Problem sa DNS-om

Moze li mi neko protumaciti DNS test log na Windows Server 2008, gdje grijesim i sta trebam popravit. Napominjem, DNS mi je na DC-u, a kao sekundardni DNS koristim google-ov:

Microsoft Windows [Version 6.1.7601]
Copyright (c) 2009 Microsoft Corporation. All rights reserved.

C:\Users\ja>dcdiag /test:dns

Directory Server Diagnosis

Performing initial setup:
Trying to find home server...
Home Server = moja_domena-DC
* Identified AD Forest.
Done gathering initial info.

Doing initial required tests

Testing server: Default-First-Site-Name\moja_domena-DC
Starting test: Connectivity
......................... moja_domena-DC passed test Connectivity

Doing primary tests

Testing server: Default-First-Site-Name\moja_domena-DC

Starting test: DNS

DNS Tests are running and not hung. Please wait a few minutes...
......................... moja_domena-DC passed test DNS

Running partition tests on : ForestDnsZones

Running partition tests on : DomainDnsZones

Running partition tests on : Schema

Running partition tests on : Configuration

Running partition tests on : moja_domena

Running enterprise tests on : moja_domena.local
Starting test: DNS
Test results for domain controllers:

DC: moja_domena-DC.moja_domena.local
Domain: moja_domena.local


TEST: Basic (Basc)
Warning: adapter
[00000007] Intel(R) PRO/1000 MT Network Connection has
invalid DNS server: 8.8.4.4 (<name unavailable>)

TEST: Forwarders/Root hints (Forw)
Error: All forwarders in the forwarder list are invalid.

TEST: Dynamic update (Dyn)
Warning: Failed to delete the test record dcdiag-test-record i
n zone moja_domena.local

TEST: Records registration (RReg)
Network Adapter
[00000007] Intel(R) PRO/1000 MT Network Connection:
Warning:
Missing CNAME record at DNS server 8.8.4.4:
b21bb993-6977-4ca1-9b7d-009982a5401d._msdcs.moja_domena.local

Warning:
Missing A record at DNS server 8.8.4.4:
moja_domena-DC.moja_domena.local

Error:
Missing SRV record at DNS server 8.8.4.4:
_ldap._tcp.moja_domena.local

Error:
Missing SRV record at DNS server 8.8.4.4:
_ldap._tcp.013bf8de-a152-4616-9f1e-18464d2bd43e.domains._ms
dcs.moja_domena.local

Error:
Missing SRV record at DNS server 8.8.4.4:
_kerberos._tcp.dc._msdcs.moja_domena.local

Error:
Missing SRV record at DNS server 8.8.4.4:
_ldap._tcp.dc._msdcs.moja_domena.local

Error:
Missing SRV record at DNS server 8.8.4.4:
_kerberos._tcp.moja_domena.local

Error:
Missing SRV record at DNS server 8.8.4.4:
_kerberos._udp.moja_domena.local

Error:
Missing SRV record at DNS server 8.8.4.4:
_kpasswd._tcp.moja_domena.local

Error:
Missing SRV record at DNS server 8.8.4.4:
_ldap._tcp.Default-First-Site-Name._sites.moja_domena.local

Error:
Missing SRV record at DNS server 8.8.4.4:
_kerberos._tcp.Default-First-Site-Name._sites.dc._msdcs.moja_domena
.local

Error:
Missing SRV record at DNS server 8.8.4.4:
_ldap._tcp.Default-First-Site-Name._sites.dc._msdcs.moja_domena.loc
al

Error:
Missing SRV record at DNS server 8.8.4.4:
_kerberos._tcp.Default-First-Site-Name._sites.moja_domena.local

Error:
Missing SRV record at DNS server 8.8.4.4:
_ldap._tcp.gc._msdcs.moja_domena.local

Warning:
Missing A record at DNS server 8.8.4.4:
gc._msdcs.moja_domena.local

Error:
Missing SRV record at DNS server 8.8.4.4:
_gc._tcp.Default-First-Site-Name._sites.moja_domena.local

Error:
Missing SRV record at DNS server 8.8.4.4:
_ldap._tcp.Default-First-Site-Name._sites.gc._msdcs.moja_domena.loc
al

Error:
Missing SRV record at DNS server 8.8.4.4:
_ldap._tcp.pdc._msdcs.moja_domena.local

Error: Record registrations cannot be found for all the network
adapters

Summary of test results for DNS servers used by the above domain
controllers:

