ฉันจะบังคับให้ Active Directory รวม DNS ให้ส่งคืนระเบียน SRV สำหรับตัวควบคุมโดเมนเฉพาะตามเครือข่ายย่อยของไคลเอนต์ได้อย่างไร

ฉันมีสำนักงานหลายชุดที่เข้าร่วมโดยใช้ IPsec VPN และเครือข่าย MPLS ผสมผสานกัน ไซต์ส่วนใหญ่สร้างการจัดเรียงแบบตาข่ายโดยใช้ VPN แต่ไซต์ B มี IPsec VPN เพียงตัวเดียวไปยังไซต์ A - ไซต์ B ไม่สามารถเข้าถึงไซต์อื่น ๆ ได้ (ไซต์ C และ D)

ไซต์ A, C และ D ทั้งหมดใช้โดเมน Active Directory ร่วมกัน เช่น "companya.com" ตัวควบคุมโดเมนสำหรับ companya.com อยู่ในไซต์ทั้งสามแห่ง และทั้งหมดกำลังเรียกใช้ Windows Server 2012 R2

ไซต์ B ใช้โดเมน Active Directory ของตัวเอง - พูดว่า "companyb.com" ตัวควบคุมโดเมนสำหรับ companyb.com จะอยู่ในไซต์ B เท่านั้น ตัวควบคุมโดเมนหนึ่งรัน Windows Server 2019 และอีกตัวหนึ่งรัน Windows Server 2012 R2

เราได้สร้างความไว้วางใจแบบสองทางระหว่างโดเมน AD companya.com และ companyb.com สิ่งนี้ทำได้โดยใช้ตัวส่งต่อแบบมีเงื่อนไขในเซิร์ฟเวอร์ AD DNS สำหรับ companyb.com ซึ่งชี้ไปที่ตัวควบคุมโดเมนทั้งสองบนไซต์ A สำหรับ companya.com นอกจากนี้ เรายังตั้งค่า stub zone ใน companya.com ให้ชี้ไปที่ตัวควบคุมโดเมนทั้งสองบนไซต์ B สำหรับ companyb.com

ตามที่คาดไว้ ตัวควบคุมโดเมนทั้งสองในไซต์ A สามารถติดต่อตัวควบคุมโดเมนในไซต์ B ได้อย่างน่าเชื่อถือ อย่างไรก็ตาม ตัวควบคุมโดเมนทั้งสองในไซต์ B สามารถติดต่อตัวควบคุมโดเมนในไซต์ A ได้อย่างน่าเชื่อถือเท่านั้น เนื่องจากเราได้ใช้ตัวส่งต่อแบบมีเงื่อนไข บางครั้งการค้นหา DNS สำหรับระเบียน SRV การอธิบายตัวควบคุมโดเมนในไซต์ B ส่งคืนผลลัพธ์สำหรับไซต์ C และ D ซึ่งไซต์ B ไม่สามารถเข้าถึงได้เลย สิ่งนี้ทำให้เกิดข้อผิดพลาดเป็นระยะ ๆ เช่น "ระบบไม่สามารถติดต่อตัวควบคุมโดเมนเพื่อให้บริการคำขอตรวจสอบสิทธิ์ โปรดลองอีกครั้งในภายหลัง"

ฉันต้องแน่ใจว่าเมื่อตัวควบคุมโดเมนใน companyb.com ทำการค้นหาเพื่อค้นหาตัวควบคุมโดเมนบน companya.com นั้นจะส่งกลับเฉพาะตัวควบคุมโดเมนในไซต์ A เท่านั้น

ฉันเหนื่อย:

• การกำหนดค่าไซต์โฆษณาสำหรับไซต์ B โดยใช้ซับเน็ตที่ตัวควบคุมโดเมน companyb.com เชื่อมต่ออยู่ อย่างไรก็ตาม ฉันคิดว่าวิธีนี้ใช้ไม่ได้เพราะไม่มีการกำหนดค่าใดใน DNS เพื่อระบุว่าไซต์ B ควรได้รับเฉพาะผลลัพธ์สำหรับไซต์ A
• การแทนที่ Forwarder ที่มีเงื่อนไขบน DC ใน companyb.com ด้วยโซน stub ปัญหาเดิมยังคงอยู่ ยกเว้นแย่ลงเนื่องจากโซนต้นขั้วทำให้เกิดการค้นหาเซิร์ฟเวอร์ DNS ในไซต์ C และ D ซึ่งไม่สามารถเข้าถึงได้
• เพิ่มโซนหลักที่ผสานรวม AD สำหรับ companya.com บนเซิร์ฟเวอร์ DNS ของ companyb.com ด้วยตนเอง และเพิ่มระเบียนทั้งหมดที่ชี้ไปยังตัวควบคุมโดเมนบนไซต์ A:
  • ระเบียน A หลายรายการสำหรับ companya.com
  • ระเบียน _gc._tcp.companya.com หลายรายการ
  • ระเบียน _ldap._tcp.companya.com หลายรายการ
  • _kerberos._tcp.companya.com หลายรายการ

ฉันไม่สามารถสร้างช่องสัญญาณ IPsec ระหว่างไซต์ B และไซต์ C และ D และฉันก็ไม่สามารถกำหนดเส้นทางการรับส่งข้อมูลไปยังไซต์ C และ D ผ่านอุโมงค์ที่มีอยู่จากไซต์ B ไปยังไซต์ A

ฉันสงสัยว่าฟีเจอร์นโยบาย DNS ของ Windows Server 2016 อาจช่วยสถานการณ์นี้ได้ แต่ฉันไม่มีสิทธิ์เข้าถึง DC ที่ใช้ Windows Server 2016 ฉันยังสงสัยว่าฉันอาจพลาดบันทึกบางอย่างเมื่อฉันตั้งค่าโซน DNS บนเซิร์ฟเวอร์ของ companyb.com ด้วยตนเอง

ข้อมูลเชิงลึกใด ๆ ที่จะได้รับการชื่นชม