分类： 系统运维
2010-03-06 15:24:32
参考1 SRV记录 信息：
SRV记录它是DNS服务器的数据库中支持的一种资源记录的类型，它记录了哪台计算机提供了哪个服务这么一个简单的信息
SRV 记录：一般是为Microsoft的活动目录设置时的应用。DNS可以独立于活动目录，但是活动目录必须有DNS的帮助才能工作。为了活动目录能够正常的工作，DNS服务器必须支持服务定位（SRV）资源记录，资源记录把服务名字映射为提供服务的服务器名字。活动目录客户和域控制器使用SRV资源记录决定域控制器的IP地址。 s>XAbT:M
SRV记录功能包括（基于它们在DNS控制台的分组）
‘ _MSDCS。这个分组中，SRV记录是根据它们的状态来收集的。各种状态包括DC、域调用、GC以及PDC。DC和GC按站点来划分，这样一来，AD客户端就能快速的知道去哪里寻找本地服务。“域调用”用于支持复制。每个DC都获得了一个GUID，它会在调用复制时用到。PDC条目包含了被设定为PDC模拟器的DC的SRV记录。
‘ _SITES。站点代表的是一个高速连接区域，根据DC的站点从属关系来建立了DC索引之后，客户端就可以检查_SITES来寻找本地服务，而不必通过WAN来发送它们的LDAP查询请求。标准LDAP查询端口是389，全局编录查询则使用3268。
‘ _TCP。在这个分组中，收集了DNS区域中的所有DC。如果客户端找不到它们特定的站点，或者具有本地SRV记录的任何DC都没有响应，需要寻找网络中其他地方的DC，就应该将这些客户端放到这个分组中。
‘ _UDP。Keberos v5允许客户端使用“无连接”服务来获取票证并更改密码。这是通过与相同服务的TCP端口对应的UDP端口来完成的。具体说，票证交换使用UDP的88端口，而密码更改使用464
查看srv记录的完整性！
分类：Windows相关 字号： 大大 中中 小小 在活动目录中，srv记录担当着很重要的功能！比如客户端登录都要通过dc的srv记录来寻找dc！
下面我们就来看看如果通过命令查看活动目录中的dc，gc等的srv记录是否完整！
Y:\>nslookup
Default Server: tom.***.com
Address: 192.168.1.2
> set type=srv
下面的一条命令是查看dc的srv的记录的，其中蓝色的字体是命令的输入结果！
> _ldap._tcp.dc._msdcs.***.com
Server: tom.***.com
Address: 192.168.1.2
_ldap._tcp.dc._msdcs.***.com SRV service location:
priority = 0
weight = 100
port = 389
svr hostname = mary.***.com
_ldap._tcp.dc._msdcs.***.com SRV service location:
priority = 0
weight = 100
port = 389
svr hostname = tom.***.com
mary.***.com internet address = 192.168.1.3
tom.***.com internet address = 192.168.1.2
下面的一条命令是查看gc的srv的记录的，其中蓝色的字体是命令的输入结果！
> _ldap._tcp.gc._msdcs.***.com
Server: tom.***.com
Address: 192.168.1.2
_ldap._tcp.gc._msdcs.***.com SRV service location:
priority = 0
weight = 100
port = 3268
svr hostname = tom.***.com
_ldap._tcp.gc._msdcs.***.com SRV service location:
priority = 0
weight = 100
port = 3268
svr hostname = mary.***.com
tom.***.com internet address = 192.168.1.2
mary.***.com internet address = 192.168.1.3
下面的一条命令是查看pdc的srv的记录的，其中蓝色的字体是命令的输入结果！
> _ldap._tcp.pdc._msdcs.***.com
Server: tom.***.com
Address: 192.168.1.2
