Windows Server DNS, DHCP und Active Directory übernehmen zunächst zuverlässig die Kerndienste des Unternehmens, stoßen jedoch mit wachsender Infrastruktur an ihre Grenzen und verlieren dabei die zentralisierte Transparenz, Automatisierung und Audit-Kontrolle. Da Active Directory DNS-serverunabhängig ist, können Teams eine Konsolidierung vornehmen, ohne die Replikation zu unterbrechen. Für Unternehmen, denen die nativen Tools nicht mehr ausreichen, bietet BlueCat Integrity eine vollständige Konsolidierung von DNS, DHCP und IPAM über komplexe, plattformübergreifende Umgebungen hinweg.
Warum ist es für zentrale Unternehmensdienste riskant, Microsoft DNS nach dem Motto „Einmal einrichten und dann vergessen“ zu behandeln?
Microsoft DNS als „einmal einrichten und vergessen“ zu betrachten, ist riskant, da es nur in etwa 90 Prozent der Fälle funktioniert,
ein inakzeptables Zuverlässigkeitsniveau für Hochverfügbarkeitsdienste, und weil Active Directory, die Authentifizierung und der Datenverkehr zwischen Anwendungen ausfallen, wenn das DNS ausfällt.
Microsoft DNS wird automatisch über Active Directory bereitgestellt, was Administratoren dazu verleitet, es nur einmal zu konfigurieren und sich dann anderen Aufgaben zuzuwenden. Doch „‚90 Prozent der Zeit‘ ist in einer gut funktionierenden IT-Organisation ein schrecklicher Maßstab.“ Callcenter, globales Lastenausgleich und Authentifizierung können diese Lücke nicht tolerieren.
DNS ist die grundlegende Backplane des Netzwerks; jede interne und externe Ressource ist davon abhängig, und Active Directory funktioniert ohne DNS nicht. Ein ordnungsgemäß verwaltetes DNS sorgt zudem für Transparenz: DNS-Firewalls blockieren böswillige Abfragen, und DHCP sowie IPAM zeigen auf, wer Adressen im Netzwerk anfordert.
When organizations don't leverage the power of DNS, they're missing out on network security, visibility, etc. How can we convince executives they need DNS?
3 min·Blog
Weiterlesen →
· 02 — Die Übergabe, die niemand sieht
Wie funktioniert die DNS-Auflösung eigentlich, von den Root-Servern bis hin zu den autoritativen Antworten?
DNS löst Anfragen hierarchisch auf: Ein rekursiver Server ohne zwischengespeicherte Antwort fragt einen Root-Server ab, um den richtigen Top-Level-Domain-Server zu ermitteln,
verfolgt Weiterleitungen bis zum autoritativen Nameserver und speichert das Ergebnis anschließend entsprechend der konfigurierten TTL im Cache.
Root-DNS-Server stehen an der Spitze der Hierarchie, bedienen die Root-Zone, in der alle Top-Level-Domains aufgeführt sind, und werden von der IANA verwaltet. „Root-DNS-Server sind die Server, die buchstäblich das DNS für das gesamte Internet betreiben“, und „ohne die Root-DNS-Server würde das Internet nicht mehr funktionieren.“
Es scheint nur 13 Root-Server zu geben, doch dies spiegelt eine ursprüngliche IPv4-Beschränkung wider; jeder der 13 logischen Hostnamen befindet sich nun hinter hochverfügbaren, global verteilten Clustern. Das Verständnis dieser Kette und ihres Caching-Verhaltens ist die Grundlage für die Diagnose jeglicher Auflösungsfehler.
DNS root servers are authoritative servers that direct top level domain queries and list the 13 root hostnames, operators, and IP addresses.
1 min·Page
Weiterlesen →
· 03 — Schuldig, bis das Gegenteil bewiesen ist
Warum wird zuerst das Netzwerkteam beschuldigt, wenn teamübergreifende DNS-Probleme auftreten?
Netzwerkteams werden als Erste zur Verantwortung gezogen, da Netzwerkänderungen eine unverhältnismäßig große Auswirkung haben und DNS die Grundlage für nahezu jeden Dienst bildet.
