamenti dinamici del DNS vengono inviati a qualsiasi server DNS integrato in Servizi di dominio Active Directory e replicati in tutti gli altri server DNS integrati in Servizi di dominio Active Directory tramite la replica di Servizi di dominio Active Directory. In questo modello qualsiasi server DNS integrato in Servizi di dominio Active Directory può accettare aggiornamenti per la zona. Poiché la copia master della zona viene mantenuta nel database di Servizi di dominio Active Directory, che viene replicato per intero in tutti i controller di dominio, la zona può essere aggiornata dai server DNS utilizzati in qualsiasi controller del dominio. Con il modello di aggiornamento multimaster di Servizi di dominio Active Directory, qualsiasi server primario della zona integrata in Active Directory può elaborare le richieste di aggiornamento della zona provenienti dai client DNS, purché un controller di dominio sia disponibile e raggiungibile in rete.

    Quando inoltre si utilizzano zone integrate in Active Directory, è possibile utilizzare la funzionalità di modifica dell'elenco di controllo di accesso (ACL, Access Control List) per proteggere un contenitore di oggetti dnsZone nell'albero della directory. Questa funzionalità consente un accesso dettagliato alla zona o a un record di risorse specifico nella zona. È ad esempio possibile applicare una restrizione all'ACL di un record di risorse della zona in modo da consentire gli aggiornamenti dinamici solo per un determinato computer client o un gruppo sicuro quale un gruppo di amministratori di dominio. Questa funzionalità di sicurezza non è disponibile con le zone primarie standard.

  • Le zone vengono replicate e sincronizzate automaticamente nei nuovi controller di dominio ogni volta che ne viene aggiunto uno in un dominio di Servizi di dominio Active Directory.

    Benché sia possibile rimuovere in modo selettivo il servizio Server DNS da un controller di dominio, le zone integrate in Active Directory sono già archiviate in ogni controller di dominio. L'archiviazione e la gestione delle zone pertanto non è una risorsa aggiuntiva. I metodi utilizzati per la sincronizzazione delle informazioni archiviate in Active Directory inoltre garantiscono prestazioni migliori rispetto ai metodi di aggiornamento delle zone standard, che possono richiedere potenzialmente il trasferimento dell'intera zona.

  • Integrando l'archiviazione dei database delle zone DNS in Servizi di dominio Active Directory, è possibile semplificare la pianificazione della replica dei database nella rete.

    Se lo spazio dei nomi DNS e i domini di Servizi di dominio Active Directory vengono archiviati e replicati separatamente, ognuno di questi elementi dovrà essere pianificato ed eventualmente amministrato separatamente. Se ad esempio l'archiviazione delle zone DNS standard e Servizi di dominio Active Directory vengono utilizzati insieme, sarà necessario progettare, implementare, testare e gestire due diverse topologie di replica di database.

    Saranno ad esempio necessarie una topologia di replica per replicare i dati di directory tra controller di dominio e un'altra topologia per replicare i database delle zone tra server DNS. Questa situazione può rendere ancora più complesse da un punto di vista amministrativo le attività di pianificazione e progettazione della rete e di approntamento della stessa per eventuali espansioni future. Con l'integrazione dell'archiviazione DNS, le problematiche di gestione dell'archiviazione e di replica del DNS e Servizi di dominio Active Directory vengono accorpate e considerate come una singola entità amministrativa.

  • La replica integrata in Active Directory è più rapida ed efficiente rispetto alla replica DNS standard.

    Poiché la replica di Servizi di dominio Active Directory viene eseguita in base alle singole proprietà, vengono propagate solo le modifiche pertinenti. Negli aggiornamenti per le zone archiviate in Active Directory pertanto verranno utilizzati e inviati meno dati.

In Active Directory possono essere archiviate solo le zone primarie. Un server DNS pertanto non potrà archiviare zone secondarie in Active Directory e dovrà archiviarle in file di testo standard. Il modello di replica multimaster di Servizi di dominio Active Directory elimina la necessità di utilizzare zone secondarie, in quanto tutte le zone vengono archiviate in Servizi di dominio Active Directory.

Per ulteriori informazioni sulla configurazione del DNS per l'integrazione in Servizi di dominio Active Directory, vedere Configurare un server DNS per l'utilizzo con Servizi di dominio Active Directory e Elenco di controllo: aggiungere un controller di dominio con il servizio Server DNS.


Informazioni sui server d'inoltro

Un server d'inoltro è un server DNS (Domain Name System) in rete che consente di inoltrare query DNS relative a nomi DNS esterni a server DNS al di fuori della rete. È inoltre possibile inoltrare le query in base a nomi di dominio specifici utilizzando server d'inoltro condizionali.

Per designare un server DNS in rete come server d'inoltro, è necessario configurare gli altri server DNS della rete in modo da inoltrare a tale server le query che non possono essere risolte localmente. Utilizzando un server d'inoltro, è possibile gestire la risoluzione dei nomi esterni alla rete, ad esempio i nomi su Internet, e migliorare l'efficienza della risoluzione dei nomi per i computer della rete. Per ulteriori informazioni sui server d'inoltro standard e su quelli condizionali, vedere Utilizzare server d'inoltro.

Nella figura seguente viene illustrata la modalità di indirizzamento delle query relative a nomi esterni con i server d'inoltro.

Esempio di configurazione di un server d'inoltro comune

Quando viene designato come server d'inoltro, un server DNS diventa responsabile della gestione del traffico esterno, con una conseguente riduzione dell'esposizione del server a Internet. Il server d'inoltro genera una cache di grandi dimensioni con le informazioni DNS esterne poiché tutte le query DNS esterne della rete vengono risolte attraverso di esso. In pochissimo tempo il server d'inoltro risolve un numero elevato di query DNS esterne utilizzando i dati memorizzati nella cache. In questo modo è possibile ridurre il traffico Internet sulla rete e il tempo di risposta dei client DNS.

Un server DNS configurato per utilizzare un server d'inoltro si comporta in modo diverso rispetto a un server DNS che non utilizza un server d'inoltro. Il comportamento di un server DNS configurato per utilizzare un server d'inoltro è il seguente:

  1. Quando il server DNS riceve una query, tenta di risolverla utilizzando le zone in esso ospitate e la relativa cache.

  2. Se non è possibile risolvere la query utilizzando i dati locali, il server DNS la inoltra al server DNS designato come server d'inoltro.

  3. Se non è disponibile alcun server d'inoltro, il server DNS tenterà di utilizzare i propri parametri radice per risolvere la query.

Quando un server DNS inoltra una query a un server d'inoltro, invia una query ricorsiva. Tale query ricorsiva è diversa dalla query iterativa inviata da un server DNS a un altro server DNS durante la risoluzione dei nomi standard, ovvero la risoluzione dei nomi che non comporta l'utilizzo di server d'inoltro.

Server d'inoltro condizionali

Un server d'inoltro condizionale è un server DNS in rete che inoltra le query DNS in base al nome di dominio DNS contenuto nella query. È ad esempio possibile configurare un server DNS per inoltrare tutte le query ricevute per i nomi che terminano con corp.contoso.com all'indirizzo IP di un determinato server DNS o agli indirizzi IP di più server DNS.

Risoluzione dei nomi Internet

I server DNS possono utilizzare i server d'inoltro condizionali per risolvere query tra i nomi di dominio DNS di aziende che condividono informazioni. Si considerino ad esempio due società, Wingtip Toys e Tailspin Toys, che desiderano migliorare la modalità con cui i client DNS di Wingtip Toys risolvono i nomi dei client DNS di Tailspin Toys. Gli amministratori di Tailspin Toys forniscono agli amministratori di Wingtip Toys informazioni sull'insieme di server DNS della rete di Tailspin Toys a cui Wingtip Toys può inviare query per il dominio dolls.tailspintoys.com. I server DNS della rete di Wingtip Toys sono configurati per inoltrare tutte le query relative ai nomi che terminano con dolls.tailspintoys.com ai server DNS designati nella rete di Tailspin Toys. I server DNS della rete di Wingtip Toys pertanto non dovranno interrogare i server radice interni o i server radice di Internet per risolvere le query relative ai nomi che terminano con dolls.tailspintoys.com.


Utilizzare server d'inoltro

Per utilizzare i server d'inoltro per gestire il traffico DNS (Domain Name System) tra la rete e Internet, configurare il firewall della rete in modo da consentire a un solo server DNS di comunicare con Internet. Quando si configurano gli altri server DNS della rete in modo da inoltrare a tale server DNS le query che non possono essere risolte localmente, il server DNS agisce come server d'inoltro. Per ulteriori informazioni sui server d'inoltro, vedere Informazioni sui server d'inoltro.

Sequenza di inoltro

L'ordine degli indirizzi IP elencati come server d'inoltro in un server DNS determina la sequenza in cui vengono utilizzati. Dopo che il server DNS ha inoltrato la query al server d'inoltro con il primo indirizzo IP, attende una risposta per un breve intervallo di tempo, in base al timeout di inoltro impostato, prima di ripetere l'inoltro con l'indirizzo IP successivo. Questo processo continua finché il server DNS non riceve una risposta affermativa da un server d'inoltro.

Nella figura seguente ad esempio i server DNS con il primo e il secondo indirizzo IP di server d'inoltro non rispondono al server DNS. Risponde infine il server DNS con il terzo indirizzo IP di server d'inoltro e la query viene inoltrata a tale server.

Accesso remoto VPN esterno

Diversamente dalla risoluzione convenzionale, in cui a ogni server è associato un ciclo di andata/ritorno (RTT), gli indirizzi IP nell'elenco dei server d'inoltro non sono ordinati in base a tale ciclo. Dovranno pertanto essere riordinati manualmente per modificare la preferenza.

Server d'inoltro condizionali

I server d'inoltro condizionali sono server DNS che inoltrano le query sulla base di nomi di dominio. Anziché impostare i server DNS in modo che inoltrino a un server d'inoltro tutte le query che non possono essere risolte localmente, è possibile configurarli in modo da inoltrare query a server d'inoltro diversi a seconda dei nomi di dominio specifici contenuti nelle query. Questa tecnica migliora l'inoltro convenzionale aggiungendo al processo di inoltro una condizione basata sui nomi.

L'impostazione del server d'inoltro condizionale per un server DNS comprende:

  • I nomi di dominio per i quali il server DNS inoltrerà le query

  • Uno o più indirizzi IP di server DNS per ogni nome di dominio specificato

Quando un client o un server DNS esegue un'operazione di query su un server DNS, quest'ultimo verifica innanzitutto se la query può essere risolta utilizzando i dati contenuti nelle proprie zone o archiviati nella cache. Se il server DNS è configurato in modo da effettuare l'inoltro in base al nome di dominio specificato nella query, quest'ultima verrà inoltrata all'indirizzo IP di un server d'inoltro associato a tale nome di dominio. Nella figura seguente ad esempio ognuna delle query relative ai nomi di dominio viene inoltrata a un server DNS associato al nome di dominio.

Accesso remoto e VPN

Se il server DNS non dispone di alcun server d'inoltro elencato per il nome specificato nella query, tenterà di risolverla utilizzando la ricorsione standard. Per ulteriori informazioni, vedere Configurare un server DNS per l'utilizzo di server d'inoltro.

I server d'inoltro condizionali possono essere utilizzati per migliorare la risoluzione dei nomi tra spazi dei nomi DNS privati interni che non fanno parte dello spazio dei nomi DNS di Internet. Questi spazi dei nomi DNS possono essere il risultato di una fusione di società. Quando si configurano i server DNS di uno spazio dei nomi interno in modo da inoltrare tutte le query ai server DNS autorevoli in un secondo spazio dei nomi interno, i server d'inoltro condizionali consentono la risoluzione dei nomi tra i due spazi dei nomi senza eseguire la ricorsione nello spazio dei nomi DNS di Internet. In questo modo si evita inoltre che i server DNS eseguano la ricorsione nella radice interna per spazi dei nomi diversi nella rete.

Importante

Un server DNS non può inoltrare query relative ai nomi di dominio nelle zone in esso ospitate. Il server DNS autorevole per la zona widgets.tailspintoys.com ad esempio non può inoltrare query in base al nome di dominio widgets.tailspintoys.com. Esso può inoltrare query relative ai nomi DNS che terminano con hr.widgets.tailspintoys.com se hr.widgets.tailspintoys.com è delegata a un altro server DNS.

Lunghezza dei nomi di dominio per i server d'inoltro condizionali

Quando un server DNS configurato con un server d'inoltro condizionale riceve una query relativa a un nome di dominio, esso confronta tale nome di dominio con il proprio elenco di condizioni di nomi di dominio e utilizza la condizione più lunga che corrisponde al nome di dominio contenuto nella query. Nella figura riportata di seguito ad esempio il server DNS applica la logica di inoltro condizionale seguente per determinare come verrà inoltrata una query relativa a un nome di dominio:

  1. Il server DNS riceve una query relativa a toys.widgets.tailspintoys.com.

  2. Esso confronta tale nome di dominio sia con tailspintoys.com che con widgets.tailspintoys.com.

  3. Il server DNS stabilisce che widgets.tailspintoys.com è il nome di dominio che meglio soddisfa la query relativa al nome di dominio.

  4. Il server DNS inoltra la query al server DNS con indirizzo IP 172.31.255.255, che è associato a widgets.tailspintoys.com.

Accesso switch Ethernet


Pianificare zone DNS

Quando si partiziona per la prima volta lo spazio dei nomi in zone, esaminare i modelli di traffico della rete corrente o che si desidera allestire. Benché il DNS (Domain Name System) sia progettato per contribuire a ridurre il traffico broadcast tra subnet locali, genera tra i server e i client una mole di traffico di cui è necessario tenere conto, soprattutto nei casi in cui il DNS viene utilizzato in reti con routing. Per esaminare il traffico DNS, è possibile utilizzare le statistiche relative ai server DNS o i contatori delle prestazioni DNS disponibili con Monitor di sistema.

Oltre al routing del traffico, considerare l'impatto prodotto dai tipi comuni di comunicazioni correlate al DNS seguenti, soprattutto quando si opera su collegamenti a bassa velocità in una rete WAN (Wide Area Network):

  • Traffico da server a server causato da trasferimenti di zona con altri server DNS e dall'interoperabilità DNS con altri server, ad esempio quando è attivata la ricerca WINS (Windows Internet Name Service)

  • Traffico da client a server causato sia dai carichi di query che dagli aggiornamenti dinamici inviati da computer client DNS o da server DHCP che forniscono l'aggiornamento dinamico per i client DNS di versioni precedenti che non supportano gli aggiornamenti dinamici

Per gli spazi dei nomi flat di piccole dimensioni è possibile utilizzare la replica completa di tutte le zone DNS in tutti i server DNS della rete. Per gli spazi dei nomi verticali di grandi dimensioni invece questa operazione non è possibile né consigliata. In reti di dimensioni maggiori è spesso necessario studiare, testare, analizzare e rivedere le pianificazioni relative alle zone in base ai modelli di traffico osservati o stimati. Dopo un'attenta analisi, è possibile partizionare e delegare le zone DNS in base ai requisiti necessari per offrire un servizio nomi efficiente e con tolleranza di errore a ogni posizione o sito.

Il servizio Server DNS supporta i trasferimenti di zona incrementali tra server che eseguono la replica di una zona standard. Tale funzionalità può essere utile per ridurre le problematiche relative al traffico di replica DNS da considerare, pertanto è consigliabile tenerne conto nella pianificazione delle zone.

È inoltre possibile valutare la possibilità di utilizzare server di sola memorizzazione nella cache, che non ospitano zone DNS. I server di questo tipo rappresentano una buona soluzione per i piccoli siti remoti che sono caratterizzati da un utilizzo minimo e stabile del servizio nomi DNS, ma sono dislocati su una rete WAN in cui il trasferimento di una zona di grandi dimensioni tramite un collegamento lento può comportare un elevato consumo di risorse.


Pianificare server DNS

Quando si pianificano i server DNS (Domain Name System), è importante eseguire le operazioni seguenti:

  • Effettuare la pianificazione della capacità e controllare i requisiti hardware dei server.

  • Stabilire il numero di server DNS di cui si necessita e il relativo ruolo nella rete.

    Quando si considera il numero di server DNS da utilizzare, decidere quali server ospiteranno copie primarie e secondarie delle zone. Se inoltre si utilizza Servizi di dominio Active Directory, stabilire se il computer server opererà come controller di dominio o come server membro nel dominio.

  • Decidere dove verranno dislocati i server DNS nella rete per i carichi di traffico, la replica e la tolleranza di errore.

  • Decidere se utilizzare solo server DNS che eseguono Windows Server 2008 o implementazioni miste di server DNS.

Pianificazione della capacità dei server

Per pianificare e distribuire i server DNS in rete è necessario esaminare diversi aspetti della rete, nonché i requisiti di capacità per i server DNS che si intende utilizzare. Quando si pianifica la capacità dei server DNS, effettuare le valutazioni seguenti:

  • Valutare quante saranno le zone che dovranno essere caricate e ospitate dal server DNS.

  • Valutare la grandezza di ogni zona che il server deve caricare per il servizio in base alla dimensione del file di zona o al numero di record di risorse utilizzati nella zona.

  • Per un server DNS multihomed, valutare quante interfacce devono essere attivate per restare in ascolto e servire i client DNS su ognuna delle subnet connesse del server.

  • Valutare il numero totale di richieste di query DNS di tutti i client che verranno presumibilmente ricevute e gestite da un server DNS.

In molti casi, per migliorare in modo significativo le prestazioni è sufficiente aggiungere più RAM a un server DNS. Il servizio Server DNS infatti carica completamente tutte le zone configurate in memoria all'avvio. Se inoltre il server utilizza e carica un numero elevato di zone e per i relativi client vengono frequentemente eseguiti aggiornamenti dinamici, può essere utile ulteriore memoria.

Considerare che, in uno scenario tipico, il server DNS utilizza la memoria di sistema come descritto di seguito:

  • Circa 4 MB di RAM vengono utilizzati all'avvio del server DNS senza zone.

  • Per ogni zona o record di risorse aggiunto al server, il server DNS consuma ulteriore memoria.

  • Viene calcolato che per l'aggiunta di ogni record di risorse a una zona del server vengono utilizzati in media circa 100 byte di memoria del server.

    Se ad esempio a un server viene aggiunta una zona contenente 1000 record di risorse, saranno necessari circa 100 KB di memoria del server.

Quando si effettua la pianificazione dei server DNS, inizialmente è possibile basarsi sui risultati dei test delle prestazioni dei server DSN campione raccolti dai team di sviluppo e testing DNS. È inoltre possibile utilizzare i contatori correlati ai server DNS e gli strumenti di monitoraggio forniti con essi per misurare personalmente le prestazioni.

Importante

I consigli sopra riportati non devono essere intesi come indicazioni delle prestazioni massime o delle restrizioni previste per i server DNS. Si tratta infatti di cifre approssimative che possono variare in base al tipo di record di risorse immessi nelle zone, al numero di record di risorse con lo stesso nome di proprietario e al numero di zone in uso in un determinato server DNS.

Scegliere la dislocazione dei server DNS

Nella maggior parte dei casi i server DNS vengono installati in tutti i controller di dominio. Se tuttavia per un motivo qualsiasi si preferisce non distribuire i server DNS in ogni controller di dominio, è possibile attenersi alle linee guida seguenti per scegliere dove dislocare i server DNS.

I server DNS in genere devono essere dislocati in una posizione della rete accessibile ai client a livello centralizzato. È spesso più pratico utilizzare un server DNS in ogni subnet. Quando si decide dove è necessario un server DNS, effettuare le valutazioni seguenti:

  • Se il DNS viene distribuito per supportare Servizi di dominio Active Directory, valutare se il computer server DNS opera anche come controller di dominio o se probabilmente verrà utilizzato come tale in futuro.

  • Se il server DNS smette di rispondere, valutare se i client locali devono essere in grado di accedere a un server DNS alternativo.

  • Se il server DNS si trova in una subnet che per alcuni dei client è troppo distante, valutare quali altri server DNS o opzioni di risoluzione dei nomi devono essere disponibili se la connessione con routing smette di rispondere.

Se ad esempio si dispone di una rete locale (LAN) con routing e di collegamenti ad alta velocità piuttosto affidabili, è possibile utilizzare un server DNS per un'area di rete più ampia con più subnet. Se si dispone di un numero elevato di nodi client in una struttura con una sola subnet, è possibile aggiungere più server DNS alla subnet in modo da garantire il backup e il failover qualora il server DNS preferito smettesse di rispondere.

Per stabilire il numero di server DNS necessari, valutare l'effetto dei trasferimenti di zona e del traffico di query DNS sui collegamenti più lenti della rete. Benché il DNS sia progettato per contribuire a ridurre il traffico broadcast tra subnet locali, crea tra i server e i client una mole di traffico di cui è necessario tenere conto, soprattutto se i server DNS si trovano in ambienti LAN o WAN (Wide Area Network) con routing complesso.

Considerare gli effetti dei trasferimenti di zona sui collegamenti più lenti, ad esempio quelli utilizzati in genere per una connessione WAN. Benché il servizio Server DNS supporti i trasferimenti di zona incrementali e i client e i server DNS possano memorizzare nella cache i nomi utilizzati di recente, il traffico a volte continua a rappresentare un problema, soprattutto se i lease DHCP (Dynamic Host Configuration Protocol) sono più brevi e di conseguenza gli aggiornamenti dinamici nel DNS vengono eseguiti più frequentemente. Una soluzione per gestire le posizioni remote su collegamenti WAN consiste nell'impostare un server DNS in tali posizioni in modo da fornire il servizio DNS di sola memorizzazione nella cache.

Nella maggior parte delle installazioni è consigliabile avere almeno due computer server che ospitano tutte le zone DNS in modo da garantire la tolleranza di errore. Prima di stabilire definitivamente il numero di server da utilizzare, valutare il livello di tolleranza di errore appropriato per la rete.

Se viene utilizzato un solo server DNS in una piccola rete LAN in un ambiente con una sola subnet, è possibile configurare il server in modo da simulare sia il server primario che il server secondario per una zona.


Informazioni sulla replica di zone DNS in Servizi di dominio Active Directory

È possibile archiviare le zone DNS (Domain Name System) in partizioni di directory dominio o applicative di Servizi di dominio Active Directory. Una partizione è una struttura dati di Servizi di dominio Active Directory che distingue i dati in base allo scopo della replica. Per ulteriori informazioni, vedere Informazioni sull'integrazione in Servizi di dominio Active Directory.

Nella tabella seguente vengono descritti gli ambiti di replica disponibili per i dati delle zone DNS integrate in Servizi di dominio Active Directory.

Ambito di replica delle zone | Descrizione
Tutti i server DNS della foresta configurati come controller di dominio che eseguono Windows Server 2003 o Windows Server 2008 | Consente di replicare i dati delle zone in tutti i controller di dominio Windows Server 2003 e Windows Server 2008 che eseguono il servizio Server DNS nella foresta di Servizi di dominio Active Directory. Poiché consente di replicare i dati delle zone nella partizione ForestDNSZones, questa opzione offre l'ambito di replica più vasto.
Tutti i server DNS del dominio configurati come controller di dominio che eseguono Windows Server 2003 o Windows Server 2008 | Consente di replicare i dati delle zone in tutti i controller di dominio Windows Server 2003 e Windows Server 2008 che eseguono il servizio Server DNS nel dominio Active Directory. Poiché consente di replicare i dati delle zone nella partizione DomainDNSZones, questa opzione è l'impostazione predefinita per la replica delle zone DNS in Windows Server 2003 e Windows Server 2008.
Tutti i controller di dominio del dominio Active Directory | Consente di replicare i dati delle zone in tutti i controller di dominio del dominio Active Directory. Se si desidera che nei server DNS Windows 2000 venga caricata una zona integrata in Active Directory, è necessario specificare questo ambito per la zona.
Tutti i controller di dominio della partizione di directory applicativa specificata | Consente di replicare i dati delle zone in base all'ambito di replica della partizione di directory applicativa specificata. Affinché una zona venga archiviata nella partizione di directory applicativa specificata, è necessario che il server DNS che ospita la zona sia integrato in tale partizione. Utilizzare questo ambito se si desidera che i dati delle zone vengano replicati in tutti i controller di dominio di più domini senza tuttavia replicare i dati nell'intera foresta. Per ulteriori informazioni, vedere Creare una partizione di directory applicativa DNS e Integrare un server DNS in una partizione di directory applicativa DNS.

Quando si valuta l'ambito di replica da scegliere, considerare che più è vasto l'ambito di replica, maggiore sarà il traffico di rete generato dalla replica. Se ad esempio si decide di replicare i dati delle zone DNS integrate in Servizi di dominio Active Directory in tutti i server DNS della foresta, verrà generato un traffico di rete maggiore di quello che verrebbe generato replicando i dati delle zone DNS in tutti i server DNS di un singolo dominio di Servizi di dominio Active Directory della stessa foresta.

I dati delle zone DNS integrate in Servizi di dominio Active Directory archiviati in una partizione di directory applicativa non vengono replicati nel catalogo globale della foresta. Il controller di dominio che contiene il catalogo globale può ospitare anche partizioni di directory applicative, ma non replicherà tali dati nel proprio catalogo globale.

I dati delle zone DNS integrate in Servizi di dominio Active Directory archiviati in una partizione di dominio vengono replicati in tutti i controller di dominio del relativo dominio di Servizi di dominio Active Directory e una parte di tali dati viene archiviata nel catalogo globale. Questa impostazione viene utilizzata per supportare Windows 2000.

Se l'ambito di replica di una partizione di directory applicativa esegue la replica tra siti di Servizi di dominio Active Directory, la replica avrà luogo con la stessa pianificazione di replica tra siti utilizzata per i dati delle partizioni di dominio.

Per impostazione predefinita, il servizio Accesso rete registra i record di risorse DNS del localizzatore dei controller di dominio per le partizioni di directory applicative ospitate in un controller di dominio nello stesso modo in cui registra i record di risorse DNS del localizzatore dei controller di dominio per la partizione di dominio ospitata in un controller di dominio.


Installare un server DNS

Per installare un server DNS (Domain Name System) è necessario aggiungere il ruolo Server DNS in un server Windows Server 2008 esistente. Il ruolo Server DNS può essere aggiunto anche quando si installa il ruolo Servizi di dominio Active Directory. Questo è il metodo di installazione del ruolo Server DNS da preferire se si desidera integrare lo spazio dei nomi di dominio DNS nello spazio dei nomi di dominio di Servizi di dominio Active Directory.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per installare un server DNS

  1. Aprire Server Manager. A tale scopo, fare clic sul pulsante Start e quindi scegliere Server Manager.

  2. Nel riquadro risultati, in Riepilogo ruoli, fare clic su Aggiungi ruoli.

  3. Nell'Aggiunta guidata ruoli, se viene visualizzata la pagina Prima di iniziare, fare clic su Avanti.

  4. Nell'elenco Ruoli selezionare Server DNS e quindi fare clic su Avanti.

  5. Leggere le informazioni contenute nella pagina Server DNS e quindi fare clic su Avanti.

  6. Nella pagina Conferma opzioni di installazione verificare che il ruolo Server DNS verrà installato e quindi fare clic su Installa.

Ulteriori considerazioni

  • È consigliabile configurare il computer per l'utilizzo di un indirizzo IP statico. Se il server DNS è configurato per l'utilizzo di indirizzi dinamici assegnati tramite DHCP, quando il server DHCP assegna un nuovo indirizzo IP al server DNS, i client DNS configurati per utilizzare l'indirizzo IP precedente di tale server DNS non saranno in grado di risolvere l'indirizzo IP precedente e di individuare il server DNS.

  • Dopo aver installato un server DNS, è possibile scegliere la modalità di amministrazione del server e delle relative zone. Benché sia possibile utilizzare un editor di testo per apportare modifiche ai file di avvio e di zona del server, non è consigliabile utilizzare questo metodo. Per la manutenzione di tali file è consigliabile utilizzare, laddove possibile, Gestore DNS e lo strumento da riga di comando DNS dnscmd, che semplificano l'esecuzione delle operazioni necessarie. Dopo aver iniziato a gestire questi file tramite Gestore DNS o la riga di comando, non è consigliabile modificarli manualmente.

  • Per amministrare le zone DNS integrate in Servizi di dominio Active Directory è possibile utilizzare solo Gestore DNS o lo strumento da riga di comando dnscmd. Tali zone non possono essere amministrate con un editor di testo.

  • Se si disinstalla un server DNS che ospita zone integrate in Servizi di dominio Active Directory, le zone verranno salvate o eliminate a seconda del tipo di archiviazione. Indipendentemente dal tipo di archiviazione, i dati delle zone verranno invece archiviati in altri controller di dominio o server DNS. I dati delle zone infatti non verranno eliminati, a meno che il server DNS che viene disinstallato non sia l'ultimo server DNS che ospita la zona.

  • Se si disinstalla un server DNS che ospita zone DNS standard, i file di zona rimarranno nella directory %systemroot%\system32\Dns, ma non verranno ricaricati se il server DNS viene reinstallato. Se si crea una nuova zona con lo stesso nome di una zona precedente, il file della zona precedente verrà sostituito da quello della nuova zona.

  • Per scrivere i dati di avvio e delle zone dei server DNS in file di testo, i server DNS utilizzano il formato di file BIND (Berkeley Internet Name Domain), riconosciuto dai server BIND 4 legacy, anziché il formato BIND 8 più recente.

Ulteriori riferimenti

  • Configurare un server DNS per l'utilizzo con Servizi di dominio Active Directory

  • Configurare un nuovo server DNS


Configurare un server DNS per l'utilizzo con Servizi di dominio Active Directory

Quando si installa Servizi di dominio Active Directory con l'Installazione guidata Servizi di dominio Active Directory, si ha la possibilità di installare e configurare automaticamente un server DNS. La zona DNS risultante viene integrata nel dominio di Servizi di dominio Active Directory controllato dal server di Servizi di dominio Active Directory.

Per installare Servizi di dominio Active Directory in tale computer, utilizzare Server Manager.

  • Questo metodo si applica esclusivamente ai computer server utilizzati come controller di dominio. Gli eventuali server membri (server non configurati come controller di dominio) utilizzati come server DNS non vengono integrati in Servizi di dominio Active Directory.

  • Se si sceglie l'opzione per installare e configurare automaticamente un server DNS locale, il server DNS verrà installato nel computer in cui è in esecuzione la procedura guidata e come server DNS preferito del computer verrà configurato il nuovo server DNS locale. Configurare gli altri eventuali computer che verranno aggiunti al dominio in modo da utilizzare l'indirizzo IP di questo server DNS come server DNS preferito.

Ulteriori riferimenti

  • Elenco di controllo: aggiungere un controller di dominio con il servizio Server DNS

  • Informazioni sull'integrazione in Servizi di dominio Active Directory


Configurare un nuovo server DNS

Se un nuovo server DNS (Domain Name System) non è installato in un controller di dominio, per configurarlo in genere è necessario eseguire le attività seguenti:

  • Creare una zona di ricerca diretta e una zona di ricerca inversa facoltativa.

  • Determinare se nel server devono essere consentiti gli aggiornamenti dinamici, inclusi gli aggiornamenti non sicuri.

  • Determinare se le query devono essere inoltrate e a quali server di destinazione.

Anziché configurare queste impostazioni, è possibile scegliere di configurare il server per l'utilizzo di parametri radice in modo da poter eseguire queste attività di configurazione in un secondo momento.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Configurare un nuovo server DNS

  • Tramite l'interfaccia Windows

  • Tramite riga di comando
Per configurare un nuovo server DNS tramite l'interfaccia Windows

  1. Aprire Gestore DNS.

  2. Se necessario, aggiungere allo snap-in il server applicabile e quindi eseguire la connessione.

  3. Nell'albero della console fare clic sul server DNS applicabile.

    Percorso

    • DNS/server DNS

  4. Scegliere Configurazione server DNS dal menu Azione.

  5. Seguire le istruzioni della Configurazione guidata server DNS.

Ulteriori considerazioni

  • Per aprire Gestore DNS, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi DNS.

  • Se il server DNS viene eseguito localmente, non è necessario eseguire il passaggio 2.

  • Dopo aver completato la configurazione del server, potrebbe essere necessario eseguire alcune attività aggiuntive, ad esempio consentire gli aggiornamenti dinamici per le zone del server o aggiungere record di risorse alle zone.

Per configurare un nuovo server DNS tramite riga di comando

  1. Aprire una finestra del prompt dei comandi.

  2. Digitare il comando seguente e quindi premere INVIO:

    dnscmd <ServerName> /Config {<ZoneName>|..AllZones} <Property> {1|0}

Parametro | Descrizione
dnscmd | Specifica il nome dello strumento da riga di comando per la gestione dei server DNS.
<ServerName> | Obbligatorio. Specifica il nome host DNS del server DNS. È inoltre possibile digitare l'indirizzo IP del server DNS. Per specificare il server DNS nel computer locale, è inoltre possibile digitare un punto (.).
/Config | Specifica che il comando configura la zona indicata.
{<ZoneName>|..AllZones} | Specifica il nome della zona da configurare. Per applicare la configurazione a tutte le zone ospitate dal server DNS specificato, digitare ..AllZones.
<Proprietà> | Specifica la proprietà del server o della zona da configurare. Per i server e le zone sono disponibili diverse proprietà. Per un elenco delle proprietà disponibili, al prompt dei comandi digitare: dnscmd /Config /help.
{1|0} | Imposta le opzioni di configurazione su 1 (attivazione) o su 0 (disattivazione). Si noti che alcune proprietà di server e di zone devono essere reimpostate nell'ambito di un'operazione più complessa.

Per visualizzare la sintassi completa del comando, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

dnscmd /Config /help

Ulteriori considerazioni

  • Per aprire una finestra del prompt dei comandi con privilegi elevati, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, quindi fare clic con il pulsante destro del mouse su Prompt dei comandi e infine scegliere Esegui come amministratore.

  • Dopo aver completato la configurazione del server, potrebbe essere necessario eseguire alcune attività aggiuntive, ad esempio consentire gli aggiornamenti dinamici per le zone del server o aggiungere record di risorse alle zone.

Ulteriori riferimenti

  • Installare e configurare i server

  • Installare un server DNS


Configurare un server DNS per l'utilizzo di server d'inoltro

Un server d'inoltro è un server DNS (Domain Name System) in rete che viene utilizzato per inoltrare query DNS relative a nomi DNS esterni a server DNS al di fuori della rete. È inoltre possibile configurare il server in modo da inoltrare le query in base a nomi di dominio specifici utilizzando server d'inoltro condizionali.

Un server DNS in rete viene designato come server d'inoltro quando gli altri server DNS della rete sono configurati in modo da inoltrare a tale server le query che non possono essere risolte localmente. Utilizzando un server d'inoltro, è possibile gestire la risoluzione dei nomi esterni alla rete, ad esempio i nomi su Internet, e migliorare l'efficienza della risoluzione dei nomi per i computer della rete. Per ulteriori informazioni sui server d'inoltro standard e su quelli condizionali, vedere Informazioni sui server d'inoltro.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Configurare un server DNS per l'utilizzo di server d'inoltro

  • Tramite l'interfaccia Windows

  • Tramite riga di comando
Per configurare un server DNS per l'utilizzo di server d'inoltro tramite l'interfaccia Windows

  1. Aprire Gestore DNS.

  2. Nell'albero della console fare clic sul server DNS applicabile.

    Percorso

    • DNS/server DNS applicabile

  3. Scegliere Proprietà dal menu Azione.

  4. Nella scheda Server d'inoltro, in Dominio DNS, fare clic su un nome di dominio.

  5. In Elenco indirizzi IP del server d'inoltro del dominio selezionato digitare l'indirizzo IP di un server d'inoltro e quindi fare clic su Aggiungi.

Ulteriori considerazioni

  • Per aprire Gestore DNS, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi DNS.

  • Per creare un nuovo nome di dominio, fare clic su Nuovo e quindi in Dominio DNS digitare il nome di dominio.

  • Quando si specifica un server d'inoltro condizionale, selezionare un nome di dominio DNS prima di immettere un indirizzo IP.

  • Per impostazione predefinita, il server DNS attende una risposta dall'indirizzo IP di un server d'inoltro per cinque secondi prima di provare con l'indirizzo IP di un altro server d'inoltro. In Numero di secondi prima del timeout dell'inoltro query è possibile cambiare il numero di secondi di attesa del server DNS. Dopo aver provato con tutti i server d'inoltro, il server tenta con la ricorsione standard.

  • Se si desidera che il server DNS utilizzi solo server d'inoltro e non tenti alcuna ulteriore ricorsione qualora i server d'inoltro dessero esito negativo, selezionare la casella di controllo Non utilizzare query ricorsiva per questo dominio.

    È possibile disattivare la ricorsione per il server DNS in modo che non esegua la ricorsione per alcuna query. Se si disattivano le query ricorsive nel server DNS, non sarà possibile utilizzare server d'inoltro nello stesso server.

  • Nell'elenco dei server d'inoltro di un server DNS non immettere più volte l'indirizzo IP di uno stesso server d'inoltro perché considerato più affidabile o geograficamente più vicino al server. Se si preferisce uno dei server d'inoltro, specificarlo per primo nella serie di indirizzi IP dei server d'inoltro.

  • Non è possibile utilizzare un nome di dominio in un server d'inoltro condizionale se il server DNS ospita una zona primaria, secondaria o di stub per tale nome di dominio. Se ad esempio un server DNS è autorevole per il nome di dominio corp.contoso.com, ovvero ospita la zona primaria per tale nome di dominio, non sarà possibile configurare il server DNS con un server d'inoltro condizionale per corp.contoso.com.

  • Per evitare che si verifichino i problemi più comuni associati ai server d'inoltro, è possibile configurare i server DNS in modo da non eccedere nell'utilizzo dei server d'inoltro.

Per configurare un server DNS per l'utilizzo di server d'inoltro tramite riga di comando

  1. Aprire una finestra del prompt dei comandi.

  2. Digitare il comando seguente e quindi premere INVIO:

    dnscmd <ServerName> /ResetForwarders <MasterIPaddress ...> [/TimeOut <Time>] [/Slave]

Parametro | Descrizione
dnscmd | Specifica il nome dello strumento da riga di comando per la gestione dei server DNS.
<ServerName> | Obbligatorio. Specifica il nome host DNS del server DNS. È inoltre possibile digitare l'indirizzo IP del server DNS. Per specificare il server DNS nel computer locale, è inoltre possibile digitare un punto (.).
/ResetForwarders | Obbligatorio. Configura un server d'inoltro.
<MasterIPAddress...> | Obbligatorio. Specifica un elenco separato da spazi di uno o più indirizzi IP dei server DNS su cui vengono inoltrate le query. È possibile specificare un elenco di indirizzi IP separati da spazi.
/TimeOut | Specifica l'impostazione di timeout. Tale impostazione indica il numero di secondi che devono trascorrere prima del timeout dell'inoltro query non riuscito.
<Time> | Specifica il valore del parametro /TimeOut. Tale valore è espresso in secondi. Il timeout predefinito è cinque secondi.
/Slave | Determina se il server DNS utilizza o meno la ricorsione quando esegue query per ottenere il nome di dominio specificato da NomeZona.

Per visualizzare la sintassi completa del comando, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

dnscmd /ResetForwarders /help

Ulteriori considerazioni

  • Per aprire una finestra del prompt dei comandi con privilegi elevati, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, quindi fare clic con il pulsante destro del mouse su Prompt dei comandi e infine scegliere Esegui come amministratore.

  • Per impostare il server d'inoltro condizionale per una zona, utilizzare il comando seguente:

    dnscmd <ServerName> /ZoneAdd <ZoneName> /Forwarder <MasterIPaddress ...> [/TimeOut <Time>] [/Slave]
    Il comando /ZoneAdd aggiunge la zona specificata dal parametro NomeZona. Il parametro IndirizzoIP indica l'indirizzo IP su cui il server DNS inoltrerà le query DNS non risolvibili. Il parametro /Slave imposta il server DNS come server subordinato. Il parametro /NoSlave (impostazione predefinita) imposta il server DNS come server non subordinato, ovvero come server che eseguirà la ricorsione. I parametri /Timeout e Tempo sono descritti nella tabella precedente.

  • Per visualizzare una zona aggiunta solo come server d'inoltro condizionale, utilizzare il comando seguente:

    dnscmd <ServerName> /ZoneInfo <ZoneName>
  • Per reimpostare gli indirizzi IP dei server d'inoltro per un nome di dominio con server d'inoltro condizionali, utilizzare il comando seguente:

    dnscmd <ServerName> /ZoneResetMasters <ZoneName> [/Local] [<ServerIPs>]
    Il parametro /Local imposta l'elenco dei master locali per i server d'inoltro integrati in Active Directory. Il parametro IPServer indica l'elenco di uno o più indirizzi IP di server master della zona. I server master possono includere server DNS che ospitano copie primarie o secondarie della zona, ma non devono includere indirizzi IP di server DNS in modo che due server DNS che ospitano copie di una zona si utilizzino reciprocamente come server master. Una configurazione di questo tipo rende ciclico il percorso di inoltro.

  • Non è possibile utilizzare un nome di dominio in un server d'inoltro condizionale se il server DNS ospita una zona primaria, secondaria o di stub per tale nome di dominio. Se, ad esempio, un server DNS è autorevole per il nome di dominio corp.contoso.com, ovvero ospita la zona primaria per tale nome di dominio, non sarà possibile configurare il server DNS con un server d'inoltro condizionale per corp.contoso.com.

  • Per evitare problemi comuni associati ai server d'inoltro, è possibile configurare i server DNS in modo da non eccedere nell'utilizzo dei server d'inoltro.

