前言：DDNS 與 AD 的深度綁定
Windows 2000 引入動態 DNS (DDNS，依 RFC 2136)，與 DHCP、WINS、Active Directory (AD) 深度整合。DNS 區域儲存於 AD 時，可啟用三大安全特性：安全動態更新、安全區域傳輸、資源記錄 ACL 精細控制。本文解析關鍵配置與常見陷阱。
一、 安全動態更新：記錄所有權與認證機制
記錄類型與所有權
- A 記錄： 名稱 → IP（正向解析）
- PTR 記錄： IP → 名稱（反向解析）
- 所有權由「誰註冊」決定：用戶端註冊 A、DHCP 註冊 PTR（預設）；或 DHCP 包辦兩者；或用戶端包辦兩者。
三種網路模式下的所有權分配
| 模式 | 環境 | A 記錄擁有者 | PTR 記錄擁有者 | 備註 |
|---|
| 原生模式 | 純 Win2K 用戶端/伺服器 | 用戶端（預設） | DHCP 伺服器（預設） | 可調整：DHCP 包辦或用戶端包辦 |
| 混合模式 | 共存 NT4/Win9x 用戶端 | DHCP 伺服器 | DHCP 伺服器 | 舊版用戶端無法直接 DDNS，唯有 DHCP 代註冊 |
| 安全動態更新 | AD 整合區域 | 依 ACL 判定 | 依 ACL 判定 | 需 AD 整合；使用 GSS-TSIG (Kerberos v5) 簽章驗證 |
安全動態更新技術細節
- 僅 AD 整合區域可用。
- 使用 IETF 草案 GSS-TSIG (GSS-API per RFC 2078)，優先採用 Kerberos v5 認證。
- ACL 定義「誰可以修改哪些記錄」，實現記錄級權限控制。
二、 區域類型與傳輸安全
區域類型
- 主要/次要區域： 傳統檔案式，獨立於 AD，複製獨立設定。相容舊版 BIND (<8.1.2)。
- AD 整合區域： 區域資料成為 AD 物件，每筆記錄擁有獨立 ACL。採多主機複製模型：無單點故障、單一複製拓撲（DNS 複製隨 AD 複製自動完成）、跨站點自動壓縮（橋頭伺服器間）。
區域傳輸協定與安全
| 區域類型 | 支援協定 | 加密/壓縮 | 備註 |
|---|
| 主要/次要 | AXFR (全量)、IXFR (增量，需 BIND 8.2.1+)、DNS Notify (BIND 8.1.2+) | 無加密/壓縮（為相容 BIND） | 傳輸明文，敏感環境不建議 |
| AD 整合 | AD 複製協定 (RPC over IPsec) | 自動加密 (Kerberos v5) + 跨站點自動壓縮 | 無需額外配置，控制器通道自動加密 |
三、 AD 整合 DNS 區域的安全強化清單
- 檔案系統： 強制 NTFS v5（支援 ACL、EFS、稽核），舊版 NT4 僅讀不寫。
- 登錄檔： 使用
regedt32 編輯各配置單元 DACL，參考 SANS《Windows NT Security, Step-by-Step》。
- 企業管理員/結構描述管理員： 嚴格限制成員，僅保留緊急備援帳號；委派管理至子網域/OU。
- 加密檔案系統 (EFS)： 保護 DNS 區域資料檔、備份檔、匯出檔。
- DNSUpdateProxy 群組陷阱：
- DHCP 伺服器加入此群組可代舊版用戶動態更新。
- 風險： 若 DHCP 跑在網域控制站 (DC) 上，加入此群組將導致所有使用者/電腦獲得該 DC 區域記錄完全控制權。
- 對策：DHCP 專用伺服器、不加入 DNSUpdateProxy，改用專用服務帳號具體委派權限。
- 資源記錄所有權衝突： NT4 用戶升級為 Win2K 後，原 DHCP 註冊記錄所有權屬 DHCP，導致用戶無法更新自身記錄。解法：手動修改記錄 ACL 授權用戶端，或刪除舊記錄讓用戶重新註冊。
- WINS 整合： 非 Win2K 用戶仍需 NetBIOS 解析。DNS 整合 WINS/WINS-R 記錄提供正向/反向查詢回退。
結語：理解「陷阱」才能駕馭安全
Win2000 DDNS 安全核心在於：AD 整合 + 安全動態更新 (GSS-TSIG) + 多主機加密複製 + 精細 ACL。務必釐清混合模式下 DHCP 代註冊的所有權風險，謹慎處理 DNSUpdateProxy 群組，並善用 NTFS/EFS 保護底層資料。將 DNS 安全納入 AD 整體治理框架，而非孤立配置。