Verwalten von Samba4 AD-Domänencontrollern, DNS und Gruppenrichtlinien von Windows aus - Teil 4

In Fortsetzung des vorherigen Tutorials zum Verwalten von Samba4 von Windows 10 über RSAT erfahren Sie, wie Sie unseren DNS-Server für den Samba AD-Domänencontroller über den Microsoft DNS-Manager remote verwalten, wie Sie DNS-Einträge erstellen, wie Sie eine Reverse-Lookupzone erstellen und wie Sie eine Domänenrichtlinie über das Gruppenrichtlinienverwaltungstool erstellen.

Anforderungen

1. Erstellen einer AD-Infrastruktur mit Samba4 auf Ubuntu 16.04 – Teil 1
2. Verwalten der Samba4 AD-Infrastruktur über die Linux-Befehlszeile – Teil 2
3. Verwalten der Samba4 Active Directory-Infrastruktur von Windows10 über RSAT – Teil 3

Schritt 1: Verwalten des Samba-DNS-Servers

Samba4 AD DC verwendet ein internes DNS-Resolvermodul, das während der ersten Domänenbereitstellung erstellt wird (wenn das BIND9 DLZ-Modul nicht speziell verwendet wird).

Das interne DNS-Modul von Samba4 unterstützt die grundlegenden Funktionen, die für einen AD-Domänencontroller erforderlich sind. Der Domain-DNS-Server kann auf zwei Arten verwaltet werden: direkt über die Befehlszeile über die Samba-Tool-Schnittstelle oder remote von einer Microsoft-Workstation, die Teil der Domain ist, über den RSAT DNS Manager.

Hier behandeln wir die zweite Methode, da sie intuitiver und nicht so fehleranfällig ist.

1. Um den DNS-Dienst für Ihren Domänencontroller über RSAT zu verwalten, gehen Sie zu Ihrem Windows-Computer, öffnen Sie Systemsteuerung -> System und Sicherheit -> Verwaltung und führen Sie das Dienstprogramm DNS-Manager aus.

Sobald das Tool geöffnet ist, werden Sie gefragt, auf welchem DNS-laufenden Server Sie eine Verbindung herstellen möchten. Wählen Sie "Folgender Computer", geben Sie Ihren Domänennamen in das Feld ein (oder die IP-Adresse oder der FQDN können ebenfalls verwendet werden), aktivieren Sie das Kontrollkästchen "Jetzt mit dem angegebenen Computer verbinden" und klicken Sie auf OK, um Ihren Samba-DNS-Dienst zu öffnen.

2. Um einen DNS-Eintrag hinzuzufügen (als Beispiel fügen wir einen A-Eintrag hinzu, der auf unser LAN-Gateway verweist), navigieren Sie zur Domain Forward Lookup Zone, klicken Sie mit der rechten Maustaste auf die rechte Ebene und wählen Sie Neuer Host (A oder AAA).

3. Geben Sie im Fenster Neuer Host geöffnet den Namen und die IP-Adresse Ihrer DNS-Ressource ein. Der FQDN wird automatisch vom DNS-Dienstprogramm für Sie geschrieben. Wenn Sie fertig sind, klicken Sie auf die Schaltfläche Host hinzufügen und ein Popup-Fenster informiert Sie darüber, dass Ihr DNS-A-Eintrag erfolgreich erstellt wurde.

Stellen Sie sicher, dass Sie DNS-A-Einträge nur für die Ressourcen in Ihrem Netzwerk hinzufügen, die mit statischen IP-Adressen konfiguriert sind. Fügen Sie keine DNS-A-Einträge für Hosts hinzu, die so konfiguriert sind, dass sie Netzwerkkonfigurationen von einem DHCP-Server abrufen, da sich ihre IP-Adressen häufig ändern.

Um einen DNS-Eintrag zu aktualisieren, doppelklicken Sie einfach darauf und schreiben Sie Ihre Änderungen. Um den Datensatz zu löschen, klicken Sie mit der rechten Maustaste auf den Datensatz und wählen Sie Löschen aus dem Menü.

Auf die gleiche Weise können Sie andere Arten von DNS-Einträgen für Ihre Domain hinzufügen, z. B. CNAME (auch bekannt als DNS-Alias-Eintrag), MX-Einträge (sehr nützlich für Mailserver) oder andere Arten von Einträgen (SPF, TXT, SRV usw.).

Schritt 2: Erstellen einer Reverse-Lookupzone

Standardmäßig fügt Samba4 Ad DC nicht automatisch eine Reverse-Lookupzone und PTR-Einträge für Ihre Domäne hinzu, da diese Arten von Einträgen für die ordnungsgemäße Funktion eines Domänencontrollers nicht entscheidend sind.

Stattdessen sind eine DNS-Reversezone und ihre PTR-Einträge für die Funktionalität einiger wichtiger Netzwerkdienste, wie z. B. eines E-Mail-Dienstes, von entscheidender Bedeutung, da diese Art von Einträgen verwendet werden können, um die Identität von Clients zu überprüfen, die einen Dienst anfordern.

In der Praxis sind PTR-Einträge genau das Gegenteil von Standard-DNS-Einträgen. Die Clients kennen die IP-Adresse einer Ressource und fragen den DNS-Server ab, um ihren registrierten DNS-Namen herauszufinden.