Ulteriori riferimenti

  • Utilizzare server d'inoltro


Creare una partizione di directory applicativa DNS

È possibile archiviare le zone DNS (Domain Name System) in partizioni di directory dominio o applicative di Servizi di dominio Active Directory. Una partizione è una struttura dati di Servizi di dominio Active Directory che distingue i dati in base allo scopo della replica. Quando si crea una partizione di directory applicativa per il DNS, è possibile definire l'ambito di replica per la zona archiviata in tale partizione. Per ulteriori informazioni, vedere Informazioni sull'integrazione in Servizi di dominio Active Directory.

Per eseguire questa procedura, è necessaria l'appartenenza al gruppo Enterprise Admins. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per creare una partizione di directory applicativa DNS

  1. Aprire una finestra del prompt dei comandi.

  2. Digitare il comando seguente e quindi premere INVIO:

    dnscmd <ServerName> /CreateDirectoryPartition <FQDN>

Parametro | Descrizione
dnscmd | Specifica il nome dello strumento da riga di comando per la gestione dei server DNS.
<ServerName> | Obbligatorio. Specifica il nome host DNS del server DNS. È inoltre possibile digitare l'indirizzo IP del server DNS. Per specificare il server DNS nel computer locale, è inoltre possibile digitare un punto (.).
/CreateDirectoryPartition | Obbligatorio. Crea una partizione di directory applicativa DNS.
<FQDN> | Obbligatorio. Specifica il nome della nuova partizione di directory applicativa DNS. È necessario utilizzare un nome di dominio completo (FQDN) DNS.

Per visualizzare la sintassi completa del comando, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

dnscmd /CreateDirectoryPartition /?

Ulteriori considerazioni

  • Per aprire una finestra del prompt dei comandi con privilegi elevati, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, quindi fare clic con il pulsante destro del mouse su Prompt dei comandi e infine scegliere Esegui come amministratore.

Ulteriori riferimenti

  • Elenco di controllo: archiviare dati in una partizione applicativa di Servizi di dominio Active Directory

  • Informazioni sulla replica di zone DNS in Servizi di dominio Active Directory

  • Integrare un server DNS in una partizione di directory applicativa DNS


Integrare un server DNS in una partizione di directory applicativa DNS

Dopo aver creato una partizione di directory applicativa DNS (Domain Name System) per l'archiviazione di una zona, è necessario integrare nella partizione il server DNS che ospita la zona. Per ulteriori informazioni, vedere Informazioni sulla replica di zone DNS in Servizi di dominio Active Directory.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo DnsAdmins o Domain Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per integrare un server DNS in una partizione di directory applicativa DNS

  1. Aprire una finestra del prompt dei comandi.

  2. Digitare il comando seguente e quindi premere INVIO:

    dnscmd <ServerName> /EnlistDirectoryPartition <FQDN>

Valore | Descrizione
dnscmd | Specifica il nome dello strumento da riga di comando per la gestione dei server DNS.
<ServerName> | Obbligatorio. Specifica il nome host DNS del server DNS. È inoltre possibile digitare l'indirizzo IP del server DNS. Per specificare il server DNS nel computer locale, è inoltre possibile digitare un punto (.).
/EnlistDirectoryPartition | Obbligatorio. Integra un server DNS in una partizione di directory applicativa DNS.
<FQDN> | Obbligatorio. Specifica il nome di dominio completo (FQDN) della partizione di directory applicativa DNS.

Per visualizzare la sintassi completa del comando, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

dnscmd /EnlistDirectoryPartition /?

Ulteriori considerazioni

  • Per aprire una finestra del prompt dei comandi con privilegi elevati, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, quindi fare clic con il pulsante destro del mouse su Prompt dei comandi e infine scegliere Esegui come amministratore.

Ulteriori riferimenti

  • Elenco di controllo: archiviare dati in una partizione applicativa di Servizi di dominio Active Directory


Rimuovere un server DNS da una partizione di directory applicativa DNS

Se non si desidera più che un server DNS (Domain Name System) partecipi alla replica della zona ospitata in una partizione di directory applicativa DNS, è possibile utilizzare la procedura descritta di seguito. Non è tuttavia possibile rimuovere un server DNS dalle partizioni di directory applicative DomainDnsZones o ForestDnsZones.

Per eseguire questa procedura, è necessario essere membri del gruppo DnsAdmins o Domain Admins in Servizi di dominio Active Directory oppure avere avuto delega dell'autorità appropriata. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per rimuovere un server DNS da una partizione di directory applicativa DNS

  1. Aprire una finestra del prompt dei comandi.

  2. Digitare il comando seguente e quindi premere INVIO:

    dnscmd <ServerName> /UnenlistDirectoryPartition <FQDN>

Parametro | Descrizione
dnscmd | Specifica il nome dello strumento da riga di comando per la gestione dei server DNS.
<ServerName> | Obbligatorio. Specifica il nome host DNS del server DNS. È inoltre possibile digitare l'indirizzo IP del server DNS. Per specificare il server DNS nel computer locale, è inoltre possibile digitare un punto (.).
/UnenlistDirectoryPartition | Obbligatorio. Rimuove un server DNS da una partizione di directory applicativa DNS.
<FQDN> | Obbligatorio. Specifica il nome di dominio completo (FQDN) della partizione di directory applicativa DNS dalla quale si desidera rimuovere il server DNS specificato da NomeServer.

Per visualizzare la sintassi completa del comando, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

dnscmd /UnenlistDirectoryPartition /?

Ulteriori considerazioni

  • Per aprire una finestra del prompt dei comandi con privilegi elevati, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, quindi fare clic con il pulsante destro del mouse su Prompt dei comandi e infine scegliere Esegui come amministratore.

Ulteriori riferimenti

  • Informazioni sull'integrazione in Servizi di dominio Active Directory

  • Creare una partizione di directory applicativa DNS

  • Integrare un server DNS in una partizione di directory applicativa DNS


Cambiare il metodo di avvio utilizzato dal server DNS

Per definire se il server DNS (Domain Name System) deve ottenere le informazioni di avvio dal Registro di sistema, da un file di avvio o da Servizi di dominio Active Directory, è possibile utilizzare la procedura descritta di seguito.

Per impostazione predefinita, i server DNS utilizzano le informazioni archiviate nel Registro di sistema per inizializzare il servizio e caricare i dati delle zone che devono essere utilizzati nel server. Come soluzioni alternative, è possibile configurare il server DNS per avviarsi da un file oppure in ambienti di Servizi di dominio Active Directory è possibile integrare i dati del Registro di sistema locale con i dati recuperati per le zone integrate in Active Directory di cui è stata effettuata l'archiviazione nel database di Active Directory. Se si utilizza il metodo basato sul file di avvio, è necessario che il file sia un file di testo denominato Boot e che si trovi nella cartella %systemroot%\Windows\System32\Dns del computer in uso.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per cambiare il metodo di avvio utilizzato dal server DNS

  1. Aprire Gestore DNS.

  2. Nell'albero della console fare clic con il pulsante destro del mouse sul server DNS applicabile e quindi scegliere Proprietà.

  3. Fare clic sulla scheda Avanzate.

  4. Nell'elenco Carica dati di zona all'avvio selezionare Avvio da Registro di sistema, Avvio da file o Avvio da Active Directory e registro.

Ulteriori considerazioni

  • Per aprire Gestore DNS, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi DNS.


Configurare i server multihomed

Configurare i server multihomed

Per i server DNS multihomed, ovvero i server DNS con più indirizzi IP, è possibile configurare il servizio Server DNS in modo da consentire ed eseguire il binding in modo selettivo solo agli indirizzi IP specificati tramite Gestore DNS. In questo modo potranno inviare query al server DNS solo i server e i client configurati per utilizzare gli indirizzi IP specificati. Per i server proxy connessi a Internet, è ad esempio possibile utilizzare questa funzionalità per consentire l'accesso ai dati DNS solo ai client della rete interna. Per impostazione predefinita, il servizio Sever DNS esegue il binding a tutte le interfacce IP configurate per il computer, tra cui:

  • Gli eventuali indirizzi IP aggiuntivi configurati per una singola connessione di rete

  • I singoli indirizzi IP configurati per ogni connessione separata quando nel server sono installate più connessioni di rete

Per i server DNS multihomed è possibile limitare il supporto DNS a determinati indirizzi IP. Quando questa funzionalità è attivata, il servizio Server DNS resta in ascolto e risponde solo alle richieste DNS inviate agli indirizzi IP specificati nella scheda Interfaccia delle proprietà dei server.

Quando specificare le interfacce

Per impostazione predefinita, il servizio Server DNS resta in ascolto su tutti gli indirizzi IP e accetta tutte le richieste client inviate alle relative porte di servizio predefinite, ovvero UDP 53 o TCP 53. Se non si desidera che il server DNS risponda alle richieste ricevute su determinati indirizzi, ad esempio se tali indirizzi corrispondono a interfacce esterne, è possibile configurare il server DNS in modo da rispondere alle richieste ricevute solo su alcune delle proprie interfacce.

Ulteriori considerazioni per eseguire il multihoming dei server DNS

Quando si configurano ulteriori indirizzi IP e se ne consente l'utilizzo con un server DNS, considerare quanto segue:

  • Nel computer server vengono utilizzate ulteriori risorse di sistema.

  • Benché il DNS consenta di configurare più indirizzi IP da utilizzare con le schede di rete installate, questa soluzione non comporta alcun vantaggio in termini di prestazioni.

  • Anche se il server DNS gestisce più zone registrate per l'utilizzo Internet, non è necessario né obbligatorio per il processo di registrazione Internet registrare indirizzi IP diversi per ogni zona.

Sulla base di queste considerazioni:

  • Tenere presente che, aggiungendo altri indirizzi IP da utilizzare con i server DNS, per ogni ulteriore indirizzo si ottiene solo un minimo miglioramento delle prestazioni. Nei casi in cui il numero globale di indirizzi IP abilitati per l'utilizzo è particolarmente elevato, le prestazioni del server possono anzi peggiorare in modo significativo.

  • Quando si aggiungono schede di rete al computer server, è consigliabile in genere assegnare solo un indirizzo IP primario per ogni connessione di rete.

  • Quando possibile, rimuovere gli indirizzi IP non necessari dalle configurazioni TCP/IP dei server esistenti.

Nota

Per ulteriori informazioni su come specificare le interfacce con il servizio Server DNS, vedere Impostare un server DNS per restare in ascolto solo su determinati indirizzi.


Impostare un server DNS per restare in ascolto solo su determinati indirizzi

Per impostazione predefinita, un servizio Server DNS in esecuzione in un computer multihomed è configurato per restare in ascolto delle query DNS utilizzando tutti i relativi indirizzi IP. Per aumentare la sicurezza del server DNS, è possibile limitare gli indirizzi IP su cui il servizio Server DNS resta in ascolto al solo indirizzo IP utilizzato dai relativi client DNS come server DNS preferito.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Impostare un server DNS per restare in ascolto solo su determinati indirizzi

  • Tramite l'interfaccia Windows

  • Tramite riga di comando

Per impostare un server DNS per restare in ascolto solo su determinati indirizzi tramite l'interfaccia Windows

  1. Aprire Gestore DNS.

  2. Nell'albero della console fare clic sul server DNS applicabile.

    Percorso

    • DNS/server DNS applicabile

  3. Scegliere Proprietà dal menu Azione.

  4. Nella scheda Interfacce selezionare Solo gli indirizzi IP specificati.

  5. In Indirizzo IP digitare un indirizzo IP da abilitare per il server DNS e quindi fare clic su Aggiungi.

  6. Ripetere il passaggio precedente per specificare tutti gli altri indirizzi IP che si desidera abilitare per il server DNS.

    Per rimuovere un indirizzo IP dall'elenco, selezionarlo e quindi fare clic su Rimuovi.

Ulteriori considerazioni

  • Per aprire Gestore DNS, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi DNS.

  • Per impostazione predefinita, il servizio Server DNS resta in ascolto delle comunicazioni di messaggi DNS su tutti gli indirizzi IP configurati per il computer server.

  • Gli indirizzi IP che vengono aggiunti con questa procedura devono essere gestiti in modo statico. Se successivamente gli indirizzi specificati in questa fase vengono modificati o rimossi dalle configurazioni TCP/IP gestite nel server, l'elenco dovrà essere aggiornato di conseguenza.

  • Dopo aver aggiornato o modificato l'elenco di interfacce limitate, è necessario arrestare e riavviare il server DNS per applicare il nuovo elenco.

  • L'impostazione del servizio Server DNS per restare in ascolto solo su indirizzi IP specifici è una misura di sicurezza efficace perché in questo modo potranno accedere al server solo gli host della stessa subnet di rete o gli host con un router che si connette a quello stesso segmento.

Per impostare un server DNS per restare in ascolto solo su determinati indirizzi tramite riga di comando

  1. Aprire una finestra del prompt dei comandi.

  2. Digitare il comando seguente e quindi premere INVIO:

    dnscmd <ServerName> /ResetListenAddresses [<ListenAddress> ...]

Parametro | Descrizione
dnscmd | Specifica il nome dello strumento da riga di comando per la gestione dei server DNS.
<ServerName> | Obbligatorio. Specifica il nome host DNS del server DNS. È inoltre possibile digitare l'indirizzo IP del server DNS. Per specificare il server DNS nel computer locale, è inoltre possibile digitare un punto (.).
/ResetListenAddresses | Obbligatorio. Reimposta gli indirizzi IP delle interfacce su cui il server DNS resta in ascolto.
<IndirizzoAscolto> ... | Specifica uno o più indirizzi IP per le interfacce su cui il server DNS deve restare in ascolto. Per impostazione predefinita, il servizio Server DNS resta in ascolto delle comunicazioni di messaggi DNS su tutti gli indirizzi IP configurati per il computer server.

Per visualizzare la sintassi completa del comando, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

dnscmd <ServerName> /ResetListenAddresses /help

Ulteriori considerazioni

  • Per aprire una finestra del prompt dei comandi con privilegi elevati, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, quindi fare clic con il pulsante destro del mouse su Prompt dei comandi e infine scegliere Esegui come amministratore.

  • Gli indirizzi IP che vengono aggiunti con questa procedura devono essere gestiti in modo statico. Se successivamente gli indirizzi specificati in questa fase vengono modificati o rimossi dalle configurazioni TCP/IP gestite nel server, l'elenco dovrà essere aggiornato di conseguenza.

  • Dopo aver aggiornato o modificato l'elenco di interfacce limitate, è necessario arrestare e riavviare il server DNS per applicare il nuovo elenco.

  • L'impostazione del servizio Server DNS per restare in ascolto solo su indirizzi IP specifici è una misura di sicurezza efficace perché in questo modo potranno accedere al server solo gli host della stessa subnet di rete o gli host con un router che si connette a quello stesso segmento.

Ulteriori riferimenti

  • Avviare o arrestare un server DNS

  • Configurare i server multihomed

  • Informazioni sulla sicurezza per il DNS

  • Proteggere il servizio Server DNS

  • Proteggere i client DNS


Proteggere la cache del server da un utilizzo non autorizzato dei nomi

Per impostazione predefinita, nel servizio Server DNS la cache è protetta da accessi non autorizzati che possono avere origine da risposte a query DNS contenenti dati non autorevoli o dannosi. L'opzione Proteggi la cache da accessi non autorizzati consente di impedire all'eventuale autore di un attacco di accedere alla cache di un server DNS e inserire record di risorse non richiesti da tale server. La modifica di questa impostazione predefinita comporta una riduzione dell'integrità delle risposte fornite dal servizio Server DNS. Se l'impostazione predefinita in precedenza è stata modificata e si desidera ripristinarla, è possibile utilizzare la procedura descritta di seguito.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per proteggere la cache del server da un utilizzo non autorizzato dei nomi

  1. Aprire Gestore DNS.

  2. Nell'albero della console fare clic sul server DNS applicabile.

    Percorso

    • DNS/server DNS applicabile

  3. Scegliere Proprietà dal menu Azione.

  4. Fare clic sulla scheda Avanzate.

  5. In Opzioni server selezionare la casella di controllo Proteggi la cache da accessi non autorizzati e quindi fare clic su OK.

Ulteriori considerazioni

  • Per aprire Gestore DNS, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi DNS.

  • L'opzione Proteggi la cache da accessi non autorizzati è attivata per impostazione predefinita.

Ulteriori riferimenti

  • Informazioni sulla sicurezza per il DNS

  • Proteggere il servizio Server DNS


Modificare la sicurezza per il servizio Server DNS in un controller di dominio

Per specificare chi può amministrare il servizio Server DNS quando viene eseguito in un controller di dominio, è possibile utilizzare la procedura descritta di seguito. Tale procedura tuttavia non incide su chi può amministrare le zone e i record di risorse ospitati nel server.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per modificare la sicurezza per il servizio Server DNS in un controller di dominio

  1. Aprire Gestore DNS.

  2. Nell'albero della console fare clic con il pulsante destro del mouse sul server applicabile e quindi scegliere Proprietà.

    Percorso

    DNS/server DNS applicabile

  3. Nella scheda Sicurezza modificare l'elenco degli utenti o dei gruppi membri a cui è consentito amministrare il server applicabile.

Ulteriori considerazioni

  • Per aprire Gestore DNS, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi DNS.

  • Gli elenchi di controllo di accesso (ACL, Access Control List) di Active Directory sono supportati per il servizio Server DNS solo se quest'ultimo è in esecuzione in un controller di dominio.

Ulteriori riferimenti

  • Configurare un server DNS per l'utilizzo con Servizi di dominio Active Directory

  • Modificare la sicurezza per una zona integrata in Active Directory

  • Modificare la sicurezza per un record di risorse


Disattivare la ricorsione nel server DNS

Per impostazione predefinita, il server DNS esegue query ricorsive per conto dei relativi client DNS e dei server DNS che gli hanno inoltrato query di client DNS. La ricorsione è una tecnica di risoluzione dei nomi in base alla quale un server DNS interroga altri server DNS per conto del client richiedente per risolvere completamente il nome e quindi invia una risposta al client.

Gli autori di attacchi possono utilizzare la ricorsione per negare il servizio Server DNS. Se pertanto un server DNS della rete non è designato per ricevere query ricorsive, è consigliabile disattivare la ricorsione in tale server.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Disattivare la ricorsione nel server DNS

  • Tramite l'interfaccia Windows

  • Tramite riga di comando

Per disattivare la ricorsione nel server DNS tramite l'interfaccia Windows

  1. Aprire Gestore DNS.

  2. Nell'albero della console fare clic con il pulsante destro del mouse sul server DNS applicabile e quindi scegliere Proprietà.

    Percorso

    DNS/server DNS applicabile

  3. Fare clic sulla scheda Avanzate.

  4. In Opzioni server selezionare la casella di controllo Disattiva query ricorsiva e quindi fare clic su OK.

Ulteriori considerazioni

  • Per aprire Gestore DNS, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi DNS.

  • Se si disattivano le query ricorsive nel server DNS, non sarà possibile utilizzare server d'inoltro nello stesso server.

Per disattivare la ricorsione nel server DNS tramite riga di comando

  1. Aprire una finestra del prompt dei comandi.

  2. Digitare il comando seguente e quindi premere INVIO:

    dnscmd <ServerName> /Config /NoRecursion {1|0}

Parametro | Descrizione
dnscmd | Specifica il nome dello strumento da riga di comando per la gestione dei server DNS.
<ServerName> | Obbligatorio. Specifica il nome host DNS del server DNS. È inoltre possibile digitare l'indirizzo IP del server DNS. Per specificare il server DNS nel computer locale, è inoltre possibile digitare un punto (.).
/Config | Obbligatorio. Specifica che il comando configura il server indicato.
/NoRecursion | Obbligatorio. Disattiva la ricorsione.
{1|0} | Obbligatorio. Per disattivare la ricorsione, digitare 1 (disattivazione). Per attivare la ricorsione, digitare 0 (attivazione). Per impostazione predefinita, la ricorsione è attivata.

Per visualizzare la sintassi completa del comando, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

dnscmd /Config /help

Ulteriori considerazioni

  • Per aprire una finestra del prompt dei comandi con privilegi elevati, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, quindi fare clic con il pulsante destro del mouse su Prompt dei comandi e infine scegliere Esegui come amministratore.

  • Se si disattivano le query ricorsive nel server DNS, non sarà possibile utilizzare server d'inoltro nello stesso server.

Ulteriori riferimenti

  • Informazioni sulla sicurezza per il DNS

  • Proteggere il servizio Server DNS


Aggiornare i parametri radice

È possibile utilizzare i parametri radice per preparare i server autorevoli di zone non radice in modo che possano individuare i server autorevoli che gestiscono i domini a un livello superiore o in altri sottoalberi dello spazio dei nomi di dominio DNS. Tali parametri radice sono essenziali per i server autorevoli ai livelli inferiori dello spazio dei nomi per la ricerca e l'individuazione di altri server in queste condizioni.

Si supponga ad esempio che in un server DNS denominato Server A sia inclusa una zona denominata sub.corp.contoso.com. Nel processo di risposta a una query per un dominio di livello superiore, ad esempio il dominio corp.contoso.com, il Server A necessita di assistenza per individuare un server autorevole, ad esempio il Server B, per il dominio.

Affinché il Server A possa trovare il Server B o qualsiasi altro server autorevole per il dominio contoso.com, il Server A deve poter interrogare i server radice per lo spazio dei nomi DNS. I server radice possono quindi indirizzare il Server A ai server autorevoli per il dominio com. I server del dominio com possono a loro volta fare riferimento al Server B o ad altri server autorevoli per il dominio contoso.com. I parametri radice utilizzati dal Server A devono contenere indicazioni utili per i server radice affinché il processo possa individuare il Server B o un altro server autorevole, a seconda delle esigenze.

Per configurare e utilizzare correttamente i parametri radice, effettuare le valutazioni seguenti in merito al server DNS:

  • Valutare se il DNS viene utilizzato su Internet o in una rete privata.

  • Valutare se il server DNS viene utilizzato come server radice.

Per impostazione predefinita, il servizio Server DNS implementa i parametri radice utilizzando il file Cache.dns archiviato nella cartella %systemroot%\System32\Dns del computer server. In questo file in genere sono contenuti i record di risorse server dei nomi (NS) e host (A) dei server radice di Internet. Se tuttavia il servizio Server DNS viene utilizzato in una rete privata, è possibile modificare o sostituire questo file con record simili che puntano ai propri server DNS radice interni.

I parametri radice vengono gestiti in modo diverso anche se un server DNS è configurato per essere utilizzato da altri server DNS in uno spazio dei nomi interno come server d'inoltro per le eventuali query DNS di nomi gestite esternamente, ad esempio su Internet. Benché il server DNS utilizzato come server d'inoltro possa essere dislocato internamente nella stessa rete dei server che lo utilizzano come server d'inoltro, per un corretto funzionamento e la risoluzione dei nomi esterni sono necessarie indicazioni per i server radice di Internet.

Se un server DNS è configurato per accedere ad altri server DNS, ad esempio tramite un elenco di server DNS configurato nelle relative proprietà TCP/IP client per una connessione di rete installata, il servizio Server DNS sarà in grado di raccogliere i propri parametri radice durante la configurazione dei nuovi server. A tale scopo, è possibile utilizzare la Configurazione guidata server DNS.


Aggiornare i parametri radice nel server DNS

È possibile utilizzare i parametri radice per preparare i server autorevoli di zone non radice in modo che possano individuare i server autorevoli che gestiscono i domini a un livello superiore o in altri sottoalberi dello spazio dei nomi di dominio DNS. Tali parametri radice sono essenziali per i server autorevoli ai livelli inferiori dello spazio dei nomi per la ricerca e l'individuazione di altri server in queste condizioni.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per aggiornare i parametri radice nel server DNS

  1. Aprire Gestore DNS.

  2. Nell'albero della console fare clic sul server DNS applicabile.

    Percorso

    • DNS/server DNS applicabile

  3. Scegliere Proprietà dal menu Azione.

  4. Fare clic sulla scheda Parametri radice.

  5. Modificare i parametri radice eseguendo le operazioni seguenti:

    • Per aggiungere un server radice all'elenco, fare clic su Aggiungi e quindi specificare il nome e l'indirizzo IP del server desiderato.

    • Per modificare un server radice nell'elenco, fare clic su Modifica e quindi specificare il nome e l'indirizzo IP del server desiderato.

    • Per rimuovere un server radice dall'elenco, selezionarlo nell'elenco e quindi fare clic su Rimuovi.

    • Per copiare i parametri radice da un server DNS, fare clic su Copia dal server e quindi specificare l'indirizzo IP del server DNS da cui si desidera copiare un elenco di server radice da utilizzare durante la risoluzione delle query. Questi parametri radice non sovrascriveranno gli eventuali parametri radice esistenti.

Ulteriori considerazioni

  • Per aprire Gestore DNS, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi DNS.

Ulteriori riferimenti

  • Aggiornare i parametri radice

  • Informazioni sulla sicurezza per il DNS

  • Proteggere il servizio Server DNS


Gestire server e zone

Gestore DNS, lo snap-in DNS di Microsoft Management Console (MMC), consente di gestire il server DNS (Domain Name System) locale e i server DNS remoti. Tramite Gestore DNS o riga di comando è possibile avviare, arrestare o sospendere un server DNS. È inoltre possibile sospendere e riavviare le singole zone ospitate dal server.

  • Aggiungere un server a Gestore DNS

  • Rimuovere un server da Gestore DNS

  • Avviare o arrestare un server DNS

  • Sospendere o riprendere l'esecuzione di una zona


Aggiungere un server a Gestore DNS

Per aggiungere un server locale o remoto a Gestore DNS per gestirlo, è possibile utilizzare la procedura descritta di seguito.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per aggiungere un server a Gestore DNS

  1. Aprire Gestore DNS.

  2. Scegliere Connetti al server DNS dal menu Azione.

  3. In Connessione al server DNS selezionare una delle opzioni seguenti:

    • Questo computer, se il server a cui si desidera connettersi e che si desidera gestire si trova nello stesso computer utilizzato per gestirlo.

    • Il computer seguente, se il server a cui si desidera connettersi e che si desidera gestire si trova in un computer remoto.

    Se si sceglie di connettersi a un server remoto, specificarne il nome computer DNS (Domain Name System) o l'indirizzo IP.

  4. Selezionare la casella di controllo Connettersi al computer specificato adesso e quindi fare clic su OK.

Ulteriori considerazioni

  • Per aprire Gestore DNS, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi DNS.

Ulteriori riferimenti

  • Rimuovere un server da Gestore DNS


Rimuovere un server da Gestore DNS

Per rimuovere un server remoto da Gestore DNS, è possibile utilizzare la procedura descritta di seguito.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per rimuovere un server da Gestore DNS

  1. Aprire Gestore DNS.

  2. Nell'albero della console fare clic sul server DNS (Domain Name System) applicabile.

  3. Scegliere Elimina dal menu Azione.

  4. Quando viene chiesto se si desidera confermare l'eliminazione del server dall'elenco, fare clic su OK

Ulteriori considerazioni

  • Per aprire Gestore DNS, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi DNS.

Ulteriori riferimenti

  • Aggiungere un server a Gestore DNS


Avviare o arrestare un server DNS

Per controllare se il servizio Server DNS è in esecuzione e in grado di rispondere alle query, è possibile utilizzare la procedura descritta di seguito.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per avviare o arrestare un server DNS

  1. Aprire Gestore DNS.

  2. Nell'albero della console fare clic sul server DNS (Domain Name System) applicabile.

  3. Scegliere Tutte le attività dal menu Azione e quindi una delle opzioni seguenti:

    • Per avviare il servizio, fare clic su Avvia.

    • Per arrestare il servizio, fare clic su Arresta.

    • Per interrompere il servizio, fare clic su Sospendi.

  4. Per arrestare e quindi riavviare automaticamente il servizio, fare clic su Riavvia.

Ulteriori considerazioni

  • Per aprire Gestore DNS, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi DNS.

  • Dopo aver sospeso o arrestato il servizio, scegliere Tutte le attività dal menu Azione e quindi Riprendi per riattivarle immediatamente il servizio.

  • Quando il metodo di avvio del server è configurato per il caricamento dei dati della zona dal Registro di sistema, le modifiche vengono applicate ai server DNS solo dopo la successiva inizializzazione del servizio Server DNS. In questo caso, se un valore DNS viene modificato manualmente direttamente nel Registro di sistema, sarà sempre necessario riavviare il servizio Server DNS affinché venga utilizzato il nuovo valore.

Ulteriori riferimenti

  • Aggiungere un server a Gestore DNS

  • Cambiare il metodo di avvio utilizzato dal server DNS


Sospendere o riprendere l'esecuzione di una zona

Per specificare se una zona risponde alle query o alle richieste di trasferimento, è possibile utilizzare la procedura descritta di seguito.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Sospendere o annullare la sospensione di una zona

  • Tramite l'interfaccia Windows

  • Tramite riga di comando
Per sospendere o riprendere l'esecuzione di una zona tramite l'interfaccia Windows

  1. Aprire Gestore DNS.

  2. Nell'albero della console fare clic sulla zona applicabile.

    Percorso

    • DNS/server DNS applicabile/Zone di ricerca diretta o Zone di ricerca inversa/zona applicabile

  3. Scegliere Proprietà dal menu Azione.

  4. Nella scheda Generale fare clic su Sospendi o Avvia e quindi su OK.

Ulteriori considerazioni

  • Per aprire Gestore DNS, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi DNS.

  • Per impostazione predefinita, le zone vengono avviate quando vengono create o caricate nel server. Dopo aver sospeso una zona utilizzando questa procedura, è necessario riavviarla per renderla disponibile per servire i client o aggiornare le zone.

Per sospendere o riprendere l'esecuzione di una zona tramite riga di comando

  1. Aprire una finestra del prompt dei comandi.

  2. Eseguire una delle operazioni seguenti:

    • Per sospendere la zona, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

      dnscmd <ServerName> /ZonePause <ZoneName>
    • Per riprendere l'esecuzione della zona, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

      dnscmd <ServerName> /ZoneResume <ZoneName>

Parametro | Descrizione
dnscmd | Gestisce i server DNS.
NomeServer | Obbligatorio. Specifica il nome host DNS (Domain Name System) del server DNS. È inoltre possibile digitare l'indirizzo IP del server DNS. Per specificare il server DNS nel computer locale, è inoltre possibile digitare un punto (.)
/ZonePause | Obbligatorio. Sospende la zona.
/ZoneResume | Obbligatorio. Riprende l'esecuzione della zona.
<ZoneName> | Obbligatorio. Specifica il nome di dominio completo (FQDN) della zona.

Per visualizzare la sintassi completa del comando, al prompt dei comandi digitare uno dei comandi seguenti e quindi premere INVIO:

dnscmd <ServerName> /ZonePause /help

Ulteriori considerazioni

  • Per aprire una finestra del prompt dei comandi con privilegi elevati, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, quindi fare clic con il pulsante destro del mouse su Prompt dei comandi e infine scegliere Esegui come amministratore.


Aggiungere zone

Nel DNS (Domain Name System) è possibile suddividere uno spazio dei nomi DNS in zone. Nelle zone vengono archiviate le informazioni relative ai nomi per uno o più domini DNS. Per ogni nome di dominio DNS incluso in una zona, la zona diventa l'origine autorevole delle informazioni su tale dominio.

Una zona all'avvio è un database di archiviazione per un singolo nome di dominio DNS. Se vengono aggiunti altri domini al di sotto del dominio utilizzato per creare la zona, tali domini possono far parte della stessa zona o appartenere a un'altra zona.

Le zone di ricerca diretta consentono di risolvere i nomi in indirizzi. Le zone di ricerca inversa invece sono facoltative e consentono di risolvere gli indirizzi in nomi.

È possibile distribuire una zona di ricerca diretta speciale denominata GlobalNames per consentire la risoluzione dei nomi con etichetta singola, ovvero dei nomi in cui non è contenuto il nome del dominio padre, nei casi in cui non è possibile utilizzare Windows Internet Name Service (WINS) o gli elenchi di ricerca dei suffissi.

Negli argomenti seguenti vengono descritte brevemente le zone e viene spiegato come crearle e rimuoverle dallo spazio dei nomi DNS.

  • Informazioni sulle zone

  • Informazioni sui tipi di zona

  • Informazioni sulla ricerca inversa

  • Aggiungere una zona di ricerca diretta

  • Aggiungere una zona di ricerca inversa

  • Aggiungere una zona di stub

  • Distribuire una zona GlobalNames


Informazioni sulle zone

Oltre a suddividere lo spazio dei nomi DNS (Domain Name System) in domini, è possibile suddividerlo in zone, in cui vengono archiviate le informazioni relative ai nomi per uno o più domini DNS. Una zona è l'origine autorevole delle informazioni su ogni nome di dominio DNS in essa incluso.

Una zona all'avvio include un unico nome di dominio DNS. Gli altri eventuali domini aggiunti al di sotto del dominio iniziale possono far parte della stessa o di un'altra zona. Quando si aggiunge un sottodominio, è pertanto possibile includerlo come parte della zona originale oppure delegarlo a un'altra zona creata per supportarlo.

Nella figura seguente ad esempio viene mostrato il dominio microsoft.com, in cui sono contenuti i nomi di dominio per Microsoft. Quando viene creato in un singolo server, il dominio microsoft.com viene configurato come unica zona per l'intero spazio dei nomi DNS Microsoft. Se invece nel dominio microsoft.com devono essere utilizzati sottodomini, questi dovranno essere inclusi nella zona o delegati a un'altra zona.

Differenza tra una zona e un dominio

In questa figura il dominio example.microsoft.com dispone di un nuovo sottodominio, il dominio example.microsoft.com, delegato dalla zona microsoft.com e gestito nella propria zona. Nella zona microsoft.com tuttavia devono essere contenuti alcuni record di risorse per fornire le informazioni di delega che fanno riferimento ai server DNS autorevoli per il sottodominio example.microsoft.com delegato.

Se nella zona microsoft.com non viene utilizzata la delega per un sottodominio, i dati del sottodominio rimarranno parte della zona. Il sottodominio dev.microsoft.com ad esempio non è delegato, bensì è gestito dalla zona microsoft.com.

Replica e trasferimenti di zona

A causa dell'importanza del ruolo che svolgono nel DNS, le zone devono essere disponibili da più server DNS della rete in modo da garantire disponibilità e tolleranza di errore. Se infatti è disponibile un solo server e tale server non risponde, le query relative ai nomi nella zona possono avere esito negativo. Affinché una zona possa essere ospitata da ulteriori server, è necessario eseguire trasferimenti in modo da replicare e sincronizzare tutte le copie della zona utilizzate in ogni server configurato per ospitarla.

Quando nella rete viene aggiunto un nuovo server DNS configurato come nuovo server secondario di una zona esistente, viene eseguito un trasferimento iniziale completo della zona in modo da ottenere e replicare una copia completa dei record di risorse della zona. Nella maggior parte delle implementazioni di server DNS precedenti viene utilizzato questo stesso metodo di trasferimento completo di una zona anche per l'aggiornarla a seguito dell'esecuzione di modifiche. Per i server DNS che eseguono Windows Server 2003 e Windows Server 2008, il servizio Server DNS supporta il trasferimento di zona incrementale, un processo di trasferimento DNS riprogettato per le modifiche intermedie. I trasferimenti incrementali costituiscono un metodo più efficiente per la propagazione delle modifiche e degli aggiornamenti delle zone. Diversamente dalle implementazioni del DNS precedenti, in cui per qualsiasi richiesta di aggiornamento dei dati di una zona è necessario eseguire un trasferimento completo dell'intero database della zona, con il trasferimento incrementale il server secondario può effettuare il pull solo delle modifiche della zona necessarie per sincronizzare la propria copia della zona con la relativa origine, che può essere una copia primaria o secondaria della zona gestita da un altro DNS.


Informazioni sui tipi di zona

Il servizio Server DNS rende disponibili tre tipi di zona:

  • Zona primaria

  • Zona secondaria

  • Zona di stub

Nota

Se il server DNS è anche un controller di dominio di Servizi di dominio Active Directory, le zone primarie e di stub possono essere archiviate in Servizi di dominio Active Directory. Per ulteriori informazioni, vedere Informazioni sull'integrazione in Servizi di dominio Active Directory.

Nelle sezioni seguenti vengono descritti i singoli tipi di zona.

Zona primaria

Quando una zona ospitata nel server DNS è una zona primaria, il server DNS è l'origine primaria delle informazioni relative a tale zona e archivia la copia master di questi dati in un file locale o in Servizi di dominio Active Directory. Quando la zona è archiviata in un file, per impostazione predefinita il file di zona primaria è denominato nome_zona.dns ed è contenuto nella cartella %windir%\System32\Dns del server.

Zona secondaria

Quando una zona ospitata nel server DNS è una zona secondaria, il server DNS è un'origine secondaria delle informazioni relative a tale zona. La zona contenuta in questo server deve provenire da un altro computer server DNS remoto che ospita la zona. Il server DNS deve disporre dell'accesso in rete al server DNS remoto che gli fornisce informazioni aggiornate sulla zona. Poiché una zona secondaria non è altro che una copia di una zona primaria ospitata in un altro server, non è possibile archiviarla in Servizi di dominio Active Directory.

Zona di stub

Quando una zona ospitata nel server DNS è una zona di stub, il server DNS è un'origine solo per le informazioni sui server dei nomi autorevoli per tale zona. La zona in questo server deve provenire da un altro server DNS remoto che ospita la zona. Il server DNS deve disporre dell'accesso in rete al server DNS remoto per copiare le informazioni sui server dei nomi autorevoli relative alla zona.

Le zone di stub possono essere utilizzate per gli scopi seguenti:

  • Mantenere aggiornate le informazioni sulle zone delegate. Aggiornando con regolarità una zona di stub per una delle proprie zone figlio, il server DNS che ospita sia la zona padre che la zona di stub disporrà sempre di un elenco aggiornato dei server DNS autorevoli per la zona figlio.

  • Migliorare il processo di risoluzione dei nomi. Le zone di stub consentono a un server DNS di eseguire la ricorsione utilizzando l'elenco di server dei nomi della zona di stub senza dover interrogare il server radice di Internet o un server radice interno per lo spazio dei nomi DNS.

  • Semplificare l'amministrazione DNS. Utilizzando zone di stub nell'infrastruttura DNS, è possibile distribuire un elenco dei server DNS autorevoli per una zona senza utilizzare zone secondarie. Le zone di stub tuttavia non svolgono lo stesso ruolo delle zone secondarie e non possono pertanto costituire un'alternativa per migliorare la ridondanza e la condivisione del carico.

Sono due gli elenchi di server DNS coinvolti nel caricamento e nella manutenzione di una zona di stub:

  • L'elenco di server master da cui il server DNS carica e aggiorna una zona di stub. Un server master può essere un server DNS primario o secondario della zona. In entrambi i casi disporrà di un elenco completo dei server DNS della zona.

  • L'elenco dei server DNS autorevoli per una zona. Questo elenco è contenuto nella zona di stub con i record di risorse server dei nomi (NS).

Quando un server DNS carica una zona di stub, ad esempio widgets.tailspintoys.com, richiede ai server master, che possono trovarsi in posizioni diverse, i record di risorse necessari dei server autorevoli per la zona widgets.tailspintoys.com. L'elenco di server master può contenere uno o più server e può essere modificato in qualsiasi momento.


Informazioni sulla ricerca inversa

Nella maggior parte delle ricerche DNS (Domain Name System) i client in genere eseguono una ricerca diretta, ovvero una ricerca basata sul nome DNS di un altro computer così come è stato archiviato in un record di risorse host (A). Questo tipo di query prevede una risposta contenente un indirizzo IP come dati della risorsa.

Nel DNS è inoltre disponibile un processo di ricerca inversa, in cui i client utilizzano un indirizzo IP noto per ricercare un nome di computer basato su di esso. Le ricerche inverse vengono eseguite sotto forma di domanda, ad esempio "È possibile conoscere il nome DNS del computer che utilizza l'indirizzo IP 192.168.1.20?"

Il DNS in origine non è stato progettato per supportare questo tipo di query. Uno dei problemi da risolvere per supportare il processo di query inversa è dato dalla differenza tra l'organizzazione e l'indicizzazione dei nomi nello spazio dei nomi DNS e l'assegnazione degli indirizzi IP. Se l'unico metodo per rispondere alla domanda precedente consistesse nell'eseguire una ricerca in tutti i domini dello spazio dei nomi DNS, una query inversa richiederebbe troppo tempo e troppe elaborazioni per essere considerata utile.

Per ovviare a questo problema, negli standard DNS è stato definito un dominio speciale, in-addr.arpa, che è stato riservato nello spazio dei nomi DNS Internet per consentire l'esecuzione di query inverse in modo pratico e affidabile. Per creare lo spazio dei nomi inverso, nel dominio in-addr.arpa vengono formati alcuni sottodomini utilizzando l'ordinamento inverso dei numeri nella notazione decimale puntata degli indirizzi IP.

Tale ordinamento inverso dei domini è necessario per ogni valore di ottetto perché, diversamente dai nomi DNS, gli indirizzi IP, se vengono letti da sinistra verso destra, vengono interpretati in maniera opposta. Quando un indirizzo IP viene letto da sinistra verso destra, viene interpretato partendo dalle informazioni più generiche (un indirizzo di rete IP) della prima parte dell'indirizzo, fino ad arrivare alle informazioni più specifiche (un indirizzo host IP) contenuto negli ultimi ottetti.

È per questo motivo che l'ordine degli ottetti dell'indirizzo IP deve essere invertito quando viene generato l'albero di dominio in-addr.arpa. Gli indirizzi IP dell'albero in-addr.arpa DNS possono essere delegati a organizzazioni a cui viene assegnato un insieme specifico o limitato di indirizzi IP all'interno delle classi di indirizzi definite in Internet.