Infolgedessen führen Missverständnisse im Zusammenhang mit DNS zu Fehldiagnosen, Schuldzuweisungen und einer langsameren Behebung von Vorfällen in der gesamten IT.
„Es gibt dieses Konzept der ‚Mean Time to Innocence‘, was zwar ein Witz ist, aber doch wahr. Es liegt immer am Netzwerk, bis man das Gegenteil beweist.“ Da eine einzige Änderung alle beeinträchtigen kann, werden Netzwerkingenieure vorsichtig und defensiv, was die Silos innerhalb des Unternehmens verstärkt.
DNS wird als der Sauerstoff der Umgebung beschrieben: Probleme zeigen sich als Anwendungs- oder Authentifizierungsfehler, wie beispielsweise Vertrauensprobleme in Active Directory. Moderne, dynamische Infrastrukturen machen die Namensgebung unverzichtbar und erhöhen den Bedarf an grundlegenden Netzwerkkenntnissen sowie einer gemeinsamen Sprache über alle Rollen hinweg.
In the spirit of breaking down barriers, IT professionals discuss guilty networks, speaking up the stack, and essential career skills.
96 min·Blog
Weiterlesen →
· 04 — Bewährte Praxis, getestet
Benötigt Active Directory tatsächlich ein in AD integriertes Microsoft-DNS?
Nein. Active Directory benötigt kein AD-integriertes DNS; es ist DNS-Server-unabhängig und funktioniert einwandfrei auf jeder Plattform, die seinen DNS-Aktualisierungsmechanismus ordnungsgemäß unterstützt,
SRV-Einträge sowie sichere dynamische Aktualisierungen.
Ein hartnäckiger Mythos besagt, dass Active Directory nur mit AD-integriertem DNS funktioniert. Expertenratschläge „widerlegen den Mythos, dass Active Directory nur mit AD-integriertem DNS funktioniert“ und „zeigen, was Active Directory wirklich von einem DNS-System benötigt.“
Was AD wirklich braucht, ist eine korrekte Unterstützung seines DNS-Aktualisierungsmechanismus, nicht eine feste Kopplung an das Integrationsmodell eines bestimmten Anbieters. Das Hosten von AD-DNS auf einer alternativen Plattform unter Beachtung bewährter Best Practices bietet betriebliche und architektonische Vorteile, ohne die AD-Funktionalität zu beeinträchtigen.
Wie wirken sich DNSSEC, DNS über HTTPS und DNS Flag Day auf das DNS-Management in Unternehmen aus?
DNSSEC und DNS over HTTPS lösen unterschiedliche Probleme: DNSSEC authentifiziert die Integrität von DNS-Daten über eine Vertrauenskette, während DoH den DNS-Transport zum Schutz der Privatsphäre verschlüsselt.
Beide Lösungen bringen betriebliche Kompromisse hinsichtlich Komplexität, Schlüsselverwaltung und Transparenz im Unternehmen mit sich.
DNSSEC signiert Datensätze statt einzelner Einträge. Ein Zonensignaturschlüssel erzeugt die Signaturen in RRSIG-Einträgen, ein Schlüsselsignaturschlüssel validiert den in DNSKEY veröffentlichten öffentlichen Schlüssel, und ein DS-Eintrag in der übergeordneten Zone verknüpft die Ebenen zu einer Vertrauenskette. Wenn ein Glied der Kette die Validierung nicht besteht, gibt der Resolver „SERVFAIL“ zurück, anstatt eine gefälschte Antwort an den Client weiterzuleiten. Die Sicherheitsargumente sind überzeugend; bei den betrieblichen Aspekten kommen die Teams jedoch ins Stocken. „DNSSEC bietet Herkunftsauthentifizierung über eine Vertrauenskette, ist jedoch schwer zu konfigurieren und zu warten.“ Jede Zonenänderung bedeutet eine Neuunterschrift, Schlüssel müssen planmäßig und im Notfall erneuert werden, und ein einziger Fehler lässt die Zone ausfallen.
