Problème de mise à jour DNS Active Directory

Question

Problème de mise à jour DNS Active Directory

Madé FONTAINE 0

Bonjour à tous,

Je gère une infrastructure de plus de 8 000 équipements et je rencontre un problème persistant avec les mises à jour dynamiques DNS depuis nos serveurs DHCP Windows.

L'environnement :

DNS intégré à un Active Directory avec 3 serveurs DC.

2 serveurs DHCP en Failover (LoadBalance 90/10).

Le problème : Le DNS ne se met pas à jour de façon fiable lors de l'attribution des baux DHCP :

Les enregistrements PTR pointent souvent vers les mauvaises machines (les anciens ne sont pas écrasés).

Les vieux enregistrements s'accumulent sans être nettoyés.

Ce que j'ai déjà configuré pour corriger ça :

Côté DNS :

Scavenging : Activé avec un cycle de 3 heures.

Aging : Uniformisé sur toutes les zones (NoRefresh : 7 jours / Refresh : 7 jours).

Côté DHCP :

NameProtection : Activé sur toutes les étendues.

Mises à jour dynamiques : Sur "Toujours".

Suppression à l'expiration du bail : Activée.

Malgré ça, la synchro ne se fait toujours pas correctement.

Avez-vous des solutions a mon problème s'il vous plait ?

Merci d'avance pour vos pistes !

0 commentaires

1 réponse

Votre réponse

Answer 1

Hi Madé FONTAINE,

Vos nœuds DHCP en basculement s'authentifient actuellement sur le serveur DNS en utilisant leurs comptes de machine individuels. Lorsque le premier serveur enregistre un bail, il prend la propriété exclusive de la liste de contrôle d'accès pour cet enregistrement DNS spécifique. Lorsque votre serveur partenaire équilibré en charge tente de mettre à jour l'enregistrement PTR ou d'effacer un bail expiré, il est bloqué par Active Directory car il manque d'autorisations, ce qui provoque une accumulation massive d'entrées obsolètes. Votre configuration de Protection de Nom aggrave cela en verrouillant strictement les enregistrements DHCID sur la machine créatrice d'origine.

Pour résoudre cela sans désactiver vos fonctionnalités de sécurité, vous devez configurer un compte dédié de service de mise à jour dynamique DNS. Créez un utilisateur Active Directory standard avec un mot de passe non expirant. Ouvrez la console de gestion DHCP, faites un clic droit sur le nœud IPv4, sélectionnez Propriétés, allez à l'onglet Avancé, cliquez sur Identifiants, et fournissez ce nouveau compte. Vous devez implémenter cette configuration de compte identique sur les deux nœuds de basculement DHCP. En utilisant une identité partagée, les deux serveurs auront l'autorité cryptographique pour écraser et supprimer les enregistrements DNS et DHCID de l'autre, résolvant immédiatement les échecs de synchronisation et permettant à vos configurations de récupération de traiter proprement les baux expirés.

J'espère que cette réponse vous a apporté des informations utiles. Si c'est le cas, veuillez cliquer sur «** accepter la réponse ».** Si vous avez des questions, n'hésitez pas à laisser un commentaire.

VPHAN

Madé FONTAINE 0 Points de réputation

2026-09-15T12:54:36.8033333+00:00

Bonjour VPHAN,

Merci encore pour vos explications. La configuration du compte de service partagé (avec un mot de passe qui n'expire jamais) est bien en place à l'identique sur mes deux nœuds DHCP en failover.

Voici l'extraction de la configuration de mes serveurs qui le confirme :

Cependant, le problème persiste. En auditant ma configuration de plus près via PowerShell, j'ai remarqué un point important : mon compte de service dédié, ainsi que les comptes machines de mes serveurs DHCP, sont tous membres du groupe Active Directory DnsUpdateProxy.

Sachant que j'utilise la "Protection de nom" (Name Protection) sur mes étendues, est-ce que la présence de ces comptes dans le groupe DnsUpdateProxy ne créerait pas un conflit de sécurité (absence d'ACL vs création de DHCID stricts) qui empêcherait la mise à jour des anciens enregistrements ?