Skip Ribbon Commands
Skip to main content

Ondrej Sevecek's Blog

:

Engineering and troubleshooting by Directory Master!
Ondrej Sevecek's Blog > Posts > Vytvoření DNS aliasu pro souborové servery
květen 20
Vytvoření DNS aliasu pro souborové servery

Tohle je reakce na dotaz kamaráda ohledně jeho problémů s přístupem na fileshare přes DNS alias. Odstranil jeden souborový server, jeho obsah přehodil na jiný stroj, ale potřeboval jeho jméno zachovat. Velké množství konfigurací v síti obvykle závisí na jméně toho serveru. To se dá obejít dlouhodobým užíváním DFS Namespaces namísto skutečných jmen serverů, ale ne všechny aplikace DFSN podporují.

A potom mu nefungovaly logon scripty a nějaké další věci.

Tak tu jsou informace, které se tohoto tématu týkají. Není to tak jednoduché jako jenom založit DNS alias.

Primárně použijte NETDOM COMPUTERNAME

Na počítači, který přebírá jméno nějakého staršího stroje, který už v síti není, je vhodné přidat toto alternativní jméno pomocí NETDOM COMPUTERNAME /Add. Mašina bude o sobě vědět, že se tak jmenuje.

Sama si bude registrovat toto jméno jako A záznam do DNS, sama si přidá host/* SPN apod.

Popis věcí, které se tím buď vyřeší samy, nebo které je potřeba současně zkontrolovat následuje.

DNS alias a protokol sdílených souborů (SMB)

SMB má aktuálně 3 verze. Verze 1 je na Windows Server 2003, Windows XP a starších. Ve Windows Vista a Windows 2008 se objevila verze 2. Od Windows 8 a Windows Server 2012 budeme mít SMB 2.2. Každý systém se snaží používat tu nejnovější verzi, kterou může. Takže pokud se například Windows 7 připojují na Windows Server 2003, mohou používat pouze verzi SMB 1.0.

Verze je důležitá z pohledu serveru a alaisů. Jestliže se používá verze SMB 1.0, musí být na serveru v registrech tato hodnota:

HKLM\System\CurrentControlSet\Services\LanManServer\Parameters
DisableStrictNameChecking = DWORD = 1

Takže nikoliv jen na Windows Server 2003 a starších. Tuhle hodnotu musíte mít na všech počítačích, na jejichž sdílené soubory se dívá kdokoliv "starší" - Windows 2003, Windows XP, 2000 a starší. Dejte to tedy do registrů i na Windows 2008 R2 apod. tím rozhodně nic nezkazíte.

DNS alias a Kerberos

Klienti se ověřují pomocí protokolu Kerberos, pokud to z nějakého důvodu nejde, tak se použije NTLM. Pokud něco běží pod účtem SYSTEM (různé skripty, startup skripty apod.), tak SYSTEM nemůže použít NTLM. SYSTEM chce používat pouze Kerberos.

Ano, to se sice dá přepnout od Windows Server 2008 R2 a Windows 7 pomocí politiky Network Security: Allow Local System to use computer identity for NTLM, ale obecně je lepší rozchodit Kerberos.

Takže jakmile vytvoříte DNS alias pro daný server, přidejte správné SPN (servicePrincipalName) do účtu nového serveru, na který jste data přenesli:

  1. najděte si účet toho nového souborového serveru, na který jste data přenesli. Například new-fs. Doména je třeba domain.local.
  2. původní server se jmenoval jak? Například old-fs. Předpokládám, že tohle je to jméno, pro který jste dělali DNS alias.
  3. v konzoli Active Directory Users and Computers (dsa.msc) si v menu View zapněte volbu Advanced Features.
  4. ve vlastnostech účtu new-fs na záložce Attribute Editor přidejte do atributu servicePrincipalName (SPN) hodnoty cifs/old-fs a cifs/old-fs.domain.local.
  5. ještě nakonec ověřte ve vlastnostech účtu old-fs, že tam tahle dvě SPN nejsou. Případně se ještě můžete ujistit, že vůbec nemáte v doméně duplicitní SPN obecně - SETSPN -X

Poznámka: alternativní metodou zanesení DNS aliasu do Active Directory je, že uvedete to aliasové jméno do atributu msDS-AdditionalDNSHostName. Takto ho tam například připíše právě NETDOM COMPUTERNAME. Takže byste místo bodu 4 mohli jen nastavit old-fs.domain.local do tohoto atributu.

