[Çözüldü] DNS Aging ve Scavenging ile Stale zoneların silinmesi

Merhaba,

Hayır kaldırmaz, sadece A kayıtlarını temizler. İstediğinizi elle yapmanız gerekli.

İlginiz için teşekkürler, peki stale domainler için bildiğiniz benzer bir işlem varmıdır ? Aşırı Yoğun kullanılan bir dns sunucu üzerinde bir çok domainin kullanılmadığını biliyorum fakat isim olarak bilmiyorum. Burada nasıl bir işlem uygulayabiliriz ?

Hosting için DNS olarak genellikle Linux kullanıldığı için MS tarafında böyle built-in bir özellik yok.

Ancak bu bir ihtiyaç ise bu kayıtlar txt bazlı tutulduğu için PowerShell ile özel bir script yazdırılabilir ama ben görmedim duymadım 🙂

Bu tarz bir tool var mi bilmiyorum, daha once Hosting firmalarinda calisirken daha cok kontrol panel uzerinden yonetildigi icin ortamlar, kayitlarin otomatik silinmesi de panel uzerinden saglaniyordu.

Eger DNS sunucusunu Windows Server 2012 uzerine tasirsaniz. PowerShell ile bu islemi gerceklestirebilirsiniz. Eger domain altinda hic kayit kalmadiysa, domain de stale olmustur diyip, domain temizligi yapan bir script yazilabilir ve zamanlanmis gorevlere atilarak gunde bir calismasi saglanabilir mesela.

DNS server komutlari burada:

http://technet.microsoft.com/en-us/library/jj649850.aspx

Suan test edebilecegim bir ortam olmadigi icin scriptini yazamiyorum fakat zone icerigi getirip. icerigi bir degiskene atayarak, eger null ise sil olarak ilerlenmeli.

Yusuf. 

Teşekkür ederim arkadaşlar paylaştığınız bilgilerden dolayı. Bu işlemler için bir kaç arayış veya yazılımda bir kaç işlem gerçekleştireceğiz artık. 

 İyi çalışmalar... 

Merhaba

Hakan Bey'in makalesi çok yardımcı oldu, kendisine çok teşekkür ederim.

https://www.cozumpark.com/active-directory-dns-uzerinde-guncel-veya-gecerli-olmayan-kayitlarin-temizlenmesi-dns-aging-and-scavenging/

Fakat  bir-iki konuda fikrinize danışma şansına sahip olmak isterim.

Test ortamımda , yapmak istediğim  şu:

Sadece 1 zone üzerinde bu "Süresi dolmuş Dns kayıtları" otomatik silinsin istiyorum.

Fakat, 1 zone için yaptığım bu ayar ,  tüm Dns Sunucu üzerindeki properties'tende aktif hale getirmeden maalesef çalışmıyor.

Şöyle ki;

Tüm Dns Sunucu üzerindeki  yaptığım ayar:

Söz konusu zone üzerindeki  yaptığım ayar:

Ve , deneme amaçlı kullandığım client makineyi domainden çektikten 3

saat sonra ilgili 2501 log'u;

Burda;

1 Saat No-Refresh + 1 Saat Refresh + 1 Saat Scavenging=3 Saat

Sorun yok.Fakat ,ilk resimdeki;

"Enable automatic scavenging of stale records" check'ini kaldırıp ;

Sadece ilgili zone üzerindeki alandakini aktif tuttuğumda ;

Ve  kullanıcı makinesini domainden çıkartıp 3 saat beklediğimde, çalışmadı ,yani kaydı silmedi.

Üstelik kayıt üzerinde "Delete this record when it becomes stale" aktif olmasına rağmen.

Özetle, tüm Dns Server üzerinde;

"Enable automatic scavenging of stale records" u aktif etmeden,tek bir zone üzerinde çalıştırmayı başaramadım.Eventlar'da bir hata vermiyor.

Fakat ben bunu tek bir zone üzerinde yapmayı arzu ediyorum.

Bu mümkün mü  ?

2) Tüm sunucu üzerinde bu ayarı yapınca  _gc , _kerberos, _ldap kayıtları da stale durumunda delete olması için check edilmiş oldu.

Bu riskli bir durum olabilir mi ? Buradaki kayıtların stale özelliğinin devre dışı bırakılması gerektiğini düşünüyorum.?

Bu kayıtlar ,bir şekilde stale duruma gelir ise , Dns burası ile haberleşemez ve clientlar sorun yaşar diye düşünüyorum. ?

3) DC'nin kendisi ,ADC'nin kendisi  ve Domain clientlar  için , gerekli bir durum yok ise, PTR kaydı girmemi önerir misiniz ?

Değerli görüşlerinizi rica eder , iyi çalışmalar dilerim.

Saygılarımla

Merhaba,

1 - Sunucu bazında bu özelliği açman ilk şart, bunu açıyorsun ancak sonra zone bazında açmaz ise zaten sistem devreye girmez. Yani örnek iki zone var, sunucu özelliğini aç, istediğin zone üzerinde bu özelliği aç sorun çözülür.

2 - Eğer ortamda stale bir dc var ise bu kayıtlarında silinmesi zaten doğru bir şey, gerçi bu durumlarda bizim gibi uzmanlar dns temizliği yapıyor zaten, ancak pek çok kurumda bu özellik açık olmadığı için yıllar önce silinmiş dc kayıtlarının bile dns içerisinde saklandığını gördüğümüz oluyor. Özetle aslında bu bir sorun veya risk değil, dc ayakta ise zaten stale olmaz.

3 - PTR genelde kerberos için kullanılan bir durumdur, Kerberos protokolü makinelere isim bazlı erişir, yani ip iletişiminde de özellikle makine ismine ihtiyaç duyduğunda ip adresinden dönüp ismi almak ister, ne yazık ki ntlm hala çok yaygın kullanıldığı ve olası bir ptr kaydı olmasa bile kerberos, ntlm' e failback yaptığı için de bunun yokluğunu hissetmezsiniz.

Özetle imkanını var ise mutlaka PTR açın.

Merhaba Hakan Bey

Verdiğiniz bilgiler için çok teşekkür ederim .

Saygılarımla

Rica ederim.