DoH funktioniert genau umgekehrt. Es verschlüsselt DNS-Daten während der Übertragung zum Schutz der Privatsphäre, „behindert jedoch die herkömmliche Unternehmensüberwachung, die auf Klartext-DNS angewiesen ist“, da die Auflösung auf eine Handvoll öffentlicher Resolver konzentriert wird, die außerhalb der Kontrolle des Unternehmens liegen. Der „DNS Flag Day“ steht neben beiden als Mechanismus zur Durchsetzung der Compliance: Er „war im Wesentlichen ein Weckruf an DNS-Anbieter, ältere, defekte oder nicht konforme Systeme zu entfernen.“
DNSSEC authenticates DNS queries and responses by using cryptographic digital signatures. Learn more and how BlueCat can help to make implementation easier.
8 min·Blog
Weiterlesen →
· 06 — Plattformanforderungen
Worauf sollten Teams bei einer DNS-, DHCP- und IPAM-Plattform für zuverlässige Kerndienste achten?
Teams sollten nach einer Plattform suchen, die DNS, DHCP und IPAM in einer einzigen „Source of Truth“ mit einer einheitlichen Benutzeroberfläche zentralisiert,
unterstützt die Self-Service-Automatisierung und setzt Compliance-Anforderungen wie DNSSEC, Failover und Netzwerksegmentierung im gesamten Netzwerk durch.
„Ein zentralisiertes DNS ist notwendig, da Shared-Services-Architekturen eine solche Skalierbarkeit und Komplexität aufweisen, die ein dezentrales DNS unhandlich und fehleranfällig machen.“ Wie es in der Shared-Services-Analyse heißt, ist die Pflege mehrerer „Wahrheitsquellen“ für DNS „ein gefundenes Fressen für Probleme in Form von fehlerbedingten Netzwerkausfällen, deren Behebung zeitaufwändig sein kann“. Dies ist das direkte Gegenteil der oben beschriebenen Fragmentierung.
Die Plattform muss Self-Service-Provisioning für Automatisierung und DevOps bieten, DNS über Hybrid- und Multi-Cloud-Umgebungen hinweg vereinheitlichen, anstatt es in einzelne Cloud-Instanzen zu fragmentieren, und „ein konformes Netzwerk bereitstellen, das Standardanforderungen wie DNSSEC, Failover-Fähigkeiten und Netzwerksegmentierung erfüllt“.
DNS is not only a key foundation of shared IT services, but also delivers the functionality which makes those shared services thrive. 
3 min·Blog
Weiterlesen →
· 07 — Konsolidierung auf einer DDI-Plattform für Unternehmen
Wie wechseln Teams, denen die nativen Microsoft-DNS- und DHCP-Lösungen nicht mehr ausreichen, zu einer DDI-Plattform für Unternehmen?
Teams, denen die nativen Microsoft-DNS- und DHCP-Lösungen nicht mehr ausreichen, konsolidieren ihre Infrastruktur, indem sie verstreute Windows-Server durch eine unternehmensweite DDI-Plattform – BlueCat Integrity – ersetzen, die die Verwaltung von DNS, DHCP und IPAM unter die Unternehmens-Governance stellt.
Da Active Directory DNS-serverunabhängig ist, lassen sich AD-Zonen schrittweise und ohne Ausfallzeiten migrieren.
Integrity ist die zentrale DDI-Software-Suite von BlueCat, die den Address Manager mit verteilten BlueCat-DNS-/DHCP-Servern kombiniert, um fragmentierte DNS-, DHCP- und IPAM-Systeme zu einer einzigen „Source of Truth“ zu vereinen und gleichzeitig Einblicke in die Beziehungen zwischen Geräten, Benutzern und IP-Adressen im gesamten Unternehmen zu bieten. Die Hub-and-Spoke-Architektur macht eine Konsolidierung in großem Maßstab praktikabel: Eine Appliance der Enterprise-Klasse verwaltet Tausende von DNS/DHCP-Servern ohne zusätzliche Infrastrukturkosten, über 1.000 Server sind im Rahmen der N-2-Release-Unterstützung mit einem einzigen Address Manager verbunden, und das Modell unterstützt schrittweise Upgrades anstelle einer einmaligen Umstellung.