4. Um eine Reverse-Lookup-Zone für Samba AD DC zu erstellen, öffnen Sie den DNS-Manager, klicken Sie mit der rechten Maustaste auf Reverse-Lookup-Zone auf der linken Ebene und wählen Sie Neue Zone aus dem Menü.

5. Klicken Sie anschließend auf die Schaltfläche Weiter und wählen Sie Primäre Zone aus dem Zonentyp-Assistenten.

6. Wählen Sie als Nächstes To all DNS servers running on domain controller in this domain aus dem AD-Zonenreplikationsbereich aus, wählen Sie IPv4 Reverse Lookup Zone aus und klicken Sie auf Next, um fortzufahren.

7. Geben Sie als Nächstes die IP-Netzwerkadresse für Ihr LAN in das Feld Netzwerk-ID ein und klicken Sie auf Weiter, um fortzufahren.

Alle PTR-Einträge, die in dieser Zone für Ihre Ressourcen hinzugefügt werden, verweisen nur auf den Netzwerkteil 192.168.1.0/24. Wenn Sie einen PTR-Eintrag für einen Server erstellen möchten, der sich nicht in diesem Netzwerksegment befindet (z. B. ein Mailserver, der sich im Netzwerk 10.0.0.0/24 befindet), müssen Sie auch eine neue Reverse-Lookup-Zone für dieses Netzwerksegment erstellen.

8. Wählen Sie auf dem nächsten Bildschirm "Nur sichere dynamische Updates zulassen", klicken Sie auf "Weiter", um fortzufahren, und klicken Sie schließlich auf "Fertig", um die Zonenerstellung abzuschließen.

9. Zu diesem Zeitpunkt haben Sie eine gültige DNS-Reverse-Lookupzone für Ihre Domain konfiguriert. Um einen PTR-Eintrag in dieser Zone hinzuzufügen, klicken Sie mit der rechten Maustaste auf die rechte Ebene und wählen Sie aus, einen PTR-Eintrag für eine Netzwerkressource zu erstellen.

In diesem Fall haben wir einen Zeiger für unser Gateway erstellt. Um zu testen, ob der Datensatz ordnungsgemäß hinzugefügt wurde und aus Sicht des Clients wie erwartet funktioniert, öffnen Sie eine Eingabeaufforderung, und geben Sie eine nslookup-Abfrage für den Namen der Ressource und eine weitere Abfrage für ihre IP-Adresse aus.

Beide Abfragen sollten die richtige Antwort für Ihre DNS-Ressource zurückgeben.

nslookup gate.tecmint.lan
nslookup 192.168.1.1
ping gate

Schritt 3: Verwaltung von Domänengruppenrichtlinien

10. Ein wichtiger Aspekt eines Domänencontrollers ist seine Fähigkeit, Systemressourcen und Sicherheit von einem einzigen zentralen Punkt aus zu steuern. Diese Art von Aufgabe kann in einem Domänencontroller mit Hilfe von Domänengruppenrichtlinien problemlos ausgeführt werden.

Leider ist die einzige Möglichkeit zum Bearbeiten oder Verwalten von Gruppenrichtlinien in einem Samba-Domänencontroller die von Microsoft bereitgestellte RSAT GPM-Konsole.

Im folgenden Beispiel sehen wir, wie einfach es sein kann, Gruppenrichtlinien für unsere Samba-Domain zu bearbeiten, um ein interaktives Anmeldebanner für unsere Domain-Benutzer zu erstellen.

Um auf die Gruppenrichtlinienkonsole zuzugreifen, wechseln Sie zu Systemsteuerung -> System und Sicherheit -> Verwaltung und öffnen Sie die Gruppenrichtlinien-Verwaltungskonsole.

Erweitern Sie die Felder für Ihre Domain und klicken Sie mit der rechten Maustaste auf Default Domain Policy. Wählen Sie Bearbeiten aus dem Menü und ein neues Fenster sollte erscheinen.

11. Gehen Sie im Fenster des Gruppenrichtlinienverwaltungs-Editors zu Computerkonfiguration -> Richtlinien -> Windows-Einstellungen -> Sicherheitseinstellungen -> Lokale Richtlinien -> Sicherheitsoptionen, und eine neue Optionsliste sollte in der rechten Ebene angezeigt werden.

Suchen und bearbeiten Sie in der rechten Ebene mit Ihren benutzerdefinierten Einstellungen, indem Sie zwei Einträgen folgen, die im folgenden Screenshot dargestellt sind.

12. Nachdem Sie die Bearbeitung der beiden Einträge abgeschlossen haben, schließen Sie alle Fenster, öffnen Sie eine Eingabeaufforderung mit erhöhten Rechten und erzwingen Sie die Anwendung der Gruppenrichtlinie auf Ihrem Computer, indem Sie den folgenden Befehl ausführen:

gpupdate /force

13. Starten Sie abschließend Ihren Computer neu und Sie sehen das Anmeldebanner in Aktion, wenn Sie versuchen, die Anmeldung durchzuführen.

Das ist alles! Gruppenrichtlinien sind ein sehr komplexes und sensibles Thema und sollten von Systemadministratoren mit größter Sorgfalt behandelt werden. Beachten Sie auch, dass Gruppenrichtlinieneinstellungen in keiner Weise für Linux-Systeme gelten, die in den Bereich integriert sind.