DNS sous Windows Server et intégration à Active Directory
Active Directory ne fonctionne pas sans DNS. Zones intégrées, enregistrements SRV, mises à jour dynamiques, redirecteurs et nettoyage : comment configurer et diagnostiquer le DNS d'un domaine Windows.
Dans un domaine Active Directory, le DNS n'est pas un service annexe : c'est le mécanisme qui permet aux postes et aux serveurs de trouver les contrôleurs de domaine. Une erreur de configuration DNS se traduit par des ouvertures de session lentes, des stratégies de groupe non appliquées, des échecs de jonction au domaine ou des problèmes de réplication.
Objectif : comprendre le rôle du DNS dans Active Directory, configurer zones et redirecteurs, et diagnostiquer les problèmes les plus fréquents. Les bases du protocole sont décrites dans DNS : résolution de noms et dépannage.
Pourquoi Active Directory dépend du DNS
Lorsqu'un poste cherche un contrôleur de domaine, il interroge le DNS pour des enregistrements SRV, par exemple :
_ldap._tcp.dc._msdcs.exemple.local
_kerberos._tcp.exemple.local
_ldap._tcp.Paris._sites.dc._msdcs.exemple.local
Ces enregistrements indiquent le nom, le port et la priorité des contrôleurs fournissant LDAP et Kerberos, y compris par site Active Directory, ce qui permet aux postes de s'adresser au contrôleur le plus proche. Ils sont créés et mis à jour automatiquement par le service Netlogon de chaque contrôleur.
Conséquence directe : les postes et serveurs du domaine doivent utiliser exclusivement les serveurs DNS de l'Active Directory (ou des serveurs capables de résoudre la zone du domaine). Un poste configuré avec un DNS public ne trouvera aucun contrôleur.
Choisir le nom du domaine
Microsoft recommande d'utiliser un sous-domaine d'un domaine public que vous possédez, par exemple ad.exemple.fr, plutôt qu'un suffixe inventé. Le suffixe .local est réservé au multicast DNS (RFC 6762) et peut entrer en conflit avec mDNS sur certains systèmes ; il reste toutefois très répandu dans les domaines existants. Les exemples de cet article utilisent exemple.local comme domaine de laboratoire.
Zones intégrées à Active Directory
Une zone DNS peut être stockée dans un fichier (zone principale classique) ou dans la base Active Directory. Les zones intégrées présentent plusieurs avantages :
- Réplication multimaître : chaque contrôleur hébergeant le DNS peut modifier la zone ; la réplication AD propage les changements.
- Mises à jour dynamiques sécurisées : seuls les comptes authentifiés du domaine peuvent inscrire ou modifier leurs enregistrements.
- Pas de transfert de zone à configurer entre contrôleurs.
L'étendue de réplication se choisit parmi : tous les serveurs DNS de la forêt, tous ceux du domaine, ou une partition d'application personnalisée.
Get-DnsServerZone
Add-DnsServerPrimaryZone -Name "20.10.10.in-addr.arpa" -ReplicationScope Domain -DynamicUpdate Secure
N'oubliez pas les zones de recherche inversée pour vos sous-réseaux : certaines applications et procédures de diagnostic en dépendent.
Configuration DNS des contrôleurs de domaine
Recommandations de Microsoft pour la carte réseau d'un contrôleur hébergeant le DNS :
- DNS préféré : un autre contrôleur de domaine du même site ;
- DNS auxiliaire : sa propre adresse ou l'adresse de bouclage
127.0.0.1(en dernière position) ; - jamais de serveur DNS public sur la carte d'un contrôleur.
Pointer en premier vers soi-même peut, après un redémarrage, retarder le démarrage des services si la zone n'est pas encore chargée (« îlot DNS »).
Résoudre les noms externes : redirecteurs et indications de racine
Les serveurs DNS de l'AD font autorité pour la zone interne et doivent aussi résoudre les noms d'Internet. Deux options :
- Indications de racine (root hints) : le serveur effectue lui-même la résolution récursive depuis la racine.