DNS server: 8.8.4.4 (<name unavailable>)
2 test failure on this DNS server
Name resolution is not functional. _ldap._tcp.moja_domena.local. failed o
n the DNS server 8.8.4.4

DNS server: 192.203.230.10 (e.root-servers.net.)
1 test failure on this DNS server
PTR record query for the 1.0.0.127.in-addr.arpa. failed on the DN
S server 192.203.230.10
DNS server: 2001:500:1::803f:235 (h.root-servers.net.)
1 test failure on this DNS server
PTR record query for the 1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.
0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa failed on the DNS server 2001:500:1::803f:235

DNS server: 2001:500:2d::d (d.root-servers.net.)
1 test failure on this DNS server
PTR record query for the 1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.
0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa failed on the DNS server 2001:500:2d::d

DNS server: 2001:500:2f::f (f.root-servers.net.)
1 test failure on this DNS server
PTR record query for the 1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.
0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa failed on the DNS server 2001:500:2f::f

DNS server: 2001:500:3::42 (l.root-servers.net.)
1 test failure on this DNS server
PTR record query for the 1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.
0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa failed on the DNS server 2001:500:3::42

DNS server: 2001:503:ba3e::2:30 (a.root-servers.net.)
1 test failure on this DNS server
PTR record query for the 1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.
0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa failed on the DNS server 2001:503:ba3e::2:30

DNS server: 2001:503:c27::2:30 (j.root-servers.net.)
1 test failure on this DNS server
PTR record query for the 1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.
0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa failed on the DNS server 2001:503:c27::2:30

DNS server: 2001:7fe::53 (i.root-servers.net.)
1 test failure on this DNS server
PTR record query for the 1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.
0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa failed on the DNS server 2001:7fe::53

DNS server: 2001:dc3::35 (m.root-servers.net.)
1 test failure on this DNS server
PTR record query for the 1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.
0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa failed on the DNS server 2001:dc3::35

Summary of DNS test results:

Auth Basc Forw Del Dyn RReg Ext
_________________________________________________________________
Domain: moja_domena.local
moja_domena-DC PASS WARN FAIL PASS WARN FAIL n/a

......................... moja_domena.local failed test DNS

Sam si sebi odgovorio - u domenu ne smeš imati nijedan drugi DNS osim domenskog. Sve ono što domenski ne može da razreši, proslediš Google-ovom ili kome već, tako da jedino mesto u domenu gde sme da se pojavi bilo koji drugi DNS server je Forwarders kartica u setovanjima DNS servisa. Znači nijedan računar u domenu, uključujući i sam server, ne sme da ima u TCP/IP Properties bilo šta osim domenskih DNS servera.

Citam i ne mogu da vjerujem sta mi pises. Jel to doista tako? Doista mi je cudno to, naravno da mi svi racunari u domeni kao sekundardni DNS iamju google-ov DNS, sto se vise puta pokazalo kao odlicno kada mi ne radi domenski DC na kojem je DNS, korisnici koriste google-ov. Mozes li mi objasnit sta je tu problem i zasto se ne smije imati drugi DNS? I mislis da ce se ovi errori izbrisati ako izbrisem google-ov dns na hostovima pa i na samom DC-u? Na kraju krajeva, sta je problem, pa i ovako mi sve radi s tim da imam evo greske u logu ali sistem radi.

Niko ni ne kaže da neće raditi, ali ćeš imati gomilu "gremlinskih" situacija da nešto jednog trenutka radi, pa na kratko ne radi, pa opet radi. Neki računar neće uspeti da se uloguje, neki deljeni folder ili štampač biće nedostupan, login skripta se neće izvršiti i sl. Sve su to neke sitnice koje iskrsnu tu i tamo, i koje se brzo zaborave, ali su stalno prisutne u nekom obliku. Što se tiče upita prema drugim domenima, tvoj DNS server ionako nije nadležan za njih, tako da svakako takvi upiti moraju da se fwd-uju napolje. Klijentima je svejedno da li će oni direktno poslati takav upit Google serveru ili će to DNS server odraditi za njih, u mnogim slučajevima je čak ova druga varijanta brža jer DNS server po defaultu sve upite i rezultate smešta u cache. Problem je sa upitima koji se šalju za resurse u tvom lokalnom domenu - za njih je nadležan isključivo tvoj lokalni DNS server, i niko drugi, i Google ne može ni u kom slučaju da da adekvatan odgovor za bilo kakav upit te vrste. Može lako da ti se desi da neko želi da pristupi bazi ili folderu na serveru alfa, a Google ti vrati IP adresu servera alfa na domenu beta.com umesto tvog lokalnog domena, i onda ti neka tetka iz knjigovodstva kuka kako nije mogla da proknjiži fakturu ili neki komercijalista kako nije mogao da otvori šablon za ponudu. Na svu sreću, i klijentske mašine keširaju DNS upite i odgovore, pa i kad je DNS na kratko nedostupan umeju da se snađu, ali je problem kad iskeširaju pogrešan zapis, pa onda imaš jedan računar na kojem ništa neće da radi dok na ostalima sve radi savršeno, pa odjednom i ovaj sam od sebe proradi.

