DNS, unità organizzative e computer nel dominio

Active Directory funziona solo se il DNS funziona. Vediamo che cosa ha configurato l'installazione e completiamo la parte che manca.

Dopo aver installato con successo Active Directory Domain Services, è il momento di configurare gli aspetti fondamentali del nostro dominio: verificare e configurare il DNS, creare la struttura organizzativa con le Unità Organizzative (OU), e aggiungere i computer client al dominio.

Prerequisiti.

• Active Directory Domain Services installato e configurato
• Server riavviato dopo la promozione a Domain Controller
• Una macchina client Windows 10/11 (opzionale per test)

Verifica configurazione DNS automatica

Durante l'installazione di Active Directory, il sistema ha automaticamente configurato la scheda di rete del server per utilizzare se stesso come server DNS. Verifichiamo che questa configurazione sia stata applicata correttamente.

Procedura di verifica

Passaggi per verificare la configurazione DNS:

1. Apri Server Manager
2. Clicca su "Local Server" nel menu a sinistra
3. Trova la voce "Ethernet" e clicca sull'indirizzo IP visualizzato
4. Si apre la finestra "Connessioni di rete"
5. Clic destro su "Ethernet" → "Proprietà"
6. Seleziona "Protocollo Internet versione 4 (TCP/IPv4)" → "Proprietà"

Cosa notiamo. Il server DNS è stato modificato automaticamente durante l'installazione di Active Directory.

• Server DNS preferito: 192.168.27.130 (l'IP del nostro server AD1)
• Server DNS alternativo: Vuoto o configurato come fallback

Questo significa che il server ora punta a se stesso per la risoluzione dei nomi DNS. Active Directory ha anche attivato i servizi DNS, trasformando questo server in un server DNS vero e proprio.

Perché il server DNS punta a se stesso?. Un Domain Controller deve essere in grado di risolvere i nomi del dominio Active Directory. Dato che questo server È il server DNS per il dominio, deve interrogare se stesso per le query DNS relative ad Active Directory.

Per le query DNS esterne (es. google.com), il server utilizzerà i DNS forwarders configurati nelle proprietà DNS (tipicamente i DNS di Google: 8.8.8.8 e 8.8.4.4).

Esplorazione console DNS

Ora accediamo alla console di gestione DNS per esplorare la configurazione del server DNS integrato con Active Directory.

Apertura console DNS

Come accedere alla console DNS:

1. Nel Server Manager, clicca su "Strumenti" in alto a destra
2. Seleziona "DNS" dal menu a discesa
3. Si apre la console Gestore DNS

Proprietà del server DNS

Clicchiamo con il tasto destro sul nome del nostro server (AD1) e selezioniamo "Proprietà" per visualizzare la configurazione.

• Scheda Interfacce – Qui vediamo su quale interfaccia di rete il server DNS è in ascolto.; Indirizzo IP: 192.168.27.130; Azione: Il server DNS risponderà alle query ricevute su questo IP; Questo è l'IP tramite cui client e server interrogheranno il DNS
• Scheda Inoltri (Forwarders) – Qui troviamo i DNS forwarders configurati per le query esterne.; DNS di Google: 8.8.8.8 e 8.8.4.4; Utilizzati quando il server non può risolvere un nome internamente; Permettono l'accesso a Internet e la risoluzione di domini pubblici

Come funzionano i forwarders. Quando un client richiede la risoluzione di un nome:

1. Il server DNS verifica se ha una zona autorevole per quel dominio
2. Se NO (es. google.com), inoltra la query ai forwarders configurati
3. I forwarders (DNS di Google) risolvono il nome e restituiscono la risposta
4. Il server DNS memorizza in cache la risposta per query future

Zona di ricerca diretta

Esploriamo la zona di ricerca diretta che Active Directory ha creato automaticamente per il nostro dominio. Questa zona gestisce la risoluzione da nome a indirizzo IP.

Navigazione alla zona:

1. Nella console DNS, clicca sulla freccia accanto ad AD1
2. Clicca su "Zona di ricerca diretta"
3. Troverai la zona azienda00.local
4. Clicca sulla zona per visualizzarne i record

Cos'è una zona di ricerca diretta?

Definizione. La zona di ricerca diretta è l'insieme dei record DNS che permettono la mappatura e la risoluzione da un nome di dominio al suo relativo indirizzo IP.

