Probleme bei vielen Domänencontrollern mit Active Directory-integrierten DNS-Zonen

DNS-Registrierungen (DNS = Domain Name System) von SRV- und Domänencontrollerlocator-A-Einträgen (vom Anmeldedienst registriert) und NS-Einträgen (von den autorisierenden DNS-Servern hinzugefügt) in einer Active Directory-integrierten DNS-Zone für einige Domänencontroller funktionieren möglicherweise in einer Domäne mit sehr vielen Domänencontrollern (normalerweise über 800) nicht. In einer Domäne mit mehr als 400 Domänencontrollern scheinen Probleme mit der Registrierung von A-Einträgen und NS-Einträgen an der Stammzone aufzutreten, wenn der Name der Active Directory-integrierten DNS-Zone identisch ist mit dem Active Directory-Domänennamen. Außerdem können eine oder mehrere der folgenden Fehlermeldungen in der Ereignisanzeige erscheinen:

Dieses Problem tritt auf, da in Active Directory die Anzahl von Werten, die einem einzigen Objekt zugeordnet werden können, auf ungefähr 800 beschränkt ist. In einer Active Directory-integrierten DNS-Zone, werden DNS-Namen durch dnsNode-Objekte repräsentiert, und DNS-Einträge werden als Werte in dem mehrwertigen dnsRecord-Attribut auf dnsNode-Objekten gespeichert. Dies kann zu den in diesem Artikel genannten Fehlermeldungen führen.

Installieren Sie das neueste Service Pack für Windows 2000, um dieses Problem zu beheben. Weitere Informationen finden Sie in folgendem Artikel der Microsoft Knowledge Base: Die englische Version dieses Updates sollte die folgenden Dateiattribute (oder höher) aufweisen:
Dieser Hotfix enthält Updates für die DNS- und Anmeldedienstkomponenten. Diese Updates heben die Beschränkung nicht auf, die für die Anzahl von Einträgen gilt, die für denselben DNS-Namen hinzugefügt werden können, wenn die DNS-Zone in Active Directory integriert ist. Sie bieten jedoch einen Mechanismus zum Deaktivieren nicht benötigter DNS-Registrierungen von SRV- und Domänencontrollerlocator-A-Einträgen und NS-Einträgen in einer Active Directory-integrierten DNS-Zone.

DNS-Update

Wenden Sie den Hotfix auf jeden DNS-Server an, der auf einem Domänencontroller ausgeführt wird. Der DNS-Teil des Hotfixes enthält auch eine aktualisierte Version der Datei "Dnscmd.exe", die im Ordner "Systemlaufwerk:\Programme\Support Tools" installiert ist. Wenden Sie nach der Installation des Hotfixes eine der folgenden Methoden an:

Methode 1

Wenn Sie eine Liste von DNS-Servern festlegen möchten, die NS-Einträge zu einer festgelegten Zone hinzufügen können, die sich auf diese Server selbst beziehen, wählen Sie einen DNS-Server aus, und führen Sie die Datei "Dnscmd.exe" mit der Option /AllowNSRecordsAutoCreation aus:

• Verwenden Sie den Befehl dnscmd Servername /config Zonenname /AllowNSRecordsAutoCreation IPList, um eine Liste von TCP/IP-Adressen auf DNS-Servern festzulegen, die dazu berechtigt sind, automatisch NS-Einträge für eine Zone festzulegen. Beispiel:
  Dnscmd NS1 /config Zonenname.com /AllowNSRecordsAutoCreation 10.1.1.1 10.5.4.2
• Verwenden Sie den Befehl dnscmd Servername /config Zonenname /AllowNSRecordsAutoCreation, um die Liste der TCP/IP-Adressen von DNS-Servern zu löschen, die dazu berechtigt sind, automatisch NS-Einträge für eine Zone zu erstellen und die Zone in den Standardzustand zurückzuversetzen, wenn jeder primäre DNS-Server automatisch einen sich auf den jeweiligen Server selbst beziehenden NS-Eintrag zu der Zone hinzufügt. Beispiel:
  Dnscmd NS1 /config Zonename.com /AllowNSRecordsAutoCreation
• Verwenden Sie den Befehl dnscmd Servername /zoneinfo Zonenname /AllowNSRecordsAutoCreation, um die Liste von TCP/IP-Adressen von DNS-Servern abzufragen, die dazu berechtigt sind, automatisch NS-Einträge für eine Zone zu erstellen. Beispiel:
  Dnscmd NS1 /zoneinfo Zonenname.com /AllowNSRecordsAutoCreation

Hinweis: Führen Sie diesen Befehl nur auf einem DNS-Server aus. Die Active Directory-Replikation gibt die Änderungen an alle DNS-Server weiter, auf denen Domänencontroller in derselben Domäne ausgeführt werden.