L'albero di dominio in-addr.arpa, così come viene generato nel DNS, richiede infine la definizione di un ulteriore tipo di record di risorse, ovvero il record di risorse puntatore (PTR). Questo record di risorse crea nella zona di ricerca inversa un mapping che in genere corrisponde a un record di risorse host (A) per il nome computer DNS di un host nella relativa zona di ricerca diretta.

Il dominio in-addr.arpa si applica a tutte le reti TCP/IP basate sugli indirizzi IPv4 (protocollo Internet versione 4). Nella Creazione guidata nuova zona si presuppone automaticamente che venga utilizzato questo dominio quando si crea una nuova zona di ricerca inversa.

Se si installa il DNS e si configurano zone di ricerca inversa per una rete IPv6 (protocollo Internet versione 6), sarà possibile specificare un nome esatto nella Creazione guidata nuova zona. In questo modo, sarà possibile creare in Gestore DNS zone di ricerca inversa in grado di supportare le reti IPv6, nelle quali viene utilizzato un nome di dominio speciale diverso, il dominio ip6.arpa.

Ulteriori informazioni su IPv6 e il DNS, inclusi alcuni esempi su come creare e utilizzare nomi di dominio ip6.arpa, sono disponibili nella specifica RFC (Request for Comments) 3596 relativa alle estensioni DNS per il supporto di IP versione 6. Per ulteriori informazioni, fare riferimento direttamente a questa specifica RFC, disponibile nel sito Web dell'editor RFC (http://go.microsoft.com/fwlink/?LinkId=240).

Esempio: query inversa per le reti IPv4

Nella figura seguente viene mostrato un esempio di query inversa avviata da un client DNS per conoscere il nome di un altro host (host-a) sulla base del relativo indirizzo IP: 192.168.1.20.

Esempio: Ricerca inversa DNS

Il processo di query inversa prevede i passaggi seguenti:

  1. Il client richiede al server DNS un record di risorse puntatore (PTR) per il mapping all'indirizzo IP 192.168.1.20 di host-a.

    Poiché la query è relativa a record di risorse puntatore (PTR), il resolver inverte l'indirizzo e aggiunge il dominio in-addr.arpa alla fine dell'indirizzo inverso, in modo da formare il nome di dominio completo (FQDN) "20.1.168.192.in-addr.arpa." da ricercare in una zona di ricerca inversa.

  2. Dopo essere stato individuato, il server DNS autorevole per 20.1.168.192.in-addr.arpa può rispondere con le informazioni del record di risorse puntatore (PTR), in cui è incluso il nome di dominio DNS di host-a che completa il processo di ricerca inversa.

Ricordare che, se il server DNS non può rispondere alla query relativa al nome inverso, è possibile utilizzare la risoluzione DNS normale, ovvero la ricorsione o l'iterazione, per individuare un server DNS autorevole per la zona di ricerca inversa e contenente il nome per il quale è stata eseguita la query. In questo senso il processo di risoluzione dei nomi utilizzato in una ricerca inversa è identico a quello utilizzato in una ricerca diretta.

Query inverse

L'utilizzo delle query inverse è una tecnica obsoleta proposta in origine come parte dello standard DNS per ricercare un nome host sulla base del relativo indirizzo IP. L'applicazione di questa tecnica, basata su un processo di query DNS non standard, è limitata ad alcune delle versioni meno recenti di Nslookup, un'utilità da riga di comando per la risoluzione dei problemi e il testing del servizio Server DNS.

Il servizio Server DNS riconosce e accetta i messaggi di query inverse rispondendo con una risposta di query inversa simulata. Per i server DNS eseguiti in Windows NT® Server 4.0, questo supporto è disponibile per impostazione predefinita se il computer server è stato aggiornato al Service Pack 4 (SP4) o versioni successive.

Nota

La configurazione dei record di risorse puntatore (PTR) e delle zone di ricerca inversa per l'identificazione degli host mediante query inversa è una parte facoltativa dell'implementazione standard DNS. Non è obbligatorio utilizzare le zone di ricerca inversa, benché per alcune applicazioni di rete tali zone vengano utilizzate per eseguire controlli di sicurezza.


Aggiungere una zona di ricerca diretta

Le zone di ricerca diretta supportano la funzione primaria del DNS (Domain Name System), ovvero la risoluzione dei nomi host in indirizzi IP. Per ulteriori informazioni, vedere Informazioni sui tipi di zona.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Aggiungere una zona di ricerca diretta

  • Tramite l'interfaccia Windows

  • Tramite riga di comando
Per aggiungere una zona di ricerca diretta tramite l'interfaccia Windows

  1. Aprire Gestore DNS.

  2. Nell'albero della console fare clic con il pulsante destro del mouse su un server DNS e quindi scegliere Nuova zona per aprire la Creazione guidata nuova zona.

  3. Seguire le istruzioni per creare una nuova zona primaria, secondaria o di stub.

Ulteriori considerazioni

  • Per aprire Gestore DNS, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi DNS.

Per aggiungere una zona di ricerca diretta tramite riga di comando

  1. Aprire una finestra del prompt dei comandi.

  2. Digitare il comando seguente e quindi premere INVIO:

    dnscmd <ServerName> /ZoneAdd <ZoneName> {/Primary|/DsPrimary|/Secondary|/Stub|/DsStub} [/file <FileName>] [/load] [/a <AdminEmail>] [/DP <FQDN>]

Parametro Descrizione

dsncmd

Gestisce i server DNS.

<ServerName>

Obbligatorio. Specifica il nome host DNS del server DNS. È inoltre possibile digitare l'indirizzo IP del server DNS. Per specificare il server DNS nel computer locale, è inoltre possibile digitare un punto (.)

/ZoneAdd

Obbligatorio. Aggiunge una zona.

<ZoneName>

Obbligatorio. Specifica il nome di dominio completo (FQDN) della zona.

/Primary|/DsPrimary|/Secondary|/Stub|/DsStub

Obbligatorio. Specifica il tipo di zona. /DsPrimary e /DsStub specificano un tipo di zona integrata in Active Directory.

/file

Obbligatorio per /Primary. Specifica un file per la nuova zona. Questo parametro non è valido per il tipo di zona /DsPrimary.

<NomeFile>

Obbligatorio per /Primary. Specifica il nome del file di zona. Questo parametro non è valido per il tipo di zona /DsPrimary.

/load

Carica un file esistente per la zona. Se non si specifica questo parametro, i record di zona predefiniti vengono creati automaticamente. Questo parametro non si applica a /DsPrimary.

/a

Aggiunge l'indirizzo di posta elettronica di un amministratore della zona.

<PostaElettronicaAmmin>

Specifica il nome di posta elettronica di un amministratore della zona.

/DP

Aggiunge la zona a una partizione di directory applicativa. È inoltre possibile utilizzare una delle impostazioni seguenti:

  • /DP /domain - Per aggiungere la zona a una partizione di directory di dominio (replica in tutti i server DNS nel dominio).

  • /DP /forest - Per aggiungere la zona a una partizione di directory di foresta (replica in tutti i server DNS nella foresta).

  • /DP /legacy - Per aggiungere la zona a una partizione di directory legacy (replica in tutti i controller di dominio nel dominio). Questa impostazione supporta i domini con controller di dominio legacy che eseguono Windows 2000 Server.

<FQDN>

Specifica il nome di dominio completo (FQDN) della partizione di directory.

Per visualizzare la sintassi completa del comando, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

dnscmd /ZoneAdd /help

Ulteriori considerazioni

  • Per aprire una finestra del prompt dei comandi con privilegi elevati, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, quindi fare clic con il pulsante destro del mouse su Prompt dei comandi e infine scegliere Esegui come amministratore.


Aggiungere una zona di ricerca inversa

Le zone di ricerca inversa supportano la risoluzione degli indirizzi IP in nomi host. Benché siano facoltative nella maggior parte delle reti, tali zone possono essere necessarie per alcune applicazioni sicure che richiedono la convalida degli indirizzi IP. Per ulteriori informazioni, vedere Informazioni sui tipi di zona.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Aggiungere una zona di ricerca inversa

  • Tramite l'interfaccia Windows

  • Tramite riga di comando
Per aggiungere una zona di ricerca inversa tramite l'interfaccia Windows

  1. Aprire Gestore DNS.

  2. Nell'albero della console fare clic con il pulsante destro del mouse su un server DNS (Domain Name System) e quindi scegliere Nuova zona per aprire la Creazione guidata nuova zona.

  3. Seguire le istruzioni per creare una nuova zona di ricerca inversa.

Ulteriori considerazioni

  • Per aprire Gestore DNS, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi DNS.

Per aggiungere una zona di ricerca inversa tramite riga di comando

  1. Aprire una finestra del prompt dei comandi.

  2. Digitare il comando seguente e quindi premere INVIO:

dnscmd <ServerName> /ZoneAdd <ZoneName> {/Primary|/DsPrimary} [/file <FileName>] [/load] [/a <AdminEmail>] [/DP <FQDN>]

Parametro Descrizione

dnscmd

Strumento da riga di comando per la gestione dei server DNS.

<ServerName>

Obbligatorio. Specifica il nome host DNS del server DNS. È inoltre possibile digitare l'indirizzo IP del server DNS. Per specificare il server DNS nel computer locale, è inoltre possibile digitare un punto (.)

/ZoneAdd

Obbligatorio. Aggiunge una zona.

<ZoneName>

Obbligatorio. Specifica il nome di dominio completo (FQDN) del dominio in-addr.arpa per la zona, ad esempio 20.1.168.192.in-addr.arpa.

/Primary|/DsPrimary

Obbligatorio. Specifica il tipo di zona. Per specificare una zona integrata in Active Directory, digitare /DsPrimary.

/file

Obbligatorio per /Primary. Specifica un file per la nuova zona. Questo parametro non è valido per il tipo di zona /DsPrimary.

<NomeFile>

Obbligatorio per /Primary. Specifica il nome del file di zona. Questo parametro non è valido per il tipo di zona /DsPrimary.

/load

Carica un file esistente per la zona. Se non si specifica questo parametro, i record di zona predefiniti vengono creati automaticamente. Questo parametro non si applica a /DsPrimary.

/a

Aggiunge l'indirizzo di posta elettronica di un amministratore della zona.

<PostaElettronicaAmmin>

Specifica il nome di posta elettronica di un amministratore della zona.

/DP

Aggiunge la zona a una partizione di directory applicativa. È inoltre possibile utilizzare una delle impostazioni seguenti:

  • /DP /domain - Per aggiungere la zona a una partizione di directory di dominio (replica in tutti i server DNS nel dominio).

  • /DP /forest - Per aggiungere la zona a una partizione di directory di foresta (replica in tutti i server DNS nella foresta).

  • /DP /legacy - Per aggiungere la zona a una partizione di directory legacy (replica in tutti i controller di dominio nel dominio). Questa impostazione supporta i domini con controller di dominio legacy che eseguono Windows 2000 Server.

<FQDN>

Specifica il nome di dominio completo (FQDN) della partizione di directory.

Per visualizzare la sintassi completa del comando, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

dnscmd /ZoneAdd /help

Ulteriori considerazioni

  • Per aprire una finestra del prompt dei comandi con privilegi elevati, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, quindi fare clic con il pulsante destro del mouse su Prompt dei comandi e infine scegliere Esegui come amministratore.


Aggiungere una zona di stub

Una zona di stub è una copia di una zona contenente solo i record di risorse necessari per identificare i server DNS (Domain Name System) autorevoli per tale zona. Le zone di stub in genere vengono utilizzate per la risoluzione dei nomi tra spazi dei nomi DNS separati. Per ulteriori informazioni, vedere Informazioni sui tipi di zona.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Aggiungere una zona di stub

  • Tramite l'interfaccia Windows

  • Tramite riga di comando
Per aggiungere una zona di stub tramite l'interfaccia Windows

  1. Aprire Gestore DNS.

  2. Nell'albero della console fare clic con il pulsante destro del mouse su un server DNS e quindi scegliere Nuova zona per aprire la Creazione guidata nuova zona.

  3. Seguire le istruzioni per creare una nuova zona di stub.

Ulteriori considerazioni

  • Per aprire Gestore DNS, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi DNS.

  • La zona di stub non può essere ospitata in un server DNS autorevole per la stessa zona.

  • Se si integra la zona di stub in Servizi di dominio Active Directory, è possibile specificare che il server DNS in cui è ospitata deve utilizzare un elenco locale di server master quando aggiorna i record di risorse della zona di stub anziché utilizzare l'elenco di server master archiviato in Servizi di dominio Active Directory. Per poter utilizzare un elenco locale di server master, è necessario disporre degli indirizzi IP dei server master locali.

Per aggiungere una zona di stub tramite riga di comando

  1. Aprire una finestra del prompt dei comandi.

  2. Digitare il comando seguente e quindi premere INVIO:

    dnscmd <ServerName> /ZoneAdd <ZoneName> {/Stub|/DsStub} <MasterIPaddress...> [/file <FileName>] [/load] [/DP <FQDN>]

    Parametro Descrizione

    dsncmd

    Strumento da riga di comando per la gestione dei server DNS.

    <ServerName>

    Obbligatorio. Specifica il nome host DNS del server DNS. È inoltre possibile digitare l'indirizzo IP del server DNS. Per specificare il server DNS nel computer locale, è inoltre possibile digitare un punto (.)

    /ZoneAdd

    Obbligatorio. Aggiunge una zona.

    <ZoneName>

    Obbligatorio. Specifica il nome di dominio completo (FQDN) della zona.

    /Stub|/DsStub

    Obbligatorio. Specifica il tipo di zona. Per specificare una zona di stub integrata in Active Directory, digitare /DsStub.

    <IndirizzoIPMaster...>

    Obbligatorio. Specifica uno o più indirizzi IP dei server master della zona di stub da cui vengono copiati i dati della zona.

    /file

    Aggiunge un file per la nuova zona.

    <NomeFile>

    Specifica il nome del file di zona.

    /load

    Carica un file esistente per la zona. Se non si specifica questo parametro, i record di zona predefiniti vengono creati automaticamente.

    /DP

    Aggiunge la zona a una partizione di directory applicativa. È inoltre possibile utilizzare una delle impostazioni seguenti:

    • /DP /domain - Per aggiungere la zona a una partizione di directory di dominio (replica in tutti i server DNS nel dominio).

    • /DP /forest - Per aggiungere la zona a una partizione di directory di foresta (replica in tutti i server DNS nella foresta).

    • /DP /legacy - Per aggiungere la zona a una partizione di directory legacy (replica in tutti i controller di dominio nel dominio). Questa impostazione supporta i domini con controller di dominio legacy che eseguono Windows 2000 Server.

    <FQDN>

    Specifica il nome di dominio completo (FQDN) della partizione di directory.

Per visualizzare la sintassi completa del comando, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

dnscmd /ZoneAdd /help

Ulteriori considerazioni

  • Per aprire una finestra del prompt dei comandi con privilegi elevati, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, quindi fare clic con il pulsante destro del mouse su Prompt dei comandi e infine scegliere Esegui come amministratore.

  • La zona di stub non può essere ospitata in un server DNS autorevole per la stessa zona.

  • Se si integra la zona di stub in Servizi di dominio Active Directory, è possibile specificare che il server DNS in cui è ospitata deve utilizzare un elenco locale di server master quando aggiorna i record di risorse della zona di stub anziché utilizzare l'elenco di server master archiviato in Servizi di dominio Active Directory. Per poter utilizzare un elenco locale di server master, è necessario disporre degli indirizzi IP dei server master locali.


Distribuire una zona GlobalNames

Un requisito comune per le reti di computer è la capacità di risolvere nomi semplici con etichetta singola. L'utilizzo di nomi con etichetta singola consente a un computer di accedere a host quali server Web e file server utilizzando nomi brevi e facili da ricordare anziché i nomi di dominio completo (FQDN) che costituiscono la convenzione di denominazione predefinita per il DNS (Domain Name System). Per rendere possibile l'utilizzo di nomi con etichetta singola, nell'ambiente di molte reti vengono distribuiti la tecnologia e i server WINS (Windows Internet Name Service). In quanto protocollo di risoluzione dei nomi, WINS è un'alternativa al DNS. Si tratta di un servizio meno recente che utilizza NetBIOS su TCP/IP (NetBT). Poiché tuttavia WINS e NetBT non supportano i protocolli IPv6 (protocollo Internet versione 6), sono stati sostituiti in molte reti.

Per consentire agli amministratori di rete di passare al DNS per la risoluzione di tutti i nomi, il ruolo Server DNS in Windows Server 2008 supporta una zona speciale denominata GlobalNames. Distribuendo una zona con questo nome, è possibile disporre dei record globali statici con nomi con etichetta singola senza dover utilizzare WINS. Questi nomi con etichetta singola in genere fanno riferimento ai record di importanti server ben noti e di largo utilizzo, ovvero di server a cui sono già assegnati indirizzi IP statici e che vengono attualmente gestiti da amministratori IT tramite WINS.

La zona GlobalNames non è stata progettata per sostituire completamente l'utilizzo di WINS. Non è infatti consigliabile utilizzarla per supportare la risoluzione dei nomi di record registrati in modo dinamico in WINS, record che di solito non vengono gestiti da amministratori IT. Il supporto di questi record registrati in modo dinamico non è scalabile, soprattutto per i clienti più grandi con più domini o foreste.

Decidere se è necessario distribuire una zona GlobalNames

Prendere in considerazione la possibilità di distribuire una zona GlobalNames nei casi seguenti:

  • Non si desidera più utilizzare WINS o si intende distribuire solo IPv6 nell'ambiente, in modo che l'intera risoluzione dei nomi dipenda dal DNS.

  • Si desidera che la risoluzione dei nomi con etichetta singola sia limitata esclusivamente a server o a siti Web importanti che possono essere registrati in modo statico nel DNS. Questi nomi in genere vengono configurati in modo statico e globale anche nel database WINS. I nomi host non possono essere registrati nella zona GlobalNames tramite gli aggiornamenti dinamici.

  • Non è possibile utilizzare gli elenchi di ricerca dei suffissi nei computer client per eseguire la risoluzione dei nomi con etichetta singola, ad esempio perché il numero dei domini di destinazione è troppo elevato o i domini non possono essere gestiti in modo centralizzato per garantire l'univocità dei nomi host. Per ulteriori informazioni sull'utilizzo degli elenchi di ricerca dei suffissi, vedere Informazioni sulle impostazioni dei client DNS.

  • Tutti i server DNS autorevoli per le zone sono server che eseguono Windows Server 2008. Per risolvere i nomi registrati nella zona GlobalNames, tutti i server DNS che sono autorevoli per una zona e gestiscono le richieste di query dei client devono eseguire Windows Server 2008 e devono essere configurati con una copia locale della zona GlobalNames o essere in grado di contattare i server DNS remoti che ospitano tale zona.

È inoltre consigliabile che la zona GlobalNames sia integrata in Servizi di dominio Active Directory. Tale integrazione semplifica la gestione e garantisce la scalabilità futura.

Distribuire una zona GlobalNames

I passaggi specifici per distribuire una zona GlobalNames possono variare in base alla topologia di Servizi di dominio Active Directory della rete.

Passaggio 1: creare la zona GlobalNames

Il primo passaggio per distribuire una zona GlobalNames consiste nel creare la zona in un server DNS configurato come controller di dominio che esegue Windows Server 2008. La zona GlobalNames non è un tipo di zona speciale, bensì una semplice zona di ricerca diretta integrata in Servizi di dominio Active Directory e denominata GlobalNames. Per informazioni sulla creazione di una zona di ricerca diretta primaria, vedere Aggiungere una zona di ricerca diretta.

Passaggio 2: abilitare il supporto per la zona GlobalNames

La zona GlobalNames sarà disponibile per garantire la risoluzione dei nomi solo dopo averne abilitato in modo esplicito il supporto utilizzando il comando seguente in ogni server DNS autorevole nella foresta:

dnscmd <ServerName> /config /enableglobalnamessupport 1

dove NomeServer è il nome DNS o l'indirizzo IP del server DNS che ospita la zona GlobalNames. Per specificare il computer locale, sostituire NomeServer con un punto (.), ad esempio dnscmd . /config /enableglobalnamessupport 1.

Passaggio 3: replicare la zona GlobalNames

Per rendere la zona GlobalNames disponibile per tutti i server e i client DNS di una foresta, replicarla in tutti i controller di dominio della foresta, ovvero aggiungere la zona GlobalNames alla partizione applicativa DNS a livello di foresta. Per ulteriori informazioni, vedere Cambiare l'ambito di replica di una zona.

Se si desidera limitare i server che saranno autorevoli per la zona GlobalNames, è possibile creare una partizione applicativa DNS personalizzata per replicare tale zona. Per ulteriori informazioni, vedere Informazioni sulla replica di zone DNS in Servizi di dominio Active Directory.

Passaggio 4: inserire record di risorse nella zona GlobalNames

Aggiungere un record di risorse alias (CNAME) alla zona GlobalNames per ogni server che si desidera possa eseguire la risoluzione dei nomi con etichetta singola. Per ulteriori informazioni, vedere Aggiungere un record di risorse alias (CNAME) a una zona.

Passaggio 5: pubblicare la posizione della zona GlobalNames in altre foreste

Se si desidera che i client DNS di altre foreste utilizzino la zona GlobalNames per la risoluzione dei nomi, aggiungere record di risorse Posizione servizio (SRV) alla partizione applicativa DNS a livello di foresta utilizzando il nome di servizio _globalnames._msdcs e specificando il nome di dominio completo (FQDN) del server DNS che ospita la zona. Per ulteriori informazioni, vedere Aggiungere un record di risorse a una zona e Finestra di dialogo Nuovo record di risorse - Scheda Posizione servizio (SRV).

È inoltre necessario eseguire il comando dnscmd NomeServer /config /enableglobalnamessupport 1 in ogni server DNS autorevole nelle foreste che non ospitano la zona GlobalNames.

Ulteriori considerazioni

  • Per impostazione predefinita, un server DNS autorevole utilizza innanzitutto i dati delle zone locali per rispondere a una query prima di verificare se il nome esiste nella zona GlobalNames. Se nella zona GlobalNames non esistono dati pertinenti e la risoluzione basata sui suffissi ha esito negativo, ha luogo il failover della risoluzione su WINS. L'esecuzione delle query innanzitutto nei dati delle zone locali consente di ottimizzare le prestazioni.

  • Gli aggiornamenti dinamici che vengono inviati a un server DNS autorevole vengono confrontati innanzitutto con i dati della zona GlobalNames prima di essere confrontati con i dati delle zone locali. In questo modo i nomi della zona GlobalNames rimangono univoci.

  • Non è necessario eseguire aggiornamenti software nei client per consentire loro di risolvere i nomi configurati nella zona GlobalNames. Il suffisso DNS primario, i suffissi specifici della connessione e l'elenco di ricerca dei suffissi DNS continuano a funzionare come di consueto.

  • La registrazione dei client DNS rimane inalterata, a meno che un computer non tenti di registrare un nome già configurato nella zona GlobalNames.

Ulteriori riferimenti

  • Informazioni sulle zone

  • Informazioni sui tipi di zona

  • Informazioni sull'integrazione in Servizi di dominio Active Directory


Configurare le proprietà delle zone

Nel DNS (Domain Name System) è possibile suddividere uno spazio dei nomi DNS in zone in cui vengono archiviate le informazioni relative ai nomi per uno o più domini DNS. Per ogni nome di dominio DNS incluso in una zona, la zona diventa l'origine autorevole delle informazioni su tale dominio.

Una zona all'avvio è un database di archiviazione per un singolo nome di dominio DNS. Se vengono aggiunti altri domini al di sotto del dominio utilizzato per creare la zona, tali domini possono far parte della stessa zona o appartenere a un'altra zona. Dopo l'aggiunta di un sottodominio, questo può essere:

  • Gestito e incluso come parte dei record della zona originale.

  • Delegato a un'altra zona creata per supportare il sottodominio.

È possibile configurare un server DNS in modo da ospitare una zona di uno dei tre tipi seguenti:

  • Zona primaria, per la quale il server DNS è l'autorità primaria

  • Zona secondaria, per la quale il server DNS mantiene una copia della zona trasferita da un server primario

  • Zona di stub, per la quale il server DNS fornisce solo i server dei nomi autorevoli per la zona

È inoltre possibile configurare una zona in modo da utilizzare Windows Internet Name Service (WINS) per la risoluzione dei nomi, nonché stabilire come deve essere replicata una zona integrata in Servizi di dominio Active Directory.

  • Informazioni sulla delega delle zone

  • Informazioni sui tipi di zona

  • Creare la delega per una zona

  • Abilitare il DNS per l'utilizzo della risoluzione WINS

  • Specificare altri server DNS come server autorevoli per una zona

  • Cambiare il tipo di zona

  • Cambiare l'ambito di replica di una zona

  • Modificare la sicurezza per una zona integrata in Active Directory

  • Modificare le impostazioni dei trasferimenti di zona


Informazioni sulla delega delle zone

Nel DNS (Domain Name System) è possibile suddividere lo spazio dei nomi in una o più zone, che possono essere archiviate, distribuite e replicate in altri server DNS. Per decidere se suddividere lo spazio dei nomi DNS per creare ulteriori zone, stabilire se si tratta di uno dei casi seguenti:

  • Si desidera delegare la gestione di parte dello spazio dei nomi DNS a un'altra sede o a un altro reparto dell'organizzazione.

  • Si desidera suddividere una zona estesa in zone più piccole in modo da distribuire i carichi di traffico tra più server, migliorare le prestazioni della risoluzione dei nomi DNS o creare un ambiente DNS con maggiore tolleranza di errore.

  • Si desidera estendere lo spazio dei nomi aggiungendo numerosi sottodomini contemporaneamente, ad esempio come preparazione per l'apertura di una nuova filiale o sede.

Se per una qualsiasi di queste ragioni si ritiene di poter trarre vantaggio dalla delega delle zone, può essere utile ristrutturare lo spazio dei nomi aggiungendo ulteriori zone. Per decidere come strutturare le zone, utilizzare una pianificazione che rifletta la struttura dell'organizzazione.

Quando si delegano zone dello spazio dei nomi, ricordarsi che per ogni nuova zona creata saranno necessari record di delega in altre zone che puntano ai server DNS autorevoli della nuova zona. Questo è necessario sia per trasferire l'autorità che per fornire un riferimento corretto agli altri server e client DNS dei nuovi server che diventano autorevoli per la nuova zona.

Quando viene creata una zona primaria standard, tutte le informazioni dei record di risorse vengono archiviate in un file di testo in un unico server DNS. Tale server opera come master primario della zona. Le informazioni della zona possono essere replicate in altri server DNS per migliorare la tolleranza di errore e le prestazioni dei server.

Quando si strutturano le zone, vi sono diverse buone ragioni per cui è consigliabile utilizzare server DNS aggiuntivi per la replica delle zone:

  • Aggiungendo ulteriori server DNS si ottiene una ridondanza di zone che garantisce la risoluzione dei nomi DNS nella zona per i client qualora un server primario della stessa zona smetta di rispondere.

  • I server DNS aggiunti possono essere dislocati in modo da ridurre il traffico di rete DNS. Ad esempio, aggiungere un server DNS sul lato opposto di un collegamento WAN (Wide Area Network) a bassa velocità può essere utile per gestire e ridurre il traffico di rete.

  • È possibile utilizzare server secondari aggiuntivi per ridurre i carichi su un server primario di una zona.

Esempio: delega di un sottodominio a una nuova zona

Come mostrato nella figura riportata di seguito, quando viene creata una nuova zona per un sottodominio, in questo caso example.microsoft.com, è necessaria la delega dalla zona padre, ovvero microsoft.com.

Esempio: Funzionamento della delega di zone

In questo esempio per il sottodominio example.microsoft.com appena delegato viene specificato un computer server DNS autorevole basato su un sottodominio derivato incluso nella nuova zona (ns1.na.example.microsoft.com). Per far conoscere questo server agli altri server esterni alla nuova zona delegata, sono necessari due record di risorse nella zona microsoft.com per completare la delega alla nuova zona.

Tali record di risorse sono i seguenti:

  • Un record di risorse server dei nomi (NS) per effettuare la delega. Questo record di risorse annuncia che il server denominato ns1.na.example.microsoft.com è un server autorevole per il sottodominio delegato.

  • Un record di risorse host (A o AAAA), definito anche glue record, necessario per risolvere nel relativo indirizzo IP il nome del server specificato nel record di risorse NS. Il processo di risoluzione del nome host di questo record di risorse nel server DNS delegato del record di risorse server dei nomi (NS) a volte viene indicato come glue chasing.


Creare la delega per una zona

È possibile dividere lo spazio dei nomi DNS (Domain Name System) in una o più zone. La gestione di parte dello spazio dei nomi può essere delegata a un'altra sede o a un altro reparto dell'organizzazione tramite delega della gestione della zona corrispondente. Per ulteriori informazioni, vedere Informazioni sulla delega delle zone.

Quando si delega una zona, ricordarsi che per ogni nuova zona creata saranno necessari record di delega in altre zone che puntano ai server DNS autorevoli della nuova zona. Questo è necessario sia per trasferire l'autorità che per fornire un riferimento corretto agli altri server e client DNS dei nuovi server che diventano autorevoli per la nuova zona.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Creare la delega per una zona

  • Tramite l'interfaccia Windows

  • Tramite riga di comando
Per creare la delega di una zona tramite l'interfaccia Windows

  1. Aprire Gestore DNS.

  2. Nell'albero della console fare clic con il pulsante destro del mouse sul sottodominio applicabile e quindi scegliere Nuova delega.

  3. Seguire le istruzioni dell'Aggiunta guidata nuova delega per completare la creazione del nuovo dominio delegato.

Ulteriori considerazioni

  • Per aprire Gestore DNS, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi DNS.

  • Prima che la delega venga effettuata come descritto in questo argomento, tutti i domini o i sottodomini che vengono visualizzati come parte della delega della zona applicabile devono essere creati nella zona corrente. Prima di eseguire la procedura, utilizzare eventualmente Gestore DNS per aggiungere i domini alla zona.

Per creare la delega per una zona tramite riga di comando

  1. Aprire una finestra del prompt dei comandi.

  2. Digitare il comando seguente e quindi premere INVIO:

    dnscmd <ServerName> /RecordAdd <ZoneName> <NodeName> [/Aging] [/OpenAcl] [<Ttl>] NS {<HostName>|<FQDN>}

Parametro | Descrizione
dnscmd | Specifica il nome dello strumento da riga di comando per la gestione dei server DNS.
<ServerName> | Obbligatorio. Specifica il nome host DNS del server DNS. È inoltre possibile digitare l'indirizzo IP del server DNS. Per specificare il server DNS nel computer locale, è inoltre possibile digitare un punto (.)
/RecordAdd | Obbligatorio. Specifica il comando per aggiungere un record di risorse.
<ZoneName> | Obbligatorio. Specifica il nome di dominio completo (FQDN) della zona.
<NodeName> | Obbligatorio. Specifica il nome di dominio completo (FQDN) del nodo nello spazio dei nomi DNS per il quale viene aggiunto il record di risorse origine di autorità (SOA). È inoltre possibile digitare un nome di nodo relativo rispetto a NomeZona o @, che specifica il nodo radice della zona.
/Aging | Se si utilizza questo comando, per il record di risorse sarà possibile eseguire il conteggio del periodo di permanenza e lo scavenging. In caso contrario, il record di risorse rimarrà nel database DNS, a meno che non venga aggiornato o rimosso manualmente.
/OpenAcl | Specifica che il nuovo record può essere modificato da qualsiasi utente. Senza questo parametro, il nuovo record potrà essere modificato solo dagli amministratori.
<Ttl> | Specifica l'impostazione del valore Durata (TTL) per il record di risorse. Il valore TTL predefinito è specificato nel record di risorse origine di autorità (SOA).
NS | Obbligatorio. Specifica che viene aggiunto un record di risorse server dei nomi (NS, Name Server) alla zona indicata in NomeZona.
<NomeHost>|<FQDN> | Obbligatorio. Specifica il nome host o il nome di dominio completo (FQDN) del nuovo server autorevole.

Per visualizzare la sintassi completa del comando, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

dnscmd /RecordAdd /help

Ulteriori considerazioni

  • Per aprire una finestra del prompt dei comandi con privilegi elevati, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, quindi fare clic con il pulsante destro del mouse su Prompt dei comandi e infine scegliere Esegui come amministratore.


Abilitare il DNS per l'utilizzo della risoluzione WINS

Il servizio Server DNS può utilizzare i server WINS (Windows Internet Name Service) per ricercare i nomi non trovati nello spazio dei nomi di dominio DNS (Domain Name System) controllando lo spazio dei nomi NetBIOS gestito da WINS.

Per utilizzare l'integrazione delle ricerche WINS, vengono attivati e aggiunti a una zona due tipi di record di risorse speciali, WINS e WINS-R. Quando viene utilizzato il record di risorse WINS, le query DNS che non riescono a trovare un record di risorse host (A) corrispondente nella zona vengono inoltrate ai server WINS configurati nel record di risorse WINS. Per le zone di ricerca inversa è possibile attivare e utilizzare il record di risorse WINS-R, che in modo analogo consente di risolvere una query inversa a cui non è possibile rispondere nel dominio in-addr.arpa inverso.

Nota

In alternativa all'utilizzo di WINS per la risoluzione dei nomi host con etichetta singola, è possibile configurare i computer client DNS per l'utilizzo di elenchi di ricerca dei suffissi. È inoltre possibile distribuire una zona speciale, denominata GlobalNames, per consentire la risoluzione dei nomi per un insieme limitato di nomi host gestiti in modo centralizzato. Per ulteriori informazioni sulle alternative a WINS, vedere Informazioni sulle impostazioni dei client DNS e Distribuire una zona GlobalNames.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per abilitare il DNS all'utilizzo della risoluzione WINS

  1. Aprire Gestore DNS.

  2. Nell'albero della console fare clic con il pulsante destro del mouse sulla zona applicabile e quindi scegliere Proprietà.

  3. Eseguire una delle operazioni seguenti:

    • Se la zona applicabile è una zona di ricerca diretta, nella scheda WINS selezionare la casella di controllo Utilizza ricerca diretta WINS. In Indirizzo IP digitare l'indirizzo IP di un server WINS da utilizzare per la risoluzione dei nomi non trovati nel DNS e quindi fare clic su Aggiungi.

    • Se la zona applicabile è una zona di ricerca inversa, nella scheda WINS-R selezionare la casella di controllo Utilizza ricerca WINS-R. In Dominio da aggiungere al nome restituito digitare un nome.

  4. Selezionare la casella di controllo Non replicare questo record per il record WINS, se applicabile.

    Se si esegue la replica di questa zona tra server DNS che non riconoscono i record di risorse WINS o WINS-R, selezionare questa casella di controllo. In tal modo, questi record non verranno replicati negli altri server durante i trasferimenti di zona. Se questa zona verrà utilizzata per eseguire trasferimenti di zona in server BIND, questa è un'opzione importante perché Berkeley Internet Name Domain (BIND) non riconoscerà i record WINS.

Ulteriori considerazioni

  • Per aprire Gestore DNS, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi DNS.

  • Se si attiva questa opzione, i server WINS specifici configurati in questa procedura verranno utilizzati come riferimento finale dei nomi non trovati nella zona applicabile.

  • In alternativa, è possibile fare clic su Avanzate per modificare i parametri di ricerca WINS avanzata.


Specificare altri server DNS come server autorevoli per una zona

Per aggiungere server secondari di zone esistenti al record server dei nomi (NS) in modo da impostarli come server autorevoli per la zona, utilizzare la procedura descritta di seguito. In genere può essere necessario eseguire questa procedura nella zona primaria solo quando si aggiungono server DNS (Domain Name System) che devono operare come server secondari. È inoltre possibile eseguirla per specificare che tali server sono considerati autorevoli quando rispondono a query su dati della zona. I server DNS aggiungono il record di risorse server dei nomi NS e ne eseguono la configurazione iniziale in modo del tutto automatico per ogni nuova zona primaria che viene aggiunta al server.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Specificare altri server DNS come server autorevoli per una zona

  • Tramite l'interfaccia Windows

  • Tramite riga di comando
Per specificare altri server DNS come server autorevoli per una zona tramite l'interfaccia Windows

  1. Aprire Gestore DNS.

  2. Nell'albero della console fare clic con il pulsante destro del mouse sulla zona applicabile e quindi scegliere Proprietà.

  3. Fare clic sulla scheda Server dei nomi.

  4. Fare clic su Aggiungi.

  5. Specificare server DNS aggiuntivi immettendone i nomi e gli indirizzi IP e quindi fare clic su Aggiungi per aggiungerli all'elenco.

Ulteriori considerazioni

  • Per aprire Gestore DNS, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi DNS.

Per specificare altri server DNS come server autorevoli per una zona tramite riga di comando

  1. Aprire una finestra del prompt dei comandi.

  2. Digitare il comando seguente e quindi premere INVIO:

    dnscmd <ServerName> /RecordAdd <ZoneName> <NodeName> [/Aging] [/OpenAcl] [<Ttl>] NS {<HostName>|<DomainName>}

Parametro | Descrizione
dnscmd | Specifica il nome dello strumento da riga di comando per la gestione dei server DNS.
<ServerName> | Obbligatorio. Specifica il nome host DNS del server DNS. È inoltre possibile digitare l'indirizzo IP del server DNS. Per specificare il server DNS nel computer locale, è inoltre possibile digitare un punto (.)
/RecordAdd | Obbligatorio. Aggiunge un record di risorse.
<ZoneName> | Obbligatorio. Specifica il nome di dominio completo (FQDN) della zona.
<NodeName> | Obbligatorio. Specifica il nome di dominio completo (FQDN) del nodo nello spazio dei nomi DNS per il quale viene aggiunto il record origine di autorità (SOA). È inoltre possibile digitare un nome di nodo relativo rispetto a NomeZona o @, che specifica il nodo radice della zona.
/Aging | Se si utilizza questo parametro, per il record di risorse sarà possibile eseguire il conteggio del periodo di permanenza e lo scavenging. In caso contrario, il record di risorse rimarrà nel database DNS, a meno che non venga aggiornato o rimosso manualmente.
/OpenAcl | Specifica che il nuovo record può essere modificato da qualsiasi utente. Senza questo parametro, il nuovo record potrà essere modificato solo dagli amministratori.
<Ttl> | Specifica l'impostazione del valore Durata (TTL) per il record di risorse. Il valore TTL predefinito è specificato nel record di risorse SOA.
NS | Obbligatorio. Specifica che viene aggiunto un record di risorse server dei nomi (NS) nella zona specificata in NomeZona.
<NomeHost>|<FQDN> | Obbligatorio. Specifica il nome host o il nome di dominio completo (FQDN) del nuovo server autorevole.

Per visualizzare la sintassi completa del comando, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

dnscmd /RecordAdd /help

Ulteriori considerazioni

  • Per aprire una finestra del prompt dei comandi con privilegi elevati, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, quindi fare clic con il pulsante destro del mouse su Prompt dei comandi e infine scegliere Esegui come amministratore.


Cambiare il tipo di zona

Per cambiare tipo di zona e ottenere una zona primaria, secondaria o di stub, è possibile utilizzare la procedura descritta di seguito. Questa procedura inoltre consente di integrare una zona in Servizi di dominio Active Directory. Per ulteriori informazioni, vedere Informazioni sui tipi di zona.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Cambiare il tipo di zona

  • Tramite l'interfaccia Windows

  • Tramite riga di comando
Per cambiare il tipo di zona tramite l'interfaccia Windows

  1. Aprire Gestore DNS.

  2. Nell'albero della console fare clic con il pulsante destro del mouse sulla zona applicabile e quindi scegliere Proprietà.

  3. Nella scheda Generale notare il tipo di zona corrente e quindi fare clic su Cambia.

  4. In Cambio tipo zona selezionare un tipo di zona diverso da quello corrente e quindi fare clic su OK.

Ulteriori considerazioni

  • Per aprire Gestore DNS, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi DNS.

  • È possibile selezionare Zona primaria, Zona secondaria o Zona di stub. Quando si seleziona zona secondaria o di stub come tipo di zona, è necessario specificare l'indirizzo IP di un altro server DNS (Domain Name System) da utilizzare come origine per ottenere informazioni aggiornate per la zona.

  • Se il computer server DNS funziona come controller di dominio, è disponibile l'opzione di archiviazione della zona in Servizi di dominio Active Directory. In caso contrario, tale opzione non sarà disponibile. Quando si seleziona questo tipo di zona, i dati della zona vengono archiviati e replicati come parte del database di Servizi di dominio Active Directory.

    Nota

    Non è possibile cambiare contemporaneamente il tipo di zona, ovvero primaria, secondaria o di stub, e il metodo di archiviazione della zona. Le due operazioni devono essere eseguite separatamente.

  • Il cambiamento di tipo di zona da secondaria a primaria può influire su altre attività relative alla zona, tra cui la gestione degli aggiornamenti dinamici e dei trasferimenti di zona e l'utilizzo di elenchi di notifica DNS per notificare ad altri server le modifiche della zona.

  • Non è consigliabile cambiare tipo di zona passando da una zona di stub a una zona primaria o viceversa. Questa operazione sarebbe in contrasto con lo scopo delle zone di stub.

  • Il cambiamento del tipo di zona DNS o del metodo di archiviazione può richiedere molto tempo per le zone di grandi dimensioni.

