Active Directory e DNS integrato: configurazione corretta

In un dominio Active Directory il DNS non è un servizio accessorio ma la spina dorsale dell'intera infrastruttura. Senza un DNS configurato correttamente, i client non trovano i domain controller, le policy di gruppo non vengono applicate e l'autenticazione Kerberos fallisce. Vediamo come configurare in modo solido AD e DNS insieme, evitando gli errori più comuni che portano a guasti gravi.

Perché AD ha bisogno di DNS

Quando un client deve autenticarsi su un dominio, fa una query DNS di tipo SRV per trovare i domain controller (_ldap._tcp.dc._msdcs.dominio.local). Se il DNS non risponde correttamente a queste query, il client non riesce nemmeno a contattare il DC. Per questo Microsoft consiglia di installare il ruolo DNS direttamente sui domain controller, con zone integrate in Active Directory che si replicano automaticamente.

Zone integrate AD vs zone standard

Le zone DNS integrate in Active Directory sono memorizzate nel database AD e si replicano insieme agli altri oggetti di dominio. Questo offre vantaggi enormi: replica multi-master, sicurezza tramite ACL, aggiornamenti dinamici sicuri (solo client autenticati possono creare record). Le zone standard, invece, usano file di testo e replica master-slave, più limitata.

Procedura passo-passo

1. Sul primo domain controller, installa il ruolo DNS contestualmente al ruolo AD DS.
2. Configura il DC con se stesso come DNS preferito (127.0.0.1) e un'altro DC come secondario.
3. Crea la zona forward per il dominio (es. corp.azienda.it) come zona integrata AD.
4. Crea le zone reverse per ogni subnet (es. 1.168.192.in-addr.arpa).
5. Abilita gli aggiornamenti dinamici sicuri.
6. Imposta forwarder verso DNS pubblici per la risoluzione esterna.
7. Configura lo scavenging per ripulire i record obsoleti (refresh + no-refresh interval).
8. Verifica con dcdiag /test:dns e nslookup -type=srv _ldap._tcp.dc._msdcs.

Considerazioni di costo, formazione e governance

Un'aspetto spesso sottovalutato nella progettazione di una soluzione di rete e il total cost of ownership (TCO) sul medio-lungo periodo, non solo il prezzo di listino degli apparati. Vanno considerati: licenze annuali, contratti di manutenzione hardware, energia consumata, formazione del personale interno, costo di gestione operativa, costo di sostituzione a fine vita. Una soluzione apparentemente conveniente puo rivelarsi cara dopo 3-5 anni di esercizio se le licenze rinnovabili o il supporto tecnico crescono in modo significativo.

La formazione del team e un'investimento che ripaga sempre. Le tecnologie di rete moderne richiedono competenze trasversali: networking puro, sicurezza, automazione, cloud. Certificazioni come CCNA, CompTIA Network+, Aruba ACMA, Fortinet NSE, Mikrotik MTCNA sono percorsi consolidati. Per le PMI italiane esistono corsi finanziati da fondi interprofessionali (Fondimpresa, Fondir, For.Te) che coprono buona parte del costo. Pianificare il piano formativo annuale insieme al budget IT garantisce continuita e crescita delle competenze interne.

Sul piano della governance, una rete aziendale moderna richiede policy chiare e documentate: chi puo accedere a cosa, con quali credenziali, in quali orari, da quali device. Il framework consigliato in Italia per PMI e ISO/IEC 27001:2022 integrato con le linee guida AgID per la PA. Per settori specifici (finanza, sanita, energia) si applicano normative aggiuntive (PSD2, regolamento DORA, NIS2, GDPR in particolare). Stabilire un sistema di gestione della sicurezza delle informazioni (SGSI) ancorche minimale riduce il rischio operativo e facilita audit con clienti enterprise sempre più esigenti.

Errori comuni e come risolverli

• DNS pubblico sui client: 8.8.8.8 sui client di dominio rompe l'autenticazione. Solo DC come DNS sui client.
• Forwarder mancanti: senza forwarder i DC non risolvono i nomi internet. Aggiungi forwarder o root hints.
• Scavenging disabilitato: la zona si riempie di record stantii. Abilita aging e scavenging.
• Replica DNS bloccata: errori sulla replica AD bloccano anche la replica DNS. Controlla con repadmin /showrepl.
• Dominio .local con certificati pubblici: le CA non rilasciano più certificati per TLD interni. Usa un sottodominio reale.

Approfondimenti tecnici e scenari avanzati

Nella pratica quotidiana di un sysadmin che lavora con Active Directory e DNS integrato, alcuni aspetti aggiuntivi meritano attenzione particolare. La gestione corretta in ambienti enterprise richiede di considerare l'integrazione con altri sistemi già presenti, la scalabilità futura e gli aspetti operativi day-2 spesso sottovalutati nella fase di design iniziale. Una configurazione che funziona bene per 50 utenti puo creare problemi seri a 200, ed e fondamentale prevedere fin da subito i punti di crescita.

Sul piano della sicurezza, l'attenzione si e spostata negli ultimi anni dal perimetro tradizionale al modello zero trust, dove ogni accesso viene verificato indipendentemente dalla provenienza. Per Active Directory e DNS integrato questo significa applicare principi come minimum privilege, segregation of duties e continuous verification anche dove storicamente si dava fiducia implicita. Audit log, monitoring di anomalie e alert tempestivi sono ormai requisiti di base, non optional. Le normative europee come NIS2 e DORA stanno rendendo questi requisiti vincolanti per categorie sempre più ampie di aziende italiane.

Dal punto di vista operativo, l'automazione e ormai necessaria per gestire infrastrutture moderne con risorse umane limitate. Tool come Ansible, Terraform e script Python permettono di trattare la configurazione di rete come codice, versionata in git con pull request, review e CI/CD. Anche in piccole PMI vale la pena investire in queste pratiche: il tempo recuperato in change ripetitivi compensa rapidamente la curva di apprendimento iniziale, e la qualità aumenta perché le configurazioni sono validate prima del deployment.

Infine, il rapporto con i fornitori e gli operatori di telecomunicazione e importante. Avere chiari i punti di contatto NOC, le procedure di apertura ticket, gli SLA contrattuali e i meccanismi di escalation evita di scoprire questi dettagli durante un'incident critico. Documentare contratti, scadenze, modalita di rinnovo e clausole di uscita in un repository accessibile al team riduce la dipendenza da singole persone e migliora la continuita operativa nel medio periodo.

Domande frequenti

D: Posso usare DNS Linux con AD?
R: Sì, ma richiede aggiornamenti dinamici sicuri con Kerberos, complesso. Meglio Microsoft DNS sui DC.

D: Cosa fa il record _msdcs?
R: Contiene i SRV usati dai client per trovare DC, GC e PDC emulator nella foresta.

D: Conviene mettere il ruolo DNS su un server separato?
R: Per piccole aziende no, è più sicuro tenerlo sui DC. Per grandi infrastrutture sì.

Hai bisogno di aiuto?

Se vuoi affidare la gestione rete aziendale al team di G Tech Group, scrivici tramite il modulo di contatto.