[Frage] DNS für Domain Controller über VPN?

[Ja_Nosch]

Hallo!

Folgendes Problem habe ich, leider brachte mir die Suche keine Lösung:

Zwei Standorte sind per Fritzbox-VPN (je eine 7490) verbunden.

Am Standort 1 steht ein Domänencontroller, einschließlich DNS-Server.

Am Standort 2 sind Clients, die sich über VPN am DC anmelden können sollen.

Das geht soweit natürlich nicht, weil die Fritzbox als DHCP-Server am 2. Standort ihren eigenen DNS-Server an die Clients verteilt und nicht ihren eigenen. Gibt es bereits hier eine Möglichkeit, einen DNS-Server übergeben zu lassen? Meines Wissens nach nicht. Jetzt wäre natürlich die Idee, den Fritzbox-DHCP zu deaktivieren und z.B. den eines Raspis zu nutzen, aber dann geht ja auch kein DHCP mehr im Gastnetzwerk?

Eine andere Idee wäre, feste IPs zu vergeben und dort den DNS-Server (=DC) direkt einzutragen. Das gibt aber wieder Probleme, wenn die Notebooks in anderen Netzwerken sind.

Eine letzte Idee, die mir einfällt, wäre, irgendwas mit hosts/lmhosts-Files auf den Clients zu basteln, falls das ginge (unschön, ich weiß).

Wie würdet ihr es angehen?

Danke Euch!

 

[HabNeFritzbox]

Der Gastzugang interessiert sich für Einstellungen des Heimnetzes nicht, also DHCP wird dennoch laufen in seinem eigenem Subnet.

Den DNS kannst im Heimnetz beim DHCP doch angeben, sowohl für IPv4 als auch für v6.

Wenn der den dort nicht annimmt, wegen fremdes Subnet, dann bei Zugangsanbieter anderen DNS setzen, den 1. die andere FB, und als 2. ggf. den vom Anbieter.

Kannst auch bei der VPN Verbindung für LAN 2-4 gesonderten DHCP verwenden und anderen DNS setzen.

 

[PeterPawn]

Oder Du nimmst ganz einfach eine aktuelle Firmware her und gibst dort im Punkt "Heimnetzeinstellungen / IPv4-Einstellungen" vor, welchen DNS-Server die FRITZ!Box per DHCP annoncieren soll ... ab und ab muß man eben auch das "gesicherte Wissen" auf den neuesten Stand bringen (aber die Einstellung ist auch erst seit der 06.50 bei der 7490 vorhanden und das ist ja noch nicht einmal ein ganzes Jahr ;-)).

Der Nachteil ist es natürlich, daß dann die Clients an der Box gar keine DNS-Auflösung betreiben können, solange die VPN-Verbindung nicht funktioniert. Aufgrund der Eingabemaske kann man nur einen DNS-Server angeben um GUI, ob durch direkte Konfiguration auch mehrere möglich wären, müßte man einfach einmal testen.

 

[Ja_Nosch]

Danke Dir! Ups, ich kann ja wirklich im DHCP der Fritzbox einen DNS-Server angeben. Ist das Nachteilig, wenn jede DNS-Anfrage erst über VPN geht?

 

[HabNeFritzbox]

Kann sein, muss aber nicht, musste mal nen Ping durch VPN jagen ob die Zeiten viel höher sind an anderen FB als vom Anbieter bzw. Google ect.

Wenn man beim Zugangsanbieter DNS einträgt, und zweiten angibt vom Anbieter/Google ect. sollte es kein Problem sein wenn VPN mal nicht steht.

Gibt jedenfalls mehrere Möglichkeiten.

 

[Ja_Nosch]

Beim Zugangsanbieter den DNS einzutragen, meine ich, habe ich mal' wo gelesen, dass dort keine internen gehen?! Oder ist dieses Wissen auch überholt^^


Nachtrag: Ich trage also beim DHCP den DNS-Server des Domänencontrollers ein. Und im Domänencontroller selbst gebe ich als Forwarder die FritzBox des Hauptstandorts an. Korrekt?

 

[PeterPawn]

Theoretisch ja ... wenn dann alle Clients auch noch die richtige Suchreihenfolge bei Domain-Namen einhalten (die kann man bei der FRITZ!Box leider über DHCP nicht setzen lassen, da schaden Einträge aber auch an anderen Standorten - z.B. bei den Laptops - nicht, auch von Beginn an als FQDN kenntliche Namen werden nicht um diese Suchdomains ergänzt), dann löst der DC die Anfragen selbst auf, die er beantworten kann (entweder weil er "authoritative" für die Zone ist oder aus seinem eigenen Cache) und die anderen gibt er an den Forwarder weiter. Dessen Antworten landen dann im Cache, bevor sie an den anfragenden Client gehen, insofern sind Verzögerungen (bei funktionierender VPN-Verbindung) zu vernachlässigen.

 

[Ja_Nosch]

Danke Dir! Was würdest Du sonst noch beachten? Muss ich in Bezug auf "fritz.box" noch was im Microsoft-DNS-Server angeben?

Wenn ich auf dem DC mein NAS (gleicher Standort) über nslookup abfrage, sagt er, er findet nix. NAS.fritz.box löst er aber richtig auf.

Rufe ich den Pfad aber dennoch unter Ausführen auf (\\nas), dann funktioniert es dennoch.

 

[tob_]

Vorweg: ich kenne mich mit Fritzboxen nicht gut aus, ich möchte nur kurz beschreiben, wie man sowas normalerweise löst, evtl. lässt sich das auf der Fritzbox ja auch irgendwie hinbekommen.

Den lokalen Clients einen nur über VPN erreichbaren DNS mitzugeben hat Nachteile - dieser ist vermutlich langsamer, und falls das VPN aus irgend einem Grund nicht funktioniert, funktioniert dann lokal gar nichts mehr.

Selbst zwei DNS-Server einzutragen hilft nicht in jedem Fall, je nach Client wird trotzdem ständig wieder der erste gefragt und jedesmal erst nach einem Timeout der zweite. Clients, die einfach zufällig mal den ersten oder den zweiten nehmen, oder automatisch den, der schneller antwortet, bekommen dann irgendwann auch vom zweiten DNS-Server auf AD-Anfragen mal Antworten. Nämlich dass es keinen solchen Eintrag gibt, und cachen diese Antwort.

Die richtige Lösung wäre, dem lokalen DNS zu sagen, dass alle Anfragen an die .AD-Domain statt an den DNS des Providers an einen speziellen DNS-Server weitergeleitet werden sollen. Dann funktioniert lokal alles so schnell wie vorher, und wenn die VPN-Verbindung mal nicht steht, gehen nur die Anfragen zum DC nicht - macht aber auch nix, der ist im Moment eh nicht erreichbar (aber dann kommt für den Client ein DNS-Fehler zurück, statt der Antwort, den Eintrag würde es nicht geben -> keine Cache-Probleme).

z.B. mit dnsmasq in der dnsmasq.conf

server=/ad-domain/1.2.3.4

Lässt sich das mit einer Fritzbox irgendwie umsetzen?
Alternativ lokal noch einen raspi mit dnsmasq als DNS-Server laufen lassen.