- Redirecteurs (forwarders) : le serveur transmet les requêtes externes à des résolveurs désignés (ceux de votre fournisseur, d'un service de filtrage, ou d'un résolveur interne en DMZ).
Set-DnsServerForwarder -IPAddress 10.10.5.53, 10.10.5.54 -UseRootHint $true
Pour un domaine partenaire, utilisez un redirecteur conditionnel, éventuellement stocké dans AD pour être répliqué :
Add-DnsServerConditionalForwarderZone -Name "partenaire.local" -MasterServers 192.168.50.10 -ReplicationScope Forest
Mises à jour dynamiques et nettoyage
Les postes inscrivent eux-mêmes leurs enregistrements A (et AAAA) ; le serveur DHCP peut aussi le faire pour le compte des clients. Avec le temps, des enregistrements obsolètes s'accumulent (postes renommés, retirés, adresses changées), ce qui crée des résolutions erronées.
Le nettoyage (scavenging) supprime les enregistrements dynamiques non actualisés. Il se configure à deux niveaux — zone et serveur — avec deux intervalles :
- intervalle sans actualisation (no-refresh) : période pendant laquelle le client ne peut pas rafraîchir l'horodatage ;
- intervalle d'actualisation (refresh) : période pendant laquelle il le peut ; au-delà, l'enregistrement devient supprimable.
Set-DnsServerZoneAging -Name "exemple.local" -Aging $true -NoRefreshInterval 7.00:00:00 -RefreshInterval 7.00:00:00
Set-DnsServerScavenging -ScavengingState $true -ScavengingInterval 7.00:00:00 -ApplyOnAllZones
Prudence : la somme des deux intervalles doit être supérieure à la durée du bail DHCP, et l'on active d'abord le vieillissement en observant les horodatages avant d'activer le nettoyage. Les enregistrements statiques ne sont pas concernés.
Diagnostiquer le DNS d'un domaine
Côté client
Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.exemple.local
nltest /dsgetdc:exemple.local
ipconfig /registerdns
nltest /dsgetdc indique quel contrôleur le poste a trouvé, et sur quel site.
Côté contrôleur
dcdiag /test:dns /v /e
dcdiag /test:registerindns /dnsdomain:exemple.local
repadmin /replsummary
Get-DnsServerDiagnostics
Si des enregistrements SRV manquent, redémarrer le service Netlogon les réinscrit :
Restart-Service Netlogon
Symptômes et causes fréquentes
| Symptôme | Cause probable |
|---|---|
| Jonction au domaine impossible (« contrôleur introuvable ») | Poste configuré avec un DNS non-AD |
| Ouverture de session très lente | Résolution DNS qui expire avant de basculer sur un second serveur |
| Réplication en échec | Enregistrement CNAME _msdcs du contrôleur absent ou erroné |
| Nom résolu vers une ancienne adresse | Enregistrements obsolètes, nettoyage absent |
| Noms externes non résolus | Redirecteurs injoignables, port 53 filtré en sortie |
Erreurs courantes
- DNS public configuré sur des postes ou des contrôleurs du domaine.
- Désactiver les mises à jour dynamiques sécurisées pour « résoudre » un problème d'inscription.
- Activer le nettoyage sans analyse préalable, avec des intervalles trop courts.
- Oublier les zones inverses.
- Supprimer manuellement des enregistrements
_msdcssans comprendre leur rôle.
Implications de sécurité
Imposez les mises à jour dynamiques sécurisées, restreignez ou désactivez les transferts de zone, limitez la récursivité aux clients internes, journalisez les requêtes (journal analytique DNS) et surveillez les modifications d'enregistrements sensibles. Les serveurs DNS de l'AD ne doivent pas être exposés sur Internet. Pour la protection des résolutions, voir DNS sécurisé et mécanismes de protection.
Conclusion
Le DNS est la colonne vertébrale d'Active Directory : des clients pointant uniquement vers les DNS de l'AD, des zones intégrées avec mises à jour sécurisées, des redirecteurs maîtrisés et un nettoyage bien paramétré éliminent la majorité des incidents. En cas de doute, dcdiag /test:dns et nltest /dsgetdc donnent un premier diagnostic fiable.