_ldap._tcp.pdc._msdcs.***.com SRV service location:
priority = 0
weight = 100
port = 389
svr hostname = tom.***.com
tom.***.com internet address = 192.168.1.2
>
防止DNS记录确定的服务资源（SRV）记录2006-08-31 14:33在Windows 2000和2003中，域控制器位置进程定位域控制器去为不同的客户端和应用执行确定的功能。这个进程查找DNS服务位置记录，并被每一个域控制器注册，用来作为寻找像一个LDAP服务器，Kerberos(计算机网络中一种安全的服务认证请求方式)服务器，全球目录服务器以及PDC仿真器这样的应用目的。然而，合理的原因去防止为确定的域控制器进行确定的SRV记录。这将会强制要求像验证请求这样的操作去避免确定的域控制器，或者寻找另外的方法，它将会强制验证来只允许确定的域控制器作为带宽限制或性能因素。
举例来说，在先前的文章中，我描述了使用the "lag site"去直接推动“在线”错误删除对象的修复。在这个方法里，两个域控制器中每一个域被放置在一个单独的站点(没有其他的域控制器)中，并且预定进行每周一次或者两次的复制，这取决于你的恢复策略。从而，如果你误删除了一个具有10，000用户的组织单位(OU)的话，你可以到一个还没有复制删除的lag site的域控制器上，执行一个权威修复来恢复被删除的对象。这消除了来自于备份修复的时间和争论。
在我先前的文章中简单的提到了在这个策略中，你一定要避免来自于鉴别用户的lag站点域控制器，因为他们将会潜在地包括旧口令和账户信息，并且能够导致用户验证失败。因此，我们需要去避免这些来自于校验用户的域控制器。
为了能够实现这一点，你可以使用一个组策略设置，“域控制器位置DNS记录不能通过域控制器注册”。这项设置允许你去制定哪一个DNS记录将不会被注册。当然，整个策略中重要的一个部分是去确认这个策略只能被应用在那些选定的域控制器。你不要想去定义一个策略来预防被审定需要的SRV记录的注册，并且将它应用到所有的域控制器上，你将会收获一大堆非常不满意的用户。
警告:记住以下的文字是很重要的:在你的活动目录环境上执行这项策略能带来损失惨重的影响。在将它运用到你的生产域上之前，切记要对执行这项策略作彻底的测试。
按照下面的步骤，一步步的去做防止DNS的SRV记录注册的设置:
创建一个指定的组织单位(OU)。创建一个脱离了域控制器组织单位的子组织单位，并确认在这个新的组织单位中放置的域控制器是没有注册确定的SRV记录。
为这个组织单位创建一个名为“约束证明” 单独的组策略:
a. 找到计算机设置→管理模板→系统→NetLogon服务→DC位置DNS记录。
b.选择“域控制器位置DNS记录不能通过域控制器注册”设置，并且点击“可以”按钮。这些设置允许你去指定哪一个SRV记录不是通过NetLogon服务注册的，就像下面图1中显示的那样。
c.在助记键部分中，你要列出那些没有被注册的记录。所有记录的描述在说明标签中被显示出来。注意图1中显示，你输入的每一个SRV记录在助记件部分是被约束的。这些记录在空间上是单独出来的。
举例:如果你执行了一个Lag站点域控制器，去约束来自于鉴别客户端的域控制器，你将需要去约束除了CNAME和主机记录之外的所有SRV记录。这些需要进入到助记键部分中，就像这里显示出的通过空间分离出的:
Ldap LdapAtSite Pdc Gc GcAtSite GcIpAddress DcByGuid Kdc KdcAtSite Dc DcAtSite
Rfc1510Kdc Rfc1510KdcAtSite GenericGc GenericGcAtSite Rfc1510UdpKdc
Rfc1510Kpwd Rfc1510UdpKpwd.
注意:特别需要注意的是这个操作是有因果关系的。请注意了解一下的提示:
如果你进行这样的操作为灾难修复执行一个lag站点。你应该将Lag域控制器放入一个单独的站点，并且将它作为一个站点策略来执行。
如果你想要防止一些域控制器注册Kerberos记录，并且其他的域控制器注册LDAP记录，那么你将会需要去创建多策略。
请在正式应用之前，确定它已经被作了全面的测试。这个例子中描述的是能够很好的通过Lag站点域控制器防止鉴定。如果你想要利用这个方法为其他的应用作约束SRV记录注册操作的话，你首先必须要确认在正式使用之前，你已经得到了想要的结果