Per cambiare il tipo di zona tramite riga di comando

  1. Aprire una finestra del prompt dei comandi.

  2. Digitare il comando seguente e quindi premere INVIO:

    dnscmd <ServerName> /ZoneResetType <ZoneName Property> [<MasterIPaddress...>] [/file <FileName>] {/OverWrite_Mem|/OverWrite_Ds|/DirectoryPartition <FQDN>}

Parametro Descrizione

dnscmd

Specifica il nome dello strumento da riga di comando per la gestione dei server DNS.

<ServerName>

Obbligatorio. Specifica il nome host DNS del server DNS. È inoltre possibile digitare l'indirizzo IP del server DNS. Per specificare il server DNS nel computer locale, è inoltre possibile digitare un punto (.)

<ZoneName>

Obbligatorio. Specifica il nome di dominio completo (FQDN) della zona.

<Proprietà>

Obbligatorio. Uno dei tipi di zona seguenti:

  • /Primary

    Zona primaria standard. L'opzione /file NomeFile è obbligatoria.

  • /DsPrimary

    Zona primaria integrata in Servizi di dominio Active Directory. Se la zona non è già una zona primaria, è necessario convertirla in zona primaria tramite /Primary prima di utilizzare tale parametro per integrarla in Servizi di dominio Active Directory.

  • /Secondary

    Zona secondaria. È necessario specificare almeno un IndirizzoIPMaster.

  • /Stub

    Zona di stub. È necessario specificare almeno un IndirizzoIPMaster. Se la zona è una zona primaria integrata in Servizi di dominio Active Directory, è necessario utilizzare /DsStub per convertirla in zona di stub integrata in Servizi di dominio Active Directory prima di utilizzare questo parametro.

  • /DsStub

    Zona di stub integrata in Servizi di dominio Active Directory. È necessario specificare almeno un IndirizzoIPMaster. Se la zona non è già una zona di stub, è necessario convertirla in zona di stub tramite /Stub prima di utilizzare tale parametro per integrarla in Servizi di dominio Active Directory.

/file <NomeFile>

Obbligatorio per /Primary. Specifica il nome di un file per la nuova zona. Questo parametro non è valido per il tipo di zona /DsPrimary.

<IndirizzoIPMaster...>

Obbligatorio per /Secondary, /Stub e /DsStub. Specifica uno o più indirizzi IP dei server master della zona secondaria o di stub da cui vengono copiati i dati della zona.

/OverWrite_Mem | /OverWrite_Ds | /DirectoryPartition <FQDN>

/OverWrite_Mem sovrascrive i dati DNS esistenti con i dati di Servizi di dominio Active Directory. /OverWrite_Ds sovrascrive i dati di Active Directory con i dati di DNS. /DirectoryPartition archivia la nuova zona nella partizione di directory applicativa specificata da FQDN, ad esempio DomainDnsZones.corp.widgets.tailspintoys.com.

Per visualizzare la sintassi completa del comando, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

dnscmd /ZoneResetType /help

Ulteriori considerazioni

  • Per aprire una finestra del prompt dei comandi con privilegi elevati, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, quindi fare clic con il pulsante destro del mouse su Prompt dei comandi e infine scegliere Esegui come amministratore.

  • È possibile selezionare zone primarie, secondarie o di stub. Quando si seleziona zona secondaria o di stub come tipo di zona, specificare l'indirizzo IP di un altro server DNS da utilizzare come origine per ottenere informazioni aggiornate per la zona.

  • Se il server DNS funge da controller di dominio, è possibile utilizzare i parametri /DsPrimary e /DsStub. Negli altri casi queste opzioni non sono disponibili. Quando si seleziona uno di questi tipi di zona, i dati della zona vengono archiviati e replicati come parte del database di Servizi di dominio Active Directory.

    Nota

    Prima di utilizzare queste opzioni, convertire la zona nel tipo appropriato, se necessario. La zona, infatti, deve essere già una zona primaria prima di utilizzare /DsPrimary per integrarla in Servizi di dominio Active Directory. Analogamente, la zona deve essere già una zona di stub prima di utilizzare /DsStub per integrarla in Servizi di dominio Active Directory.

  • Il cambiamento di tipo di zona da secondaria a primaria può influire su altre attività relative alla zona, tra cui la gestione degli aggiornamenti dinamici e dei trasferimenti di zona e l'utilizzo di elenchi di notifica DNS per notificare ad altri server le modifiche della zona.

  • Non è consigliabile cambiare tipo di zona passando da una zona di stub a una zona primaria o viceversa. Questa operazione sarebbe in contrasto con lo scopo delle zone di stub.


Cambiare l'ambito di replica di una zona

Per cambiare l'ambito di replica di una zona, è possibile utilizzare la procedura descritta di seguito. L'ambito di replica può essere cambiato solo per le zone di ricerca diretta di stub e primarie integrate in Servizi di dominio Active Directory. Non può invece essere cambiato per le zone di ricerca diretta secondarie.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Cambiare l'ambito di replica di una zona

  • Tramite l'interfaccia Windows

  • Tramite riga di comando
Per cambiare l'ambito di replica di una zona tramite l'interfaccia Windows

  1. Aprire Gestore DNS.

  2. Nell'albero della console fare clic con il pulsante destro del mouse sulla zona applicabile e quindi scegliere Proprietà.

  3. Nella scheda Generale controllare il tipo di replica di zona corrente e quindi fare clic su Cambia.

  4. Selezionare un ambito di replica per la zona.

Ulteriori considerazioni

  • Per aprire Gestore DNS, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi DNS.

Per cambiare l'ambito di replica di una zona tramite riga di comando

  • Al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

    dnscmd <ServerName> /ZoneChangeDirectoryPartition <ZoneName> <NewPartitionName>

    Parametro Descrizione

    dnscmd

    Specifica il nome dello strumento da riga di comando per la gestione dei server DNS.

    <ServerName>

    Obbligatorio. Specifica il nome host DNS (Domain Name System) del server DNS. È inoltre possibile digitare l'indirizzo IP del server DNS. Per specificare il server DNS nel computer locale, è inoltre possibile digitare un punto (.)

    /ZoneChangeDirectoryPartition

    Obbligatorio. Cambia l'ambito di replica di una zona.

    <ZoneName>

    Obbligatorio. Specifica il nome di dominio completo (FQDN) della zona.

    <NomeNuovaPartizione>

    Obbligatorio. Nome di dominio completo (FQDN) della partizione di directory applicativa DNS in cui verrà archiviata la zona.

Ulteriori considerazioni

  • Per aprire una finestra del prompt dei comandi con privilegi elevati, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, quindi fare clic con il pulsante destro del mouse su Prompt dei comandi e infine scegliere Esegui come amministratore.


Modificare la sicurezza per una zona integrata in Active Directory

È possibile gestire l'elenco di controllo di accesso discrezionale (DACL, Discretionary Access Control List) nelle zone DNS archiviate in Servizi di dominio Active Directory. L'elenco DACL può essere utilizzato per definire le autorizzazioni per gli utenti e i gruppi di Active Directory che possono controllare le zone DNS.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo DnsAdmins o Domain Admins in Servizi di dominio Active Directory oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per modificare la sicurezza per una zona integrata in Active Directory

  1. Aprire Gestore DNS.

  2. Nell'albero della console fare clic sulla zona applicabile.

    Percorso

    • DNS/server DNS applicabile/Zone di ricerca diretta o Zone di ricerca inversa/zona applicabile

  3. Scegliere Proprietà dal menu Azione.

  4. Nella scheda Generale verificare che il tipo di zona sia impostato su Integrata in Active Directory.

  5. Nella scheda Sicurezza modificare l'elenco degli utenti o dei gruppi membri a cui è consentito aggiornare in modo sicuro la zona applicabile e reimpostare le relative autorizzazioni in base alle proprie esigenze.

Ulteriori considerazioni

  • Per aprire Gestore DNS, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi DNS.

  • Gli aggiornamenti dinamici sicuri sono supportati solo per le zone archiviate in Servizi di dominio Active Directory.

  • Le impostazioni di sicurezza consentono di stabilire chi può amministrare la zona, ma non influiscono sugli aggiornamenti dinamici della zona. Per applicare le impostazioni di sicurezza per gli aggiornamenti dinamici, vedere "Ulteriori riferimenti".

Ulteriori riferimenti

  • Modificare la sicurezza per un record di risorse

  • Informazioni sulla sicurezza per il DNS

  • Proteggere le zone DNS


Modificare le impostazioni dei trasferimenti di zona

Per definire se una zona verrà trasferita in altri server e quali server potranno ricevere il trasferimento di zona, è possibile utilizzare la procedura descritta di seguito.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Modificare le impostazioni dei trasferimenti di zona

  • Tramite l'interfaccia Windows

  • Tramite riga di comando

Per modificare le impostazioni dei trasferimenti di zona tramite l'interfaccia Windows

  1. Aprire Gestore DNS.

  2. Fare clic con il pulsante destro del mouse su una zona DNS e quindi scegliere Proprietà.

  3. Nella scheda Trasferimenti di zona eseguire una delle operazioni seguenti:

    • Per disattivare i trasferimenti di zona, deselezionare la casella di controllo Consenti trasferimenti di zona.

    • Per attivare i trasferimenti di zona, selezionare la casella di controllo Consenti trasferimenti di zona.

  4. Se i trasferimenti di zona sono stati attivati, eseguire una delle operazioni seguenti:

    • Per consentire i trasferimenti di zona per qualsiasi server, selezionare A qualsiasi server.

    • Per consentire i trasferimenti di zona solo per i server DNS elencati nella scheda Server dei nomi, selezionare Solo a server elencati nella scheda dei server dei nomi.

    • Per consentire i trasferimenti di zona solo per server DNS specifici, selezionare Solo ai seguenti server e quindi aggiungere l'indirizzo IP di uno o più server DNS.

Ulteriori considerazioni

  • Per aprire Gestore DNS, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi DNS.

  • Per migliorare la sicurezza dell'infrastruttura DNS, consentire i trasferimenti di zona solo per i server DNS nei record di risorse server dei nomi (NS) di una zona o per i server DNS specificati. Se si consente a qualsiasi server DNS di eseguire un trasferimento di zona, si consente il trasferimento di informazioni interne della rete verso qualsiasi host in grado di contattare il server DNS.

Per modificare le impostazioni dei trasferimenti di zona tramite riga di comando

  1. Aprire una finestra del prompt dei comandi.

  2. Digitare il comando seguente e quindi premere INVIO:

    dnscmd <ServerName> /ZoneResetSecondaries <ZoneName> {/NoXfr | /NonSecure | /SecureNs | /SecureList [<SecondaryIPAddress...>]}

Parametro | Descrizione
dnscmd | Strumento da riga di comando per la gestione dei server DNS.
<ServerName> | Obbligatorio. Specifica il nome host DNS del server DNS. È inoltre possibile digitare l'indirizzo IP del server DNS. Per specificare il server DNS nel computer locale, è inoltre possibile digitare un punto (.).
<ZoneName> | Obbligatorio. Specifica il nome di dominio completo (FQDN) della zona.
/NoXfr | Disattiva i trasferimenti di zona per la zona.
/NonSecure | Consente i trasferimenti di zona per qualsiasi server DNS.
/SecureNs | Consente i trasferimenti di zona solo per i server DNS elencati nella zona con i record di risorse server dei nomi (NS).
/SecureList | Consente i trasferimenti di zona solo per i server DNS specificati da IndirizzoIPSecondario.
<IndirizzoIPSecondario> | Obbligatorio se viene specificato il parametro /SecureList. Elenco di uno o più indirizzi IP di server DNS a cui è consentito ottenere trasferimenti di zona.

Per visualizzare la sintassi completa del comando, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

dnscmd /ZoneResetSecondaries /?

Ulteriori considerazioni

  • Per aprire una finestra del prompt dei comandi con privilegi elevati, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, quindi fare clic con il pulsante destro del mouse su Prompt dei comandi e infine scegliere Esegui come amministratore.

  • Per migliorare la sicurezza dell'infrastruttura DNS, consentire i trasferimenti di zona solo per i server DNS nei record di risorse server dei nomi NS di una zona o per i server DNS specificati. Se si consente a qualsiasi server DNS di eseguire un trasferimento di zona, si consente il trasferimento di informazioni interne della rete a qualsiasi host in grado di contattare il server DNS.

Ulteriori riferimenti

  • Informazioni sulla sicurezza per il DNS


Gestire record di risorse

Nei record di risorse sono contenute le informazioni mantenute da una zona sulle risorse, come gli host, in essa contenute. Un record di risorse tipico è costituito dal nome (host) del proprietario del record, da informazioni sul tempo di permanenza nella cache consentito per il record, dal tipo di record, ad esempio record di risorse host (A), e da dati specifici del tipo di record, tra cui l'indirizzo dell'host. I record di risorse possono essere aggiunti direttamente oppure automaticamente quando in una rete vengono aggiunti client basati su Windows abilitati per il protocollo DHCP (Dynamic Host Configuration Protocol), un processo conosciuto come aggiornamento dinamico.

  • Aggiungere record di risorse

  • Informazioni sull'aggiornamento dinamico

  • Consentire gli aggiornamenti dinamici

  • Consentire solo gli aggiornamenti dinamici sicuri

  • Aggiungere un record di risorse a una zona

  • Aggiungere un record di risorse alias (CNAME) a una zona

  • Modificare la sicurezza per un record di risorse

  • Utilizzare il conteggio del periodo di permanenza e lo scavenging


Aggiungere record di risorse

Dopo aver creato una zona, è necessario aggiungervi ulteriori record di risorse. I record di risorse più comuni da aggiungere sono i seguenti:

  • Record di risorse host (A): per il mapping di un nome di dominio DNS (Domain Name System) a un indirizzo IP utilizzato da un computer.

  • Record di risorse alias (CNAME): per il mapping di un nome di dominio DNS alias a un altro nome primario o canonico.

  • Record di risorse Mail Exchanger (MX): per il mapping di un nome di dominio DNS al nome di un computer che scambia o inoltra la posta.

  • Record di risorse puntatore (PTR): per il mapping di un nome di dominio DNS inverso basato sull'indirizzo IP di un computer che punta al nome di dominio DNS diretto di tale computer.

  • Record di risorse Posizione servizio (SRV): per il mapping di un nome di dominio DNS a un elenco specificato di computer host DNS che offrono un determinato tipo di servizio, ad esempio controller di dominio Active Directory.

  • Altri record di risorse secondo le necessità.

Record di risorse host (A)

Utilizzare i record di risorse host (A) in una zona per associare i nomi di dominio DNS di computer o host ai relativi indirizzi IP. Questi record di risorse possono essere aggiunti a una zona in diversi modi:

  • È possibile creare manualmente un record di risorse host (A) per un computer client TCP/IP statico utilizzando Gestore DNS.

  • I client e i server Windows utilizzano il servizio Client DHCP per registrare e aggiornare in modo dinamico i relativi record di risorse host (A) nel DNS quando viene modificata la configurazione IP.

  • I computer client abilitati per il protocollo DHCP (Dynamic Host Configuration Protocol) che eseguono versioni precedenti dei sistemi operativi Microsoft possono avere i relativi record di risorse host (A) registrati e aggiornati tramite proxy se ottengono il lease IP da un server DHCP qualificato. Solo il servizio Server DHCP di Windows 2000, Windows Server 2003 e Windows Server 2008 supporta questa funzionalità.

I record di risorse host (A) non sono necessari in tutti i computer, ma solo in quelli che condividono le risorse in una rete. Tutti i computer che condividono le risorse e devono essere identificati in base al proprio nome di dominio DNS devono utilizzare record di risorse host (A) per risolvere il nome DNS nell'indirizzo IP del computer.

La maggioranza dei record di risorse host (A) necessari in una zona corrisponde ad altre workstation o altri server che condividono le risorse, altri server DNS, server della posta e server Web. Questi record di risorse costituiscono la maggior parte dei record di risorse di un database delle zone.

Record di risorse alias (CNAME)

I record di risorse alias (CNAME) a volte vengono indicati anche come record di risorse nome canonico. Con questi record è possibile utilizzare più nomi per puntare a un singolo host in modo da semplificare operazioni come ad esempio l'hosting di un server FTP (File Transfer Protocol) e di un server Web nello stesso computer. I nomi di server più conosciuti (ftp,www) ad esempio vengono registrati utilizzando record di risorse alias (CNAME) che eseguono il mapping al nome host DNS, come server-1, del computer server che ospita tali servizi.

È consigliabile utilizzare i record di risorse alias (CNAME) per gli scenari seguenti:

  • Quando un host specificato in un record di risorse host (A) nella stessa zona deve essere rinominato.

  • Quando un nome generico di un server conosciuto, ad esempio www, deve essere risolto in un gruppo di singoli computer, ognuno con singoli record di risorse host (A), che offrono lo stesso servizio, come nel caso di un gruppo di server Web ridondanti.

Quando si rinomina un computer con un record di risorse host (A) esistente nella zona, è possibile utilizzare temporaneamente un record di risorse alias (CNAME) per garantire agli utenti e ai programmi un periodo di tolleranza per passare dal vecchio al nuovo nome computer, come descritto di seguito:

  • Per il nuovo nome di dominio DNS del computer, aggiungere un nuovo record di risorse host (A) alla zona.

  • Per il vecchio nome di dominio DNS, aggiungere un record di risorse alias (CNAME) che punta al nuovo record di risorse host (A).

  • Rimuovere dalla zona il record di risorse host (A) originale del vecchio nome di dominio DNS e l'eventuale record di risorse puntatore (PTR) a esso associato.

Quando si utilizza un record di risorse alias (CNAME) per l'aliasing o la ridenominazione di un computer, impostare un limite temporaneo relativo al periodo di tempo durante il quale il record può essere utilizzato nella zona prima di essere rimosso dal DNS. Se si dimentica di eliminare il record di risorse alias (CNAME) e successivamente viene eliminato il record di risorse host (A) a esso associato, è possibile che il record di risorse alias (CNAME) sprechi risorse del server nel tentativo di risolvere query relative a un nome non più utilizzato nella rete.

I record di risorse alias (CNAME) vengono utilizzati più comunemente o diffusamente per fornire un nome di dominio DNS permanente con alias per la risoluzione generica di un nome basato sul servizio, ad esempio www.tailspintoys.com, in più computer o in un indirizzo IP in un server Web. Nell'esempio seguente viene mostrata la sintassi di base di un record di risorse alias (CNAME):

nome_alias IN CNAME nome_canonico_primario

In questo esempio un computer denominato host-a.tailspintoys.com funziona sia come server Web denominato www.tailspintoys.com che come server FTP denominato ftp.tailspintoys.com. Per raggiungere l'obiettivo desiderato, ovvero denominare il computer, è possibile aggiungere le voci CNAME seguenti nella zona tailspintoys.com:

host-a    IN  A      10.0.0.20
ftp       IN  CNAME  host-a
www       IN  CNAME  host-a

Se successivamente si decide di spostare il server FTP in un altro computer, separato dal server Web in host-a, sarà sufficiente modificare il record di risorse alias (CNAME) nella zona per ftp.tailspintoys.com e aggiungere un ulteriore record di risorse host (A) alla zona per il nuovo computer che ospita il server FTP.

Sulla base dell'esempio precedente, se il nuovo computer viene denominato host-b.tailspintoys.com, il nuovo record di risorse host (A) e il record di risorse alias (CNAME) modificato saranno i seguenti:

host-a    IN  A      10.0.0.20
host-b    IN  A      10.0.0.21
ftp       IN  CNAME  host-b
www       IN  CNAME  host-a

Record di risorse Mail Exchanger (MX)

Le applicazioni di posta elettronica utilizzano il record di risorse Mail Exchanger (MX) per individuare un server della posta in base a un nome di dominio DNS nell'indirizzo di destinazione del destinatario di un messaggio di posta elettronica. Ad esempio, una query DNS relativa al nome example.tailspintoys.com può essere utilizzata per trovare un record di risorse Mail Exchanger (MX) e questo consente a un'applicazione di posta elettronica di inoltrare o scambiare la posta con un utente con indirizzo di posta elettronica utente@tailspintoys.com.

Il record di risorse Mail Exchanger (MX) mostra il nome di dominio DNS del computer o dei computer che elaborano la posta per un dominio. Se esistono più record di risorse Mail Exchanger (MX), il servizio Client DNS tenterà di contattare i server della posta secondo l'ordine di preferenza, a partire da quello con il valore più basso (priorità massima) fino a quello con il valore più alto (priorità minima). Nell'esempio seguente viene mostrata la sintassi di base di un record di risorse Mail Exchanger (MX):

nome_dominio_posta IN MX preferenza host_serverposta

Utilizzando i record di risorse Mail Exchanger (MX) nell'esempio seguente per la zona tailspintoys.com, la posta indirizzata a utente@tailspintoys.com viene recapitata innanzitutto a utente@mailserver0.tailspintoys.com, se possibile. Se questo server non è disponibile, il client resolver può quindi utilizzare utente@mailserver1.tailspintoys.com.

@         IN  MX   1    mailserver0
@         IN  MX   2    mailserver1

Si noti che l'utilizzo della "chiocciola" (@) nei record indica che il nome di dominio DNS del mailer corrisponde al nome di origine della zona, ovvero tailspintoys.com.

Record di risorse puntatore (PTR)

I record di risorse puntatore (PTR) supportano il processo di ricerca inversa basato su zone create e con radice nel dominio in-addr.arpa. Questi record individuano un computer in base al relativo indirizzo IP e risolvono queste informazioni nel nome di dominio DNS di tale computer.

I record di risorse puntatore (PTR) possono essere aggiunti a una zona in diversi modi:

  • È possibile creare manualmente un record di risorse puntatore (PTR) per un computer client TCP/IP statico utilizzando il DNS in una procedura a parte o nel corso della procedura di creazione di un record di risorse host (A).

  • I computer utilizzano il servizio Client DHCP per registrare e aggiornare in modo dinamico il relativo record di risorse puntatore (PTR) nel DNS quando viene modificata la configurazione IP.

  • Tutti gli altri computer client abilitati per il protocollo DHCP (Dynamic Host Configuration Protocol) possono avere i relativi record di risorse puntatore (PTR) registrati e aggiornati dal server DHCP se ottengono il lease IP da un server qualificato. Il servizio Server DHCP di Windows 2000, Windows Server 2003 e Windows Server 2008 supporta questa funzionalità.

Il record di risorse puntatore (PTR) viene utilizzato solo nelle zone di ricerca inversa per supportare la ricerca inversa.

Record di risorse Posizione servizio (SRV)

I record di risorse Posizione servizio (SRV) sono necessari per individuare i controller di dominio Active Directory. È in genere possibile evitare di amministrare manualmente tali record quando si installa Servizi di dominio Active Directory.

Per impostazione predefinita, l'Installazione guidata Servizi di dominio Active Directory tenta di individuare un server DNS sulla base dell'elenco di server DNS preferiti o alternativi configurati nelle proprietà dei client TCP/IP per le relative connessioni di rete attive. Se viene contattato un server DNS in grado di accettare l'aggiornamento dinamico del record di risorse Posizione servizio (SRV), il processo di configurazione è completo. Questo avviene anche per altri record di risorse correlati alla registrazione di Servizi di dominio Active Directory come servizio nel DNS.

Se durante l'installazione non viene trovato un server DNS in grado di accettare aggiornamenti per il nome di dominio DNS utilizzato per denominare la directory, verrà installato localmente un server DNS che verrà configurato automaticamente con una zona per supportare il dominio Active Directory.

Se ad esempio il dominio Active Directory scelto per il primo dominio nella foresta è example.tailspintoys.com, sarà possibile aggiungere e configurare una zona con radice nel nome di dominio DNS example.tailspintoys.com da utilizzare con il server DNS eseguito nel nuovo controller di dominio.

In futuro è possibile che il record di risorse Posizione servizio (SRV) venga utilizzato anche per registrare e ricercare altri servizi TCP/IP noti della rete se le applicazioni implementano e supportano query di nomi DNS in cui viene specificato questo tipo di record.

Altri record di risorse

Il DNS di Windows Server 2008 supporta anche altri record di risorse utilizzati meno frequentemente nella maggior parte delle zone. È possibile aggiungere questi ulteriori tipi di record di risorse con Gestore DNS in base alle proprie esigenze.


Informazioni sull'aggiornamento dinamico

I computer client DNS (Domain Name System) possono utilizzare la funzionalità di aggiornamento dinamico per registrare e aggiornare in modo dinamico i record di risorse con un server DNS ogni volta che vengono apportate modifiche. In questo modo si riducono le operazioni di amministrazione manuali necessarie per i record di zona, in particolare per i client che vengono spostati o cambiano posizione frequentemente e utilizzano il protocollo DHCP (Dynamic Host Configuration Protocol) per ottenere un indirizzo IP.

I servizi Client DNS e Server DNS supportano l'utilizzo degli aggiornamenti dinamici, come descritto nella specifica RFC (Request for Comments) 2136 relativa agli aggiornamenti dinamici nel DNS. Il servizio Server DNS consente di attivare o disattivare l'aggiornamento dinamico per le singole zone in ogni server configurato per il caricamento di una zona primaria standard o di una zona integrata in Active Directory. Per impostazione predefinita, se il servizio Client DNS è configurato per TCP/IP, aggiorna in modo dinamico i record di risorse host (A) nel DNS.

Aggiornamento dei nomi DNS nei computer client e server

Per impostazione predefinita, i computer configurati in modo statico per TCP/IP tentano di registrare in modo dinamico i record di risorse host (A) e puntatore (PTR) per gli indirizzi IP configurati e utilizzati dalle relative connessioni di rete installate. Per impostazione predefinita, tutti i computer registrano i record in base al nome di dominio completo (FQDN).

Il nome computer completo primario, un FQDN, è costituito dal suffisso DNS primario di un computer aggiunto al relativo nome computer.

Ulteriori considerazioni:

  • Per impostazione predefinita, il client DNS non tenta aggiornamenti dinamici delle zone di domini di livello superiore (TLD, Top Level Domain). Qualsiasi zona a cui viene assegnato un nome con etichetta singola è considerata una zona di dominio di livello superiore, ad esempio com, edu, blank, my-company. Per configurare un client DNS per consentire l'aggiornamento dinamico delle zone di domini di livello superiore, utilizzare l'impostazione dei criteri Aggiorna zone di domini di livello superiore (Top Level Domain) o modificare il Registro di sistema.

  • Per impostazione predefinita, la parte relativa al suffisso DNS primario dell'FQDN di un computer è uguale al nome del dominio di Servizi di dominio Active Directory a cui viene aggiunto il computer. Per consentire l'utilizzo di suffissi DNS primari diversi, l'amministratore di dominio può creare un elenco limitato di suffissi accettati mediante la modifica dell'attributo msDS-AllowedDNSSuffixes nel contenitore di oggetti del dominio. Questo attributo viene gestito dall'amministratore di dominio utilizzando Active Directory Service Interfaces (ADSI) o Lightweight Directory Access Protocol (LDAP).

Gli aggiornamenti dinamici possono essere inviati per i motivi o gli eventi seguenti:

  • Nella configurazione delle proprietà TCP/IP di una qualsiasi delle connessioni di rete installate viene aggiunto, rimosso o modificato un indirizzo IP.

  • Il lease degli indirizzi IP cambia o rinnova con il server DHCP una qualsiasi delle connessioni di rete installate, ad esempio quando viene avviato il computer o si utilizza il comando ipconfig /renew.

  • Viene utilizzato il comando ipconfig /registerdns per forzare manualmente un aggiornamento della registrazione del nome del client nel DNS.

  • All'avvio, quando viene acceso il computer.

  • Viene eseguito l'innalzamento di livello di un server membro a controller di dominio.

Quando uno degli eventi precedenti dà luogo a un aggiornamento dinamico, è il servizio Client DHCP e non il servizio Client DNS a inviare gli aggiornamenti. In base a questo meccanismo, se le informazioni relative agli indirizzi IP vengono modificate da DHCP, nel DNS vengono eseguiti gli aggiornamenti corrispondenti per sincronizzare i mapping tra nomi e indirizzi per il computer. Il servizio Client DHCP svolge questa funzione per tutte le connessioni di rete del sistema, incluse quelle non configurate per l'utilizzo di DHCP.

Esempio: funzionamento dell'aggiornamento dinamico

Gli aggiornamenti dinamici in genere sono richiesti quando nel computer cambia un nome DNS o un indirizzo IP. Si supponga ad esempio che un client denominato oldhost venga inizialmente configurato in Proprietà sistema con i nomi seguenti.

Nome computer | oldhost
Nome di dominio DNS del computer | tailspintoys.com
Nome computer completo | oldhost.tailspintoys.com

In questo esempio per il computer non sono configurati nomi di dominio DNS specifici della connessione. Successivamente il computer da oldhost viene rinominato newhost e di conseguenza nel sistema i nomi cambiano come indicato di seguito.

Nome computer | newhost
Nome di dominio DNS del computer | tailspintoys.com
Nome computer completo | newhost.tailspintoys.com

Dopo aver applicato la modifica del nome in Proprietà sistema, viene chiesto di riavviare il computer. Quando viene riavviato Windows, il servizio Client DHCP esegue la sequenza di operazioni seguenti per aggiornare il DNS:

  1. Il servizio Client DHCP invia una query di tipo SOA (Start of Authority) utilizzando il nome di dominio DNS del computer.

    Il computer client utilizza l'FQDN attualmente configurato del computer, ad esempio newhost.tailspintoys.com, come nome specificato nella query.

  2. Il server DNS autorevole per la zona contenente l'FQDN del client risponde alla query di tipo SOA.

    Per le zone primarie standard, il server primario (proprietario) restituito nella risposta alla query SOA è fisso e statico. Corrisponde sempre al nome DNS esatto così come si trova nel record di risorse SOA archiviato con la zona. Se invece la zona da aggiornare è integrata in Active Directory, qualsiasi server DNS che carica la zona può rispondere e inserire in modo dinamico il proprio nome come server primario (proprietario) della zona nella risposta alla query SOA.

  3. Il servizio Client DHCP quindi tenta di contattare il server DNS primario.

    Il client elabora la risposta alla query SOA per il relativo nome in modo da determinare l'indirizzo IP del server DNS autorizzato come server primario ad accettare il nome. Esso quindi esegue la sequenza di passaggi seguente per contattare e aggiornare in modo dinamico il server primario:

    1. Invia una richiesta di aggiornamento dinamico al server primario che viene determinato nella risposta alla query SOA.

      Se l'aggiornamento ha esito positivo, non vengono eseguite altre operazioni.

    2. Se invece l'aggiornamento ha esito negativo, il client invia una query di tipo NS (Name Server) per il nome della zona specificato nel record SOA.

    3. Quando riceve una risposta a questa query, invia una query SOA al primo server DNS elencato nella risposta.

    4. Dopo la risoluzione della query SOA, il client invia un aggiornamento dinamico al server specificato nel record SOA restituito.

      Se l'aggiornamento ha esito positivo, non vengono eseguite altre operazioni.

    5. Se invece l'aggiornamento ha esito negativo, il client ripete il processo di query SOA effettuando l'invio al successivo server DNS elencato nella risposta.

  4. Dopo aver contattato il server primario in grado di eseguire l'aggiornamento, il client invia la richiesta di aggiornamento e il server la elabora.

    Nel contenuto della richiesta di aggiornamento sono incluse le istruzioni per aggiungere record di risorse host (A) ed eventualmente puntatore (PTR) per newhost.tailspintoys.com e per rimuovere questi stessi tipi di record per oldhost.tailspintoys.com, ovvero il nome registrato precedentemente.

    Il server inoltre verifica che gli aggiornamenti siano consentiti per la richiesta client. Per le zone primarie standard, poiché gli aggiornamenti dinamici non sono protetti, tutti i tentativi di aggiornamento da parte dei client hanno esito positivo. Per le zone integrate in Servizi di dominio Active Directory, gli aggiornamenti sono protetti e vengono eseguiti utilizzando impostazioni di sicurezza basate su Active Directory.

Gli aggiornamenti dinamici vengono inviati o aggiornati periodicamente. Per impostazione predefinita, i computer inviano un aggiornamento ogni sette giorni. Se l'aggiornamento non comporta modifiche dei dati della zona, questa viene mantenuta nella versione corrente e non viene scritta alcuna modifica. Gli aggiornamenti comportano modifiche effettive delle zone o un aumento dei trasferimenti di zona solo se a cambiare sono i nomi o gli indirizzi.

Quando il servizio Client DHCP registra i record di risorse host (A) e puntatore (PTR) per un computer, utilizza un valore TTL di memorizzazione nella cache predefinito pari a 15 minuti per i record host. Questo valore determina per quanto tempo gli altri server e client DNS mantengono nella cache i record di un computer inclusi nella risposta a una query.

Aggiornamento dinamico sicuro

La sicurezza degli aggiornamenti DNS è disponibile solo per le zone integrate in Servizi di dominio Active Directory. Quando si integra una zona in Active Directory, in Gestore DNS sono disponibili funzionalità di modifica degli elenchi di controllo di accesso (ACL, Access Control List) che consentono di aggiungere o rimuovere utenti o gruppi dall'ACL di una zona o di un record di risorse specifico.

Per impostazione predefinita, la sicurezza degli aggiornamenti dinamici per i server e i client DNS può essere gestita come descritto di seguito:

  • I client DNS tentano innanzitutto di utilizzare l'aggiornamento dinamico non protetto. Se l'aggiornamento non protetto viene rifiutato, i client tentano di utilizzare l'aggiornamento sicuro.

    I client inoltre utilizzano un criterio di aggiornamento predefinito che consente di tentare di sovrascrivere un record di risorse precedentemente registrato, purché l'operazione non sia bloccata in modo specifico dalla sicurezza dell'aggiornamento.

  • Dopo l'integrazione di una zona in Servizi di dominio Active Directory, i server DNS che eseguono Windows Server® 2008 consentono per impostazione predefinita solo gli aggiornamenti dinamici sicuri.

    Quando si utilizza l'archiviazione di zone standard, per impostazione predefinita il servizio Server DNS non consente gli aggiornamenti dinamici nelle relative zone. Per le zone che sono integrate in Active Directory o che utilizzano l'archiviazione su file standard, è possibile modificare la zona per consentire tutti gli aggiornamenti dinamici. In questo modo verranno accettati tutti gli aggiornamenti.


Consentire gli aggiornamenti dinamici

I computer client DNS (Domain Name System) possono utilizzare la funzionalità di aggiornamento dinamico per registrare e aggiornare in modo dinamico i record di risorse con un server DNS ogni volta che vengono apportate modifiche. In questo modo si riducono le operazioni di amministrazione manuali necessarie per i record di zona, in particolare per i client che vengono spostati o cambiano posizione frequentemente e utilizzano il protocollo DHCP (Dynamic Host Configuration Protocol) per ottenere un indirizzo IP.

Gli aggiornamenti dinamici possono essere di tipo sicuro o non sicuro. Per ulteriori informazioni, vedere Informazioni sull'aggiornamento dinamico.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Consentire gli aggiornamenti dinamici

  • Tramite l'interfaccia Windows

  • Tramite riga di comando
Per consentire gli aggiornamenti dinamici tramite l'interfaccia Windows

  1. Aprire Gestore DNS.

  2. Nell'albero della console fare clic con il pulsante destro del mouse sulla zona applicabile e quindi scegliere Proprietà.

  3. Nella scheda Generale verificare che il tipo di zona sia impostato su Primaria o su Integrata in Active Directory.

  4. In Aggiornamenti dinamici fare clic su Sicuri e non sicuri.

Ulteriori considerazioni

  • Per aprire Gestore DNS, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi DNS.

  • La funzionalità di aggiornamento dinamico è un'estensione conforme RFC (Request for Comments) dello standard DNS. Il processo di aggiornamento nel DNS è definito nel documento RFC 2136 relativo agli aggiornamenti dinamici nel DNS (DNS UPDATES).

Per consentire gli aggiornamenti dinamici tramite riga di comando

  1. Aprire una finestra del prompt dei comandi.

  2. Digitare il comando seguente e quindi premere INVIO:

    dnscmd <ServerName> /Config {<ZoneName>|..AllZones} /AllowUpdate {1|0}

Parametro | Descrizione
dnscmd | Strumento da riga di comando per la gestione dei server DNS.
<ServerName> | Obbligatorio. Specifica il nome host DNS del server DNS. È inoltre possibile digitare l'indirizzo IP del server DNS. Per specificare il server DNS nel computer locale, è inoltre possibile digitare un punto (.)
/Config | Obbligatorio. Configura la zona specificata.
<ZoneName>|..AllZones | Obbligatorio. Specifica il nome di dominio completo (FQDN) della zona. Per configurare tutte le zone ospitate nel server DNS specificato in modo da consentire gli aggiornamenti dinamici, digitare ..AllZones.
/AllowUpdate | Obbligatorio. Consente gli aggiornamenti dinamici per le zone specificate.
1|0 | Configura gli aggiornamenti dinamici. Per consentirli immettere 1, altrimenti immettere 0.

Per visualizzare la sintassi completa del comando, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

dnscmd /Config /help

Ulteriori considerazioni

  • Per aprire una finestra del prompt dei comandi con privilegi elevati, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, quindi fare clic con il pulsante destro del mouse su Prompt dei comandi e infine scegliere Esegui come amministratore.

  • La funzionalità di aggiornamento dinamico è un'estensione conforme RFC dello standard DNS. Il processo di aggiornamento nel DNS è definito nel documento RFC 2136 relativo agli aggiornamenti dinamici nel DNS (DNS UPDATES).

Ulteriori riferimenti

  • Informazioni sull'aggiornamento dinamico

  • Consentire solo gli aggiornamenti dinamici sicuri


Consentire solo gli aggiornamenti dinamici sicuri

I computer client DNS (Domain Name System) possono utilizzare la funzionalità di aggiornamento dinamico per registrare e aggiornare in modo dinamico i record di risorse con un server DNS ogni volta che vengono apportate modifiche. In questo modo si riducono le operazioni di amministrazione manuali necessarie per i record di zona, in particolare per i client che vengono spostati o cambiano posizione frequentemente e utilizzano il protocollo DHCP (Dynamic Host Configuration Protocol) per ottenere un indirizzo IP.

Gli aggiornamenti dinamici possono essere di tipo sicuro o non sicuro. La sicurezza degli aggiornamenti DNS è disponibile solo per le zone integrate in Servizi di dominio Active Directory. Dopo aver integrato una zona in Active Directory, in Gestore DNS sono disponibili funzionalità di modifica degli elenchi di controllo di accesso (ACL, Access Control List) che consentono di aggiungere o rimuovere utenti o gruppi dall'ACL di una zona o di un record di risorse specifico.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Consentire solo gli aggiornamenti dinamici sicuri

  • Tramite l'interfaccia Windows

  • Tramite riga di comando
Per consentire solo gli aggiornamenti dinamici sicuri tramite l'interfaccia Windows

  1. Aprire Gestore DNS.

  2. Nell'albero della console fare clic con il pulsante destro del mouse sulla zona applicabile e quindi scegliere Proprietà.

  3. Nella scheda Generale verificare che il tipo di zona sia impostato su Integrata in Active Directory.

  4. In Aggiornamenti dinamici fare clic su Solo sicuri.

Ulteriori considerazioni

  • Per aprire Gestore DNS, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi DNS.

  • Gli aggiornamenti dinamici sicuri sono supportati solo per le zone integrate in Servizi di dominio Active Directory. Se è configurato un tipo di zona diverso, sarà necessario cambiarlo e integrare la zona in Active Directory prima di proteggerla per gli aggiornamenti dinamici DNS.

  • La funzionalità di aggiornamento dinamico è un'estensione conforme RFC (Request for Comments) dello standard DNS. Il processo di aggiornamento nel DNS è definito nel documento RFC 2136 relativo agli aggiornamenti dinamici nel DNS (DNS UPDATE).

  • Per impostazione predefinita, il server DNS consente un trasferimento di zona solo per i server DNS autorevoli elencati nei record di risorse server dei nomi (NS) della zona.

Per consentire solo gli aggiornamenti dinamici sicuri tramite riga di comando

  1. Aprire una finestra del prompt dei comandi.

  2. Digitare il comando seguente e quindi premere INVIO:

    dnscmd <ServerName> /Config {<ZoneName>|..AllZones} /AllowUpdate 2

Parametro | Descrizione
dnscmd | Strumento da riga di comando per la gestione dei server DNS.
<ServerName> | Obbligatorio. Specifica il nome host DNS del server DNS. È inoltre possibile digitare l'indirizzo IP del server DNS. Per specificare il server DNS nel computer locale, è inoltre possibile digitare un punto (.)
/Config | Obbligatorio. Configura la zona specificata.
<ZoneName>|..AllZones | Obbligatorio. Specifica il nome di dominio completo (FQDN) della zona. Per configurare tutte le zone ospitate nel server DNS specificato in modo da consentire gli aggiornamenti dinamici, digitare ..AllZones.
/AllowUpdate | Obbligatorio. Consente alla zona di eseguire gli aggiornamenti dinamici.
2 | Obbligatorio. Configura il server per consentire gli aggiornamenti sicuri. Se si omette il 2, la zona verrà impostata per eseguire solo aggiornamenti dinamici standard.

Per visualizzare la sintassi completa del comando, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

dnscmd /Config /help

Ulteriori considerazioni

  • Per aprire una finestra del prompt dei comandi con privilegi elevati, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, quindi fare clic con il pulsante destro del mouse su Prompt dei comandi e infine scegliere Esegui come amministratore.

  • La funzionalità di aggiornamento dinamico è un'estensione conforme RFC dello standard DNS. Il processo di aggiornamento nel DNS è definito nel documento RFC 2136 relativo agli aggiornamenti dinamici nel DNS (DNS UPDATE).

