AD环境下用BIND 作slave DNS server的错误配置备忘

环境：windows 域，两台DC作域的primary DNS server，另一台REDHAT RHEL 3上用BIND作域的slave DNS server。客户端的DNS指向redhat服务器。
事件起因：发现网站无法进行解析。用其它网络都可以正常访问。
检查redhat服务器上bind配置，发现转发器设置被注释掉了：
        forwarders {
            202.101.172.35;
            202.101.172.48;
        };
用虚拟机模拟redhat服务器，把以上设置取消注释，重新启动bind。redmine网站可以正常访问。
但是按照道理，即使没有设置转发器，还是可以到权威域服务器上作解析请求。而且其他网站都能正常解析，唯独redmine网站解析不了。
这样设置虽然解决了以上问题，但是带来了新的问题：客户端访问域服务器需要输入用户名口令进行认证。在查了一些资料后发现域控上面的一个_msdcs.xxx.xxx的域没有被写入到bind配置中。它的作用就是引导你找到域控制器。在named.conf中添加如下配置：
zone "_msdcs.xxx.xxx" IN {
        type slave;
        file "_msdcs.xxx.xxx";
        masters { xxx.xxx.xxx.xxx;};
};
重启bind，一切恢复正常。
总结： 在做一些可能影响比较大的变更时，最好构筑模拟环境进行测试。而且测试时间尽可能长一点，不要一发现问题解决掉就马上应用到真实环境，还要考虑到有没带来新的问题。