In einer Umgebung, in der sich die Mehrheit der DNS-Domänencontroller für eine Domäne in Zweigstellen und einige an einem zentralen Standort befinden, können Sie den bereits in diesem Artikel beschriebenen Befehl "Dnscmd" verwenden, um nur die zentralen DNS-Domänencontroller in die IPList einzuschließen. Wenn Sie dies tun, fügen nur die zentralen DNS-Domänencontroller ihre jeweiligen NS-Einträge zu der Active Directory-Domänenzone hinzu.

Methode 2

Achtung: Die unkorrekte Verwendung des Registrierungseditors kann schwerwiegende Probleme verursachen, die das gesamte System betreffen und eine Neuinstallierung des Betriebssystems erforderlich machen. Microsoft kann nicht garantieren, dass Probleme, die von einer falschen Verwendung des Registrierungseditors herrühren, behoben werden können. Benutzen Sie den Registrierungseditor auf eigene Verantwortung.

Wenn Sie auswählen möchten, welcher DNS-Server keine NS-Datensätze, die sich auf den jeweiligen Server selbst beziehen, zu einer Active Directory-integrierten DNS-Zone hinzufügen soll, verwenden Sie den Registrierungseditor ("Regedt32.exe"), um die folgenden Registrierungswerte auf jedem betroffenen DNS-Server zu konfigurieren: Dieser Wert betrifft alle Active Directory-integrierten DNS-Zonen. Die Werte haben folgende Bedeutung: Hinweis: Windows 2000 fügt diesen Wert nicht zur Registrierung hinzu. Sie müssen den DNS-Serverdienst neu starten, um die Änderungen an diesem Wert zu übernehmen.

Wenn Sie verhindern möchten, dass bestimmte DNS-Server ihre jeweiligen NS-Einträge zu Active Directory-integrierten DNS-Zonen auf dem Server selbst hinzufügen, können Sie den zuvor in diesem Artikel beschriebenen Registrierungswert DisableNSRecordsAutoCreation verwenden.

Wenn der Registrierungswert DisableNSRecordsAutoCreation auf 0x1 festgelegt ist, enthalten keine der Active Directory-integrierten DNS-Zonen auf diesem DNS-Server dessen NS-Einträge. Daher dürfen Sie den Registrierungswert nicht auf 0x1 setzen, wenn der Server seine eigenen NS-Einträge mindestens zu einer Active Directory-integrierten DNS-Zone auf dem Server selbst hinzufügen soll.

Anmeldedienst-Update

Achtung: Die unkorrekte Verwendung des Registrierungseditors kann schwerwiegende Probleme verursachen, die das gesamte System betreffen und eine Neuinstallierung des Betriebssystems erforderlich machen. Microsoft kann nicht garantieren, dass Probleme, die von einer falschen Verwendung des Registrierungseditors herrühren, behoben werden können. Benutzen Sie den Registrierungseditor auf eigene Verantwortung.

Der Teil dieses Hotfixes, der sich auf den Anmeldedienst bezieht, gibt Administratoren größere Kontrolle, wie bereits in diesem Artikel beschrieben wurde. Sie sollten den Hotfix auf allen Domänencontrollern installieren. Sie können verhindern, dass ein Domänencontroller versucht, dynamische Aktualisierungen bestimmter DNS-Einträge vorzunehmen, die standardmäßig dynamisch vom Anmeldedienst aktualisiert werden, indem Sie folgenden Registrierungswert mithilfe des Programms "Regedt32.exe" konfigurieren: Geben Sie in diesem Wert die Liste der mnemonischen Codes für die DNS-Einträge an, die nicht von diesem Domänencontroller registriert werden sollten. Hinweis: Setzen Sie den Wert auf die Liste der durch Zeilenumbrüche getrennten mnemonischen Codes, die in folgender Tabelle angegeben sind. Liste der mnemonischen Codes: Hinweis: Windows 2000 fügt diesen Wert nicht zur Registrierung hinzu, und es ist nicht erforderlich, den Anmeldedienst neu zu starten. Wenn der Registrierungswert DnsAvoidRegisterRecords erstellt oder geändert wird, während der Anmeldedienst angehalten wird oder innerhalb der ersten 15 Minuten nachdem der Anmeldedienst gestartet wurde, werden die geeigneten DNS-Updates mit einer kurzen Verzögerung ausgeführt (die Verzögerung dauert jedoch höchstens bis zu 15 Minuten nach dem Starten des Anmeldedienstes).