  • Per impostazione predefinita, il server DNS consente un trasferimento di zona solo per i server DNS autorevoli elencati nei record di risorse server dei nomi (NS) della zona.

Ulteriori riferimenti

  • Informazioni sull'aggiornamento dinamico

  • Consentire gli aggiornamenti dinamici


Aggiungere un record di risorse a una zona

Dopo aver creato una zona, in genere è necessario aggiungervi ulteriori record di risorse. I record di risorse più comuni da aggiungere sono i seguenti:

  • Record di risorse host (A) per il mapping di un nome di dominio DNS (Domain Name System) a un indirizzo IP utilizzato da un computer.

  • Record di risorse alias (CNAME) per il mapping di un nome di dominio DNS alias a un altro nome primario o canonico.

  • Record di risorse Mail Exchanger (MX) per il mapping di un nome di dominio DNS al nome di un computer che scambia o inoltra la posta.

  • Record di risorse puntatore (PTR) per il mapping di un nome di dominio DNS inverso basato sull'indirizzo IP di un computer che punta al nome di dominio DNS diretto di tale computer.

  • Record di risorse Posizione servizio (SRV) per il mapping di un nome di dominio DNS a un elenco specificato di computer host DNS che offrono un determinato tipo di servizio, ad esempio controller di dominio Active Directory.

È inoltre possibile aggiungere altri record di risorse in base alle proprie esigenze. Per ulteriori informazioni, vedere Elenco di controllo: utilizzare record di risorse.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Aggiungere un record di risorse a una zona

  • Tramite l'interfaccia Windows

  • Tramite riga di comando
Per aggiungere un record di risorse a una zona tramite l'interfaccia Windows

  1. Aprire Gestore DNS.

  2. Nell'albero della console fare clic con il pulsante destro del mouse sulla zona applicabile e quindi scegliere Altri nuovi record.

  3. Nella casella di riepilogo Selezionare tipo di record di risorsa selezionare il tipo di record di risorse che si desidera aggiungere.

  4. Fare clic su Crea record.

  5. In Nuovo record di risorse immettere le informazioni necessarie per completare il record di risorse.

  6. Dopo aver specificato tutte le informazioni necessarie per il record di risorse, fare clic su OK per aggiungere il nuovo record alla zona.

Ulteriori considerazioni

  • Per aprire Gestore DNS, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi DNS.

Per aggiungere un record di risorse a una zona tramite riga di comando

  1. Aprire una finestra del prompt dei comandi.

  2. Digitare il comando seguente e quindi premere INVIO:

    dnscmd <ServerName> /RecordAdd <ZoneName> <NodeName> [/Aging] [/OpenAcl] [Ttl] <RRType> <RRData>

Parametro Descrizione

dnscmd

Strumento da riga di comando per la gestione dei server DNS.

<ServerName>

Obbligatorio. Specifica il nome host DNS del server DNS. È inoltre possibile digitare l'indirizzo IP del server DNS. Per specificare il server DNS nel computer locale, è inoltre possibile digitare un punto (.).

/RecordAdd

Obbligatorio. Aggiunge un nuovo record di risorse.

<ZoneName>

Obbligatorio. Specifica il nome di dominio completo (FQDN) della zona.

<NodeName>

Obbligatorio. Specifica il nome di dominio completo (FQDN) del nodo nello spazio dei nomi DNS. È inoltre possibile digitare un nome di nodo relativo rispetto a NomeZona o @, che specifica il nodo radice della zona.

/Aging

Specifica che il record di risorse può essere sottoposto a conteggio del periodo di permanenza e scavenging. Se si utilizza questo comando, per il record di risorse sarà possibile eseguire il conteggio del periodo di permanenza e lo scavenging. In caso contrario, il record di risorse rimarrà nel database DNS, a meno che non venga aggiornato o rimosso manualmente.

/OpenAcl

Specifica che il nuovo record può essere modificato da qualsiasi utente. Senza questo parametro, il nuovo record potrà essere modificato solo dagli amministratori.

Ttl

Specifica l'impostazione del valore Durata (TTL) per il record di risorse.

<TipoRR> <DatiRR>

Obbligatorio. Specifica il tipo di record di risorse da aggiungere, seguito dai dati che devono essere contenuti nel record.

Tipo di record di risorse | Dati del record di risorse
A | IndirizzoIPv4
AAAA | IndirizzoIpv6
NS,CNAME,MB,MD,PTR,MF,MG,MR | NomeHost|NomeDominio
MX,RT,AFSDB | Preferenza NomeServer
SRV | Priorità Peso Porta NomeHost
SOA | ServerPrimario Ammin NDiSerie\ Aggiornamento NuovoTentativo Scadenza TTLMin
TXT,X25,HINFO,ISDN | Stringa [Stringa]
MINFO,RP | NomeCassettaPostale NomeCassettaPostaleErr
WKS | Protocollo IndirizzoIP Servizio...
WINS | ContrassegnoMappa TimeoutRicerca TimeoutCache IndirizzoIP...
WINSR | ContrassegnoMappa TimeoutRicerca TimeoutCache NomeDominioRst

<IndirizzoIP>

Specifica un indirizzo IP standard, ad esempio 255.255.255.255.

<Indirizzoipv6>

Specifica un indirizzo IPv6 standard, ad esempio 1:2:3:4:5:6:7:8.

<Protocollo>

Specifica il protocollo di trasmissione, ovvero UDP o TCP.

<Servizio>

Specifica un servizio standard, ad esempio di dominio, smtp.

<NomeHost|<NomeDominio>

Specifica il nome di dominio completo (FQDN) di un record di risorse nello spazio dei nomi DNS.

Per visualizzare la sintassi completa del comando, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

dnscmd /RecordAdd /help

Ulteriori considerazioni

  • Per aprire una finestra del prompt dei comandi con privilegi elevati, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, quindi fare clic con il pulsante destro del mouse su Prompt dei comandi e infine scegliere Esegui come amministratore.


Aggiungere un record di risorse alias (CNAME) a una zona

I record di risorse alias (CNAME) a volte vengono indicati anche come record di risorse nome canonico. Con questi record è possibile utilizzare più nomi per puntare a un singolo host e semplificare così operazioni come ad esempio l'hosting di un server FTP (File Transfer Protocol) e di un server Web nello stesso computer. I nomi di server più conosciuti (ftp, www) ad esempio vengono registrati utilizzando record di risorse alias (CNAME) che eseguono il mapping al nome host DNS (Domain Name System), come server-1, del computer server che ospita tali servizi.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Aggiungere un record di risorse alias (CNAME) a una zona

  • Tramite l'interfaccia Windows

  • Tramite riga di comando
Per aggiungere un record di risorse alias (CNAME) a una zona tramite l'interfaccia Windows

  1. Aprire Gestore DNS.

  2. Nell'albero della console fare clic con il pulsante destro del mouse sulla zona di ricerca diretta applicabile e quindi scegliere Nuovo alias.

  3. In Nome alias digitare il nome dell'alias.

  4. In Nome completo dominio (FQDN) per host destinazione digitare l'FQDN del computer host DNS per il quale deve essere utilizzato l'alias.

    In alternativa, è possibile fare clic su Sfoglia per cercare nello spazio dei nomi DNS gli host del dominio per cui sono già definiti record di risorse host (A).

  5. Fare clic su OK per aggiungere il nuovo record alla zona.

Ulteriori considerazioni

  • Per aprire Gestore DNS, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi DNS.

Per aggiungere un record di risorse alias (CNAME) a una zona tramite riga di comando

  1. Aprire una finestra del prompt dei comandi.

  2. Digitare il comando seguente e quindi premere INVIO:

    dnscmd <NomeServer> /RecordAdd <NomeZona> <NomeNodo> [/Aging] [/OpenAcl] [<Ttl>] CNAME <NomeHost>|<NomeDominio>

Parametro | Descrizione
dnscmd | Strumento da riga di comando per la gestione dei server DNS.
<ServerName> | Obbligatorio. Specifica il nome host DNS del server DNS. È inoltre possibile digitare l'indirizzo IP del server DNS. Per specificare il server DNS nel computer locale, è inoltre possibile digitare un punto (.)
/RecordAdd | Obbligatorio. Aggiunge un nuovo record di risorse.
<ZoneName> | Obbligatorio. Specifica il nome della zona in cui verrà aggiunto questo record di risorse alias (CNAME).
<NodeName> | Obbligatorio. Specifica il nome di dominio completo (FQDN) del nodo nello spazio dei nomi DNS. È inoltre possibile digitare un nome di nodo relativo rispetto a NomeZona o @, che specifica il nodo radice della zona.
/Aging | Specifica che per il record di risorse vengono eseguiti il conteggio del periodo di permanenza e lo scavenging. In caso contrario, il record di risorse rimarrà nel database DNS, a meno che non venga aggiornato o rimosso manualmente.
/OpenAcl | Specifica che il nuovo record può essere modificato da qualsiasi utente. Senza questo parametro, il nuovo record potrà essere modificato solo dagli amministratori.
<Ttl> | Specifica l'impostazione del valore Durata (TTL) per il record di risorse. Il valore TTL predefinito è specificato nel record di risorse origine di autorità (SOA).
CNAME | Obbligatorio. Specifica il tipo del record di risorse che si desidera aggiungere.
<NomeHost>|<NomeDominio> | Obbligatorio. Specifica l'FQDN di un host o nome di dominio DNS valido nello spazio dei nomi. Per gli FQDN viene utilizzato un punto finale (.) per qualificare completamente il nome.

Per visualizzare la sintassi completa del comando, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

dnscmd /RecordAdd /help

Ulteriori considerazioni

  •
Per aprire una finestra del prompt dei comandi con privilegi elevati, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, quindi fare clic con il pulsante destro del mouse su Prompt dei comandi e infine scegliere Esegui come amministratore.


Modificare la sicurezza per un record di risorse

Per definire chi è autorizzato ad aggiornare o rimuovere un record di risorse da una zona, è possibile utilizzare la procedura descritta di seguito. Per ulteriori informazioni, vedere Proteggere i record di risorse DNS.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo DnsAdmins o Domain Admins in Servizi di dominio Active Directory oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per modificare la sicurezza per un record di risorse

  1. Aprire Gestore DNS.

  2. Nell'albero della console fare clic sulla zona applicabile.

  3. Nel riquadro dei dettagli fare clic sul record che si desidera visualizzare.

  4. Scegliere Proprietà dal menu Azione.

  5. Nella scheda Sicurezza modificare l'elenco degli utenti o dei gruppi membri a cui è consentito aggiornare in modo sicuro il record applicabile e reimpostare le relative autorizzazioni in base alle proprie esigenze.

Ulteriori considerazioni

  • Per aprire Gestore DNS, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi DNS.

  • Gli aggiornamenti dinamici sicuri sono supportati o configurabili solo per i record di risorse contenuti in zone archiviate in Servizi di dominio Active Directory.

  • Le impostazioni di sicurezza applicate ai record di risorse hanno effetto solo sugli aggiornamenti dinamici. Non influiscono invece sugli utenti o sui gruppi autorizzati ad amministrare la zona in cui sono contenuti questi record di risorse. Per informazioni sulle impostazioni di sicurezza che influiscono sugli utenti o sui gruppi autorizzati ad amministrare la zona, vedere "Ulteriori riferimenti".

  • I record di risorse con lo stesso nome condividono le stesse impostazioni di sicurezza. I nomi dei record di risorse sono elencati nella colonna Nome di Gestore DNS.

Ulteriori riferimenti

  • Modificare la sicurezza per un record di risorse

  • Modificare la sicurezza per una zona integrata in Active Directory

  • Informazioni sulla sicurezza per il DNS


Utilizzare il conteggio del periodo di permanenza e lo scavenging

Il conteggio del periodo di permanenza e lo scavenging costituiscono il processo di assegnazione di un timestamp ai record di risorse quando vengono creati e di rimozione di tali record quando la relativa permanenza supera il limite specificato. Questo processo è particolarmente utile per evitare l'accumulo di record non validi quando i record di risorse vengono creati automaticamente, ad esempio nel caso di aggiornamenti dinamici.

  • Informazioni sul conteggio del periodo di permanenza e lo scavenging

  • Impostare le proprietà di conteggio del periodo di permanenza e scavenging per una zona

  • Impostare le proprietà di conteggio del periodo di permanenza e scavenging per il server DNS

  • Attivare lo scavenging automatico dei record di risorse obsoleti

  • Avviare lo scavenging immediato dei record di risorse obsoleti

  • Visualizzare il momento in cui può iniziare lo scavenging dei record obsoleti di una zona

  • Reimpostare le proprietà di conteggio del periodo di permanenza e scavenging per un determinato record di risorse


Informazioni sul conteggio del periodo di permanenza e lo scavenging

Il servizio Server DNS supporta le funzionalità di conteggio del periodo di permanenza e scavenging. Tali funzionalità consentono di gestire la pulizia e la rimozione dei record di risorse obsoleti che possono accumularsi nei dati della zona nel corso del tempo.

Con l'aggiornamento automatico, i record di risorse vengono aggiunti automaticamente nelle zone all'avvio dei computer nella rete. In alcuni casi tuttavia essi non vengono rimossi automaticamente quando i computer si disconnettono dalla rete. Se ad esempio un computer registra il proprio record di risorse host (A) all'avvio e successivamente viene disconnesso dalla rete in modo improprio, è possibile che il relativo record di risorse host (A) non venga eliminato. Se nella rete operano utenti mobili e computer portatili, questa situazione può verificarsi frequentemente.

Se non vengono gestiti, i record di risorse obsoleti che si accumulano nei dati delle zone posso causare alcuni problemi:

  • Una quantità elevata di record di risorse obsoleti rimasti nelle zone occupa spazio sul disco dei server e può causare trasferimenti di zona inutilmente lunghi.

  • I server DNS (Domain Name System) che caricano zone contenenti record di risorse obsoleti rischiano di utilizzare informazioni non aggiornate per rispondere alle query dei client, causando eventualmente ai client problemi di risoluzione dei nomi nella rete.

  • L'accumulo di record di risorse obsoleti nel server DNS può comportare una riduzione delle prestazioni e un rallentamento della velocità di risposta del server.

  • In alcuni casi la presenza di un record di risorse obsoleto in una zona può impedire l'utilizzo di un nome di dominio DNS da parte di un altro computer o dispositivo host.

Per risolvere questi problemi, il servizio Server DNS offre le funzionalità seguenti:

  • Applicazione di timestamp basati sulla data e ora correnti impostate nel computer server per i record di risorse che vengono aggiunti in modo dinamico alle zone di tipo primario. I timestamp vengono inoltre registrati in zone primarie standard in cui sono attivate le funzionalità di conteggio del periodo di permanenza e scavenging.

    Per i record di risorse aggiunti manualmente viene utilizzato un valore di timestamp pari a zero, a indicare che non sono sottoposti al processo di conteggio del periodo di permanenza e che possono rimanere nei dati delle zone a tempo indeterminato, a meno che non ne venga modificato il timestamp o non vengano eliminati espressamente.

  • Conteggio del periodo di permanenza dei record di risorse nei dati locali per le zone applicabili in base a un intervallo di aggiornamento specifico.

    Possono partecipare a questo processo solo le zone di tipo primario caricate dal servizio Server DNS.

  • Scavenging degli eventuali record di risorse che permangono oltre il periodo di aggiornamento specificato.

    Quando un server DNS esegue un'operazione di scavenging, può stabilire che i record di risorse sono rimasti oltre il periodo di permanenza previsto al punto di essere diventati obsoleti e quindi rimuoverli dai dati della zona. È possibile configurare i server in modo da eseguire automaticamente operazioni di scavenging ricorrenti oppure avviare un'operazione di scavenging immediata nel server.

    Per ulteriori informazioni, vedere Attivare lo scavenging automatico dei record di risorse obsoleti o Avviare lo scavenging immediato dei record di risorse obsoleti.

Attenzione

Per impostazione predefinita, il meccanismo di conteggio del periodo di permanenza e scavenging per il servizio Server DNS è disattivato. È consigliabile attivarlo solo dopo aver esaminato attentamente tutti i parametri, altrimenti si rischia che il server venga accidentalmente configurato in modo da eliminare record che non devono essere eliminati. Se un record viene eliminato accidentalmente, le query relative a tale record avranno esito negativo e qualsiasi utente potrà creare un record e diventarne proprietario, anche nelle zone configurate per l'aggiornamento dinamico sicuro.

Un server utilizza il contenuto dei timestamp specifici di ogni record di risorse, insieme ad altre proprietà di conteggio del periodo di permanenza e scavenging modificabili o configurabili, per stabilire quando eseguire lo scavenging dei record.

Prerequisiti per il conteggio del periodo di permanenza e lo scavenging

Per poter utilizzare le funzionalità di conteggio del periodo di permanenza e scavenging del DNS, devono essere soddisfatte alcune condizioni:

  1. Lo scavenging e il conteggio del periodo di permanenza devono essere attivati sia nel server DNS che nella zona.

    Per impostazione predefinita, tali funzionalità per i record di risorse sono disattivate.

  2. I record di risorse devono essere aggiunti alle zone in modo dinamico o devono essere modificati manualmente per poter essere utilizzati nelle operazioni di conteggio del periodo di permanenza e scavenging.

    Sono soggetti in genere alle operazioni di conteggio del periodo di permanenza e scavenging solo i record di risorse che vengono aggiunti in modo dinamico tramite il protocollo di aggiornamento dinamico DNS.

    È comunque possibile attivare lo scavenging per altri record di risorse che vengono aggiunti in modo non dinamico. Per i record che vengono aggiunti alle zone in questo modo, ovvero tramite caricamento di un file di zona di testo da un altro server DNS o inserimento manuale in una zona, viene impostato un timestamp pari a zero. Tali record non possono così essere sottoposti a operazioni di conteggio del periodo di permanenza e scavenging.

    Per cambiare questo comportamento predefinito, è possibile amministrare tali record singolarmente in modo da reimpostarli e consentire loro di utilizzare un valore di timestamp corrente diverso da zero. Per tali record sarà così possibile eseguire il conteggio del periodo di permanenza e lo scavenging.

    Per ulteriori informazioni, vedere Reimpostare le proprietà di conteggio del periodo di permanenza e scavenging per un determinato record di risorse.

Nota

Se si cambia tipo di zona passando da una zona primaria standard a una zona integrata in Active Directory, è possibile decidere di attivare lo scavenging di tutti i record di risorse esistenti nella zona. Per attivare il conteggio del periodo di permanenza per tutti i record di risorse esistenti in una zona, utilizzare il comando AgeAllRecords, disponibile tramite lo strumento da riga di comando dnscmd.

Terminologia relativa al conteggio del periodo di permanenza e allo scavenging

Nella tabella seguente vengono spiegati i termini nuovi o modificati che sono stati introdotti per l'utilizzo specifico in relazione alle funzionalità di conteggio del periodo di permanenza e scavenging.

Termine Descrizione

Timestamp del record di risorse

Valore di data e ora utilizzato dal server DNS per stabilire se deve rimuovere il record di risorse quando esegue operazioni di conteggio del periodo di permanenza e scavenging.

Data e ora correnti del server

Data e ora correnti del server DNS. Questo valore può essere espresso come valore numerico esatto in qualsiasi momento.

Intervallo di non aggiornamento

Intervallo di tempo determinato per ogni zona e avente come inizio e fine i due eventi seguenti:

  1. La data e l'ora dell'ultimo aggiornamento del record e dell'impostazione del relativo timestamp.

  2. La data e l'ora in cui successivamente il record può essere sottoposto ad aggiornamento, con conseguente reimpostazione del timestamp.

Questo valore è necessario per ridurre il numero di operazioni di scrittura nel database di Active Directory. Per impostazione predefinita, tale intervallo è impostato su sette giorni. Non deve essere aumentato in modo eccessivo, altrimenti si rischia di vanificare o ridurre considerevolmente i vantaggi derivanti dall'utilizzo delle funzionalità di conteggio del periodo di permanenza e scavenging.

Intervallo di aggiornamento

Intervallo di tempo determinato per ogni zona e avente come inizio e fine i due eventi seguenti:

  1. La prima data e ora in cui il record può essere aggiornato e il relativo timestamp può essere reimpostato.

  2. La prima data e ora in cui il record può essere sottoposto a scavenging ed essere rimosso dal database delle zone.

Questo valore deve essere sufficientemente elevato da consentire ai client di aggiornare i propri record. Per impostazione predefinita, tale intervallo è impostato su sette giorni. Non deve essere aumentato in modo eccessivo, altrimenti si rischia di vanificare o ridurre considerevolmente i vantaggi derivanti dall'utilizzo delle funzionalità di conteggio del periodo di permanenza e scavenging.

Data e ora di inizio dello scavenging

Data e ora specifiche espresse sotto forma di numero. Questa data e ora vengono utilizzate dal server per stabilire quando una zona diventa disponibile per lo scavenging.

Periodo di scavenging

Quando nel server viene attivato lo scavenging automatico, questo valore rappresenta l'intervallo di tempo che intercorre tra un processo di scavenging automatico e l'altro. Il valore predefinito per questa impostazione è sette giorni. Per evitare riduzioni delle prestazioni del server DNS, il valore minimo consentito è un'ora.

Aggiornamento del timestamp del record

Esecuzione di un aggiornamento dinamico DNS di un record di risorse quando cambia solo il timestamp del record e non le altre caratteristiche.

L'aggiornamento del timestamp in genere viene eseguito per i motivi seguenti:

  1. Se al riavvio di un computer nella rete le informazioni relative al nome e all'indirizzo IP corrispondono a quelle utilizzate prima dell'arresto, il computer invierà un aggiornamento del timestamp per rinnovare i relativi record di risorse associati per tali informazioni.

  2. Il computer invia un aggiornamento del timestamp periodico mentre è in esecuzione.

    Il servizio Client DNS di Windows rinnova la registrazione DNS dei record di risorse dei client ogni 24 ore. Se durante l'esecuzione di questo aggiornamento dinamico non vengono apportate modifiche al database DNS, l'operazione verrà considerata un aggiornamento del timestamp e non un aggiornamento dei record di risorse.

  3. Vengono eseguiti tentativi di aggiornamento del timestamp da altri servizi di rete, ad esempio i server DHCP, che rinnovano i lease degli indirizzi dei client, i server di cluster, che registrano e aggiornano i record per un cluster, e il servizio Accesso rete, che può registrare e aggiornare i record di risorse utilizzati da controller di dominio Active Directory.

Aggiornamento del record

Esecuzione di un aggiornamento dinamico DNS di un record di risorse quando, oltre al timestamp, cambiano altre caratteristiche del record.

Gli aggiornamenti in genere vengono eseguiti per i motivi seguenti:

  1. Quando un nuovo computer viene aggiunto alla rete e all'avvio invia un aggiornamento per registrare per la prima volta i propri record di risorse nella relativa zona configurata.

  2. Quando l'indirizzo IP di un computer con record esistenti nella zona viene modificato e vengono di conseguenza inviati aggiornamenti per i mapping di nomi e indirizzi modificati nei dati della zona DNS.

  3. Quando il servizio Accesso rete registra un nuovo controller di dominio Active Directory.

Server di scavenging

Parametro avanzato facoltativo che consente di specificare un elenco limitato di indirizzi IP di server DNS abilitati all'esecuzione dello scavenging della zona.

Per impostazione predefinita, se questo parametro non viene specificato, tenteranno di eseguire lo scavenging della zona tutti i server DNS che caricano una zona integrata in Active Directory e abilitata anch'essa per lo scavenging. In alcuni casi questo parametro può essere utile se si preferisce che lo scavenging venga eseguito solo in alcuni server che caricano la zona integrata in Active Directory.

Per impostare questo parametro, è necessario specificare l'elenco degli indirizzi IP dei server abilitati allo scavenging della zona nel parametro ZoneResetScavengeServers della zona. A tale scopo, utilizzare dnscmd, uno strumento da riga di comando per l'amministrazione di server DNS Windows.

Quando può iniziare lo scavenging

Se vengono soddisfatti tutti i prerequisiti per l'abilitazione all'utilizzo dello scavenging, il processo di scavenging può iniziare per una zona quando il valore relativo alla data e ora correnti del server è maggiore del valore impostato come data e ora di inizio dello scavenging per la zona.

Il server imposta il valore relativo alla data e ora di inizio dello scavenging per le singole zone ogni volta che si verifica uno degli eventi seguenti:

  • Per la zona vengono attivati gli aggiornamenti dinamici.

  • Cambia lo stato della casella di controllo Effettua scavenging di record di risorse obsoleti. Per modificare questa impostazione è possibile utilizzare Gestore DNS in un server DNS applicabile o in una delle relative zone primarie.

  • Il server DNS carica una zona primaria abilitata all'utilizzo dello scavenging.

    Questo evento può verificarsi all'avvio del computer server o del servizio Server DNS.

  • Quando una zona riprende a funzionare dopo una sospensione.

  • Se la zona è integrata in Servizi di dominio Active Directory, è necessario che la replica sia stata eseguita almeno una volta dopo il riavvio del servizio DNS o del controller di dominio. Quando si verificano gli eventi sopra descritti, il server DNS imposta il valore relativo alla data e ora di inizio dello scavenging sulla base del calcolo seguente:

    Data e ora correnti del server + Intervallo di aggiornamento = Data e ora di inizio dello scavenging

    Questo valore viene utilizzato come base di confronto durante le operazioni di scavenging.

Esempio: processo di conteggio del periodo di permanenza e scavenging per un record di esempio

Per comprendere come si svolge il processo di conteggio del periodo di permanenza e scavenging nel server, considerare il periodo di validità e le successive fasi di un singolo record di risorse, dal momento in cui viene aggiunto in un server e in una zona in cui è attivo questo processo fino a quando, superato il periodo di permanenza previsto, viene rimosso dal database.

  1. Un host DNS di esempio, "host-a.example.microsoft.com", registra il proprio record di risorse host (A) nel server DNS per una zona in cui è abilitato l'utilizzo delle funzionalità di conteggio del periodo di permanenza e scavenging.

  2. Durante la registrazione del record, il server DNS gli applica un timestamp in base alla data e ora correnti del server.

    Dopo aver scritto il timestamp del record, il server DNS non accetta aggiornamenti del timestamp per tale record per tutta la durata dell'intervallo di non aggiornamento della zona. Può tuttavia accettare aggiornamenti prima della fine di tale intervallo. Se ad esempio viene modificato l'indirizzo IP di "host-a.example.microsoft.com", il server DNS può accettare l'aggiornamento. In questo caso, il server inoltre aggiorna, ovvero reimposta, il timestamp del record.

  3. Alla scadenza del periodo di non aggiornamento, il server inizia ad accettare i tentativi di aggiornamento del timestamp del record.

    Al termine del periodo iniziale di non aggiornamento, per il record inizia immediatamente il periodo di aggiornamento. Durante questo periodo il server non ignora i tentativi di aggiornamento del timestamp del record per il restante periodo di validità.

  4. Se durante e dopo il periodo di aggiornamento il server riceve un aggiornamento del timestamp per il record, elabora tale aggiornamento.

    In questo modo il timestamp del record verrà reimpostato in base al metodo descritto al passaggio 2.

  5. Quando successivamente il server esegue lo scavenging della zona "example.microsoft.com", esamina il record e tutti gli altri record della zona.

    Per stabilire se deve essere rimosso, ogni record verrà confrontato con la data e ora correnti del server sulla base del calcolo seguente:

    Timestamp del record + Intervallo di non aggiornamento della zona + Intervallo di aggiornamento della zona

    • Se questo calcolo dà come risultato un valore maggiore di quello relativo alla data e ora correnti del server, non verrà intrapresa alcuna azione e proseguirà il conteggio del periodo di permanenza del record nella zona.

    • Se invece questo calcolo dà come risultato un valore minore di quello relativo alla data e ora correnti del server, il record verrà eliminato sia dai dati della zona attualmente caricati nella memoria del server sia dall'archivio degli oggetti DnsZone applicabile in Servizi di dominio Active Directory per la zona "example.microsoft.com" integrata in Active Directory.


Impostare le proprietà di conteggio del periodo di permanenza e scavenging per una zona

Il servizio Server DNS supporta le funzionalità di conteggio del periodo di permanenza e scavenging. Tali funzionalità consentono di gestire la pulizia e la rimozione dei record di risorse obsoleti che possono accumularsi nei dati della zona nel corso del tempo. Per impostare le proprietà di conteggio del periodo di permanenza e scavenging per una determinata zona, è possibile utilizzare la procedura descritta di seguito.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Impostare le proprietà di conteggio del periodo di permanenza e scavenging per una zona

  • Tramite l'interfaccia Windows

  • Tramite riga di comando
Per impostare le proprietà di conteggio del periodo di permanenza e scavenging per una zona tramite l'interfaccia Windows

  1. Aprire Gestore DNS.

  2. Nell'albero della console fare clic con il pulsante destro del mouse sulla zona applicabile e quindi scegliere Proprietà.

  3. Nella scheda Generale fare clic su Conteggio periodo di permanenza.

  4. Selezionare la casella di controllo Effettua scavenging di record di risorse obsoleti.

  5. Modificare altre proprietà di conteggio del periodo di permanenza e scavenging in base alle proprie esigenze.

Ulteriori considerazioni

  • Per aprire Gestore DNS, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi DNS.

Per impostare le proprietà di conteggio del periodo di permanenza e scavenging per una zona tramite riga di comando

  1. Aprire una finestra del prompt dei comandi.

  2. Digitare il comando seguente e quindi premere INVIO:

    dnscmd <ServerName> /Config <ZoneName> {/Aging <Value>|/RefreshInterval <Value>|/NoRefreshInterval <Value>}

Parametro | Descrizione
dnscmd | Specifica il nome dello strumento da riga di comando per la gestione dei server DNS.
<ServerName> | Obbligatorio. Specifica il nome host DNS (Domain Name System) del server DNS. È inoltre possibile digitare l'indirizzo IP del server DNS. Per specificare il server DNS nel computer locale, è inoltre possibile digitare un punto (.)
/Config | Obbligatorio. Specifica che il comando configura la zona indicata.
<ZoneName> | Obbligatorio. Specifica il nome della zona in cui si desidera impostare le proprietà di conteggio del periodo di permanenza e scavenging.
/Aging | Obbligatorio. Attiva la funzionalità di conteggio del periodo di permanenza per le zone.
/RefreshInterval | Obbligatorio. Specifica l'intervallo di aggiornamento per una zona in cui è abilitato lo scavenging.
/NoRefreshInterval | Obbligatorio. Specifica l'intervallo di non aggiornamento per una zona in cui è abilitato lo scavenging.
<Valore> | Obbligatorio. Per /Aging digitare 1 per attivare il conteggio del periodo di permanenza. Digitare 0 per disattivarla. Per /RefreshInterval digitare un valore in ore. L'impostazione predefinita è 168 ore (una settimana). Per /NoRefreshInterval digitare un valore in secondi. L'impostazione standard è 3600 (un'ora).

Per visualizzare la sintassi completa del comando, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

dnscmd /Config /help

Ulteriori considerazioni

  • Per aprire una finestra del prompt dei comandi con privilegi elevati, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, quindi fare clic con il pulsante destro del mouse su Prompt dei comandi e infine scegliere Esegui come amministratore.

Ulteriori riferimenti

  • Informazioni sul conteggio del periodo di permanenza e lo scavenging


Impostare le proprietà di conteggio del periodo di permanenza e scavenging per il server DNS

Il servizio Server DNS supporta le funzionalità di conteggio del periodo di permanenza e scavenging. Tali funzionalità consentono di gestire la pulizia e la rimozione dei record di risorse obsoleti che possono accumularsi nei dati della zona nel corso del tempo. Per impostare le proprietà di conteggio del periodo di permanenza e scavenging predefinite per le zone di un server, è possibile utilizzare la procedura descritta di seguito.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Impostare le proprietà di conteggio del periodo di permanenza e scavenging per il server DNS

  • Tramite l'interfaccia Windows

  • Tramite riga di comando
Per impostare le proprietà di conteggio del periodo di permanenza e scavenging per il server DNS tramite l'interfaccia Windows

  1. Aprire Gestore DNS.

  2. Nell'albero della console fare clic con il pulsante destro del mouse sul server DNS applicabile e quindi scegliere Imposta conteggio periodo di permanenza/scavenging per tutte le zone.

  3. Selezionare la casella di controllo Effettua scavenging di record di risorse obsoleti.

  4. Modificare altre proprietà di conteggio del periodo di permanenza e scavenging in base alle proprie esigenze.

Ulteriori considerazioni

  • Per aprire Gestore DNS, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi DNS.

  • Le proprietà di conteggio del periodo di permanenza e scavenging configurate mediante questa procedura vengono utilizzate come impostazioni predefinite del server applicabili solo alle zone integrate in Servizi di dominio Active Directory. Per le zone primarie standard è necessario impostare le proprietà appropriate nella zona applicabile.

  • Quando si apportano modifiche alle impostazioni di conteggio del periodo di permanenza e scavenging, in Gestore DNS viene chiesto di confermare le modifiche. A quel punto, si ha la possibilità di applicare le modifiche solo alle nuove zone integrate in Servizi di dominio Active Directory. Se necessario, è possibile applicare le modifiche anche alle zone integrate in Servizi di dominio Active Directory esistenti.

  • Indipendentemente dal fatto che la casella di controllo Effettua scavenging di record di risorse obsoleti sia stata selezionata o meno come descritto al passaggio 3, per le zone primarie standard questa funzionalità è disattivata, a meno che non sia stata attivata manualmente nella zona applicabile.

Per impostare le proprietà di conteggio del periodo di permanenza e scavenging per il server DNS tramite riga di comando

  1. Aprire un prompt dei comandi.

  2. Digitare il comando seguente e quindi premere INVIO:

    dnscmd <ServerName> /Config {/ScavengingInterval <Value>|/DefaultAgingState <Value>|/DefaultNoRefreshInterval <Value>|/DefaultRefreshInterval <Value>}

Parametro | Descrizione
dnscmd | Strumento da riga di comando per la gestione dei server DNS.
<ServerName> | Obbligatorio. Specifica il nome host DNS del server DNS. È inoltre possibile digitare l'indirizzo IP del server DNS. Per specificare il server DNS nel computer locale, è inoltre possibile digitare un punto (.)
/Config | Obbligatorio. Configura il server specificato.
/ScavengingInterval | Obbligatorio. Imposta la frequenza con cui il server effettuerà lo scavenging per tutte le zone abilitate.
/DefaultAgingState | Obbligatorio. Imposta la configurazione predefinita del conteggio del periodo di permanenza per tutte le zone nel server.
/DefaultNoRefreshInterval | Obbligatorio. Imposta l'intervallo di non aggiornamento predefinito per le zone abilitate allo scavenging.
/DefaultRefreshInterval | Imposta l'intervallo di aggiornamento predefinito per le zone abilitate allo scavenging.
<Valore> | Per /ScavengingInterval digitare un valore in ore. Il valore predefinito è 168 (una settimana). Per /DefaultAgingState digitare 1 per attivare il conteggio del periodo di permanenza per le nuove zone create. Digitare 0 se invece si desidera disattivare tale conteggio per le nuove zone. Per /DefaultNoRefreshInterval digitare un valore in ore. Il valore predefinito è 168 (una settimana). Per /DefaultRefreshInterval digitare un valore in ore. Il valore predefinito è 168 (una settimana).

Per visualizzare la sintassi completa del comando, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

dnscmd /Config /help

Ulteriori considerazioni

  • Per aprire una finestra del prompt dei comandi con privilegi elevati, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, quindi fare clic con il pulsante destro del mouse su Prompt dei comandi e infine scegliere Esegui come amministratore.

Ulteriori riferimenti

  • Informazioni sul conteggio del periodo di permanenza e lo scavenging


Attivare lo scavenging automatico dei record di risorse obsoleti

Il servizio Server DNS supporta le funzionalità di conteggio del periodo di permanenza e scavenging. Tali funzionalità consentono di gestire la pulizia e la rimozione dei record di risorse obsoleti che possono accumularsi nei dati della zona nel corso del tempo. Per eseguire lo scavenging automatico dei record di risorse nelle zone ospitate dal server DNS (Domain Name System), è possibile utilizzare la procedura descritta di seguito.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per attivare lo scavenging automatico dei record di risorse obsoleti

  1. Aprire Gestore DNS.

  2. Nell'albero della console fare clic con il pulsante destro del mouse sul server DNS applicabile e quindi scegliere Proprietà.

  3. Fare clic sulla scheda Avanzate.

  4. Selezionare la casella di controllo Abilita scavenging automatico di record obsoleti.

  5. Per modificare il Periodo di scavenging, nell'elenco a discesa selezionare un intervallo in ore o giorni e quindi digitare un numero nella casella di testo.

Ulteriori considerazioni

  • Per aprire Gestore DNS, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi DNS.

Ulteriori riferimenti

  • Informazioni sul conteggio del periodo di permanenza e lo scavenging


Avviare lo scavenging immediato dei record di risorse obsoleti

Per rimuovere immediatamente i record di risorse del server il cui tempo allocato è scaduto, è possibile utilizzare la procedura descritta di seguito.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Avviare lo scavenging immediato dei record di risorse obsoleti

  • Tramite l'interfaccia Windows

  • Tramite riga di comando
Per avviare lo scavenging immediato dei record di risorse obsoleti tramite l'interfaccia Windows

  1. Aprire Gestore DNS.

  2. Nell'albero della console fare clic con il pulsante destro del mouse sul server DNS (Domain Name System) applicabile e quindi scegliere Effettua scavenging record di risorse obsoleti.

  3. Quando viene chiesto se si desidera eseguire lo scavenging di tutti i record di risorse obsoleti presenti nel server, fare clic su OK.

Ulteriori considerazioni

  • Per aprire Gestore DNS, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi DNS.

Per avviare lo scavenging immediato dei record di risorse obsoleti tramite riga di comando

  1. Aprire una finestra del prompt dei comandi.

  2. Digitare il comando seguente e quindi premere INVIO:

    dnscmd <ServerName> /StartScavenging

Parametro | Descrizione
dnscmd | Strumento da riga di comando per la gestione dei server DNS.
<ServerName> | Obbligatorio. Specifica il nome host DNS del server DNS. È inoltre possibile digitare l'indirizzo IP del server DNS. Per specificare il server DNS nel computer locale, è inoltre possibile digitare un punto (.)
/StartScavenging | Obbligatorio. Avvia lo scavenging dei record di risorse.

Per visualizzare la sintassi completa del comando, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

dnscmd /StartScavenging /help

Ulteriori considerazioni

  • Per aprire una finestra del prompt dei comandi con privilegi elevati, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, quindi fare clic con il pulsante destro del mouse su Prompt dei comandi e infine scegliere Esegui come amministratore.

Ulteriori riferimenti

  • Informazioni sul conteggio del periodo di permanenza e lo scavenging


Visualizzare il momento in cui può iniziare lo scavenging dei record obsoleti di una zona

Per verificare che l'intervallo di scavenging di una zona sia corretto, è possibile utilizzare la procedura descritta di seguito.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Visualizzare quando può iniziare lo scavenging dei record obsoleti di una zona

  • Tramite l'interfaccia Windows

  • Tramite riga di comando
Per visualizzare quando può iniziare lo scavenging dei record obsoleti di una zona tramite l'interfaccia Windows

  1. Aprire Gestore DNS.

  2. Scegliere Avanzate dal menu Visualizza.

  3. Fare clic con il pulsante destro del mouse sulla zona applicabile e quindi scegliere Proprietà.

  4. Nella scheda Generale fare clic su Conteggio periodo di permanenza.

  5. In Intervallo di aggiornamento controllare quando è previsto nella zona il primo scavenging dei record di risorse obsoleti.

Ulteriori considerazioni

  • Per aprire Gestore DNS, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi DNS.

  • Il timestamp e la data di inizio dello scavenging vengono utilizzati per stabilire quando comincia lo scavenging della zona.

  • Dopo che sono stati raggiunti il timestamp e la data di inizio dello scavenging, lo scavenging potrà essere eseguito solo se è selezionata la casella di controllo Effettua scavenging di record di risorse obsoleti. Se questa casella di controllo è deselezionata, lo scavenging della zona non potrà essere eseguito.

Per visualizzare quando può iniziare lo scavenging dei record obsoleti di una zona tramite riga di comando

  1. Aprire una finestra del prompt dei comandi.

  2. Digitare il comando seguente e quindi premere INVIO:

    dnscmd <ServerName> /ZoneInfo <ZoneName> RefreshInterval

Parametro | Descrizione
dnscmd | Strumento da riga di comando per la gestione dei server DNS.
<ServerName> | Obbligatorio. Specifica il nome host DNS del server DNS. È inoltre possibile digitare l'indirizzo IP del server DNS. Per specificare il server DNS nel computer locale, è inoltre possibile digitare un punto (.).
/ZoneInfo | Obbligatorio. Visualizza informazioni sulla configurazione.
<ZoneName> | Obbligatorio. Specifica il nome di dominio completo (FQDN) della zona.
RefreshInterval | Obbligatorio. Specifica la proprietà di configurazione che visualizza quando è previsto nella zona il primo scavenging dei record di risorse obsoleti. Il valore dell'output è in ore. L'impostazione predefinita è 168 ore (una settimana).

Per visualizzare la sintassi completa del comando, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

dnscmd /ZoneInfo /help

Ulteriori considerazioni

  • Per aprire una finestra del prompt dei comandi con privilegi elevati, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, quindi fare clic con il pulsante destro del mouse su Prompt dei comandi e infine scegliere Esegui come amministratore.

Ulteriori riferimenti

  • Informazioni sul conteggio del periodo di permanenza e lo scavenging


Reimpostare le proprietà di conteggio del periodo di permanenza e scavenging per un determinato record di risorse

Il servizio Server DNS supporta le funzionalità di conteggio del periodo di permanenza e scavenging. Tali funzionalità consentono di gestire la pulizia e la rimozione dei record di risorse obsoleti che possono accumularsi nei dati della zona nel corso del tempo. Per modificare la modalità di scavenging di un determinato record di risorse, è possibile utilizzare la procedura descritta di seguito.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Reimpostare le proprietà di conteggio del periodo di permanenza e scavenging per un determinato record di risorse

  • Tramite l'interfaccia Windows

  • Tramite riga di comando
Per reimpostare le proprietà di conteggio del periodo di permanenza e scavenging per un determinato record di risorse tramite l'interfaccia Windows

  1. Aprire Gestore DNS.

  2. Nell'albero della console fare clic sulla zona applicabile.

  3. Nel riquadro dei dettagli fare doppio clic sul record di risorse per il quale si desidera reimpostare le proprietà di conteggio del periodo di permanenza e scavenging.

  4. A seconda del modo in cui il record di risorse è stato originariamente aggiunto alla zona, eseguire una delle operazioni seguenti:

    • Se il record è stato aggiunto in modo dinamico utilizzando gli aggiornamenti dinamici, deselezionare la casella di controllo Elimina il record quando diventa obsoleto per impedire che venga eseguito il conteggio del periodo di permanenza o che il record possa eventualmente essere rimosso durante il processo di scavenging. Se il record continua a essere sottoposto ad aggiornamenti dinamici, il server DNS (Domain Name System) reimposterà sempre questa casella di controllo in modo che il record aggiornato dinamicamente possa essere eliminato.

    • Se il record è stato aggiunto in modo statico, selezionare la casella di controllo Elimina il record quando diventa obsoleto per consentire che venga eseguito il conteggio del periodo di permanenza o che il record possa eventualmente essere rimosso durante il processo di scavenging.

Ulteriori considerazioni

  • Per aprire Gestore DNS, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi DNS.

  • Questa procedura è necessaria solo per i record di risorse registrati in modo dinamico. Per i record aggiunti manualmente a una zona, viene sempre applicato un timestamp pari a 0 che li esclude dal processo di scavenging.

  • Le proprietà di conteggio del periodo di permanenza e scavenging per i record di risorse server dei nomi (NS) e origine di autorità (SOA) vengono reimpostate nelle proprietà della zona e non nelle proprietà del record di risorse.

Per reimpostare le proprietà di conteggio del periodo di permanenza e scavenging per un determinato record di risorse tramite riga di comando

  1. Aprire una finestra del prompt dei comandi.

  2. Digitare il comando seguente e quindi premere INVIO:

    dnscmd <ServerName> /Config {<ZoneName>|..AllZones} /ScavengingInterval <Value>

Parametro | Descrizione
dnscmd | Strumento da riga di comando per la gestione dei server DNS.
<ServerName> | Obbligatorio. Specifica il nome host DNS del server DNS. È inoltre possibile digitare l'indirizzo IP del server DNS. Per specificare il server DNS nel computer locale, è inoltre possibile digitare un punto (.)
/Config | Obbligatorio. Configura la zona specificata.
<ZoneName>|..AllZones | Obbligatorio. Specifica il nome di dominio completo (FQDN) della zona. Per configurare tutte le zone ospitate nel server DNS specificato in modo da consentire gli aggiornamenti dinamici, digitare ..AllZones.
/ScavengingInterval | Obbligatorio. Imposta l'intervallo di scavenging.
<Valore> | Obbligatorio. Nuovo valore dell'intervallo di scavenging, specificato in ore. Il valore predefinito è 168 (una settimana).

Per visualizzare la sintassi completa del comando, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

dnscmd /Config /help

Ulteriori considerazioni

  • Per aprire una finestra del prompt dei comandi con privilegi elevati, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, quindi fare clic con il pulsante destro del mouse su Prompt dei comandi e infine scegliere Esegui come amministratore.

Ulteriori riferimenti

  • Informazioni sul conteggio del periodo di permanenza e lo scavenging


Gestire client

I computer client devono essere configurati correttamente per interagire con i server DNS da cui dipendono per risolvere i nomi di rete. È infatti possibile configurare i computer client in modo che ricevano gli indirizzi di rete da server DHCP (Dynamic Host Configuration Protocol) oppure con indirizzi fissi. È inoltre possibile configurare i client con impostazioni aggiuntive per migliorarne la capacità di individuare gli host di rete e di essere individuati da essi.

  • Informazioni sulle impostazioni dei client DNS

  • Attivare il DNS per client abilitati per il protocollo DHCP

  • Configurare il DNS per i client statici


Informazioni sulle impostazioni dei client DNS

La configurazione del DNS (Domain Name System) comporta l'esecuzione delle attività di configurazione seguenti per le proprietà TCP/IP di ogni computer:

  • Impostare un nome host o un nome computer DNS per ogni computer. Ad esempio, nel nome di dominio completo (FQDN, Fully Qualified Domain Name) wkstn1.widgets.tailspintoys.com il nome computer DNS è specificato dall'etichetta più a sinistra, ovvero wkstn1.

  • Impostare per ogni computer un suffisso DNS primario da aggiungere dopo il nome host o il nome computer per formare l'FQDN. Nel caso dell'esempio precedente, il suffisso DNS primario è rappresentato da widgets.tailspintoys.com.

  • Impostare un elenco di server DNS che i client possono utilizzare per risolvere i nomi DNS, ad esempio un server DNS preferito e alcuni server DNS alternativi eventualmente da utilizzare qualora il server preferito non fosse disponibile.

  • Impostare l'elenco di ricerca dei suffissi DNS o il metodo di ricerca che un client deve utilizzare quando esegue query DNS per nomi di dominio brevi non qualificati.

Queste attività sono descritte in modo più dettagliato nelle sezioni seguenti.

Impostare i nomi computer

Quando si impostano i nomi computer per il DNS, è utile tenere presente che tale nome corrisponde alla parte più a sinistra di un FQDN. Ad esempio, in wkstn1.widgets.tailspintoys.com. il nome computer è wkstn1.

È possibile configurare tutti i client DNS Windows con un nome computer basato su qualsiasi carattere supportato standard definito nella specifica RFC (Request for Comments) 1123 relativa all'applicazione e al supporto dei requisiti per gli host Internet. I caratteri utilizzabili sono i seguenti:

  • Lettere maiuscole dalla A alla Z

  • Lettere minuscole dalla a alla z

  • Numeri da0 a 9

  • Trattini (-)

Se nella rete sono supportati sia spazi dei nomi NetBIOS che DNS, è possibile utilizzare un nome computer diverso in ogni spazio dei nomi. Quando possibile, è comunque consigliabile utilizzare nomi computer di lunghezza non superiore a 15 caratteri che soddisfino i requisiti di denominazione della specifica RFC 1123.

Per impostazione predefinita, l'etichetta più a sinistra nell'FQDN dei client corrisponde al nome computer NetBIOS, a meno che tale etichetta non sia costituita da 16 o più caratteri, che è il limite massimo per i nomi NetBIOS. Se supera la lunghezza massima consentita per NetBIOS, il nome computer NetBIOS viene troncato in base all'etichetta completa specificata.

Prima di configurare i computer con nomi DNS e NetBIOS diversi, valutare le implicazioni seguenti e i problemi correlati per la distribuzione:

  • Se per le zone ospitate dai server DNS è attivata la ricerca WINS (Windows Internet Name Service), utilizzare lo stesso nome per la denominazione NetBIOS e DNS dei computer. In caso contrario, i risultati dei tentativi dei client di richiedere e risolvere i nomi di tali computer non saranno coerenti.

Se si è investito nell'utilizzo dei nomi NetBIOS per supportare una tecnologia di rete Microsoft legacy, è consigliabile modificare i nomi computer NetBIOS utilizzati in rete per prepararsi alla migrazione in un ambiente standard basato solo sul DNS. In questo modo la rete sarà pronta per espansioni a lungo termine e l'interoperabilità con requisiti di denominazione futuri. Se ad esempio si utilizza lo stesso nome computer sia per la risoluzione NetBIOS che per la risoluzione DNS, provare a convertire nei nomi NetBIOS correnti gli eventuali caratteri speciali, quale il carattere di sottolineatura (_), che non sono conformi agli standard di denominazione DNS. Benché siano accettati nei nomi NetBIOS, questi caratteri sono spesso incompatibili con i requisiti di denominazione degli host DNS tradizionali e con la maggior parte dei software client resolver DNS esistenti.

Ulteriori considerazioni

  • Benché l'utilizzo del carattere di sottolineatura (_) nei nomi host DNS o nei record di risorse host (A) non sia tradizionalmente consentito dagli standard DNS, è stato proposto l'utilizzo di questo carattere nei nomi relativi ai servizi, ad esempio i nomi utilizzati per i record di risorse Posizione servizio (SRV), per evitare conflitti di nomi nello spazio dei nomi DNS Internet.

  • Oltre alle convenzioni di denominazione DNS standard, il DNS di Windows Server 2008 supporta l'utilizzo di caratteri ASCII e Unicode estesi. Poiché tuttavia la maggior parte dei software resolver scritti per altre piattaforme, ad esempio UNIX, si basa sugli standard DNS Internet, il supporto di questi caratteri avanzati è possibile solo in reti private con computer che eseguono il DNS di Windows 2000, Windows Server 2003 o Windows Server 2008.

  • Durante la configurazione iniziale del DNS e di TCP/IP, un avviso suggerisce un nome DNS standard da utilizzare se ne è stato specificato uno non standard.

  • Per impostazione predefinita, nei computer e nei server viene utilizzato il DNS per risolvere i nomi di lunghezza superiore a 15 caratteri. Se invece la lunghezza del nome è uguale o inferiore a 15 caratteri, sarà possibile utilizzare indifferentemente la risoluzione dei nomi NetBIOS e DNS per risolvere il nome.

Impostare i nomi di dominio

Il nome di dominio viene utilizzato con il nome computer client per formare l'FQDN, noto anche come nome computer completo. Il nome di dominio DNS in genere è costituito dalla parte restante dell'FQDN non utilizzata come nome host univoco per il computer.

Un esempio di nome di dominio DNS per un computer client può essere il seguente. Se l'FQDN, o nome computer completo, è wkstn1.widgets.tailspintoys.com, il nome di dominio è rappresentato dalla parte widgets.tailspintoys.com di tale nome.

Per i nomi di dominio DNS sono previste due varianti, ovvero un nome DNS e un nome NetBIOS. Il nome computer completo, ovvero il nome DNS completo, viene utilizzato durante l'esecuzione di query e l'individuazione di risorse specifiche nella rete. Per i client di versioni precedenti, il nome NetBIOS viene utilizzato per individuare diversi tipi di servizi NetBIOS condivisi nella rete.

Un esempio di componente che richiede sia nomi NetBIOS che nomi DNS è il servizio Accesso rete. Nel DNS di Windows Server 2008 il servizio Accesso rete in un controller di dominio esegue la registrazione dei relativi record di risorse Posizione servizio (SRV) in un server DNS. Per Windows NT Server 4.0 e versioni precedenti i controller di dominio registrano una voce DomainName in WINS per eseguire la stessa registrazione e per comunicare la propria disponibilità a fornire il servizio di autenticazione sulla rete.

Quando un computer client viene avviato nella rete, utilizza il resolver DNS per richiedere a un server DNS con una query i record di risorse Posizione servizio (SRV) per il proprio nome di dominio configurato. Questa query viene utilizzata per individuare i controller di dominio e fornire l'autenticazione di accesso per accedere alle risorse di rete. Un client o un controller di dominio della rete può inoltre utilizzare il servizio resolver NetBIOS per interrogare i server WINS e tentare di individuare voci DomainName [1C] per completare il processo di accesso.

I nomi di dominio DNS devono soddisfare gli stessi standard e seguire le stesse procedure consigliate applicabili per la denominazione dei computer DNS e descritti nella sezione precedente. Le convenzioni di denominazione accettate per i nomi di dominio prevedono in genere l'utilizzo di lettere dalla A alla Z, di numeri da 0 a 9 e del trattino (-). In un nome di dominio inoltre viene sempre utilizzato un punto (.) per separarne le parti discrete, conosciute comunemente come etichette. Ogni etichetta corrisponde a un livello aggiuntivo definito nell'albero dello spazio dei nomi DNS.

Per la maggior parte dei computer, il suffisso DNS primario configurato per il computer può corrispondere al nome di dominio di Servizi di dominio Active Directory, benché i due valori possano anche essere diversi.

Importante

Per impostazione predefinita, la parte relativa al suffisso DNS primario dell'FQDN di un computer deve essere uguale al nome del dominio di Servizi di dominio Active Directory in cui si trova il computer. Per consentire suffissi DNS primari diversi, l'amministratore di dominio può creare un elenco limitato di suffissi accettati mediante la creazione dell'attributo msDS-AllowedDNSSuffixes nel contenitore di oggetti del dominio. La creazione e la gestione di questo attributo vengono effettuate dall'amministratore di dominio mediante Active Directory Service Interfaces (ADSI) o Lightweight Directory Access Protocol (LDAP).

Configurare un elenco di server DNS

Per un corretto funzionamento dei client DNS, è necessario configurare per ogni computer un elenco di server dei nomi DNS con priorità diverse da utilizzare per l'elaborazione delle query e la risoluzione dei nomi DNS. Nella maggior parte dei casi il computer client contatta e utilizza il relativo server DNS preferito, ovvero il primo server DNS dell'elenco configurato localmente. I server DNS alternativi elencati verranno contattati e utilizzati se il server preferito non è disponibile. È per questo motivo che è importante che il server DNS impostato come preferito sia adatto a un utilizzo continuo da parte del client in condizioni normali.

Ulteriori considerazioni

  • Per i computer che eseguono Microsoft Windows XP o Windows Vista®, l'elenco dei server DNS viene utilizzato dai client solo per risolvere i nomi DNS. Quando i client inviano aggiornamenti dinamici, ad esempio se viene cambiato il nome di dominio DNS o un indirizzo IP configurato, possono contattare questi server o, se necessario, altri server DNS per aggiornare i relativi record di risorse DNS. Per ulteriori informazioni, vedere Informazioni sull'aggiornamento dinamico.

  • Per impostazione predefinita, il client DNS in Windows XP o Microsoft Windows Vista non tenta di eseguire l'aggiornamento dinamico tramite una connessione RAS (Servizio di accesso remoto, Remote Access Service) o VPN (Rete privata virtuale, Virtual Private Network). Per modificare questa configurazione, è possibile modificare le impostazioni TCP/IP avanzate della connessione di rete in questione oppure intervenire sul Registro di sistema. Per ulteriori informazioni, vedere la pagina con le informazioni di riferimento per il Registro di sistema del Resource Kit di Windows Server 2003 (http://go.microsoft.com/fwlink/?LinkId=428).

  • Per impostazione predefinita, il client DNS non tenta aggiornamenti dinamici delle zone di domini di livello superiore (TLD, Top Level Domain). Qualsiasi zona a cui viene assegnato un nome con etichetta singola è considerata una zona di dominio di livello superiore, ad esempio com, edu, blank, my-company. Per configurare il client DNS per consentire l'aggiornamento dinamico delle zone di domini di livello superiore, utilizzare l'impostazione dei criteri Aggiorna zone di domini di livello superiore (Top Level Domain) o modificare il Registro di sistema.

  • Se i client DNS vengono configurati in modo dinamico con un server DHCP (Dynamic Host Configuration Protocol), è possibile che l'elenco dei server DNS forniti sia più esteso. Per fornire un elenco di indirizzi IP di server DNS ai client DHCP, attivare il codice di opzione 6 nei tipi di opzioni configurati fornito dal server DHCP. Per i server DHCP Windows Server 2003 e Windows Server 2008, è possibile configurare un elenco di non oltre 25 server DNS per ogni client con questa opzione.

  • Per una condivisione corretta del carico quando sono indicati più server DNS in un elenco di opzioni DHCP specificate, è possibile configurare un ambito DHCP separato per la rotazione dell'ordine elencato dei server DNS e WINS fornito ai client.

Configurare un elenco di ricerca dei suffissi DNS

Per i client DNS, è possibile configurare un elenco di ricerca dei suffissi di domini DNS in modo da estenderne o modificarne le funzionalità di ricerca DNS. Aggiungendo ulteriori suffissi all'elenco, è possibile ricercare nomi computer brevi non qualificati in più domini DNS specificati. In questo modo, se una query DNS ha esito negativo, il servizio Client DNS potrà utilizzare tale elenco per aggiungere altri suffissi al nome originale e ripetere le query DNS nel server DNS ricercando questi FQDN alternativi.

Per i computer e i server, viene predeterminato e utilizzato il comportamento di ricerca DNS seguente per il completamento e la risoluzione di nomi brevi non qualificati.

Se l'elenco di ricerca dei suffissi è vuoto o non è specificato, ai nomi brevi non qualificati verrà aggiunto il suffisso DNS primario del computer e verrà utilizzata una query DNS per la risoluzione dell'FQDN risultante. Se la query ha esito negativo, il computer potrà provare a eseguire ulteriori query per FQDN alternativi aggiungendo l'eventuale suffisso DNS specifico della connessione configurato per le connessioni di rete.

Se non è configurato alcun suffisso specifico della connessione o le query per questi FQDN specifici della connessione risultanti hanno esito negativo, il client potrà iniziare a ripetere le query applicando una riduzione sistematica del suffisso primario. Questa tecnica è conosciuta come devoluzione.

Ad esempio, se il suffisso primario è "widgets.tailspintoys.com", in base al processo di devoluzione le query per il nome breve verranno ripetute eseguendo la ricerca di tale nome nei domini "microsoft.com" e "com".

Se l'elenco di ricerca dei suffissi non è vuoto ed è specificato almeno un suffisso DNS, i tentativi di qualifica e risoluzione dei nomi DNS brevi si limiteranno alla ricerca dei soli FQDN possibili secondo l'elenco di suffissi specificati. Se le query relative a tutti gli FQDN formati aggiungendo e provando ogni suffisso dell'elenco non vengono risolte, il processo di query avrà esito negativo e come risultato si otterrà il messaggio "Nome non trovato".

Ulteriori considerazioni

  • Se viene utilizzato l'elenco dei suffissi di dominio e la query non riceve risposta o non viene risolta, i client continueranno a inviare ulteriori query alternative basate su nomi di dominio DNS diversi. Se un nome viene risolto utilizzando una voce dell'elenco di suffissi, non verrà eseguito un tentativo con le voci dell'elenco non utilizzate. Per questo motivo, è consigliabile ordinare l'elenco specificando per primi i suffissi di dominio più utilizzati in modo da poter operare con maggiore efficienza.

  • Le ricerche dei suffissi dei nomi di dominio vengono eseguite solo se una voce nome DNS non è completa. Per specificare un nome DNS completo, aggiungere un punto (.) alla fine del nome.

  • In Windows Server 2008 è supportata una zona speciale, GlobalNames, per la risoluzione di un insieme limitato di nomi globalmente univoci con etichetta singola in una rete aziendale. Questa zona può essere utilizzata nei casi in cui i requisiti di rete rendono poco pratico l'utilizzo di un elenco di ricerca dei suffissi per tale scopo. Per ulteriori informazioni, vedere Distribuire una zona GlobalNames.

Configurare più nomi

Ai computer che eseguono Windows XP, Microsoft Windows Vista, Windows Server 2003 e Windows Server 2008 vengono assegnati nomi DNS per impostazione predefinita. Per ogni computer i nomi DNS possono essere configurati utilizzando uno dei due metodi seguenti:

  • Un nome di dominio DNS primario, che viene utilizzato come nome DNS completo predefinito del computer e di tutte le relative configurazioni di rete configurate

  • Un nome di dominio DNS specifico della connessione, che può essere configurato come nome di dominio DNS alternativo utilizzato solo per una singola scheda di rete installata e configurata nel computer

Benché per la maggior parte dei computer non sia necessario supportare o utilizzare più nomi nel DNS, la possibilità di configurare più nomi DNS specifici della connessione può rivelarsi utile in alcune occasioni. Utilizzando più nomi, un utente può ad esempio specificare quale connessione di rete utilizzare per connettersi a un computer multihomed.

Esempio: utilizzo di nomi specifici della connessione

Come illustrato nella figura seguente, un computer server multihomed con nome host-a può essere denominato in base al nome di dominio DNS primario e al nome specifico della connessione.

Computer DNS multihomed configurato con molti nomi

In questo esempio il computer server host-a è collegato a due subnet separate, Subnet 1 e Subnet 2, a loro volta collegate a punti ridondanti tramite due router per percorsi aggiuntivi tra ogni subnet. In base a questa configurazione, host-a consente l'accesso come indicato di seguito tramite le relative connessioni di rete locale (LAN) denominate separatamente:

  • Il nome host-a.public.example.microsoft.com consente l'accesso tramite la connessione LAN 1 su Subnet 1, una LAN Ethernet a velocità più bassa (10 megabit), per il normale accesso di utenti con la consueta necessità di usufruire di servizi file e di stampa.

  • Il nome host-a.backup.example.microsoft.com consente l'accesso tramite la connessione LAN 2 su Subnet 2, una LAN Ethernet a velocità più alta (100 megabit), per un accesso riservato da parte di applicazioni server e amministratori con esigenze particolari, ad esempio la risoluzione dei problemi di rete per il server, l'esecuzione di operazioni di backup in rete o la replica dei dati delle zone tra server.

Oltre ai nomi DNS specifici della connessione, per accedere al computer è possibile utilizzare una delle due connessioni LAN specificando il relativo nome di dominio DNS primario, ovvero "host-a.example.microsoft.com".

Se configurato come illustrato nella figura, un computer può registrare i record di risorse nel DNS utilizzando i propri tre nomi distinti e i relativi insiemi di indirizzi IP, come descritto nella tabella seguente.

Nome DNS | Indirizzi IP |  |  | Descrizione
host-a.example.microsoft.com | 10.1.1.11, 10.2.2.22 |  |  | Nome DNS primario del computer. Il computer registra con questo nome i record di risorse host (A) e puntatore (PTR) per tutti gli indirizzi IP configurati nella zona widgets.tailspintoys.com.
host-a.public.example.microsoft.com | 10.1.1.11 |  | Nome DNS specifico della connessione LAN 1, che registra i record di risorse host (A) e puntatore (PTR) per l'indirizzo IP 10.1.1.11 nella zona public.widgets.tailspintoys.com.
host-a.backup.example.microsoft.com | 10.2.2.22 | Nome DNS specifico della connessione LAN 2, che registra i record di risorse host (A) e puntatore (PTR) per l'indirizzo IP 10.2.2.22 nella zona backup.widgets.tailspintoys.com.

Ulteriori considerazioni

  • I nomi DNS possono essere impostati tramite l'amministrazione remota e altri servizi di configurazione remota, ad esempio DHCP. Per un server DNS che esegue Windows Server 2008, il nome di dominio DNS primario può essere impostato tramite l'amministrazione remota o l'opzione di impostazione automatica.

  • Per la denominazione specifica della connessione è possibile utilizzare i metodi di configurazione TCP/IP. È possibile configurare manualmente il nome di dominio DNS per ogni connessione visualizzata nella cartella Connessioni di rete oppure utilizzare un tipo di opzione DHCP (codice di opzione 15).

  • Per ulteriori informazioni sulle opzioni DHCP, vedere la relativa sezione nella pagina sulle tecnologie di rete (http://go.microsoft.com/fwlink/?LinkId=4639).


Attivare il DNS per client abilitati per il protocollo DHCP

  • Per configurare il DNS (Domain Name System) per client con indirizzi IP configurati in modo dinamico forniti da un server DHCP (Dynamic Host Configuration Protocol), in genere è necessario configurare gli elementi seguenti nel server DHCP o nei client applicabili:

    • Nome o nomi host DNS per il computer client. Per i client DHCP, questi nomi devono essere impostati nel computer client o devono essere assegnati durante l'installazione automatica.

    • Server DNS primario e alternativo utilizzati dal client per la risoluzione dei nomi di dominio DNS. Per i client DHCP, questi valori possono essere impostati nel server DHCP assegnando l'opzione del server DNS (opzione 6) e fornendo un elenco configurato di indirizzi IP ordinati dei server DNS che il client deve utilizzare.

    • Elenco di suffissi DNS da aggiungere e utilizzare per completare i nomi DNS non qualificati che vengono utilizzati per eseguire ricerche e inviare query DNS nel client per la risoluzione. Per i client DHCP, questo elenco può essere impostato nel server DHCP assegnando l'opzione del nome di dominio DNS (opzione 15) e fornendo un solo suffisso DNS che deve essere aggiunto e utilizzato dal client nelle ricerche. Per configurare ulteriori suffissi DNS, configurare manualmente TCP/IP per la configurazione DNS.

    • Comportamento di registrazione e aggiornamento dinamico specifico della connessione, ad esempio se determinate schede di rete installate nel client devono registrare in modo dinamico in un server DNS i relativi indirizzi IP configurati. Per i client DHCP, l'impostazione predefinita prevede che le connessioni client eseguano in un server DNS la registrazione dei relativi indirizzi IP configurati. Per modificare questo comportamento nel client, configurare manualmente TCP/IP nel client per la configurazione DNS.

Per ulteriori informazioni su come configurare altri DNS per i client DHCP, vedere la documentazione relativa al client DNS o TCP/IP applicabile resa disponibile dal fornitore appropriato.

Per impostazione predefinita, il client DNS non tenta aggiornamenti dinamici delle zone di domini di livello superiore (TLD, Top Level Domain). Qualsiasi zona a cui viene assegnato un nome con etichetta singola è considerata una zona di dominio di livello superiore, ad esempio com, edu, blank, my-company. Per configurare il client DNS per consentire l'aggiornamento dinamico delle zone di domini di livello superiore, utilizzare l'impostazione dei criteri Aggiorna zone di domini di livello superiore (Top Level Domain) o modificare il Registro di sistema.

Per ulteriori informazioni sulle opzioni DHCP, vedere la relativa sezione nella pagina sulle tecnologie di rete (http://go.microsoft.com/fwlink/?LinkId=4639).

Ulteriori riferimenti

  • Informazioni sulle impostazioni dei client DNS


Configurare il DNS per i client statici

Per configurare il DNS (Domain Name System) per client con indirizzi IP configurati staticamente, in genere è necessario configurare quanto segue:

  • Nome o nomi host DNS per il computer client.

  • Server DNS primario e alternativo utilizzati dal client per la risoluzione dei nomi di dominio DNS.

  • Elenco di suffissi DNS da aggiungere e utilizzare per completare i nomi DNS non qualificati, che vengono utilizzati per eseguire ricerche e inviare query DNS nel client per la risoluzione.

  • Comportamento di registrazione e aggiornamento dinamico specifico della connessione, ad esempio se determinate schede di rete installate nel client devono registrare in modo dinamico in un server DNS i relativi indirizzi IP configurati.

Nota

Per ulteriori informazioni su come configurare il DNS per i client statici, vedere la documentazione relativa al client DNS o TCP/IP applicabile resa disponibile dal fornitore di questi client.

Ulteriori riferimenti

  • Informazioni sulle impostazioni dei client DNS


Proteggere il DNS

In qualità di protocollo aperto, il DNS (Domain Name System) è particolarmente vulnerabile a eventuali attacchi. Se gli attacchi hanno esito positivo, gli effetti possono rivelarsi molto dannosi a causa del ruolo critico svolto dal DNS nella maggior parte delle reti. Per questo motivo è estremamente importante utilizzare le funzionalità di sicurezza avanzata disponibili per il ruolo Server DNS in Windows Server 2008. In questa sezione vengono fornite indicazioni per l'utilizzo di tali funzionalità di sicurezza.

  • Informazioni sulla sicurezza per il DNS

  • Proteggere la distribuzione DNS

  • Proteggere il servizio Server DNS

  • Proteggere le zone DNS

  • Proteggere i record di risorse DNS

  • Proteggere i client DNS

Ulteriori riferimenti

Elenco di controllo: proteggere il server DNS


Informazioni sulla sicurezza per il DNS

Il DNS (Domain Name System) è stato progettato originariamente come protocollo aperto e in quanto tale è vulnerabile a eventuali attacchi. Nel DNS di Windows Server 2008 sono tuttavia state aggiunte funzionalità di sicurezza che consentono di difendersi meglio da attacchi all'infrastruttura DNS. Prima di valutare quali funzionalità di sicurezza utilizzare, è consigliabile conoscere i rischi di sicurezza più comuni per il DNS e il livello di sicurezza DNS della propria organizzazione.

Rischi per la sicurezza DNS

Di seguito vengono descritte le tipiche minacce a cui l'infrastruttura DNS può essere esposta:

  • Footprinting: processo mediante il quale l'autore di un attacco ottiene i dati delle zone DNS in modo da risalire ai nomi di dominio, ai nomi computer e agli indirizzi IP DNS delle risorse di rete critiche. Il malintenzionato in genere fa partire l'attacco utilizzando questi dati DNS per creare un diagramma, o "footprint", di una rete. I nomi di dominio e i nomi computer DNS in genere indicano la funzione o la posizione di un dominio o di un computer per consentire agli utenti di ricordare e identificare più facilmente i domini e i computer. L'autore dell'attacco sfrutta lo stesso principio DNS per ottenere informazioni sulla funzione o sulla posizione dei domini e dei computer della rete.

  • Attacco Denial of Service: tentativo da parte di un malintenzionato di negare la disponibilità dei servizi di rete sovraccaricando uno o più server DNS della rete con query ricorsive. Quando un server DNS viene sovraccaricato di query, l'utilizzo della CPU man mano raggiunge il livello massimo e il servizio Server DNS non è più disponibile. Senza un server DNS completamente funzionante nella rete, i servizi di rete che utilizzano il DNS non sono più disponibili per gli utenti della rete.

  • Modifica di dati: tentativo da parte di un malintenzionato che, dopo aver eseguito il footprinting di una rete con il DNS, utilizza indirizzi IP validi in pacchetti IP creati direttamente da lui, che sembrano così provenire da un indirizzo IP valido della rete. Questa operazione in genere è conosciuta come spoofing IP. Con un indirizzo IP valido, ovvero un indirizzo IP compreso nell'intervallo di indirizzi IP di una subnet, l'autore dell'attacco può accedere alla rete e distruggere i dati o procedere con altri attacchi.

  • Reindirizzamento: reindirizzamento delle query relative ai nomi DNS a server controllati dall'autore dell'attacco. Un metodo di reindirizzamento consiste nel tentativo di eseguire accessi non autorizzati nella cache DNS di un server DNS per inserire dati DNS errati in grado di indirizzare le query future a server controllati dal malintenzionato. Se ad esempio inizialmente viene eseguita una query relativa a widgets.tailspintoys.com e una risposta di riferimento fornisce un record relativo a un nome esterno al dominio tailspintoys.com, ad esempio utente-malintenzionato.com, il server DNS utilizzerà i dati memorizzati nella cache relativi a utente-malintenzionato.com per risolvere una query per tale nome. Gli autori di attacchi possono eseguire il reindirizzamento in tutti i casi in cui dispongono dell'accesso in scrittura a dati DNS, ad esempio se gli aggiornamenti dinamici non sono sicuri.

Attenuare i rischi per la sicurezza DNS

Il DNS può essere configurato in modo da attenuare questi rischi di sicurezza DNS comuni. Nella tabella seguente vengono elencate cinque aree principali su cui concentrarsi per migliorare la sicurezza DNS.

Area di sicurezza DNS | Descrizione
Spazio dei nomi DNS | Incorporare la sicurezza DNS nella struttura dello spazio dei nomi DNS. Per ulteriori informazioni, vedere Proteggere la distribuzione DNS.
Servizio Server DNS | Controllare le impostazioni di sicurezza predefinite del servizio Server DNS e applicare le funzionalità di sicurezza di Active Directory quando il servizio Server DNS viene eseguito in un controller di dominio. Per ulteriori informazioni, vedere Proteggere il servizio Server DNS.
Zone DNS | Controllare le impostazioni di sicurezza predefinite delle zone DNS e applicare aggiornamenti dinamici sicuri e le funzionalità di sicurezza di Active Directory quando la zona DNS è ospitata in un controller di dominio. Per ulteriori informazioni, vedere Proteggere le zone DNS.
Record di risorse DNS | Controllare le impostazioni di sicurezza predefinite dei record di risorse DNS e applicare le funzionalità di sicurezza di Active Directory quando i record di risorse DNS vengono ospitati in un controller di dominio. Per ulteriori informazioni, vedere Proteggere i record di risorse DNS.
Client DNS | Specificare gli indirizzi IP dei server DNS utilizzati dai client DNS. Per ulteriori informazioni, vedere Proteggere i client DNS.

Tre livelli di sicurezza DNS

Nelle sezioni seguenti vengono descritti i tre livelli di sicurezza DNS.

Sicurezza di livello basso

La sicurezza di livello basso è una distribuzione DNS standard senza misure di sicurezza configurate. Distribuire questo livello di sicurezza DNS solo in ambienti di rete in cui non è importante preservare l'integrità dei dati DNS o in una rete interna non esposta al rischio di connettività esterna. La sicurezza DNS di livello basso ha le caratteristiche seguenti:

  • L'infrastruttura DNS dell'organizzazione è completamente esposta a Internet.

  • La risoluzione DNS standard viene eseguita da tutti i server DNS della rete.

  • Tutti i server DNS sono configurati con parametri radice che puntano ai server radice di Internet.

  • Tutti i server DNS consentono i trasferimenti di zona per qualsiasi server.

  • Tutti i server DNS sono configurati per restare in ascolto su tutti gli indirizzi IP.

  • La protezione della cache da accessi non autorizzati è disattivata in tutti i server DNS.

  • Gli aggiornamenti dinamici sono consentiti per tutte le zone DNS.

  • La porta UDP (User Datagram Protocol) e TCP/IP 53 è aperta nel firewall della rete per gli indirizzi di origine e di destinazione.

Sicurezza di livello medio

La sicurezza di livello medio utilizza le funzionalità di sicurezza DNS disponibili senza eseguire i server DNS nei controller di dominio e senza archiviare le zone DNS in Servizi di dominio Active Directory. La sicurezza DNS di livello medio ha le caratteristiche seguenti:

  • L'infrastruttura DNS dell'organizzazione è esposta a Internet in modo limitato.

  • Tutti i server DNS sono configurati in modo da utilizzare server d'inoltro che puntano a un elenco specifico di server DNS interni quando i nomi non possono essere risolti localmente.

  • Tutti i server DNS limitano i trasferimenti di zona ai server elencati nei record di risorse server dei nomi (NS) nelle relative zone.

  • I server DNS sono configurati per restare in ascolto su determinati indirizzi IP.

  • La protezione della cache da accessi non autorizzati è attivata in tutti i server DNS.

  • Gli aggiornamenti dinamici non sicuri non sono consentiti per le zone DNS.

  • I server DNS interni comunicano con i server DNS esterni attraverso il firewall con un elenco limitato di indirizzi di origine e di destinazione consentiti.

  • I server DNS esterni davanti al firewall sono configurati con parametri radice che puntano ai server radice di Internet.

  • L'intero processo di risoluzione dei nomi Internet viene eseguito utilizzando server proxy e gateway.

Sicurezza di livello alto

La sicurezza di livello alto si basa sulla stessa configurazione della sicurezza di livello medio. Vengono inoltre utilizzate le funzionalità di sicurezza disponibili quando il servizio Server DNS viene eseguito in un controller di dominio e le zone DNS vengono archiviate in Servizi di dominio Active Directory. La sicurezza di livello alto inoltre elimina completamente le comunicazioni DNS con Internet. Questa non è una configurazione tipica, ma è consigliata se la connettività Internet non è necessaria. La sicurezza DNS di livello alto ha le caratteristiche seguenti:

  • L'infrastruttura DNS dell'organizzazione non può comunicare con Internet tramite i server DNS interni.

  • Nella rete vengono utilizzati una radice e uno spazio dei nomi DNS interni, in cui l'autorità per le zone DNS è esclusivamente interna.

  • I server DNS configurati con server d'inoltro utilizzano solo indirizzi IP di server DNS interni.

  • Tutti i server DNS limitano i trasferimenti di zona a determinati indirizzi IP.

  • I server DNS sono configurati per restare in ascolto su determinati indirizzi IP.

  • La protezione della cache da accessi non autorizzati è attivata in tutti i server DNS.

  • I server DNS interni sono configurati con parametri radice che puntano ai server DNS interni che ospitano la zona radice dello spazio dei nomi interno.

  • Tutti i server DNS vengono eseguiti in controller di dominio. Nel servizio Server DNS è configurato un elenco di controllo di accesso discrezionale (DACL, Discretionary Access Control List) per consentire solo a determinati individui di svolgere attività di amministrazione nel server DNS.

  • Tutte le zone DNS sono archiviate in Servizi di dominio Active Directory. È configurato un elenco DACL per consentire solo a determinati individui di creare, eliminare o modificare zone DNS.

  • Nei record di risorse DNS sono configurati elenchi DACL per consentire solo a determinati individui di creare, eliminare o modificare dati DNS.

  • Gli aggiornamenti dinamici sicuri sono configurati per tutte le zone DNS, ad eccezione delle zone di primo livello e delle zone radice, in cui non sono consentiti aggiornamenti dinamici di alcun tipo.


Proteggere la distribuzione DNS

Proteggere la distribuzione DNS

Quando si progetta la distribuzione del server DNS (Domain Name System), attenersi alle linee guida per la sicurezza DNS seguenti:

  • Se gli host della rete non sono necessari per la risoluzione dei nomi in Internet, eliminare la comunicazione DNS con Internet.

    In questa struttura DNS è possibile utilizzare uno spazio dei nomi DNS privato ospitato interamente nella rete. Lo spazio dei nomi DNS privato viene distribuito come lo spazio dei nomi DNS Internet, con i server DNS interni che ospitano le zone per il dominio radice e i domini di primo livello.

  • Suddividere lo spazio dei nomi DNS dell'organizzazione tra i server DNS interni protetti dal firewall e i server DNS esterni al di là del firewall.

    In questa struttura DNS lo spazio dei nomi DNS interno è un sottodominio dello spazio dei nomi DNS esterno. Se ad esempio lo spazio dei nomi DNS Internet dell'organizzazione è tailspintoys.com, lo spazio dei nomi DNS interno della rete sarà corp.tailspintoys.com.

  • Ospitare lo spazio dei nomi DNS interno nei server DNS interni e lo spazio dei nomi DNS esterno nei server DNS esterni esposti a Internet.

    Per risolvere le query relative a nomi esterni eseguite da host interni, i server DNS interni di questa struttura DNS inoltrano le query di nomi esterni ai server DNS esterni. Gli host esterni utilizzano solo i server DNS esterni per la risoluzione dei nomi Internet.

  • Configurare il firewall di filtro dei pacchetti in modo da consentire solo la comunicazione tramite porta UDP e TCP 53 tra il server DNS esterno e un singolo server DNS interno.

    Questa struttura DNS semplifica le comunicazioni tra server DNS interni ed esterni e impedisce l'accesso allo spazio dei nomi DNS interno da parte di altri computer esterni.

Per ulteriori informazioni, vedere Informazioni sulla sicurezza per il DNS.


Proteggere il servizio Server DNS

Per proteggere i server DNS (Domain Name System) nella rete, attenersi alle linee guida seguenti.

Esaminare e configurare le impostazioni del servizio Server DNS che influiscono sulla sicurezza

Le opzioni di configurazione seguenti del servizio Server DNS hanno implicazioni relative alla sicurezza sia per il servizio Server DNS standard che per il servizio Server DNS integrato in Active Directory.

Impostazione predefinita Descrizione

Interfacce

Per impostazione predefinita, un servizio Server DNS in esecuzione in un computer multihomed è configurato per restare in ascolto delle query DNS utilizzando tutti i relativi indirizzi IP. Limitare gli indirizzi IP su cui il servizio Server DNS resta in ascolto al solo indirizzo IP utilizzato dai client DNS come server DNS preferito.

Per ulteriori informazioni, vedere Impostare un server DNS per restare in ascolto solo su determinati indirizzi.

Proteggi la cache da accessi non autorizzati

Per impostazione predefinita, nel servizio Server DNS la cache è protetta da accessi non autorizzati che possono avere origine da risposte a query DNS contenenti dati non autorevoli o dannosi. L'opzione Proteggi la cache da accessi non autorizzati consente di impedire all'eventuale autore di un attacco di accedere alla cache di un server DNS e inserire record di risorse non richiesti da tale server. La modifica di questa impostazione predefinita comporta una riduzione dell'integrità delle risposte fornite dal servizio Server DNS.

Per ulteriori informazioni, vedere Proteggere la cache del server da un utilizzo non autorizzato dei nomi.

Disattiva query ricorsiva

Per impostazione predefinita, nel servizio Server DNS la ricorsione non è disattivata. In questo modo il server DNS può eseguire query ricorsive per conto dei relativi client DNS e dei server DNS che gli hanno inoltrato query di client DNS. La ricorsione può essere utilizzata dagli autori di attacchi per negare il servizio Server DNS. Se pertanto un server DNS della rete non è designato per ricevere query ricorsive, è consigliabile disattivare la ricorsione.

Per ulteriori informazioni, vedere Disattivare la ricorsione nel server DNS.

Parametri radice

Se si dispone di una radice DNS interna nell'infrastruttura DNS, configurare i parametri radice dei server DNS interni in modo da puntare solo ai server DNS che ospitano il dominio radice interno e non ai server DNS che ospitano il dominio radice di Internet. In questo modo si evita che durante la risoluzione dei nomi i server DNS interni possano inviare informazioni private su Internet.

Per ulteriori informazioni, vedere Aggiornare i parametri radice nel server DNS e Aggiornare i parametri radice.

Gestire l'elenco DACL nei server DNS eseguiti nei controller di dominio

Oltre alle impostazioni predefinite del servizio Server DNS che influiscono sulla sicurezza già descritte, i server DNS configurati come controller di dominio utilizzano un elenco di controllo di accesso discrezionale (DACL, Discretionary Access Control List). L'elenco DACL può essere utilizzato per definire le autorizzazioni per gli utenti e i gruppi di Active Directory che controllano il servizio Server DNS.

Nella tabella seguente vengono elencati i nomi dei gruppi o degli utenti e le autorizzazioni predefiniti per il servizio Server DNS eseguito in un controller di dominio.

Nomi di gruppi o di utenti | Autorizzazioni
Administrators | Consentite: Lettura, Scrittura, Crea tutti gli oggetti figlio, Autorizzazioni di accesso speciali
Creator Owner | Autorizzazioni di accesso speciali
DnsAdmins | Consentite: Lettura, Scrittura, Crea tutti gli oggetti figlio, Elimina oggetti figli, Autorizzazioni di accesso speciali
Domain Admins | Consentite: Controllo completo, Lettura, Scrittura, Crea tutti gli oggetti figlio, Elimina oggetti figli
Enterprise Admins | Consentite: Controllo completo, Lettura, Scrittura, Crea tutti gli oggetti figlio, Elimina oggetti figli
Controller di dominio organizzazione | Consentite: Autorizzazioni di accesso speciali
Accesso compatibile precedente a Windows 2000 | Consentite: Autorizzazioni di accesso speciali
System | Consentite: Controllo completo, Lettura, Scrittura, Crea tutti gli oggetti figlio, Elimina oggetti figli

Quando il servizio Server DNS viene eseguito in un controller di dominio, è possibile gestire il relativo elenco DACL tramite l'oggetto MicrosoftDNS di Active Directory. Configurare l'elenco DACL nell'oggetto MicrosoftDNS equivale a configurarlo nel server DNS tramite Gestore DNS, che è il metodo consigliato. È consigliabile pertanto che gli amministratori della sicurezza degli oggetti di Active Directory e dei server DNS rimangano in contatto diretto per evitare di annullarsi reciprocamente le impostazioni di sicurezza effettuate.

Per ulteriori informazioni, vedere Informazioni sulla sicurezza per il DNS.


Proteggere le zone DNS

Le opzioni di configurazione delle zone DNS (Domain Name System) descritte nelle sezioni seguenti hanno implicazioni relative alla sicurezza sia per le zone DNS standard che per quelle integrate in Active Directory.

Configurare gli aggiornamenti dinamici sicuri

Per impostazione predefinita, l'opzione Aggiornamenti dinamici è configurata in modo da non consentire questo tipo di aggiornamenti. In tal modo infatti si garantisce una maggiore sicurezza, impedendo all'autore di un eventuale attacco di aggiornare le zone DNS. Si impedisce tuttavia anche di usufruire dei vantaggi amministrativi offerti dagli aggiornamenti dinamici. Per configurare i computer per aggiornare i dati DNS in modo più sicuro, archiviare le zone DNS in Servizi di dominio Active Directory e utilizzare la funzionalità di aggiornamento dinamico sicuro. Gli aggiornamenti dinamici sicuri limitano gli aggiornamenti delle zone DNS esclusivamente ai computer autenticati e aggiunti al dominio Active Directory in cui si trova il server DNS e alle specifiche impostazioni di sicurezza definite negli elenchi di controllo di accesso (ACL) della zona DNS.

Per ulteriori informazioni, vedere Consentire solo gli aggiornamenti dinamici sicuri.

Gestire l'elenco DACL nelle zone DNS archiviate in Servizi di dominio Active Directory

L'elenco di controllo di accesso discrezionale (DACL, Discretionary Access Control List) può essere utilizzato per definire le autorizzazioni per gli utenti e i gruppi di Active Directory che possono controllare le zone DNS.

Nella tabella seguente vengono elencati i nomi dei gruppi o degli utenti e le autorizzazioni predefiniti per le zone DNS archiviate in Servizi di dominio Active Directory.

Nomi di gruppi o di utenti | Autorizzazioni
Administrators | Consentite: Lettura, Scrittura, Crea tutti gli oggetti figlio, Autorizzazioni di accesso speciali
Authenticated Users | Consentite: Crea tutti gli oggetti figlio
Creator Owner | Autorizzazioni di accesso speciali
DnsAdmins | Consentite: Controllo completo, Lettura, Scrittura, Crea tutti gli oggetti figlio, Elimina oggetti figli, Autorizzazioni di accesso speciali
Domain Admins | Consentite: Controllo completo, Lettura, Scrittura, Crea tutti gli oggetti figlio, Elimina oggetti figli
Enterprise Admins | Consentite: Controllo completo, Lettura, Scrittura, Crea tutti gli oggetti figlio, Elimina oggetti figli
Controller di dominio organizzazione | Consentite: Controllo completo, Lettura, Scrittura, Crea tutti gli oggetti figlio, Elimina oggetti figli, Autorizzazioni di accesso speciali
Everyone | Consentite: Lettura, Autorizzazioni di accesso speciali
Accesso compatibile precedente a Windows 2000 | Consentite: Autorizzazioni di accesso speciali
System | Consentite: Controllo completo, Lettura, Scrittura, Crea tutti gli oggetti figlio, Elimina oggetti figli

Per ulteriori informazioni, vedere Modificare la sicurezza per una zona integrata in Active Directory.

Il servizio Server DNS in esecuzione in un controller di dominio con zone archiviate in Servizi di dominio Active Directory archivia i dati delle zone in Servizi di dominio Active Directory utilizzando oggetti e attributi di Active Directory. Configurare l'elenco DACL negli oggetti DNS di Active Directory equivale a configurarlo nelle zone DNS in Gestore DNS. È consigliabile pertanto che gli amministratori della sicurezza degli oggetti di Active Directory e dei dati DNS rimangano in contatto diretto per evitare di annullarsi reciprocamente le impostazioni di sicurezza effettuate.

Nella tabella seguente vengono descritti gli oggetti e gli attributi di Active Directory utilizzati dai dati delle zone DNS.

Oggetto | Descrizione
DnsZone | Questo contenitore viene creato quando una zona viene archiviata in Servizi di dominio Active Directory.
DnsNode | Questo oggetto foglia viene utilizzato per mappare e associare un nome nella zona a dati di risorse.
DnsRecord | Questo attributo multivalore di un oggetto dnsNode viene utilizzato per archiviare i record di risorse che sono associati all'oggetto nodo indicato.
DnsProperty | Questo attributo multivalore di un oggetto dnsZone viene utilizzato per archiviare informazioni sulla configurazione delle zone.

Limitare i trasferimenti di zona

Per impostazione predefinita, il servizio Server DNS consente il trasferimento delle informazioni delle zone solo per i server elencati nei record di risorse server dei nomi (NS) di una zona. Questa è una configurazione sicura, ma per garantire una sicurezza maggiore è consigliabile impostarla in modo da consentire i trasferimenti di zona solo per gli indirizzi IP specificati. Se si modifica questa impostazione consentendo i trasferimenti di zona per qualsiasi server si rischia di esporre i dati DNS a un tentativo di footprinting della rete da parte di un malintenzionato.

Per ulteriori informazioni, vedere Modificare le impostazioni dei trasferimenti di zona.

Comprendere le implicazioni associate alla delega di una zona

Quando si valuta se delegare i nomi di dominio DNS a zone ospitate in server DNS amministrati separatamente, è importante tenere conto delle implicazioni relative alla sicurezza che derivano dal consentire a più individui di amministrare i dati DNS della rete. La delega di una zona DNS implica un compromesso tra i vantaggi che si otterrebbero in termini di sicurezza avendo un solo server DNS autorevole per tutti i dati DNS e i vantaggi amministrativi che si otterrebbero distribuendo la responsabilità dello spazio dei nomi DNS tra più amministratori. Questo aspetto diventa più evidente quando si delegano i domini di primo livello di uno spazio dei nomi DNS privato, poiché in tali domini sono contenuti dati DNS critici.

Per ulteriori informazioni, vedere Informazioni sulla delega delle zone.

Ripristinare i dati di una zona DNS

Se i dati DNS si danneggiano, è possibile ripristinare il file di zona DNS dalla cartella di backup contenuta in %systemroot%/DNS/Backup. Quando viene creata una zona, ne viene aggiunta una copia nella cartella di backup. Per ripristinare la zona, copiare il file di zona originale dalla cartella di backup nella cartella %systemroot%/DNS. Quando si utilizza la Creazione guidata nuova zona per creare la zona, specificare il file di zona contenuto nella cartella %systemroot%/DNS come file di zona per la nuova zona. Per ulteriori informazioni, vedere Aggiungere una zona di ricerca diretta.

Questa operazione si applica solo alle zone standard non archiviate in Servizi di dominio Active Directory.

Per ulteriori informazioni, vedere Informazioni sulla sicurezza per il DNS.


Proteggere i record di risorse DNS

Le opzioni di configurazione dei record di risorse DNS (Domain Name System) seguenti hanno implicazioni relative alla sicurezza per i record di risorse archiviati sia in zone DNS standard che in zone DNS integrate in Active Directory.

Gestire l'elenco DACL nei record di risorse DNS archiviati in Servizi di dominio Active Directory

L'elenco di controllo di accesso discrezionale (DACL, Discretionary Access Control List) può essere utilizzato per definire le autorizzazioni per gli utenti e i gruppi di Active Directory che possono controllare i record di risorse DNS. Per ulteriori informazioni, vedere Modificare la sicurezza per un record di risorse.

Nella tabella seguente vengono elencati i nomi dei gruppi o degli utenti e le autorizzazioni predefiniti per i record di risorse DNS archiviati in Servizi di directory Active Directory.

Nomi di gruppi o di utenti | Autorizzazioni
Administrators | Consentite: Lettura, Scrittura, Crea tutti gli oggetti figlio, Autorizzazioni di accesso speciali
Authenticated Users | Consentite: Crea tutti gli oggetti figlio
Creator Owner | Autorizzazioni di accesso speciali
DnsAdmins | Consentite: Controllo completo, Lettura, Scrittura, Crea tutti gli oggetti figlio, Elimina oggetti figli, Autorizzazioni di accesso speciali
Domain Admins | Consentite: Controllo completo, Lettura, Scrittura, Crea tutti gli oggetti figlio, Elimina oggetti figli
Enterprise Admins | Consentite: Controllo completo, Lettura, Scrittura, Crea tutti gli oggetti figlio, Elimina oggetti figli
Controller di dominio organizzazione | Consentite: Controllo completo, Lettura, Scrittura, Crea tutti gli oggetti figlio, Elimina oggetti figli, Autorizzazioni di accesso speciali
Everyone | Consentite: Lettura, Autorizzazioni di accesso speciali
Accesso compatibile precedente a Windows 2000 | Consentite: Autorizzazioni di accesso speciali
System | Consentite: Controllo completo, Lettura, Scrittura, Crea tutti gli oggetti figlio, Elimina oggetti figli

Per ulteriori informazioni, vedere Informazioni sulla sicurezza per il DNS.


Proteggere i client DNS

Le considerazioni sui client DNS (Domain Name System) illustrate di seguito hanno implicazioni relative alla sicurezza per i client DNS di un'infrastruttura DNS.

Ove possibile, specificare indirizzi IP statici per i server DNS preferiti e alternativi utilizzati da un client DNS.

Un client DNS configurato per ottenere automaticamente gli indirizzi dei server DNS otterrà tali indirizzi da un server DHCP (Dynamic Host Configuration Protocol). Benché sia sicuro, questo metodo per ottenere gli indirizzi dei server DNS può essere considerato tale solo in funzione del livello di sicurezza del server DHCP. Configurando i client DNS con indirizzi IP statici per i server DNS preferiti e alternativi, si chiude una possibile via di accesso per eventuali attacchi.

Per ulteriori informazioni, vedere Attivare il DNS per client abilitati per il protocollo DHCP.

Stabilire quali client DNS possono accedere al server DNS

Se un server DNS è configurato per restare in ascolto solo su determinati indirizzi IP, potrà essere contattato solo dai client DNS configurati per utilizzare tali indirizzi IP come server DNS preferiti e alternativi.

Per ulteriori informazioni, vedere Impostare un server DNS per restare in ascolto solo su determinati indirizzi.

Per ulteriori informazioni, vedere Informazioni sulla sicurezza per il DNS.


Risolvere i problemi relativi al DNS

È possibile utilizzare le informazioni contenute negli argomenti seguenti per isolare e risolvere i problemi relativi all'infrastruttura DNS (Domain Name System).

  • Risolvere i problemi relativi ai client DNS

  • Risolvere i problemi relativi ai server DNS

  • Risolvere i problemi relativi agli aggiornamenti dinamici

  • Risolvere i problemi relativi alle zone


Risolvere i problemi relativi ai client DNS

Problema riscontrato

  • Il client DNS ha ricevuto un messaggio di errore "Nome non trovato".

  • Il client DNS sembra aver ricevuto una risposta contenente informazioni obsolete o non corrette.

  • Nel client DNS sembra essersi verificato un problema diverso da quelli descritti.

Il client DNS ha ricevuto un messaggio di errore "Nome non trovato".

Causa: il computer client DNS (Domain Name System) non dispone di una configurazione IP valida per la rete.

Soluzione: verificare che le impostazioni di configurazione TCP/IP per il computer client siano corrette, soprattutto quelle utilizzate per la risoluzione dei nomi DNS.

Per verificare una configurazione IP client, utilizzare il comando ipconfig. Nell'output del comando verificare che il client disponga di un indirizzo IP, di una subnet mask e di un gateway predefinito validi per la rete a cui è collegato e in cui viene utilizzato.

Se il client non dispone di una configurazione TCP/IP valida, è possibile eseguire una delle operazioni seguenti:

  • Per i client configurati in modo dinamico, utilizzare il comando ipconfig /renew per forzare manualmente il client a rinnovare la configurazione dell'indirizzo IP con il server DHCP (Dynamic Host Configuration Protocol).

  • Per i client configurati in modo statico, modificare le proprietà TCP/IP in modo da utilizzare impostazioni di configurazione valide oppure completare la configurazione DNS per la rete. Non configurare i client per l'utilizzo congiunto di server DNS integrati in Servizi di dominio Active Directory e di server DNS ISP (Internet Service Provider). Configurarli invece in modo da utilizzare solo server DNS integrati in Servizi di dominio Active Directory e impostare tali server in modo che inoltrino le query ai server DNS ISP.

Per ulteriori informazioni, vedere Gestire client.

Causa: il client non è riuscito a contattare un server DNS a causa di un errore di rete o hardware.

Soluzione: verificare che il computer client disponga di una connessione di rete valida e funzionante. Controllare innanzitutto che l'hardware correlato del client, ad esempio i cavi e le schede di rete, funzioni correttamente eseguendo operazioni di base per la risoluzione dei problemi relativi alla rete e all'hardware.

Se l'hardware del client è pronto e correttamente funzionante, utilizzare il comando ping per verificare che sia in grado di contattare altri computer della stessa rete.

Causa: il client DNS non riesce a contattare i relativi server DNS configurati.

Soluzione: se il client DNS dispone della connettività di base alla rete, verificare che sia in grado di contattare un server DNS preferito o alternativo.

Per verificare se un client dispone di accesso TCP/IP di base al server DNS, provare innanzitutto a contattare il server DNS preferito tramite il relativo indirizzo IP utilizzando il comando ping.

Se, ad esempio, il client utilizza un server DNS preferito con indirizzo 10.0.0.1, digitare ping 10.0.0.1 al prompt dei comandi nel computer client. In caso di dubbi sull'indirizzo IP del server DNS preferito, è possibile visualizzarlo utilizzando il comando ipconfig. Nel computer client, ad esempio, digitare ipconfig /all|more se necessario per interrompere la visualizzazione in modo da poter leggere e prendere nota degli indirizzi IP elencati in Server DNS nell'output del comando.

Se al ping diretto dell'indirizzo IP non risponde alcun server DNS configurato, è più probabile che vi sia un problema di connettività di rete tra il client e i server DNS. In questo caso, per risolvere il problema, eseguire le operazioni di base per la risoluzione dei problemi relativi alla rete TCP/IP.

Causa: il server DNS non è in esecuzione o non risponde alle query.

Soluzione: se il client DNS può eseguire il ping del computer server DNS, verificare che tale server sia stato avviato e sia in grado di restare in ascolto e rispondere alle richieste dei client. Provare a utilizzare il comando nslookup per verificare se il server può rispondere ai client DNS.

Per ulteriori informazioni, vedere Avviare o arrestare un server DNS.

Causa: il server DNS utilizzato dal client non dispone dell'autorità per il nome che ha restituito l'errore e non è in grado di individuare il server autorevole per tale nome.

Soluzione: verificare che il nome di dominio DNS che il client sta tentando di risolvere sia il nome di dominio DNS per il quale sono autorevoli i relativi server DNS configurati.

Se ad esempio il client tenta di risolvere il nome host.widgets.tailspintoys.com, verificare che il server DNS preferito, o eventualmente quello alternativo, interrogato dal client carichi la zona autorevole contenente un record di risorse host (A) per il nome che ha restituito l'errore.

Se il server preferito è autorevole per il nome che ha restituito l'errore e carica la zona applicabile, stabilire se nella zona mancano i record di risorse appropriati. Se necessario, aggiungere tali record di risorse alla zona.

Se il server preferito non è autorevole per il nome che ha restituito l'errore, è probabile che il problema sia dovuto a errori di configurazione nel server DNS. Come necessario, investigare ulteriormente e risolvere il problema nel server DNS.

Per ulteriori informazioni, vedere Gestire record di risorse e Risolvere i problemi relativi ai server DNS.

Il client DNS sembra aver ricevuto una risposta contenente informazioni obsolete o non corrette.

Causa: il server DNS utilizzato dal client non dispone dell'autorità per il nome che ha restituito l'errore e utilizza informazioni obsolete provenienti dal relativo database DNS locale.

Soluzione: determinare se il server DNS è autorevole per il nome e procedere di conseguenza.

Se, ad esempio, il client tenta di risolvere il nome host.widgets.tailspintoys.com, verificare che il server DNS preferito, o eventualmente quello alternativo, interrogato dal client carichi la zona autorevole contenente un record di risorse host (A) per il nome che ha restituito l'errore.

Se il server preferito è autorevole per il nome e ha risposto con dati non corretti, è possibile che nella zona applicabile i dati dei record di risorse applicabili contengano informazioni obsolete o non aggiornate. In questo caso, è possibile aggiungere o rimuovere dalla zona il record di risorse appropriato.

Un'altra soluzione, applicabile se sono attivati gli aggiornamenti automatici, consiste nel forzare la registrazione e l'aggiornamento nel computer di destinazione della query. È possibile forzare l'aggiornamento della registrazione dei record di risorse digitando il comando ipconfig /registerdns al prompt dei comandi.

Se il server preferito non è un'autorità diretta per il nome oggetto della query, è probabile che abbia risposto alla query in base alle informazioni ottenute e memorizzate nella cache durante una ricerca ricorsiva precedente. In questo caso, valutare la possibilità di cancellare il contenuto della cache dei nomi del server. In questo modo il server viene forzato a utilizzare nuove query ricorsive per i dati dei record di risorse e a generare di nuovo il contenuto della cache utilizzando informazioni aggiornate.

Per ulteriori informazioni, vedere Gestire record di risorse e Risolvere i problemi relativi ai server DNS.

Causa: il server DNS preferito è un server secondario per la zona contenente il nome in questione e dispone di informazioni obsolete.

Soluzione: se il server che ha risposto al client è un server secondario per la zona, è possibile che la versione della zona in uso nel server sia obsoleta e debba pertanto essere aggiornata più spesso.

Come soluzione immediata è possibile avviare un trasferimento di zona dal server secondario al relativo server master per aggiornare la zona. È inoltre possibile considerare la possibilità di utilizzare una o più delle alternative seguenti per garantire in futuro la disponibilità di dati più aggiornati nella zona secondaria:

  • Specificare server master aggiuntivi utilizzabili dal server secondario per aggiornare la zona.

  • Modificare leggermente l'intervallo di aggiornamento nella zona in modo da ridurre l'intervallo di tempo durante il quale tutti i server autorevoli per la zona possono utilizzarla prima che debbano aggiornarla.

  • Configurare un elenco di notifica nel server master che opera come origine della zona per il server secondario e abilitarlo per l'invio di una notifica a tale server ogni volta che la zona viene modificata.

Causa: il nome oggetto della query è stato specificato in modo non corretto nell'input dell'utente o in una configurazione archiviata nel client.

Soluzione: verificare che il nome sia stato specificato in modo corretto nell'applicazione di origine della query relativa al nome.

Nella maggior parte dei casi la presenza di dati non corretti in una risposta a una query positiva indica tre possibilità:

  • Un utente ha immesso nel client un nome DNS non corretto.

  • Nel client è stato utilizzato un nome breve non qualificato che è stato completato dal resolver locale con un suffisso DNS indesiderato.

  • I record di risorse specificati nella query non sono stati aggiornati correttamente nel server DNS.

Verificare che il nome non sia stato immesso in modo errato dall'utente. A tale scopo, controllare la serie esatta di caratteri specificati dall'utente quando è stata eseguita la query DNS originale oppure controllare le impostazioni dell'applicazione, ad esempio le impostazioni delle eventuali configurazioni della posta Internet o del Web browser effettuate.

Se il nome utilizzato nella query originale è un nome non qualificato e non il nome di dominio completo (FQDN), provare a utilizzare l'FQDN nell'applicazione client e a ripetere la query. In questo caso, ricordarsi di includere il punto finale (.) dopo il nome per indicare che il nome specificato è un FQDN esatto.

Se la query con FQDN ha esito positivo e restituisce nella risposta dati corretti, la causa più probabile del problema è la presenza di un elenco di ricerca dei suffissi di dominio DNS configurato in modo errato nelle impostazioni del resolver del client.

Se il DNS viene utilizzato in un ambiente che non supporta gli aggiornamenti dinamici o in cui in genere i dati delle zone vengono amministrati manualmente, è inoltre possibile verificare che i record di risorse coinvolti nella risposta alla query non siano stati immessi in modo errato. Visualizzarli per controllare che i dati dei record archiviati nella zona siano corretti o modificarli di conseguenza, se necessario.

Causa: è possibile che nella zona primaria vi siano dati mancanti o non corretti.

Soluzione: verificare che nel server primario per la zona siano disponibili dati corretti e accurati.

La causa principale per cui in un server DNS primario di una zona risultino dati mancanti o incompleti è una richiesta di aggiornamento non riuscita. È possibile che il supporto dell'aggiornamento dinamico non sia stato implementato o configurato in modo completo. Per risolvere il problema, rivedere il protocollo di aggiornamento dinamico DNS nella specifica RFC (Request for Comments) 2136 e gli eventuali requisiti previsti per i server e i client DNS in cui viene utilizzato.

Per le zone integrate in Active Directory è inoltre possibile che i record interessati dalla query non riuscita siano stati aggiornati in Servizi di dominio Active Directory ma non siano stati replicati in tutti i server DNS che caricano la zona. Per impostazione predefinita, tutti i server DNS che caricano le zone da Servizi di dominio Active Directory eseguono il polling a intervalli ben definiti, in genere ogni 15 minuti, e aggiornano la zona in base alle eventuali modifiche incrementali a essa apportate. Nella maggior parte dei casi un aggiornamento DNS non richiede più di 20 minuti per essere replicato in tutti i server DNS di un ambiente di dominio Active Directory con impostazioni di replica predefinite e collegamenti affidabili ad alta velocità.

Se le zone sono state configurate in modo specifico per disattivare l'aggiornamento dinamico, ricordarsi che è necessario aggiungere e aggiornare manualmente la maggior parte dei tipi di record di risorse utilizzati in una zona. In questo caso, utilizzare Gestore DNS per visualizzare e aggiornare i record interessati.

Un'altra possibile causa della presenza di dati non corretti è Windows Internet Name Service (WINS). Stabilire se nella zona è attivata e in uso l'integrazione delle ricerche WINS. Se nelle zone si utilizza la ricerca WINS, verificare che non sia WINS l'origine dei dati non corretti.

Per ulteriori informazioni, vedere Risolvere i problemi relativi agli aggiornamenti dinamici e Gestire record di risorse.

Nel client DNS sembra essersi verificato un problema diverso da quelli descritti.

Causa: il problema che si è verificato non è descritto in questo argomento.

Soluzione: nel sito Microsoft TechNet (http://go.microsoft.com/fwlink/?LinkId=170) ricercare le informazioni tecniche più aggiornate che potrebbero essere correlate al problema verificatosi. Se necessario, è possibile ottenere informazioni e istruzioni pertinenti per la risoluzione del problema specifico.

Se è disponibile una connessione a Internet, è possibile scaricare gli aggiornamenti del sistema operativo più recenti nel sito Microsoft Update (http://go.microsoft.com/fwlink/?LinkId=284).


Risolvere i problemi relativi ai server DNS

Problema riscontrato

  • Il server DNS non risponde ai client.

  • Il server DNS non risolve correttamente i nomi.

  • Nel server DNS sembra essersi verificato un problema diverso da quelli descritti.

Il server DNS non risponde ai client.

Causa: nel server DNS (Domain Name System) si è verificato un errore di rete.

Soluzione: verificare che il computer server disponga di una connessione di rete valida e funzionante. Controllare innanzitutto che l'hardware correlato del client, ad esempio i cavi e le schede di rete, funzioni correttamente eseguendo operazioni di base per la risoluzione dei problemi relativi alla rete e all'hardware.

Se l'hardware del server è pronto e configurato correttamente, verificare la connettività di rete utilizzando il comando ping per contattare altri computer o router, ad esempio il gateway predefinito, in uso e disponibili nella stessa rete dei server DNS interessati.

Causa: il server DNS è raggiungibile con il testing di rete di base, ma non risponde alle query DNS provenienti dai client.

Soluzione: se il client DNS può eseguire il ping del computer server DNS, verificare che il server DNS sia stato avviato e sia in grado di restare in ascolto e rispondere alle richieste dei client. Provare a utilizzare il comando nslookup per verificare se il server può rispondere ai client DNS.

Per ulteriori informazioni, vedere Avviare o arrestare un server DNS.

Causa: il server DNS è stato configurato per limitare il servizio a un elenco specifico di relativi indirizzi IP configurati. L'indirizzo IP utilizzato originariamente per testare la velocità di risposta del server non è incluso in questo elenco.

Soluzione: se il server è stato precedentemente configurato per limitare gli indirizzi IP per i quali risponde alle query, è possibile che l'indirizzo IP utilizzato dai client per contattarlo non sia contenuto nell'elenco di indirizzi IP limitati a cui è consentito fornire il servizio ai client.

Provare di nuovo a vedere se il server invia una risposta specificando però un indirizzo IP diverso contenuto nell'elenco di interfacce limitate per il server. Se il server DNS risponde a questo indirizzo, aggiungere l'indirizzo IP mancante all'elenco.

Causa: il server DNS è stato configurato in modo da impedire l'utilizzo delle zone di ricerca inversa predefinite create automaticamente.

Soluzione: verificare che nel server siano state create automaticamente zone di ricerca inversa o che non siano state apportate in precedenza modifiche alla configurazione avanzata.

Per impostazione predefinita, nei server DNS vengono create automaticamente le tre zone di ricerca inversa standard descritte più avanti, secondo le specifiche RFC (Request for Comments).

Queste zone vengono create con indirizzi IP comuni coperti che non sono utili per le ricerche inverse, ovvero 0.0.0.0, 127.0.0.1 e 255.255.255.255. Poiché il servizio DNS è autorevole per le zone corrispondenti a questi indirizzi, il server DNS evita una ricorsione non necessaria ai server radice per eseguire ricerche inverse su questi tipi di indirizzi IP.

È possibile che tali zone automatiche non vengano create. Questa eventualità è tuttavia poco probabile, poiché impedendo la creazione delle suddette zone si rende necessaria la configurazione manuale avanzata del Registro di sistema del server da parte dell'utente.

Per verificare che queste zone siano state create, eseguire le operazioni seguenti:

  1. Aprire Gestore DNS.

  2. Scegliere Avanzate dal menu Visualizza.

  3. Nell'albero della console fare clic su Zone di ricerca inversa.

    Percorso

    • DNS/server DNS applicabile/Zone di ricerca inversa

  4. Nel riquadro dei dettagli verificare che siano presenti le zone di ricerca inversa seguenti:

    • 0.in-addr.arpa

    • 127.in-addr.arpa

    • 255.in-addr.arpa

Causa: il server DNS è configurato per utilizzare una porta di servizio non predefinita, ad esempio in una configurazione di sicurezza avanzata o con firewall.

Soluzione: verificare che nel server DNS non sia in uso una configurazione non standard.

È raro che la causa del problema sia questa, anche se è comunque possibile. Per impostazione predefinita, il comando nslookup invia query a server DNS di destinazione utilizzando la porta UDP (User Datagram Protocol) 53. Se il server DNS si trova in un'altra rete ed è raggiungibile solo tramite un host intermedio, ad esempio un server proxy o un router di filtro pacchetti, è possibile che utilizzi una porta non standard per restare in ascolto e ricevere le richieste dei client.

In questo caso, stabilire se viene utilizzata intenzionalmente una configurazione con firewall o server proxy intermedio per bloccare il traffico su porte di servizio solitamente utilizzate per il DNS. In caso contrario, potrebbe essere possibile aggiungere un tale filtro di pacchetti a queste configurazioni per consentire il traffico verso le porte DNS standard.

Esaminare inoltre il registro eventi del server DNS per controllare se si è verificato l'evento con ID 414 o altri eventi critici relativi al servizio che potrebbero chiarire il motivo per cui il server DNS non risponde.

Il server DNS non risolve correttamente i nomi.

Causa: il server DNS invia dati non corretti per le query alle quali fornisce una risposta.

Soluzione: risalire alla causa dei dati non corretti del server DNS.

Di seguito sono elencate alcune delle cause più probabili:

  • In una zona i record di risorse non sono stati aggiornati in modo dinamico.

  • È stato commesso un errore durante l'aggiunta o la modifica manuale dei record di risorse statici nella zona.

  • I record di risorse obsoleti lasciati nel database dei server DNS da ricerche memorizzate nella cache o da record di zona non sono stati aggiornati con le informazioni correnti o non sono stati rimossi quando non erano più necessari.

Per evitare i tipi di problemi più comuni, leggere i suggerimenti per la distribuzione e la gestione dei server DNS forniti nelle procedure consigliate. Seguire e utilizzare inoltre gli elenchi di controllo per l'installazione e la configurazione dei server e dei client DNS in base alle proprie esigenze di distribuzione.

Se si distribuisce il DNS per Servizi di dominio Active Directory, considerare le nuove funzionalità di integrazione in Active Directory. Queste funzionalità possono dare luogo ad alcune differenze nelle impostazioni predefinite dei server DNS, se il database è integrato in Active Directory, rispetto alle impostazioni predefinite dei server DNS utilizzate con la tradizionale archiviazione su file.

Molti dei problemi relativi ai server DNS hanno origine da query non riuscite in un client. È spesso consigliabile pertanto partire da questo punto e risolvere innanzitutto i problemi del client DNS.

Per ulteriori informazioni, vedere Risolvere i problemi relativi ai client DNS.

Causa: il server DNS non risolve i nomi per computer o servizi all'esterno della rete immediata, ad esempio i nomi di computer o servizi dislocati in reti esterne o su Internet.

Soluzione: nel server la ricorsione non viene eseguita correttamente. La ricorsione viene utilizzata nella maggior parte delle configurazioni DNS per risolvere i nomi esterni al nome di dominio DNS configurato utilizzato dai server e dai client DNS.

Se un server DNS non riesce a risolvere un nome per il quale non è autorevole, il problema in genere dipende da una query ricorsiva non riuscita. Le query ricorsive vengono utilizzate frequentemente dai server DNS per risolvere nomi remoti delegati ad altre zone e altri server DNS.

Per un corretto funzionamento della ricorsione, tutti i server DNS nel percorso di una query ricorsiva devono essere in grado di rispondere e inoltrare dati corretti. In caso contrario, la query ricorsiva può avere esito negativo per le ragioni seguenti:

  • Si verifica il timeout della query ricorsiva prima che possa essere completato.

  • Un server DNS remoto non risponde.

  • Un server DNS remoto fornisce dati non corretti.

Causa: il server DNS non è configurato per utilizzare altri server DNS per la risoluzione delle query.

Soluzione: verificare che il server DNS sia in grado di utilizzare sia i server d'inoltro che la ricorsione.

Per impostazione predefinita, tutti i server DNS sono abilitati all'utilizzo della ricorsione, benché in Gestore DNS sia possibile configurare l'opzione per disattivare tale utilizzo per modificare le opzioni server avanzate. È inoltre possibile che la ricorsione sia disattivata se il server è configurato per l'utilizzo dei server d'inoltro e per tale configurazione la ricorsione è stata disattivata in modo specifico.

Nota

Se si disattivano le query ricorsive nel server DNS, non sarà possibile utilizzare server d'inoltro nello stesso server.

Per ulteriori informazioni, vedere Configurare un server DNS per l'utilizzo di server d'inoltro.

Causa: i parametri radice correnti del server DNS non sono validi.

Soluzione: controllare se i parametri radice del server sono validi.

Se sono configurati e utilizzati correttamente, i parametri radice devono sempre puntare ai server DNS autorevoli per la zona contenente la radice del dominio e i domini di primo livello.

Per impostazione predefinita, i server DNS sono configurati in modo da utilizzare i parametri radice appropriati per la distribuzione, in base agli scenari seguenti disponibili quando si utilizza Gestore DNS per configurare un server:

  1. Se il server DNS viene installato come primo server DNS della rete, viene configurato come server radice.

    Per questa configurazione, i parametri radice sono disattivati nel server perché quest'ultimo è autorevole per la zona radice.

  2. Se il server installato è un server DNS aggiuntivo per la rete, è possibile utilizzare la Configurazione guidata server DNS per aggiornare i parametri radice in base a un server DNS esistente nella rete.

  3. Se non vi sono altri server DNS nella rete ed è comunque necessario risolvere i nomi DNS Internet, è possibile utilizzare il file dei parametri radice predefiniti, in cui è incluso un elenco di server radice di Internet autorevoli per lo spazio dei nomi DNS Internet.

Causa: il server DNS non dispone della connettività di rete verso i server radice.

Soluzione: testare la connettività verso i server radice.

Se i parametri radice sono configurati correttamente, verificare che il server DNS utilizzato in una query non riuscita sia in grado di eseguire il ping dei relativi server radice utilizzando l'indirizzo IP.

Se un tentativo di ping verso uno dei server radice ha esito negativo, è possibile che un indirizzo IP di tale server radice sia cambiato. È insolito tuttavia che i server radice vengano riconfigurati.

È più probabile che si sia verificata una perdita completa di connettività di rete o, in alcuni casi, un rallentamento delle prestazioni di rete sui collegamenti di rete intermedi tra il server DNS e i relativi server radice configurati. Seguire i passaggi previsti per la risoluzione dei problemi di base della rete TCP/IP per effettuare la diagnostica delle connessioni e stabilire se è questa la causa.

Per impostazione predefinita, il servizio DNS applica un timeout ricorsivo di 15 secondi prima che una query ricorsiva venga considerata in errore. In condizioni di rete normali questo valore di timeout non deve essere modificato. È comunque possibile aumentarlo se le prestazioni lo rendono necessario.

Per esaminare ulteriori informazioni relative alle prestazioni per le query DNS, è possibile attivare e utilizzare il file di registro di debug del server DNS, Dns.log. In questo registro sono disponibili informazioni dettagliate su alcuni tipi di eventi correlati ai servizi.

Causa: si verificano altri problemi durante l'aggiornamento dei dati dei server DNS, ad esempio un problema con le zone o gli aggiornamenti dinamici.

Soluzione: determinare se il problema è correlato alle zone. Risolvere come necessario gli eventuali problemi riscontrati in quest'area, ad esempio possibili errori nel trasferimento di zona.

Per ulteriori informazioni, vedere Risolvere i problemi relativi agli aggiornamenti dinamici e Risolvere i problemi relativi alle zone.

Nel server DNS sembra essersi verificato un problema diverso da quelli descritti.

Causa: il problema che si è verificato non è descritto in questo argomento.

Soluzione: nel sito TechNet (http://go.microsoft.com/fwlink/?LinkId=170) ricercare le informazioni tecniche più aggiornate che potrebbero essere correlate al problema verificatosi. Se necessario, è possibile ottenere informazioni e istruzioni pertinenti per la risoluzione del problema specifico.

Se è disponibile una connessione a Internet, è possibile scaricare gli aggiornamenti del sistema operativo più recenti nel sito Microsoft Update (http://go.microsoft.com/fwlink/?LinkId=284).


Risolvere i problemi relativi agli aggiornamenti dinamici

Problema riscontrato

  • Nel client DNS non vengono eseguiti gli aggiornamenti dinamici.

  • Nel server DNS non vengono eseguiti gli aggiornamenti dinamici.

  • Il problema riscontrato con gli aggiornamenti dinamici è diverso da quelli descritti.

Nel client DNS non vengono eseguiti gli aggiornamenti dinamici.

Causa: il client o il relativo server DHCP (Dynamic Host Configuration Protocol) non supporta l'utilizzo del protocollo di aggiornamento dinamico DNS (Domain Name System).

Soluzione: verificare che i client o i server supportino il protocollo di aggiornamento dinamico DNS.

Affinché i computer client vengano registrati e aggiornati in modo dinamico con un server DNS, eseguire una delle operazioni seguenti:

  • Installare o aggiornare i computer client alla versione corrente di Windows.

  • Installare e utilizzare il servizio server DHCP in rete per eseguire il lease dei computer client.

Per impostazione predefinita, i computer tentano di eseguire la registrazione e l'aggiornamento dinamico dei relativi nomi DNS e indirizzi IP con un server DNS.

Per altri tipi di computer, è possibile distribuire server DHCP Windows Server 2008, che consentono di eseguire registrazioni e aggiornamenti proxy in base alle diverse esigenze per i client non dinamici.

Ulteriori considerazioni

  • Per impostazione predefinita, il client DNS in Microsoft Windows XP o Microsoft Windows Vista non tenta di eseguire l'aggiornamento dinamico tramite una connessione RAS (Servizio di accesso remoto, Remote Access Service) o VPN (Rete privata virtuale, Virtual Private Network). Per modificare questa configurazione, è possibile modificare le impostazioni TCP/IP avanzate della connessione di rete in questione oppure intervenire sul Registro di sistema. Per ulteriori informazioni, vedere la pagina con le informazioni di riferimento per il Registro di sistema del Resource Kit di Windows Server 2003 (http://go.microsoft.com/fwlink/?LinkId=428).

  • Per impostazione predefinita, il client DNS non tenta aggiornamenti dinamici delle zone di domini di livello superiore (TLD, Top Level Domain). Qualsiasi zona a cui viene assegnato un nome con etichetta singola è considerata una zona di dominio di livello superiore, ad esempio com, edu, blank, my-company. Per configurare il client DNS per consentire l'aggiornamento dinamico delle zone di domini di livello superiore, utilizzare l'impostazione dei criteri Aggiorna zone di domini di livello superiore (Top Level Domain) o modificare il Registro di sistema.

Causa: il client non è riuscito a registrarsi nel server DNS a causa di problemi intermittenti con tale server o con la rete.

Soluzione: nel computer client utilizzare il comando ipconfig a seconda che si desideri tentare di nuovo la registrazione o il rinnovo e l'aggiornamento delle informazioni client con il server DNS.

È possibile utilizzare l'opzione di comando ipconfig /regsiterdns per forzare manualmente un nuovo tentativo di registrazione dinamica del computer client.

Per i computer che eseguono versioni precedenti di Windows, è possibile utilizzare le opzioni del comando ipconfig per verificare, visualizzare o rinnovare i dettagli di configurazione TCP/IP del client in base alle esigenze.

Se, ad esempio, il computer client ottiene il lease degli indirizzi IP da un server DHCP, è possibile utilizzare il comando ipconfig /renew per forzare il client a rinnovare il lease con il server DHCP. In questo modo il server DHCP invierà per conto del client una richiesta di aggiornamento al relativo server DNS configurato.

Se il server DHCP riesce a eseguire l'aggiornamento con il server DNS, come risultato le informazioni relative al nome host DNS e all'indirizzo IP del computer client saranno aggiornate nel database DNS.

Causa: il client non è riuscito a eseguire la registrazione e l'aggiornamento con il server DNS a causa di una configurazione DNS mancante o incompleta.

Soluzione: verificare che il client sia configurato in modo completo e corretto per il DNS e, se necessario, aggiornarne la configurazione.

Una delle cause comuni per cui il client non riesce a eseguire l'aggiornamento con il server DNS è costituita dall'assenza di un suffisso DNS configurato di tipo primario o specifico della connessione. In questo caso, il client può tentare di eseguire la registrazione di un nome di dominio DNS non corretto o indesiderato.

È possibile ad esempio che il client tenti di eseguire la registrazione del relativo nome host o nome computer breve o non qualificato come nome di dominio di livello superiore nella zona radice. Questo problema si verifica perché, in assenza di un suffisso DNS configurato per il computer client, il nome breve configurato di un computer, ad esempio host-a, viene utilizzato come nome di dominio completo (FQDN, Fully Qualified Domain Name). Questo errore si verifica solo perché non esiste un suffisso DNS da aggiungere al nome del computer per qualificarlo durante la registrazione per il client nel DNS.