NTLM loopback check

Poslední věc, kterou je dobré udělat na našem aliasovaném new-fs serveru. NTLM ověřování, pokud by se přistupovalo z toho samotného serveru na ten samotný server - tedy loopback - a bylo to čistě náhodou NTLM, tak to nepojede.

NTLM to nejspíš nebude, protože jsme proto právě založili Kerberos SPN, ale u loopback spojení člověk dost často neví. Takže je lepší ten alias nadefinovat i pro NTLM.

HKLM\System\CurrentControlSet\Control\LSA\MSV1_0\BackConnectionHostNames = MULTI_SZ = old-fs, old-fs.domain.local
A to je všechno milé děti.

Comments

Re: Vytvoření DNS aliasu pro souborové servery

A netýká se to jen případů, kdy je v DNS A záznam a ne alias (CNAME)?
Borek on 11.6.2012 13:09

Re: Vytvoření DNS aliasu pro souborové servery

ne :-)
ondas on 11.6.2012 13:30

Re: Vytvoření DNS aliasu pro souborové servery

jo, jen pro úplnost, pokud tohle nenastavíte, přístup na "aliasovaný" fileserver se projevuje chybovou hláškou "Duplicate name exists on the network".
ondass on 11.6.2012 13:30

Re: Vytvoření DNS aliasu pro souborové servery

Ta předchozí poznámka ale platí pro DisableStrictNameChecking a ne pro SPN.
Borek on 11.6.2012 15:59

Re: Vytvoření DNS aliasu pro souborové servery

plati to pro vsechno. Ano, na Vista/7/2008 klientech by to nebylo potreba v pripade CNAME, protoze tihle klienti si prelozi DNS zaznam "az na doraz" a pozadaji si o SPN primo pro ten silovy ucet. Ale starsi klienti, tedy XP/2003 si zadaji o SPN primo pro to jmeno, ktere se zada do klienta - tedy ten alias, a je tedy nutno to dat do uctu v AD.
tohle plati obecne, jestli klient chce SPN pro alias, nebo primo pro ten nejzassi DNS A zaznam je zavysle na typu klienta a neni to ani dane verzi OS (SAP napriklad to dela jako XPcka i na Win7).
ondass on 11.6.2012 20:04

Re: Vytvoření DNS aliasu pro souborové servery

Trvam na to, co jsem psal. Tu hlasku pisou starsi klienti, pokud se nenastavi disableTrictNameChecking. Kdyz se to nastavi, pristup na share plne funguje.


Ha, tak preci zalezi, zda je to cname a nebo A, jak pises.
Borek on 11.6.2012 20:37

Re: Vytvoření DNS aliasu pro souborové servery

Tj. na XP pristup na stare pre alias funguje i bez spravnyho SPN a za nekolik let jsem se nedostal do zadny situace, kdy by to byl problem. Ale ten SPN tam ted pridam, aby bezel Kerberos.
Borek on 11.6.2012 20:41

Re: Vytvoření DNS aliasu pro souborové servery

samozrejme, ze to funguje bez SPN - to se pouzivat NTLM. SPN tam je jenom kvuli tomu, aby se pouzil Kerberos na XP. Na 7 to neni potreba vubec, jak jsem uz rikal.
ondass on 11.6.2012 20:48

Re: Vytvoření DNS aliasu pro souborové servery

A z toho plyne, co jsem psal původně. Že hláška "Duplicate name exists on the network" platí pro absenci DisableStrictNameChecking.
Borek on 12.6.2012 11:10

Add Comment

Title


Pole Title nemusíte vyplňovat, doplní se to samo na stejnou hodnotu jako je nadpis článku.

Author *


Pole Author nesmí být stejné jako pole Title! Mám to tu jako ochranu proti spamu. Roboti to nevyplní dobře :-)

Body *


Type number two as digit *


Semhle vyplňte číslici dvě. Předchozí antispemové pole nefunguje úplně dokonale, zdá se, že jsou i spamery, které pochopily, že je občas potřeba vyplnit autora :-)

Email


Emailová adresa, pokud na ni chcete ode mě dostat odpověď. Nikdo jiný než já vaši emailovou adresu neuvidí.

Attachments