Die Governance ist in die Plattform integriert und nicht nur als zusätzliche Ebene darauf aufgesetzt. Rollenbasierte Zugriffskontrollen definieren mehrere Administratoren mit unterschiedlichen Berechtigungsstufen, Netzwerkvorlagen und IP-Modellierungstools sorgen für Konsistenz, und eine herstellerunabhängige RESTful OpenAPI macht Vorgänge für die Automatisierung zugänglich, sodass die Bereitstellung nicht mehr von Support-Tickets abhängt. DNS- und DHCP-Failover gewährleisten die Verfügbarkeit über IPv4 und IPv6 hinweg, Backup- und Wiederherstellungsoptionen decken sowohl On-Premise- als auch Cloud-Bereitstellungen ab, und Prometheus-basierte Echtzeit-Metriken decken Probleme auf, bevor sie zu Ausfallzeiten führen.
15.000
15.000
A global manufacturer replaced Microsoft DHCP and brought roughly 15.000 IP addresses across 27 production sites under a single management console.
Tame network complexity with Integrity's full-stack DDI management platform and get visibility and control over your DNS, DHCP, and IPAM.
9 min·Page
Integrity anzeigen →
· 08 — Wege in die Zukunft
Welcher Modernisierungsweg ist der richtige für ein Microsoft-orientiertes Team, das über die nativen DNS- und DHCP-Funktionen hinausgewachsen ist?
Der richtige Weg hängt von der Größe der IT-Infrastruktur und den Governance-Anforderungen ab. Er reicht von der Quantifizierung der Zuverlässigkeitslücke über die Entkopplung von Active Directory vom integrierten DNS bis hin zur vollständigen Unternehmenskonsolidierung auf einer geregelten DDI-Plattform.
PATH 01
Wenn die Unternehmensleitung DNS immer noch als „einmal einrichten und dann vergessen“ betrachtet
Quantifizieren Sie zunächst die Zuverlässigkeitslücke
Ermitteln Sie, wie viel manuellen Aufwand, Ausfallrisiko und Schuldzuweisungen native Tools verursachen. Stützen Sie Ihre Argumentation darauf, wie die Fehlerbehebung tatsächlich abläuft und warum DNS-Ausfälle zu Ausfällen bei der Authentifizierung und bei Anwendungen führen. Dies schafft die interne Legitimation für Veränderungen.
Wenn der Mythos der AD-Integration die Modernisierung blockiert
Entkopplung von Active Directory vom integrierten DNS
Stellen Sie sicher, dass Active Directory DNS-serverunabhängig ist und lediglich eine korrekte Unterstützung für seinen Aktualisierungsmechanismus sowie für SRV-Einträge benötigt. Prüfen Sie, welche Sicherheitsstandards, wie beispielsweise DNSSEC, mit den aktuellen Tools realistisch umgesetzt werden können. Damit wird das letzte Hindernis für die Verlagerung von AD-Zonen weg von verstreuten Windows-DNS-Servern beseitigt.
Wenn verstreute Windows-Server die Anforderungen an Governance und Skalierbarkeit nicht mehr erfüllen können
Konsolidierung auf einer DDI-Plattform für Unternehmen
Ersetzen Sie fragmentierte DNS-, DHCP- und IPAM-Systeme durch eine einzige, geregelte Steuerungsebene, die Transparenz, Automatisierung, Prüfpfade und die Durchsetzung von Compliance-Vorgaben bietet. Für plattformübergreifende Umgebungen im Unternehmensmaßstab bedeutet dies eine vollständige Konsolidierung auf BlueCat Integrity, die in schrittweisen Phasen erfolgt.
Häufige Fragen von Teams, die sich mit den Grundlagen der Windows Server-Netzwerktechnik und der Konsolidierung von DDI im Unternehmen befassen.
Nein. Active Directory ist DNS-serverunabhängig und erfordert kein in AD integriertes Microsoft-DNS. Es funktioniert einwandfrei auf jeder DNS-Plattform, die seinen DNS-Aktualisierungsmechanismus, SRV-Einträge sowie sichere dynamische Aktualisierungen ordnungsgemäß unterstützt.
Es gibt 13 logische Root-Server-Hostnamen – eine Beschränkung, die noch aus der IPv4-Adressierung stammt. Jeder Hostname befindet sich nun hinter hochverfügbaren, global verteilten Serverclustern, sodass weltweit Hunderte physischer Root-Server im Einsatz sind.
Die nativen Microsoft-Tools für DNS und DHCP bewältigen grundlegende Standardaufgaben gut, lassen jedoch eine zentralisierte Übersicht, Automatisierung, RBAC und Auditierung vermissen. Wenn Infrastrukturen zu Hybrid- und Multi-Cloud-Umgebungen wachsen, sehen sich Teams mit zunehmendem manuellem Aufwand, mangelnder Flexibilität und Verzögerungen bei der Modernisierung konfrontiert, die die Lizenzkostenfreiheit der Tools bei weitem überwiegen. BlueCat Integrity übernimmt stattdessen diese Kosten und vereint DNS, DHCP und IPAM auf einer einzigen Plattform – mit der Automatisierung, der rollenbasierten Zugriffskontrolle und den Prüfprotokollen, die bei nativen Tools manuell erstellt werden müssen.
Sie lösen unterschiedliche Probleme. DNSSEC authentifiziert die Integrität von DNS-Daten über eine Vertrauenskette, sodass Resolver überprüfen können, ob Antworten nicht manipuliert wurden. DNS over HTTPS verschlüsselt den DNS-Transport zum Schutz der Privatsphäre während der Übertragung, verringert jedoch die Transparenz des DNS-Datenverkehrs für das Unternehmen.
Ja. Da Active Directory DNS-serverunabhängig ist, kann AD-DNS schrittweise migriert werden (AD auf neue DNS-Server verweisen, Zonen importieren und Clients sowie Domänencontroller die Einträge neu registrieren lassen), solange die DNS-Anforderungen gewahrt bleiben. Teams, die auf BlueCat Integrity konsolidieren, folgen diesem schrittweisen Muster, indem sie Zonen importieren und Domänencontroller schrittweise umleiten, sodass die Auflösung durchgehend gewährleistet bleibt.
Dezentralisiertes DNS schafft mehrere Informationsquellen, was Konfigurationsfehler und das Ausfallrisiko erhöht. Zentralisiertes DNS bietet eine zentrale Übersicht, reduziert das Betriebsrisiko, ermöglicht Self-Service-Automatisierung und setzt Compliance-Anforderungen wie DNSSEC, Failover und Segmentierung unternehmensweit durch. BlueCat Integrity bietet diese zentrale Übersicht über die gesamte Infrastruktur, sodass Richtlinien und Compliance-Anforderungen einmalig durchgesetzt werden und nicht wiederholt auf jedem einzelnen Server.
Haben Sie noch Fragen?
Erhalten Sie konkrete Antworten von einem BlueCat-Mitarbeiter.
We’re using cookies on this website to improve your experience. Cookies help us learn how you interact with our website and remember you when you come back so we can tailor it to your interests.
To learn more about cookies and how we use them, read our cookie notice.
Some cookies are essential, while others help us to improve your experience by giving us insight into how you are using our website. You may adjust your preferences for non-essential cookies below.
To learn more about cookies and how we use them, read our cookie notice. You can also review our privacy policy for more details on the personal data we collect, use, hold, and disclose when you visit our website or use our products and services.
Functional cookies
Functional cookies are essential cookies that allow us to remember choices or changes you have made (such as to language settings or your choices regarding the use of cookies). These cookies cannot be turned off since they are essential for the operation of our Websites.
Analytics cookies
Analytics cookies are non-essential cookies that collect information on how visitors use our Websites. We use this information with your consent to measure the number of visitors to our Websites, determine whether specific content or communication has been viewed, and to help us improve our Websites and communication. These cookies can be turned off.
Personalisation Storage
Personalisation cookies are non-essential cookies that collect information when you fill out a form on this website. We only use this information with your consent to pre-fill other forms on the site. These cookies can be turned off.
Marketing cookies
Marketing cookies are cookies that are placed by third parties to collect information about your visits and actions on our Websites so that they or we can deliver ads to you later, such as when you are on certain third-party sites or platforms. These cookies may be used by those third parties to build a profile of your interests and show you relevant ads on other websites. These cookies also enable visitors to our Websites to share content on social networks and to enable and evaluate interactions with our communication and social media tools. These cookies can be turned off.