DNS-Registrierungen von A-Einträgen, die vom Anmeldedienst ausgeführt wurden, können auch mithilfe des Registrierungswerts RegisterDnsARecords geändert werden. Weitere Informationen zur Vorgehensweise finden Sie in folgendem Artikel der Microsoft Knowledge Base: Beachten Sie, dass die Einstellungen des Registrierungswertes DnsAvoidRegisterRecords vor den Einstellungen des Registrierungswertes RegisterDnsARecords Vorrang haben. Daher gelten folgende Bedingungen, wenn die mnemonischen Codes LdapIpAddress und/oder GcIpAddress im Registrierungswert DnsAvoidRegisterRecords verwendet werden:

• Wenn DnsAvoidRegisterRecords nicht den mnemonischen Code LdapIpAddress enthält und RegisterDnsARecords auf 0x0 gesetzt ist, wird der bzw. werden die DNS-Domänenname-A-Eintrag bzw. -Einträge nicht vom Anmeldedienst registriert.
• Wenn DnsAvoidRegisterRecords nicht den mnemonischen Code LdapIpAddress enthält und RegisterDnsARecords auf 0x1 gesetzt ist, wird der bzw. werden die DNS-Domänenname-A-Eintrag bzw. -Einträge nicht vom Anmeldedienst registriert.
• Wenn DnsAvoidRegisterRecords den mnemonischen Code GcIpAddress enthält und RegisterDnsARecords auf 0x0 gesetzt ist, wird der bzw. werden die "gc._msdcs.DNS-Strukturname"-A-Eintrag bzw. -Einträge nicht vom Anmeldedienst registriert.
• Wenn DnsAvoidRegisterRecords nicht den mnemonischen Code GcIpAddress enthält und RegisterDnsARecords auf 0x1 gesetzt ist, wird der bzw. werden die "_gc._msdcs.DNS-Strukturname-A-Eintrag bzw. -Einträge vom Anmeldedienst nicht registriert.

Der Administrator kann verhindern, dass das in diesem Artikel beschriebene Problem in einer Umgebung auftritt, in der sich ein Satz von Domänencontrollern und/oder globalen Katalogservern (GC-Servern) an einem zentralen Standort befindet und eine große Anzahl der Domänencontroller und/oder globalen Katalogservern in Zweigstellen. Er kann hierzu die Registrierung einiger DNS-Einträge mithilfe des Anmeldedienstes auf den Domänencontrollern bzw. globalen Katalogservern in den Zweigstellen deaktivieren. In diesem Fall enthält die Liste der mnemonischen Codes, die nicht registriert werden sollten, folgende Einträge: Beachten Sie, dass site-spezifische Einträge in diesen Listen nicht enthalten sind. Daher werden Domänencontroller und globale Katalogserver in Zweigstellen mithilfe von site-spezifischen Einträgen gefunden, die normalerweise von einem Domänencontrollerlocator verwendet werden. Wenn ein Programm mithilfe von allgemeinen (nicht site-spezifischen) Einträgen nach einem Domänencontroller/globalen Katalogserver sucht, beispielsweise mit einem der Einträge aus den in diesem Artikel enthaltenden Listen, wird der zentrale Domänencontroller bzw. globale Katalogserver gefunden.

Ein Administrator hat auch die Möglichkeit, die Anzahl der Domänencontrollerlocator-Einträge wie SRV- und A-Einträge zu beschränken, die vom Anmeldedienst für denselben allgemeinen DNS-Namen registriert wurden ("_ldap._tcp.dc._msdcs.Domänenname"). Dies ist selbst in einem Szenario mit weniger als 800 Domänencontrollern möglich, um die Größe der DNS-Antworten auf solche Abfragen für solche Einträge zu verringern.

Microsoft hat bestätigt, dass es sich hierbei um ein Problem bei den in diesem Artikel genannten Microsoft-Produkten handelt. Dieses Problem wurde erstmals in Windows 2000 Service Pack 2 behoben.

Jeder DNS-Server, der für eine Active Directory-integrierte DNS-Zone autorisierend ist, fügt einen NS-Eintrag hinzu. Standardmäßig registriert jeder Domänencontroller in einer Domäne einen SRV-Eintrag für einen Satz nicht site-spezifischer Namen wie "_ldap._tcp.Domänenname" und einen oder mehrere A-Einträge, die den Active Directory-DNS-Domänenname der bzw. den TCP/IP-Adresse(n) des Domänencontrollers zuweisen. Wenn ein DNS-Server versucht, nach ungefähr 800 Einträgen einen Eintrag mit demselben gemeinsam genutzten Namen zu schreiben, wird die Lokale Sicherheits-Autorität (LSA) für ungefähr 10 Sekunden bei einer CPU-Auslastung von 100 Prozent ausgeführt, und die Registrierung schlägt fehl. Der Anmeldedienst versucht stündlich die Registrierung erneut auszuführen, die Spitzenauslastung der CPU von 100 Prozent tritt mindestens einmal pro Stunde auf, und die Registrierungsversuche schlagen fehl.

Weitere Informationen über das gleichzeitige Installieren von Windows 2000 und Windows 2000-Hotfixes finden Sie in folgendem Artikel der Microsoft Knowledge Base: