DCDiag-Fehler bei Loopback-DNS-Adresse auf einem DC

(Danke für den Hinweis auf diesen Umstand an Ralf Wigand und natürlich an Matthias Mertens.)

Es gibt viele Diskussionen darüber, wie die DNS-Einstellungen auf einem Domänencontroller richtig zu setzen seien. Einige wichtige Aspekte des Themas finden sich auch bei uns:

[faq-o-matic.net » Was muss ich beim DNS für Active Directory beachten? (Reloaded)]
http://www.faq-o-matic.net/2007/01/09/was-muss-ich-beim-dns-fuer-active-directory-beachten-reloaded/

[faq-o-matic.net » DNS für Active Directory: Empfehlungen “von der Quelle”]
http://www.faq-o-matic.net/2010/07/18/dns-fr-active-directory-empfehlungen-von-der-quelle/

[faq-o-matic.net » DNS für AD: Die offiziellen Empfehlungen]
http://www.faq-o-matic.net/2010/08/03/dns-fr-ad-die-offiziellen-empfehlungen/

Einer der Aspekte, die immer wieder Anlass zu Verwirrung geben, ist die Loopback-Adresse:

• Einige sagen, man soll auf keinen Fall einen DC per Loopback-Adresse seinen eigenen DNS-Dienst abfragen lassen.
• Andere sagen, man soll dies auf jeden Fall tun.

Was ist denn nun richtig?

Natürlich gibt es darauf keine einfache, einheitliche und immer zutreffende Antwort. Es bleibt immer eine Sache der Abwägung. Hier ein paar wichtige Argumente:

• Der dcpromo-Assistent trägt die 127.0.0.1 und die IPv6-Adresse ::1 als abzufragenden DNS-Server ein.
• Der Best Practices Analyzer spricht eine Warnung aus, wenn die Loopback-Adresse nicht eingetragen ist.
• Die Loopback-Adresse trifft auch dann noch zu, wenn man die IP-Adresse eines Domänencontrollers mal verändert, es hat also keine negativen Auswirkungen, wenn man die Änderung der DNS-Konfiguration dabei vergisst.
• Zu Zeiten von Windows 2000 gab es in bestimmten Situationen Fehler bei den Clients oder auf dem Domänencontroller selbst, wenn dieser die Loopback-Adresse für DNS konfiguriert hatte.
• Es gibt allerdings auch einen Fehler, der erst durch die Loopback-Adresse entsteht:
  Führt man DCDiag von einem Mitgliedsserver aus (also einem Server, der selbst nicht Domänencontroller und nicht DNS-Server ist), so meldet dieses in den DNS-Tests einen Verbindungsfehler, wenn auf dem abgefragten DC lokal die Loopback-Adresse eingetragen ist. Ersetzt man diese durch die “echte” IP-Adresse, tritt der Fehler nicht auf.
  Den Hinweis auf dieses Problem und eine Lösung dafür hat Matthias Mertens in der Mailing-Liste “ADDE” gepostet.