web-dev-qa-db-ja.com

動的(静的ではない)IPv6プレフィックスのみが使用可能な場合にActive Directoryおよびドメインコントローラーを構成する適切な方法は何ですか?

プロバイダーに依存しないアドレススペースもISPが割り当てた静的プレフィックスも使用できず、委任されたプレフィックス(DHCPv6を介した)が唯一のオプションである場合…

IPv6をサポートするようにActive Directoryとドメインコントローラーを構成するための "ベストプラクティス"は何ですか?

8
Corey

これに関する答えを受け取ったことはなく、Intertubesで他に何も見つからなかったので、自分自身の設定/経験でこれに自分で答えると思いました。

ISP: Comcast with a delegated prefix via DHCPv6
Router: pfSense 2.3.3

WANルーターのインターフェイスは、/ 56のプレフィックスヒントを使用してDHCPv6用に構成されています(ヒントは、CPEと場所に基づいて異なる必要がある場合があります)。

LANインターフェースは、WANインターフェースを「追跡」するように設定されています。

LANインターフェースでIPv6トラフィックを許可するように構成されたファイアウォールルールがあることを確認する必要があります。

PfSenseのDHCPv6サーバーが有効になっておらず、ネットワーク上の他の場所にもサーバーがありません。

LANインターフェイスのルーターアドバタイズメントは「管理対象外」に設定されており、私が入力した他のオプションは「ドメイン検索リスト」だけです。

DNSリゾルバーで、DCの内部IPv4アドレスを使用してADドメイン用にドメインオーバーライドを構成しています。

私の内部DNSサーバーで、LANインターフェイスに割り当てられているIPv6ネットワーク用の逆引きゾーンを作成しました。 (これは機能しますが、プレフィックスの委任が変更される場合に備えて、私はそれを監視する必要があります。)

このすべての最終結果…

Windowsコンピューターは、ルーターからのRAに基づいてIPv6アドレスを割り当てます。ただし、WindowsはRFC6106をサポートしていないため、DHCPv4からDNSアドレスを取得するだけです。 IPv6プレフィックスは静的ではなく、予告なく変更される可能性があるため、DNSサーバーのIPv6アドレスを変更するため、これは実際にはこの場合に適しています。

Windowsコンピューターは、IPv6アドレスのAAAAおよびPTRレコードもそこに登録します。

プレフィックスが変更されるとどうなりますか?

それほど多くはありませんが、既存の接続は「非推奨」プレフィックスを使用して機能し続け、新しい接続は新しいプレフィックスで作成されます。

私はDC/DNSサーバーに静的なv6アドレスを割り当てないことによって「ベストプラクティス」を打破していると思いますが、それはうまく機能しているようです。 (これに関するいくつかの入力が大好きになります。)

プレフィックスが変更されたときに手動で行う必要があるのは、対応する逆引き参照ゾーンをDNSに作成することだけです。 (私はおそらくそれを行うためにPSスクリプトを書く必要があります。)

Comcastが静的な接頭辞を提供した場合、それにより状況が少し明確になります。

3
Corey