DNS et DHCP sous Windows Server : zones, étendues et basculement

Le serveur DNS traduit les noms en adresses IP, et le serveur DHCP distribue automatiquement aux postes leur adresse, leur passerelle et leurs serveurs DNS. Sous Windows Server, les deux rôles sont presque toujours installés sur les contrôleurs de domaine. Ce chapitre configure les zones DNS intégrées à Active Directory, les enregistrements, les redirecteurs et le nettoyage, puis les étendues DHCP, les options, le relais entre VLAN et le basculement DHCP entre deux serveurs. Le principe des deux protocoles (résolution récursive, échange DORA) est expliqué dans le chapitre DNS et DHCP du cours Réseaux fondamentaux, et les réglages avancés de ces services, côté Linux comme côté Windows, dans le cours Services réseau.

Le DNS d'un domaine Active Directory

Chez Sorbier, srv-ad et srv-ad2 sont serveurs DNS. Ils ont deux missions :

1. faire autorité pour la zone interne ad.sorbier.example : ils connaissent les noms des serveurs et des postes, et les enregistrements SRV qui permettent de trouver les contrôleurs de domaine ;
2. résoudre les noms d'Internet pour les postes, en faisant suivre les questions qu'ils ne savent pas traiter (redirecteurs) ou en interrogeant eux-mêmes les serveurs racines.

Tous les postes et serveurs du domaine utilisent ces deux serveurs, et seulement eux.

Les types de zones

Une zone est la partie de l'espace de noms dont un serveur a la charge.

Une zone intégrée à Active Directory a trois avantages : chaque contrôleur qui porte le DNS peut la modifier (fonctionnement multimaître, pas de serveur principal unique), elle se réplique avec l'annuaire sans configurer de transfert de zone, et elle accepte les mises à jour dynamiques sécurisées : seul le propriétaire d'un enregistrement peut le modifier.

Son étendue de réplication dit vers quels contrôleurs elle est copiée :

Zones de recherche directe et inversée

Une zone de recherche directe répond à la question « quelle est l'adresse de ce nom ? » : srv-fichiers.ad.sorbier.example donne 192.168.10.178.

Une zone de recherche inversée répond à l'inverse : « quel est le nom de cette adresse ? ». Elle est nommée d'après le réseau, octets à l'envers, suivis de in-addr.arpa :

Chez Sorbier, tous les VLAN sont découpés dans 192.168.10.0/24 : une seule zone inversée, 10.168.192.in-addr.arpa, couvre les cinq réseaux. L'enregistrement PTR de srv-fichiers y porte le nom 178, et son nom complet est 178.10.168.192.in-addr.arpa.

La zone inversée n'est pas indispensable au fonctionnement d'Active Directory, mais beaucoup d'outils l'utilisent : journaux qui affichent des noms au lieu d'adresses, supervision, certains contrôles d'authentification. Crée-la toujours.

Les enregistrements

Les enregistrements SRV des contrôleurs de domaine sont créés et tenus à jour par le service Netlogon de chaque contrôleur : ne les crée jamais à la main. S'ils manquent, nltest /dsregdns ou un redémarrage du service Netlogon les réenregistre.

Les mises à jour dynamiques

Chaque poste Windows du domaine enregistre lui-même son enregistrement A dans la zone, à chaque démarrage et changement d'adresse : c'est la mise à jour dynamique. Réglage de la zone : Sécurisé uniquement (le choix par défaut des zones intégrées), pour qu'une machine ne puisse ni créer un enregistrement au nom d'une autre ni écraser celui d'un serveur. Le réglage Non sécurisé et sécurisé permet à n'importe qui sur le réseau de modifier la zone : à proscrire.

Pour les appareils qui ne savent pas s'enregistrer (imprimantes, téléphones, postes Linux), c'est le serveur DHCP qui peut créer l'enregistrement à leur place (voir plus bas).

Redirecteurs et indications de racine

Quand un poste demande www.service-public.fr, le serveur DNS interne ne connaît pas la réponse. Trois façons de la trouver :

• les indications de racine (root hints) : le serveur interroge lui-même les serveurs racines, puis les serveurs de .fr, et ainsi de suite. Elles sont configurées par défaut ;
• un redirecteur : le serveur fait suivre toutes les questions qu'il ne sait pas traiter à un autre serveur, celui du fournisseur d'accès, d'un service DNS filtrant ou d'un pare-feu ;
• un redirecteur conditionnel : seules les questions sur un domaine donné partent vers un serveur désigné. C'est la solution pour résoudre les noms internes d'un partenaire ou d'une filiale dans une autre forêt.

# Redirecteurs : le résolveur filtrant de l'organisation, par exemple
Set-DnsServerForwarder -IPAddress 9.9.9.9, 149.112.112.112

# Redirecteur conditionnel vers la forêt d'une filiale, répliqué dans l'annuaire
Add-DnsServerConditionalForwarderZone -Name "filiale.example" -MasterServers 10.20.0.10 -ReplicationScope "Forest"

Le vieillissement et le nettoyage

Un poste réformé ou renommé laisse son enregistrement A dans la zone. Avec le temps, la zone se remplit d'enregistrements périmés qui envoient vers de mauvaises machines. Le vieillissement (aging) horodate les enregistrements dynamiques, et le nettoyage (scavenging) supprime ceux qui ne sont plus rafraîchis.

• Intervalle sans actualisation (7 jours par défaut) : pendant ce délai après une mise à jour, l'horodatage n'est pas rafraîchi, pour limiter la réplication.
• Intervalle d'actualisation (7 jours par défaut) : la machine doit rafraîchir son enregistrement pendant ce délai.
• Passé la somme des deux (14 jours par défaut), l'enregistrement est périmé et le prochain nettoyage le supprime.

# Activer le vieillissement sur la zone (intervalles par défaut : 7 jours + 7 jours)
Set-DnsServerZoneAging -Name "ad.sorbier.example" -Aging $true

# Activer le nettoyage automatique sur UN serveur, tous les 7 jours
Set-DnsServerScavenging -ScavengingState $true -ScavengingInterval 7.00:00:00 -ApplyOnAllZones

Les enregistrements statiques, créés à la main, n'ont pas d'horodatage et ne sont jamais nettoyés : c'est pourquoi les serveurs ont des enregistrements statiques.

Configurer le DNS en PowerShell

La promotion du premier contrôleur a déjà créé les zones du domaine. Il reste la zone inversée et les enregistrements des serveurs :

# Zone inversée intégrée à l'annuaire, répliquée vers les serveurs DNS du domaine
Add-DnsServerPrimaryZone -NetworkId "192.168.10.0/24" -ReplicationScope "Domain" -DynamicUpdate Secure

# Enregistrement A statique, avec son PTR
Add-DnsServerResourceRecordA -ZoneName "ad.sorbier.example" -Name "srv-fichiers" -IPv4Address 192.168.10.178 -CreatePtr

# Alias
Add-DnsServerResourceRecordCName -ZoneName "ad.sorbier.example" -Name "intranet" -HostNameAlias "srv-gestion.ad.sorbier.example"

# Lire la zone
Get-DnsServerResourceRecord -ZoneName "ad.sorbier.example" -RRType A

Diagnostiquer un problème de DNS

DHCP : installer et autoriser le serveur

Le serveur DHCP écoute sur le port UDP 67 ; les clients utilisent le port UDP 68. L'échange en quatre messages (Discover, Offer, Request, Acknowledge, d'où DORA) se fait par diffusion : c'est pourquoi il faut un relais pour servir plusieurs VLAN.

Install-WindowsFeature DHCP -IncludeManagementTools

# Créer les groupes locaux « Administrateurs DHCP » et « Utilisateurs DHCP », puis redémarrer le service
Add-DhcpServerSecurityGroup
Restart-Service DHCPServer

# Autoriser le serveur dans l'annuaire
Add-DhcpServerInDC -DnsName "srv-ad.ad.sorbier.example" -IPAddress 192.168.10.177
Get-DhcpServerInDC

Dans un domaine, un serveur DHCP Windows non autorisé dans l'annuaire ne distribue aucune adresse : il vérifie au démarrage qu'il figure dans la liste. Cette protection n'arrête que les serveurs DHCP Windows membres du domaine : une box ou un serveur Linux branché par erreur distribue quand même des adresses. Contre ces serveurs pirates, la protection se fait sur les commutateurs, avec la surveillance DHCP (DHCP snooping), qui n'autorise les réponses DHCP que sur les ports de confiance (sécurité des switchs).

Étendues, exclusions, réservations et baux

Une étendue (scope) est une plage d'adresses distribuées dans un réseau, avec son masque, sa durée de bail et ses options. Pour le VLAN des postes de Sorbier, 192.168.10.64/26, le plan d'adressage prévoit le DHCP de .65 à .115 et des adresses fixes de .116 à .125 pour les imprimantes et les bornes Wi-Fi. La passerelle est .126.

# L'étendue couvre toute la plage utilisable sauf la passerelle...
Add-DhcpServerv4Scope -Name "VLAN10-POSTES" -StartRange 192.168.10.65 -EndRange 192.168.10.125 `
    -SubnetMask 255.255.255.192 -LeaseDuration 8.00:00:00 -State Active

# ... et on exclut les adresses fixes
Add-DhcpServerv4ExclusionRange -ScopeId 192.168.10.64 -StartRange 192.168.10.116 -EndRange 192.168.10.125

# Une réservation : l'imprimante de l'accueil reçoit toujours la même adresse, liée à son adresse MAC
Add-DhcpServerv4Reservation -ScopeId 192.168.10.64 -IPAddress 192.168.10.110 `
    -ClientId "00-1B-A9-4C-21-7F" -Name "IMP-ACCUEIL" -Description "Imprimante accueil"

L'identifiant d'étendue (ScopeId) est l'adresse du réseau, ici 192.168.10.64. Une exclusion retire des adresses de la distribution (pour des équipements configurés à la main). Une réservation associe une adresse à une adresse MAC : l'appareil reste en DHCP, donc reçoit les options à jour, mais garde toujours la même adresse. La réservation doit être dans l'étendue et hors des exclusions.

La durée du bail est un compromis : courte (quelques heures) pour un réseau visiteurs où les appareils changent sans cesse, longue (8 jours, la valeur par défaut) pour des postes fixes. Le client demande le renouvellement à la moitié du bail.

Les options DHCP

Les options se définissent à plusieurs niveaux, du plus général au plus précis : serveur (toutes les étendues), étendue, réservation. En cas de conflit, le niveau le plus précis gagne : une option de réservation l'emporte sur l'option de l'étendue, qui l'emporte sur l'option du serveur. On met donc au niveau du serveur ce qui est commun (DNS, nom de domaine) et au niveau de l'étendue ce qui change (la passerelle de chaque VLAN).

# Options communes au niveau du serveur
Set-DhcpServerv4OptionValue -DnsServer 192.168.10.177, 192.168.10.181 -DnsDomain "ad.sorbier.example"