Esempio:

Query: AD1.azienda00.local
↓
Risoluzione: 192.168.27.130

Record DNS presenti

• Record A (Host) – AD1 → 192.168.27.130; Risolve il nome del server al suo IP; Utilizzato dai client per raggiungere il DC
• Record SRV (Service) – _ldap._tcp.dc._msdcs; _kerberos._tcp; Indicano servizi disponibili (LDAP, Kerberos, ecc.); Essenziali per il funzionamento di Active Directory

Tipo    Nome Host              Dati
SOA     @                      [AD1.azienda00.local]
NS      @                      AD1.azienda00.local.
A       AD1                    192.168.27.130
CNAME   _msdcs                 azienda00.local.
SRV     _ldap._tcp.dc._msdcs   AD1.azienda00.local:389
SRV     _kerberos._tcp         AD1.azienda00.local:88
SRV     _kpasswd._tcp          AD1.azienda00.local:464

Non modificare manualmente. I record DNS di Active Directory vengono gestiti automaticamente dal sistema. Modificarli manualmente può causare gravi problemi al funzionamento del dominio.

Creazione zona di ricerca inversa

Creiamo ora una zona di ricerca inversa, che funziona in modo opposto alla zona diretta: risolve da indirizzo IP a nome di dominio.

Cos'è una zona di ricerca inversa?. La zona di ricerca inversa (o reverse lookup zone) permette di:

• Risolvere un indirizzo IP nel corrispondente nome host
• Utilizzata per verifiche di sicurezza e logging
• Richiesta da alcune applicazioni per validare le connessioni

Esempio:

Query: 192.168.27.130
↓
Risoluzione: AD1.azienda00.local

Procedura di creazione

Passaggi per creare la zona inversa:

1. Nella console DNS, clic destro su "Zona di ricerca inversa"
2. Seleziona "Nuova zona..."
3. Si apre il Wizard Nuova Zona → clicca "Avanti"

Tipo di zona:
● Zona primaria
  ☑ Archivia la zona in Active Directory

○ Zona secondaria
○ Zona stub

[< Indietro]  [Avanti >]  [Annulla]

Selezione corretta. Selezioniamo:

• ● Zona primaria
• Archivia la zona in Active Directory

Questo indica che la zona sarà integrata con Active Directory e replicata automaticamente tra tutti i Domain Controller.

Ambito di replica

Specificare l'ambito per la replica delle informazioni sulla zona DNS:

● A tutti i server DNS in esecuzione su controller di dominio in questa foresta
○ A tutti i server DNS in esecuzione su controller di dominio in questo dominio
○ A tutti i controller di dominio in questo dominio (per compatibilità con Windows 2000)
○ A tutti i controller di dominio specificati nell'ambito della partizione di directory

[< Indietro]  [Avanti >]  [Annulla]

Quale opzione scegliere?. ● A tutti i server DNS in esecuzione su controller di dominio in questa foresta

Questa è l'opzione consigliata perché:

• Replica la zona su tutti i DC con servizio DNS nella foresta
• Garantisce ridondanza e disponibilità
• Se aggiungeremo altri DC, riceveranno automaticamente la zona

Selezione famiglia IPv4 o IPv6

Selezionare il tipo di zona di ricerca inversa:
● Zona di ricerca inversa IPv4
○ Zona di ricerca inversa IPv6

[< Indietro]  [Avanti >]  [Annulla]

Selezioniamo ● Zona di ricerca inversa IPv4 e clicchiamo "Avanti".

Identificatore di rete

ID di rete:
[192.168.27_________________]

Nome zona:
27.168.192.in-addr.arpa

[< Indietro]  [Avanti >]  [Annulla]

ID di rete. Inseriamo i primi 3 ottetti della nostra rete: 192.168.27

Il sistema creerà automaticamente la zona: 27.168.192.in-addr.arpa

Nota: l'ordine è invertito perché le zone inverse funzionano al contrario.

Completamento creazione

Clicchiamo "Avanti" e poi "Fine" per completare la creazione della zona inversa.

Zona inversa creata. Abbiamo creato con successo la zona di ricerca inversa. Cliccando su di essa nell'albero della console DNS, vedremo che contiene già alcuni record PTR (Pointer) che mappano gli IP ai nomi host.

Nota: Torneremo su questa sezione quando aggiungeremo altre macchine al dominio per verificare che i record inversi vengano creati automaticamente.

Esercizi