Per aggiornare la configurazione DNS di un client, eseguire una delle operazioni seguenti:

  • Configurare un suffisso DNS primario nel computer client per i client TCP/IP statici.

  • Configurare un suffisso DNS specifico della connessione da utilizzare in una delle connessioni di rete installate nel computer client.

Per ulteriori informazioni, vedere Gestire client.

Causa: il client DNS ha tentato di aggiornare le proprie informazioni con il server DNS, ma l'operazione non è riuscita a causa di un problema relativo al server.

Soluzione: se un client può raggiungere i server DNS preferito e alternativo configurati, è probabile che la causa dell'aggiornamento non riuscito sia imputabile a un problema diverso.

Nei computer client basati su Windows è possibile utilizzare il Visualizzatore eventi per controllare se nel registro eventi di sistema sono contenuti messaggi in cui viene spiegato il motivo per cui i tentativi del client di aggiornare in modo dinamico i relativi record di risorse host (A) o puntatore (PTR) hanno avuto esito negativo.

Quando si leggono i messaggi nel registro eventi di sistema, filtrare o ordinare la visualizzazione di tutti i messaggi in modo da visualizzare i messaggi in cui è specificato DnsApi come origine. Questi messaggi in genere sono relativi alle prestazioni delle attività DNS, ad esempio query DNS o aggiornamenti dinamici.

I problemi di aggiornamento di un client mobile sono spesso causati dall'assenza di una risposta da parte del server DNS che deve accettare ed eseguire l'aggiornamento all'avvio del client in una postazione remota della rete. L'errore può dipendere da problemi di prestazioni della rete o dalla presenza di un problema nella struttura sottostante della rete. Se persistono o sembrano probabili problemi di questo tipo, controllare la distribuzione DNS e modificarla di conseguenza.

Per ulteriori informazioni, vedere Informazioni sull'aggiornamento dinamico.

Nel server DNS non vengono eseguiti gli aggiornamenti dinamici.

Causa: il server DNS non supporta gli aggiornamenti dinamici.

Soluzione: verificare che il server DNS utilizzato dal client supporti il protocollo di aggiornamento dinamico DNS, come descritto in RFC 2136.

Se nella rete vengono utilizzati altri server DNS, verificare che eseguano un'implementazione di server DNS in grado di supportare gli aggiornamenti dinamici.

Per ulteriori informazioni, vedere Informazioni sull'aggiornamento dinamico.

Causa: il server DNS supporta gli aggiornamenti dinamici, ma non è configurato per accettarli.

Soluzione: verificare che la zona primaria in cui i client richiedono gli aggiornamenti sia configurata in modo da consentirli.

Per impostazione predefinita, una nuova zona primaria non accetta gli aggiornamenti dinamici. Nel server DNS che carica la zona primaria applicabile modificare le proprietà della zona in modo da consentire gli aggiornamenti.

Per ulteriori informazioni, vedere Consentire gli aggiornamenti dinamici.

Causa: il database della zona non è disponibile.

Soluzione: verificare che la zona sia disponibile per l'aggiornamento.

Se necessario, verificare innanzitutto che la zona esista. Per una zona primaria standard, verificare che il file della zona sia presente nel server e che la zona non sia sospesa. Se si utilizzano zone integrate in Active Directory, verificare che il server DNS sia in esecuzione come controller di dominio e che abbia accesso al database di Active Directory in cui sono archiviati i dati della zona.

Le zone secondarie non supportano gli aggiornamenti dinamici. Se si tenta di determinare quale server sia il server primario di una zona standard, controllare i record autorità della zona per stabilire a quale server viene fatto riferimento nei record di risorse origine di autorità (SOA) e server dei nomi (NS) della zona. Questo è il server primario della zona che può accettare aggiornamenti dinamici per essa.

Se necessario, è possibile utilizzare Gestore DNS per impostare una zona secondaria come zona primaria in modo che possa accettare gli aggiornamenti dinamici. Poiché tuttavia nelle zone primarie standard viene utilizzato un modello di aggiornamento a master singolo, è possibile configurare solo un server per l'accettazione degli aggiornamenti dinamici per la zona.

Se si cambia il tipo di zona in un server secondario in modo che diventi il server primario della zona, rimuovere la zona o convertirla in un altro tipo di zona, ad esempio in zona secondaria, nel server primario originale. In caso contrario, i dati della zona non saranno più coerenti e daranno origine a ulteriori problemi.

Se si desidera che una zona possa essere aggiornata da più server DNS, è consigliabile cambiare il tipo di zona in modo da convertirla in zona integrata in Active Directory. Per poter utilizzare questo tipo di zona, è necessario che sia installato Servizi di dominio Active Directory e che venga eseguito l'innalzamento di livello del computer server a controller di dominio.

Dopo l'archiviazione nella directory, la zona può essere caricata automaticamente e aggiornata da altri controller di dominio quando eseguono il servizio Server DNS. Servizi di dominio Active Directory infatti supporta un modello di aggiornamento a master multiplo (o mobile) in base al quale più computer possono elaborare gli aggiornamenti per il database di Active Directory.

Per ulteriori informazioni, vedere Cambiare il tipo di zona, Aggiungere zone e Informazioni sull'integrazione in Servizi di dominio Active Directory.

Causa: il server DNS è configurato in modo da consentire solo aggiornamenti dinamici sicuri e presenta un problema relativo alla sicurezza.

Soluzione: verificare che la sicurezza delle zone o dei record di risorse non blocchi o non impedisca gli aggiornamenti dinamici nel server.

È possibile attivare gli aggiornamenti sicuri per le zone integrate in Active Directory e per i relativi record di risorse. Se gli aggiornamenti dinamici sicuri sono attivi per una zona di questo tipo, solo gli utenti, i gruppi o i computer con autorizzazioni di scrittura potranno aggiungere nuovi record di risorse nella zona. Se gli aggiornamenti dinamici sicuri sono attivi per i record di risorse, solo gli utenti, i gruppi o i computer con autorizzazioni di scrittura potranno aggiornare tali record. È possibile pertanto che la sicurezza blocchi o impedisca a un client DNS o al relativo server DHCP di eseguire un aggiornamento dei record di risorse host (A) e puntatore (PTR).

Nella maggior parte dei casi, gli aggiornamenti dinamici sicuri non impediscono di creare o aggiungere nuovi record in una zona, ma impediscono ai detentori delle autorizzazioni predefinite di aggiornare o modificare i record. Ove necessario, è possibile utilizzare le funzionalità di modifica degli elenchi di controllo di accesso (ACL, Access Control List) disponibili per le zone integrate in Active Directory per modificare le autorizzazioni di sicurezza per una zona o i relativi record di risorse e consentire l'aggiornamento da parte di un altro utente, gruppo o computer.

Questo tipo di intervento in genere è necessario solo se il computer che richiede l'aggiornamento non è il computer in cui sono stati creati in origine i record di risorse e che ne è il proprietario.

Per ulteriori informazioni, vedere Informazioni sull'aggiornamento dinamico

Causa: il server DNS che deve eseguire gli aggiornamenti non è disponibile nella rete.

Soluzione: verificare che il server DNS sia disponibile nella rete o risolvere altri eventuali problemi come necessario.

Per ulteriori informazioni, vedere Risolvere i problemi relativi ai server DNS.

Il problema riscontrato con gli aggiornamenti dinamici è diverso da quelli descritti.

Causa: il problema che si è verificato non è descritto in questo argomento.

Soluzione: nel sito TechNet (http://go.microsoft.com/fwlink/?LinkId=170) ricercare le informazioni tecniche più aggiornate che potrebbero essere correlate al problema verificatosi. Se necessario, è possibile ottenere informazioni e istruzioni pertinenti per la risoluzione del problema specifico.

Se è disponibile una connessione a Internet, è possibile scaricare gli aggiornamenti del sistema operativo più recenti nel sito Microsoft Update (http://go.microsoft.com/fwlink/?LinkId=284).


Risolvere i problemi relativi alle zone

Problema riscontrato

  • Si verifica un problema con i trasferimenti di zona.

  • Quando si tenta di utilizzare la delega per una zona, la delega risulta interrotta.

  • Il problema riscontrato con le zone è diverso da quelli descritti.

Si verifica un problema con i trasferimenti di zona.

Causa: il servizio Server DNS è stato arrestato oppure la zona è sospesa.

Soluzione: verificare che i server DNS (Domain Name System) master (di origine) e secondario (di destinazione) coinvolti nel trasferimento della zona siano stati entrambi avviati e che la zona non sia sospesa nell'uno o nell'altro.

Per ulteriori informazioni, vedere Avviare o arrestare un server DNS, Sospendere o riprendere l'esecuzione di una zona e Informazioni sulle zone.

Causa: non esiste connettività di rete tra i server DNS utilizzati durante un trasferimento.

Soluzione: risolvere l'eventuale problema di connettività di rete di base tra i due server.

Utilizzando il comando ping, contattare ogni server DNS in base al relativo indirizzo IP dal corrispettivo remoto.

Nel server di origine, ad esempio, utilizzare il comando ping per testare la connettività IP con il server di destinazione. Nel server di destinazione ripetere il test con il comando ping sostituendo l'indirizzo IP del server di origine.

Entrambi i test con il comando ping devono avere esito positivo. Se hanno esito negativo, individuare e risolvere gli eventuali problemi di connettività di rete intermedi.

Causa: il numero di serie nei server di origine e di destinazione è lo stesso. Poiché il valore è lo stesso in entrambi i server, tra i due non viene eseguito alcun trasferimento di zona.

Soluzione: utilizzare Gestore DNS per eseguire le attività seguenti:

  1. Aumentare il valore del numero di serie della zona nel server master (di origine) impostandolo su un numero maggiore del valore utilizzato nel server secondario (di destinazione) applicabile.

  2. Dopo aver aumentato il numero di serie nel server master specificando un valore maggiore di quello attualmente utilizzato nel server secondario, avviare il trasferimento della zona nel server secondario.

Quando si utilizza Gestore DNS, è possibile visualizzare il numero di serie della zona nella scheda Origine di autorità (SOA) delle proprietà della zona applicabile. Per aumentare questo numero nella zona, fare clic su Incremento.

Causa: nel server master (di origine) e nel relativo server secondario (di destinazione) si verificano problemi di interoperabilità.

Soluzione: ricercare le possibili cause dei problemi di interoperabilità tra i server DNS che eseguono Windows Server 2008 e altre implementazioni server DNS, ad esempio una versione precedente della distribuzione di BIND (Berkeley Internet Name Domain).

Nei server BIND meno recenti viene utilizzato un formato di trasferimento di zona non compresso. Per impostazione predefinita, i server che eseguono Windows Server 2008 e i server BIND della versione più recente utilizzano un formato compresso più veloce durante i trasferimenti di zona. Per consentire il trasferimento di zona con server BIND meno recenti, è necessario modificare le opzioni server avanzate nei server DNS che eseguono Windows Server 2008.

Un altro possibile problema di interoperabilità può dipendere dall'utilizzo e dall'inclusione, in una zona, di record di risorse ricerca diretta WINS (Windows Internet Name Service) o del corrispettivo record di risorse ricerca inversa (WINS-R) utilizzato per le zone di ricerca inversa. I server BIND non riconoscono questi record se sono inclusi nei dati di zone da trasferire e possono contrassegnarli come dati non validi, eventualmente non completando il trasferimento della zona.

Per evitare di utilizzare o includere questi record nei trasferimenti di zona verso server BIND e altri server che non li riconoscono, selezionare l'opzione Non replicare questo record durante la configurazione delle proprietà WINS nella zona applicabile.

Per ulteriori informazioni, vedere Abilitare il DNS per l'utilizzo della risoluzione WINS.

Causa: nella zona sono contenuti record di risorse o altri dati che non possono essere interpretati dal server DNS.

Soluzione: verificare che nella zona non siano contenuti dati incompatibili, ad esempio tipi di record di risorse non supportati o errori nei dati.

Nella maggior parte dei casi il servizio Server DNS supporta tutti i tipi di record di risorse approvati e necessari per l'utilizzo del DNS secondo gli standard per Internet.

Verificare inoltre che il server non sia stato configurato in anticipo per impedire il caricamento di una zona in caso di dati non validi e risalire al metodo utilizzato per il controllo dei nomi. Queste impostazioni possono essere configurate utilizzando Gestore DNS.

Causa: i dati della zona autorevole non sono corretti.

Soluzione: se il trasferimento di una zona continua ad avere esito negativo, verificare che in essa non siano contenuti dati non standard.

Se si modificano manualmente i file di zona, verificare che i record siano formattati e utilizzati secondo le linee guida per l'utilizzo e la formattazione dei record standard indicate nelle specifiche RFC (Request for Comment) per il DNS. Nella maggior parte dei casi è possibile evitare errori di input utente e di dati aggiungendo e gestendo i record tramite Gestore DNS.

Per determinare se l'esito negativo di un trasferimento di zona dipende da dati della zona non corretti, ricercare eventuali messaggi nel registro eventi del server DNS. È inoltre possibile utilizzare il comando nslookup con l'opzione -ls per simulare e testare un trasferimento di zona osservando se i dati restituiti si interrompono prima del completamento dell'intero trasferimento della zona.

Quando si tenta di utilizzare la delega per una zona, la delega risulta interrotta

Causa: le deleghe delle zone non sono configurate correttamente.

Soluzione: esaminare come vengono utilizzate le deleghe e modificare le configurazioni delle zone come necessario.

Nelle zone sono contenute informazioni sui domini e i sottodomini DNS. Quando viene creata, ogni nuova zona inizialmente è un database a nodo singolo per un solo dominio DNS. In base alle proprie esigenze, è possibile aggiungere nuovi nodi di sottodominio direttamente al di sotto del dominio padre originale e archiviarli come singola zona. I nuovi sottodomini, quando restano parte della stessa zona, a volte vengono definiti sottozone.

Se vengono utilizzati come sottozone, i nuovi sottodomini vengono mantenuti come parte della zona e replicati e aggiornati insieme alla zona come un'unica entità. È tuttavia possibile delegare i sottodomini e gestirli nelle relative zone. Per ogni sottodominio delegato alla relativa zona, alla zona padre devono essere aggiunti record di delega.

Per semplificare l'aggiunta di questi record, è possibile utilizzare l'Aggiunta guidata nuova delega disponibile in Gestore DNS.

Per ulteriori informazioni, vedere Informazioni sulla delega delle zone e Creare la delega per una zona.

Il problema riscontrato con le zone è diverso da quelli descritti.

Causa: il problema che si è verificato non è descritto in questo argomento.

Soluzione: nel sito TechNet (http://go.microsoft.com/fwlink/?LinkId=170) ricercare le informazioni tecniche più aggiornate che potrebbero essere correlate al problema verificatosi. Se necessario, è possibile ottenere informazioni e istruzioni pertinenti per la risoluzione del problema specifico.

Se è disponibile una connessione a Internet, è possibile scaricare gli aggiornamenti del sistema operativo più recenti nel sito Microsoft Update (http://go.microsoft.com/fwlink/?LinkId=284).


Strumenti DNS

Le utilità disponibili per l'amministrazione, il monitoraggio e la risoluzione dei problemi di server e client DNS (Domain Name System) sono numerose, tra cui:

  • Gestore DNS (DNS nel menu Strumenti di amministrazione).

  • Utilità da riga di comando, ad esempio Nslookup, che possono essere utilizzate per risolvere i problemi relativi al DNS.

  • Funzionalità di registrazione, ad esempio il registro del server DNS, che può essere visualizzato utilizzando Gestore DNS o il Visualizzatore eventi. È inoltre possibile utilizzare temporaneamente registri basati su file come opzione di debug avanzato per la registrazione e la traccia degli eventi di servizi selezionati.

  • Utilità di monitoraggio delle prestazioni, ad esempio contatori statistici per la misurazione e il monitoraggio dell'attività dei server DNS tramite Monitor di sistema.

  • Strumentazione gestione Windows (WMI), una tecnologia standard per l'accesso alle informazioni di gestione in un ambiente aziendale.

  • Platform Software Development Kit (SDK).

Gestore DNS

Lo strumento principale che è possibile utilizzare per gestire i server DNS è Gestore DNS, lo snap-in DNS di Microsoft Management Console (MMC) a cui si accede facendo clic sul pulsante Start, scegliendo Strumenti di amministrazione e quindi DNS. È possibile utilizzare Gestore DNS insieme ad altri snap-in di MMC, in modo da integrare ulteriormente l'amministrazione DNS nella gestione totale della rete. Questo strumento è inoltre disponibile in Server Manager nei computer in cui è installato il ruolo Server DNS.

Gestore DNS può essere utilizzato per eseguire le attività seguenti di amministrazione di base dei server:

  • Configurazione iniziale di un nuovo server DNS.

  • Connessione e gestione di un server DNS locale nello stesso computer o in server DNS remoti in altri computer.

  • Aggiunta e rimozione di zone di ricerca diretta e zone di ricerca inversa, a seconda delle esigenze.

  • Aggiunta, rimozione e aggiornamento di record di risorse nelle zone.

  • Modifica della modalità di archiviazione e replica delle zone tra server.

  • Modifica della modalità di elaborazione delle query e gestione degli aggiornamenti dinamici nei server.

  • Modifica della sicurezza per record di risorse o zone specifiche.

È inoltre possibile utilizzare Gestore DNS per eseguire le attività seguenti:

  • Manutenzione del server. È possibile avviare, arrestare, sospendere o riprendere l'esecuzione del server oppure aggiornare manualmente i file di dati dei server.

  • Monitoraggio ed eventuale cancellazione del contenuto della cache dei server.

  • Ottimizzazione delle opzioni avanzate dei server.

  • Configurazione ed esecuzione del conteggio del periodo di permanenza e dello scavenging per i record di risorse obsoleti archiviati dal server.

È inoltre possibile utilizzare Gestore DNS da una workstation per amministrare i server DNS da postazione remota.

Importante

Gestore DNS può essere utilizzato solo per gestire server DNS che eseguono sistemi operativi Windows Server. Non è possibile utilizzare la console per gestire altri server DNS, ad esempio server BIND.

Utilità da riga di comando

Per la gestione e la risoluzione dei problemi relativi ai server e ai client DNS sono disponibili diverse utilità da riga di comando. Nella tabella seguente viene descritta ognuna di queste utilità, che possono essere eseguite digitandole al prompt dei comandi o inserendole in file batch per l'utilizzo mediante script.

Comando | Descrizione
Nslookup | Consente di eseguire il testing dello spazio dei nomi dei domini DNS tramite query.
Dnscmd | Interfaccia della riga di comando per la gestione dei server DNS. Questa utilità è utile per lo scripting di file batch per l'automazione di attività di gestione DNS di routine o per eseguire semplici installazioni e configurazioni automatiche di nuovi server DNS nella rete.
Ipconfig | Consente di visualizzare e modificare i dettagli di configurazione IP utilizzati dal computer. In questa utilità sono incluse opzioni aggiuntive della riga di comando che consentono la risoluzione dei problemi e il supporto per i client DNS.

Utilità di monitoraggio degli eventi

Nella famiglia Windows Server 2008 sono incluse due opzioni per il monitoraggio dei server DNS:

  • Registrazione predefinita dei messaggi relativi agli eventi dei server DNS nel registro del server DNS.

    I messaggi relativi agli eventi dei server DNS sono separati e inseriti nel relativo registro eventi di sistema, ovvero il registro del server DNS, che può essere visualizzato utilizzando Gestore DNS o il Visualizzatore eventi.

    Nel registro del server DNS sono contenuti gli eventi registrati dal servizio Server DNS. Ad esempio, quando il server DNS si avvia o si arresta, in tale registro viene scritto un messaggio di evento corrispondente. In questo registro viene scritta inoltre la maggior parte degli eventi critici del servizio Server DNS, ad esempio i casi in cui il server si avvia ma non riesce a individuare i dati e le zone in fase di inizializzazione oppure le informazioni di avvio archiviate nel Registro di sistema o in alcune circostanze in Servizi di dominio Active Directory.

    Per visualizzare e monitorare gli eventi DNS relativi ai client è possibile utilizzare il Visualizzatore eventi. Questi eventi vengono scritti nel registro eventi di sistema dal servizio Client DNS nei computer che eseguono una versione qualsiasi di Windows.

  • Opzioni di debug facoltative per la registrazione traccia in un file di testo nel computer server DNS.

    È inoltre possibile utilizzare Gestore DNS per attivare in modo selettivo ulteriori opzioni di registrazione debug per la registrazione traccia temporanea dell'attività dei server DNS in un file di testo. Il file che viene creato e utilizzato per questa funzionalità, Dns.log, è archiviato nella cartella %systemroot%\System32\Dns.

Utilità di monitoraggio delle prestazioni

Per monitorare e misurare le prestazioni dei server DNS, è possibile utilizzare contatori aggiuntivi specifici dei servizi. A questi contatori si accede tramite Monitor di sistema, disponibile nello snap-in Prestazioni.

Quando si utilizza Monitor di sistema, è possibile creare grafici e diagrammi delle tendenze delle prestazioni dei server DNS nel tempo. Questi dati possono essere studiati e analizzati in modo più approfondito per stabilire se è necessaria un'ulteriore ottimizzazione dei server.

La misurazione e l'analisi della metrica dei server nel tempo consente di definire benchmark delle prestazioni e decidere se è possibile apportare ulteriori modifiche per ottimizzare il sistema.

Strumentazione gestione Windows (WMI)

WMI è l'implementazione Microsoft di Web-Based Enterprise Management (WBEM), un'iniziativa del settore per sviluppare una tecnologia standard per l'accesso alle informazioni di gestione in un ambiente aziendale. In WMI viene utilizzato lo standard di settore CIM (Common Information Model) per rappresentare sistemi, applicazioni, reti, dispositivi e altri componenti gestiti in un ambiente di questo tipo. Per ulteriori informazioni su WMI, vedere Windows Management Instrumentation (WMI) (http://go.microsoft.com/fwlink/?LinkID=80947).

Platform Software Development Kit

I computer in cui viene eseguito un prodotto della famiglia Windows Server 2008 dispongono di funzioni che consentono ai programmatori di applicazioni di utilizzare il DNS ad esempio per eseguire query DNS, confrontare record e ricercare nomi a livello di programmazione.

I componenti DNS programmabili sono progettati per essere utilizzati da programmatori C/C++. È pertanto richiesta una certa familiarità con il DNS e le operazioni in rete. I programmatori inoltre devono conoscere la suite di protocolli IP, il protocollo DNS e le operazioni DNS.


Interfaccia utente: Server DNS

  • Pagina delle proprietà di <Nome server DNS>

  • Pagina delle proprietà di <Nome zona>

  • Finestra di dialogo Avanzate (WINS)

  • Finestra di dialogo Nuovo record di risorse - Scheda Mail Exchanger (MX)

  • Finestra di dialogo Nuovo record di risorse - Scheda Indirizzo ATM (ATMA)

  • Finestra di dialogo Nuovo host

  • Finestra di dialogo Nuovo record server dei nomi

  • Finestra di dialogo Notifica

  • Finestra di dialogo Proprietà durata/scavenging server

  • Finestra di dialogo Nuovo record di risorse - Scheda Posizione servizio (SRV)

  • Finestra di dialogo Proprietà conteggio periodo di permanenza/scavenging zona


Pagina delle proprietà di <Nome server DNS>

Elemento Dettagli

Interfacce

Utilizzare questa scheda per selezionare gli indirizzi IP che verranno utilizzati dal server DNS (Domain Name System) per l'ascolto delle query DNS.

Server d'inoltro

Utilizzare questa scheda per specificare i server DNS a cui verranno inoltrate le query che non possono essere risolte autonomamente dal server corrente. Utilizzando i server d'inoltro si evita che nel server venga utilizzata la ricorsione per risolvere le query DNS.

Avanzate

Utilizzare questa scheda per eseguire le operazioni seguenti:

  • Visualizzare il numero di versione del server.

  • Impostare le opzioni avanzate del server.

  • Selezionare il tipo di verifica dei nomi da eseguire per tutte le zone.

  • Selezionare l'origine da cui il server ottiene i dati delle zone all'avvio.

  • Attivare e configurare le impostazioni di scavenging predefinite.

Parametri radice

Utilizzare questa scheda per specificare i server da utilizzare come parametri radice quando i server d'inoltro non sono configurati o non rispondono.

Registrazione debug

Utilizzare questa scheda per configurare la registrazione a livello di pacchetto per il debug.

Registrazione eventi

Utilizzare questa scheda per specificare i tipi di eventi che devono essere inseriti nel registro eventi DNS.

Monitoraggio

Utilizzare questa scheda per verificare mediante test che la configurazione del server sia corretta.

Vedere anche

  • Interfaccia utente: Server DNS


Pagina delle proprietà di <Nome zona>

È possibile utilizzare i controlli presenti in questa pagina delle proprietà per amministrare le proprietà di una singola zona. Nella tabella seguente vengono elencate le schede disponibili nella pagina delle proprietà a seconda del tipo di zona.

Elemento Dettagli

Generale

Utilizzare questa scheda per visualizzare lo stato della zona e per configurare le proprietà della zona seguenti:

  • Impostazioni di conteggio del periodo di permanenza e scavenging predefinite

  • Aggiornamenti dinamici

  • Tipo di zona, incluso se i dati della zona vengono archiviati in Servizi di dominio Active Directory o in un file

  • Ambito di replica (solo zone integrate in Active Directory)

  • Server master (solo zone secondarie e di stub)

Origine di autorità (SOA)

Utilizzare questa scheda per configurare il record SOA della zona. Tale record specifica le informazioni seguenti per la zona:

  • Server primario

  • Indirizzo di posta elettronica dell'amministratore della zona

  • Valori di scadenza delle zone secondarie

  • Valori di durata (TTL) predefinita minima per i record di risorse della zona

Server dei nomi

Utilizzare questa scheda per gestire l'elenco dei server dei nomi (NS, Name Server) autorevoli per la zona.

WINS

Utilizzare questa scheda per consentire e gestire la risoluzione dei nomi WINS (Windows Internet Name Service) per la zona. La scheda non è disponibile per le zone di stub.

Trasferimenti di zona

Utilizzare questa scheda per consentire la replica dei dati della zona in altri server e specificare quali server possono ricevere i dati della zona. La scheda non è disponibile per le zone di stub.

Sicurezza

Utilizzare questa scheda per specificare gli account utente che possono essere utilizzati per accedere alla zona e il tipo di accesso da consentire a ogni account. La scheda è disponibile solo per le zone integrate in Active Directory.

Vedere anche

  • Interfaccia utente: Server DNS


Finestra di dialogo Avanzate (WINS)

Elemento | Dettagli
Timeout cache | Casella in cui digitare un valore di durata (TTL) che può essere utilizzato da altri server DNS (Domain Name System) e da alcuni client DNS per stabilire per quanto tempo possono mantenere nella cache le informazioni di questo record di risorse restituite mediante l'utilizzo dell'integrazione delle ricerche WINS (Windows Internet Name Service). L'intervallo di tempo specificato deve essere nel formato giorni (GGGGG), ore (HH), minuti (MM) e secondi (SS).
Timeout ricerca | Casella in cui digitare un valore che definisce per quanto tempo il server DNS deve attendere una risposta da WINS prima che al richiedente venga restituito un messaggio di errore "Nome non trovato". L'intervallo di tempo specificato deve essere nel formato giorni (GGGGG), ore (HH), minuti (MM) e secondi (SS).

Vedere anche

  • Interfaccia utente: Server DNS


Finestra di dialogo Nuovo record di risorse - Scheda Mail Exchanger (MX)

Elemento Dettagli

Dominio host o figlio

Nome formato da una sola parte di un Mail Exchanger della zona. Se è necessario aggiungere un nome contenente un punto (.) per indicare il nome di un livello di dominio aggiuntivo, innanzitutto aggiungere il dominio aggiuntivo separatamente in Gestore DNS e quindi aggiungere un nuovo record di risorse Mail Exchanger (MX) come nome formato da una sola parte.

Nome di dominio completo (FQDN)

Nome del dominio a cui questo record di risorse fa riferimento. Il nome di dominio completo (FQDN) identifica in modo univoco l'albero gerarchico DNS specificando un elenco di nomi separati da punti nel percorso dal dominio o host di riferimento fino alla radice.

Nome completo dominio (FQDN) del server di posta elettronica

Nome di dominio completo (FQDN) di un host che intende operare come Mail Exchanger per il proprietario specificato in Dominio host o figlio. Può essere qualsiasi nome riconosciuto dal DNS come nome completo e valido per un computer host eseguito come server di posta. Il nome che viene specificato deve risolversi in un record di risorse host (A) corrispondente nella zona. Se non si è certi del nome di dominio completo (FQDN) da utilizzare, fare clic su Sfoglia per ricercare il nome nello spazio dei nomi DNS.

Priorità server posta

Numero compreso tra 0 e 65535 che indica la priorità del server di scambio della posta rispetto agli altri server analoghi. Se si specificano numeri bassi, avranno la precedenza i server a cui viene fatto riferimento nei record di risorse Mail Exchanger (MX) con numeri di priorità alti. A un server di scambio della posta viene concessa la precedenza o priorità massima quando viene utilizzato il valore zero (0).

Se sono presenti più record di risorse Mail Exchanger (MX), il mailer tenterà di effettuare il recapito innanzitutto al server di scambio della posta con numero di preferenza più basso. Se il recapito ha esito negativo, verrà eseguito un tentativo con il server di scambio della posta con il successivo numero di preferenza più alto.

Se due o più server di scambio della posta condividono lo stesso numero di preferenza, il mailer effettuerà tentativi casuali con i diversi server.

Vedere anche

  • Interfaccia utente: Server DNS


Finestra di dialogo Nuovo record di risorse - Scheda Indirizzo ATM (ATMA)

Elemento | Dettagli
Host (se vuoto, utilizza il nome del dominio padre) | Nome formato da una sola parte di un host in modalità di trasferimento asincrono (ATM, Asynchronous Transfer Mode) nella zona. Se è necessario aggiungere un nome contenente un punto (.) per indicare il nome di un livello di dominio aggiuntivo, innanzitutto aggiungere il dominio aggiuntivo separatamente in Gestore DNS e quindi aggiungere un nuovo record di indirizzo ATM (ATMA) come nome formato da una sola parte.
Nome di dominio completo (FQDN) | Nome del dominio a cui questo record di risorse fa riferimento. Il nome di dominio completo (FQDN) identifica in modo univoco l'albero gerarchico DNS specificando un elenco di nomi separati da punti nel percorso dal dominio o host di riferimento fino alla radice.
Formato | E164 specifica che nell'host ATM viene utilizzato il formato E.164 per gli indirizzi ATM. NSAP specifica che nell'host ATM vengono utilizzati gli indirizzi conformi al modello NSAP (Network Service Access Point) per gli indirizzi ATM.
Valore | Indirizzo ATM (ATMA) dell'host ATM nella rete.

Vedere anche

  • Interfaccia utente: Server DNS


Finestra di dialogo Nuovo host

Elemento | Dettagli
Nome (se vuoto, utilizza il nome del dominio padre) | Nome formato da una sola parte di un host (computer o altro dispositivo) della zona. Se questa casella è vuota, il nome host corrisponderà al nome del dominio padre. Se è necessario aggiungere un nome contenente un punto (.) per indicare il nome di un livello di dominio aggiuntivo, innanzitutto aggiungere il dominio aggiuntivo separatamente in Gestore DNS e quindi aggiungere un nuovo record host come nome formato da una sola parte.
Nome di dominio completo (FQDN) | Nome del dominio a cui questo record di risorse fa riferimento. Il nome di dominio completo (FQDN) identifica in modo univoco l'albero gerarchico DNS specificando un elenco di nomi separati da punti nel percorso dal dominio o host di riferimento fino alla radice.
Indirizzo IP | Casella in cui digitare l'indirizzo IP dell'host specificato in Nome. Il server DNS non tenta di verificare l'esistenza dell'host rappresentato da questo indirizzo IP. Se si specifica un indirizzo IPv4 (protocollo Internet versione 4), il server DNS crea un record di risorse host (A). Se invece si specifica un indirizzo IPv6 (protocollo Internet versione 6), il server DNS crea un record di risorse host (AAAA) IPv6.
Crea record puntatore (PTR) associato | Consente di creare un record di risorse nella zona di ricerca inversa. Un record di risorse puntatore (PTR) esegue il mapping di un nome di dominio DNS inverso basato sull'indirizzo IP di un computer che punta al nome di dominio DNS diretto di tale computer.
Consenti a tutti gli utenti autenticati di aggiornare i record DNS con lo stesso nome proprietario | Se selezionata, questa opzione consente di effettuare l'aggiornamento dinamico del record di risorse. Quando viene eseguito l'aggiornamento, l'host che lo richiede viene autorizzato a modificare il record di risorse, ma tutte le altre autorizzazioni non amministrative vengono rimosse dall'elenco di controllo di accesso (ACL, Access Control List) che protegge il record. In questo modo l'amministratore può creare un record di risorse sicuro per un host non ancora online e comunque consentire l'aggiornamento dinamico del record quando l'host ottiene il relativo indirizzo IP tramite DHCP (Dynamic Host Configuration Protocol).

Vedere anche

  • Interfaccia utente: Server DNS


Finestra di dialogo Nuovo record server dei nomi

Elemento | Dettagli
Risolvi | Consente di risolvere il nome di dominio completo (FQDN, Fully Qualified Domain Name) del computer server specificato nell'indirizzo IP corrispondente, di verificare che il server sia un server dei nomi e di aggiungerlo all'elenco degli indirizzi IP.
Indirizzi IP del record di server dei nomi (NS) | Consente di visualizzare un elenco degli indirizzi IP che verranno utilizzati dal nuovo server dei nomi per rispondere alle query DNS (Domain Name System). Per aggiungere un indirizzo, fare clic in un punto qualsiasi dell'elenco e quindi digitare l'indirizzo desiderato.
Elimina | Consente di rimuovere dall'elenco dei server dei nomi l'indirizzo IP selezionato.
Su Giù | Consentono di spostare l'indirizzo IP verso l'alto o verso il basso nell'elenco.

Vedere anche

  • Interfaccia utente: Server DNS


Finestra di dialogo Notifica

Elemento | Dettagli
Notifica automaticamente | Quando è selezionata, questa opzione consente di specificare che i server secondari indicati devono ricevere notifica degli aggiornamenti delle zone.
Server elencati nella scheda Server dei nomi | Quando è selezionata, questa opzione consente di specificare che tutti i server secondari devono ricevere notifica degli aggiornamenti delle zone.
I seguenti server | Quando è selezionata, questa opzione consente di visualizzare un elenco dei server secondari a cui viene inviata una notifica degli aggiornamenti delle zone. Per aggiungere un server all'elenco, fare clic sull'elenco, digitare l'indirizzo IP o il nome DNS (Domain Name System) del server desiderato e quindi fare di nuovo clic sull'elenco per risolvere e verificare il server.

Vedere anche

  • Interfaccia utente: Server DNS


Finestra di dialogo Proprietà durata/scavenging server

Quando vengono configurate per le proprietà del server, le impostazioni seguenti vengono applicate come valori predefiniti a tutte le zone. Se invece vengono configurate in una zona specifica, le impostazioni verranno applicate solo a tale zona.

Elemento Dettagli

Effettua scavenging di record di risorse obsoleti

Consente di specificare se i record di risorse obsoleti devono essere rimossi dal database DNS (Domain Name System).

Intervallo di non aggiornamento

Consente di specificare un intervallo di tempo in giorni o ore. Dopo che un record di risorse è stato aggiornato, verrà aggiornato di nuovo solo dopo che è trascorso questo intervallo di tempo.

Intervallo di aggiornamento

Consente di specificare l'intervallo di tempo minimo durante il quale i record di risorse verranno mantenuti nel database DNS dopo la scadenza dell'intervallo di non aggiornamento.

Questo intervallo non deve essere minore del periodo massimo di aggiornamento dei record di risorse. Nella maggior parte delle reti tale intervallo corrisponde all'intervallo di rinnovo del lease DHCP (Dynamic Host Configuration Protocol). Per i server DHCP che eseguono Windows Server, l'intervallo di rinnovo predefinito è di quattro giorni.

Vedere anche

  • Interfaccia utente: Server DNS


Finestra di dialogo Nuovo record di risorse - Scheda Posizione servizio (SRV)

Elemento Dettagli

Dominio

Nome di dominio completo (FQDN) del dominio a cui si applica il record di risorse.

Servizio

Nome simbolico universale del servizio TCP/IP, ad esempio "_telnet" o "_smtp" che deve essere servito dal record.

Protocollo

Protocollo di trasporto utilizzato dal servizio. Nella maggior parte dei casi, questo valore corrisponde a TCP (Transmission Control Protocol) o UDP (User Datagram Protocol), anche se è possibile utilizzare altri protocolli di trasporto implementati per la rete.

Priorità

Numero compreso tra 0 e 65535 che indica la priorità o il livello di preferenza fornito per il record all'host specificato in Host che offre questo servizio.

Priorità indica la priorità dell'host rispetto agli altri host del dominio che offrono lo stesso servizio e sono specificati da record di risorse Posizione servizio (SRV) diversi. I numeri più bassi corrispondono a una priorità maggiore. Avrà perciò priorità o livello di preferenza maggiore l'host che offre il servizio ed è specificato in questo record con valore di priorità zero (0).

Se per un determinato servizio sono presenti più record di risorse Posizione servizio (SRV), ai client DNS (Domain Name System) verrà fornito per primo l'host con numero di preferenza più basso. Se questo host dà esito negativo o non è raggiungibile, il successivo host a essere utilizzato sarà quello specificato dal record SRV con numero di preferenza immediatamente più alto rispetto al precedente.

Se due o più host elencati nel record di risorse Posizione servizio (SRV) per un determinato servizio hanno lo stesso numero di preferenza, i client DNS potranno provare a utilizzarli seguendo un ordine casuale.

Peso

Numero compreso tra 1 e 65535 da utilizzare come meccanismo di bilanciamento del carico. Quando è necessario scegliere tra più host SRV di destinazione per il tipo di servizio specificato in Servizio ai quali è associato lo stesso numero di Priorità, utilizzando questo campo è possibile assegnare un peso alla preferenza per host specifici. Se più host hanno la stessa priorità, gli host specificati da SRV per i quali viene indicato in questo campo un valore di peso maggiore dovranno essere restituiti per primi ai client resolver nei risultati delle query SRV.

Se non è necessario bilanciare il carico, è consigliabile utilizzare un valore pari a 0, ovvero non specificare alcun peso. In questo modo si riduce il tempo necessario per l'elaborazione delle query SRV e i record di risorse SRV risultano più facilmente leggibili.

Numero porta

Porta server TCP/IP dell'host che offre il servizio specificato in Servizio nell'host di destinazione specificato in Host che offre questo servizio. L'intervallo di numeri di porta consentito è compreso tra 0 e 65535. Questo numero è spesso, ma non necessariamente, un numero di porta riservato noto, come indicato nella specifica RFC (Request for Comments) 1700 relativa ai numeri assegnati. A seconda del valore specificato in Protocollo incluso in questo record, il numero di porta può rappresentare una porta UDP o TCP.

Host che offre questo servizio

FQDN dell'host di destinazione che offre il tipo di servizio basato su TCP/IP descritto in Servizio. Il nome deve corrispondere a un record di risorse host (A) valido nello spazio dei nomi di dominio DNS. Se viene utilizzato un FQDN di destinazione costituito da un solo punto ("."), ai resolver (client) DNS che richiedono questo tipo di servizio viene indicato che il servizio non è disponibile per questo dominio.

Consenti a tutti gli utenti autenticati di aggiornare tutti i record DNS con lo stesso nome. Questa impostazione è applicabile unicamente ai record DNS per un nuovo nome.

Se selezionata, questa opzione consente di effettuare l'aggiornamento dinamico del record di risorse. Quando viene eseguito l'aggiornamento, l'host che lo richiede viene autorizzato a modificare il record di risorse, ma tutte le altre autorizzazioni non amministrative vengono rimosse dall'elenco di controllo di accesso (ACL, Access Control List) che protegge il record. In questo modo l'amministratore può creare un record di risorse sicuro per un host non ancora online e comunque consentire l'aggiornamento dinamico del record quando l'host ottiene il relativo indirizzo IP tramite DHCP (Dynamic Host Configuration Protocol).

Vedere anche

  • Interfaccia utente: Server DNS


Finestra di dialogo Proprietà conteggio periodo di permanenza/scavenging zona

Quando vengono configurate per le proprietà del server, le impostazioni seguenti vengono applicate come valori predefiniti a tutte le zone. Se invece vengono configurate in una zona specifica, le impostazioni verranno applicate solo a tale zona.

Elemento Dettagli

Effettua scavenging di record di risorse obsoleti

Consente di specificare se i record di risorse obsoleti devono essere rimossi dal database DNS (Domain Name System).

Intervallo di non aggiornamento

Consente di specificare un intervallo di tempo in giorni o ore. Dopo che un record di risorse è stato aggiornato, verrà aggiornato di nuovo solo dopo che è trascorso questo intervallo di tempo.

Intervallo di aggiornamento

Consente di specificare l'intervallo di tempo minimo durante il quale i record verranno mantenuti nel database DNS dopo la scadenza dell'intervallo di non aggiornamento.

Questo intervallo non deve essere minore del periodo massimo di aggiornamento dei record di risorse. Nella maggior parte delle reti tale intervallo corrisponde all'intervallo di rinnovo del lease DHCP (Dynamic Host Configuration Protocol). Per i server DHCP che eseguono Windows Server 2008, l'intervallo di rinnovo del lease predefinito è quattro giorni.

Vedere anche

  • Interfaccia utente: Server DNS