# Passerelle propre à l'étendue du VLAN 10
Set-DhcpServerv4OptionValue -ScopeId 192.168.10.64 -Router 192.168.10.126

Servir plusieurs VLAN : le relais DHCP

Les messages DHCP du client partent en diffusion, et une diffusion ne traverse pas un routeur. Le serveur, dans le VLAN 20, n'entend donc pas les postes du VLAN 10 ou de l'entrepôt (VLAN 30). La solution : configurer un relais DHCP sur l'équipement qui route entre les VLAN (Routage et commutation). Il capte la diffusion, la transmet en unicast au serveur en y indiquant le réseau d'origine, et le serveur choisit l'étendue qui correspond. Sur le commutateur de cœur Cisco de Sorbier :

interface Vlan10
 ip address 192.168.10.126 255.255.255.192
 ip helper-address 192.168.10.177
 ip helper-address 192.168.10.181
interface Vlan30
 ip address 192.168.10.158 255.255.255.224
 ip helper-address 192.168.10.177
 ip helper-address 192.168.10.181

Les deux adresses servent quand les deux serveurs se partagent les étendues (basculement, ci-dessous). Le relais doit aussi être autorisé par les ACL du commutateur et par le pare-feu, le cas échéant (UDP 67 vers les serveurs).

Le basculement DHCP

Si srv-ad tombe et qu'il est seul serveur DHCP, les postes ne renouvellent plus leur bail et perdent leur adresse les uns après les autres. Le basculement DHCP (DHCP failover), disponible depuis Windows Server 2012, associe deux serveurs qui partagent les mêmes étendues IPv4 et se synchronisent les baux. La redondance des autres services d'infrastructure (deux contrôleurs de domaine, DNS intégré à AD) est traitée dans le chapitre Active Directory, DNS et DHCP redondants du cours Haute disponibilité.

Paramètres à connaître :

• le délai MCLT (Maximum Client Lead Time, 1 heure par défaut) : le délai maximal dont un serveur peut prolonger un bail au-delà de ce que son partenaire connaît. Quand un serveur constate la panne de son partenaire et passe en état partenaire hors service, il attend la fin du MCLT avant de disposer de toute la plage ;
• l'intervalle de basculement d'état : si on l'active, un serveur qui ne joint plus son partenaire passe seul en état « partenaire hors service » après ce délai ; sinon, l'administrateur doit le faire à la main ;
• le secret partagé : il authentifie les messages entre les deux serveurs.

# Sur srv-ad, après avoir installé et autorisé le rôle DHCP sur srv-ad2
Add-DhcpServerv4Failover -ComputerName "srv-ad.ad.sorbier.example" -Name "srv-ad-srv-ad2" `
    -PartnerServer "srv-ad2.ad.sorbier.example" -ScopeId 192.168.10.64, 192.168.10.128 `
    -LoadBalancePercent 50 -MaxClientLeadTime 01:00:00 `
    -AutoStateTransition $true -StateSwitchInterval 01:00:00 `
    -SharedSecret (Read-Host "Secret partagé")

Get-DhcpServerv4Failover

Les étendues sont créées sur le premier serveur et répliquées vers le partenaire. Ensuite, toute modification (une nouvelle réservation, une option) doit être répliquée vers le partenaire : clic droit sur l'étendue > Répliquer l'étendue, ou Invoke-DhcpServerv4FailoverReplication. Le basculement ne réplique pas les options du niveau serveur : configure-les sur les deux.

DHCP et DNS : l'enregistrement des noms

Dans les propriétés de l'étendue (onglet DNS), le serveur DHCP peut créer les enregistrements A et PTR à la place des clients qui ne savent pas le faire. Quand le serveur DHCP est installé sur un contrôleur de domaine, il agit par défaut avec le compte de l'ordinateur, qui a des droits étendus dans la zone : on lui configure plutôt un compte dédié sans privilège, avec Set-DhcpServerDnsCredential, pour qu'il ne puisse pas écraser les enregistrements sensibles.

Le journal d'audit du serveur DHCP, C:\Windows\System32\dhcp\DhcpSrvLog-<Jour>.log, garde la trace de chaque bail attribué : adresse, nom et adresse MAC. Il permet de savoir quel appareil avait telle adresse à telle heure, une question fréquente lors d'une enquête sur un incident (analyser des logs).

Exercices