Ovo kako si ti postavio je tipična početnička greška koju ćeš naći u velikom broju domenam tako da nemoj da se brineš. Nisi jedini koji je to tako postavio, radiće mreža i tako, ali kao što rekoh iskočiće tu i tamo po neki "gremlin", imaćeš čudnih event ID-jeva u logovima, i greške dcdiag-u poput ovih koje si izlistao. Ako te to ne brine, onda uživaj, ali zašto si onda uopšte i postovao ako ti je svejedno? :-)

Evo bavim se mnogi niz godina mrezama i mnogo vecih insitiucija sam vidjao slican scenarijo i nikad mi ni na pamet nije palo da upravo te "gremlinske" situacije (sad sve radi, sad nista ne radi pa sve tako) zavise od ovog slucaja sa sekundarnim DNS-om. Ovo je informacija zlatna vrijedna i mnogo ti hvala na tome!!! Znaci pomogao si mi i sam ne znas koliko... Odmah brisem google-ov DNS sa svega i dizem sekundarni lokalni DNS :-). Samo mi jedna stvar nije jasna, zasto? Zasto se to desava? Nije mi potpuno jasno zbog cega je problem tu tj. zbog cega se moze desiti problem? Jer bez obzira na sve, klijentski racunari na kojima je sekundarni google-ov dns ce uvijek koristit moj primarni DNS naravno dok je aktivan, pa mi nije jasno kako moze doci do konflikta sa google-ovim, to oko pogresnih DNS zapisa sto si navodio primjere. Jednostavno, sa tehnicke mi strane nije potpuno jasno zbog cega moze izbiti problem s tim.

Naravno, jasno mi je da google-ov dns nema nikakve veze sa lokalnim resursima, ali ovo mi je olaksalo zivot kada moram restart DC na kojem je DNS (zbog update-a i slicnih gluposti) i onda ljudi ne mogu pristupiti lokalnim resursima, naravno, ali mogu izac na Net sto mi je kljucno. To je jedini razlog sto sam koristio sekundardni DNS na svim mogucim serverima i hostovima.
Hvala jos jednom!

C:\Windows\system32>dcdiag /test:dns

Directory Server Diagnosis

Performing initial setup:
Trying to find home server...
Home Server = moja_domena-DC
* Identified AD Forest.
Done gathering initial info.

Doing initial required tests

Testing server: Default-First-Site-Name\moja_domena-DC
Starting test: Connectivity
......................... moja_domena-DC passed test Connectivity

Doing primary tests

Testing server: Default-First-Site-Name\moja_domena-DC

Starting test: DNS

DNS Tests are running and not hung. Please wait a few minutes...
......................... moja_domena-DC passed test DNS

Running partition tests on : ForestDnsZones

Running partition tests on : DomainDnsZones

Running partition tests on : Schema

Running partition tests on : Configuration

Running partition tests on : moja_domena

Running enterprise tests on : moja_domena.local
Starting test: DNS
......................... moja_domena.local passed test DNS

Hahha!! :-)

MS-ov DNS klijent koristi određene algoritme pomoću kojih odlučuje koji DNS server sa spiska će pitati za prevod. Kod XP-a, ako se primarni ne odazove u bilo kom trenutku, prelazi se na sekundarni, i taj izbor ostaje najmanje 15 narednih minuta, tako da eto prilike da dođe do brljotina. Evo kako su ti algoritmi izgledali kod Win XP: http://technet.microsoft.com/en-us/library/bb457118.aspx#ECAA

Što se restarta DC-a tiče, to se radi van radnog vremena, osim ako neki deo hardvera nije krenuo da ispušta dušu baš u nezgodnom trenutku pa mora da se menja :-)

Najbolje da digneš još jedan DC s DNS-om.... tako možeš restartati DC1 recimo po potrebi... Imaš 2 DNS-a i 2 DC-a... klijenti neometano rade stalno...

Što se forwardera tiće ja koristim OpenDNS: 208.67.222.222 i 208.67.220.220

---