Windows Server — konfiguracja DNS i DHCP

Usługi DNS i DHCP na Windows Server odpowiadają za podstawowe funkcjonowanie sieci firmowej — rozwiązywanie nazw i przydzielanie adresów IP urządzeniom.

Na czym polega ta usługa

Konfiguracja obejmuje ustawienie usług DNS i DHCP na serwerze oraz sprawdzenie poprawności ich działania w sieci firmowej.

Dla kogo ma sens

Usługa jest przydatna dla firm korzystających z Windows Server, które potrzebują skonfigurować lub naprawić te podstawowe usługi sieciowe.

Ile to trwa

Konfiguracja DNS i DHCP mieści się z reguły w standardowym czasie do 3 dni.

Warunki

Diagnoza wstępna i wycena są bezpłatne, a usługa objęta jest gwarancją do 12 miesięcy.

Znaczenie usług DNS i DHCP w środowisku Windows Server

Usługa DNS (Domain Name System – system nazw domenowych) oraz usługa DHCP (Dynamic Host Configuration Protocol – protokół dynamicznego konfigurowania węzłów) stanowią fundament komunikacji w sieci lokalnej opartej na systemie Windows Server. Prawidłowa współpraca tych dwóch komponentów decyduje o stabilności pracy stacji roboczych, serwerów aplikacji, baz danych oraz urządzeń sieciowych.

W środowisku domeny Active Directory (usługi katalogowej Microsoft) serwer DNS pełni rolę nadrzędną. Odpowiada nie tylko za tłumaczenie czytelnych nazw komputerów na adresy IP (Internet Protocol – protokół internetowy), ale przede wszystkim za lokalizowanie kontrolerów domeny za pomocą specjalnych rekordów SRV (Service Location – rekord lokalizacji usługi). Bez sprawnego serwera DNS użytkownicy tracą możliwość logowania się do domeny, a stacje robocze nie mogą stosować zasad grupy GPO (Group Policy Objects – obiekty zasad grupy).

Serwer DHCP odpowiada natomiast za automatyzację przydzielania parametrów sieciowych. Zamiast ręcznego konfigurowania każdego urządzenia, serwer dynamicznie przydziela adresy IP, maski podsieci, adresy bramy domyślnej oraz adresy serwerów DNS. Integracja DHCP z usługą DNS umożliwia automatyczną rejestrację nazw komputerów w strefach domenowych, co pozwala na bieżąco utrzymywać spójną bazę adresową w firmie.

Szczegółowy zakres konfiguracji serwera DNS

Prawidłowe wdrożenie roli serwera DNS na platformie Windows Server wymaga precyzyjnego ustawienia stref oraz parametrów przekazywania zapytań. Zakres prac obejmuje:

Tworzenie stref wyszukiwania w przód (Forward Lookup Zones) – strefy zintegrowane z usługą Active Directory (Active Directory-Integrated Zones), które zapewniają bezpieczną i automatyczną replikację danych między wszystkimi kontrolerami domeny w przedsiębiorstwie.
Tworzenie stref wyszukiwania wstecznego (Reverse Lookup Zones) – strefy umożliwiające translację adresu IP na pełną nazwę domenową FQDN (Fully Qualified Domain Name), co jest niezbędne do prawidłowego działania systemów bezpieczeństwa, serwerów pocztowych oraz narzędzi diagnostycznych.
Ustawienie serwerów przekazujących (Forwarders) – konfiguracja zewnętrznych adresów serwerów DNS (np. serwerów dostawcy internetu lub zaufanych serwerów publicznych), do których kierowane są zapytania o adresy spoza domeny lokalnej. Przyspiesza to otwieranie stron internetowych i zmniejsza obciążenie łącza.
Zarządzanie wskazówkami do serwerów głównych (Root Hints) – weryfikacja i aktualizacja listy nadrzędnych serwerów w strukturze globalnego internetu, wykorzystywanych w przypadku niedostępności serwerów przekazujących.
Konfiguracja mechanizmu oczyszczania strefy (Aging and Scavenging) – ustawienie automatycznego usuwania nieaktualnych i przestarzałych rekordów dynamicznych. Zapobiega to powstawaniu zduplikowanych wpisów po wycofanych lub przeniesionych komputerach.
Konfiguracja rekordów specjalnych – tworzenie i weryfikacja rekordów A (adres hosta IPv4), AAAA (adres hosta IPv6), CNAME (alias nazwy kanonicznej), MX (wymiana poczty elektronicznej), TXT (rekordy tekstowe) oraz rekordów SRV dla usług sieciowych.

Szczegółowy zakres konfiguracji serwera DHCP

Konfiguracja roli serwera DHCP obejmuje dostosowanie parametrów dystrybucji adresacji IP do struktury organizacyjnej i technicznej firmy:

Autoryzacja serwera w Active Directory – formalne zarejestrowanie serwera DHCP w usłudze katalogowej. Mechanizm ten zapobiega uruchamianiu przypadkowych lub złośliwych serwerów DHCP w sieci firmowej.
Definiowanie zakresów adresowych (DHCP Scopes) – wyznaczenie puli adresów IP przydzielanych stacjom roboczym wraz z odpowiednią maską podsieci oraz określeniem puli wykluczeń (Exclusions) dla urządzeń posiadających adresację statyczną.
Ustawianie opcji serwera i zakresu (DHCP Options) – konfiguracja parametrów rozsyłanych do klientów, w tym opcji 003 (Router – brama domyślna), opcji 006 (DNS Servers – adresy lokalnych serwerów nazw), opcji 015 (Domain Name – nazwa domeny podstawowej) oraz opcji 042 (NTP Servers – serwery synchronizacji czasu).
Tworzenie rezerwacji adresów IP (DHCP Reservations) – powiązanie stałego adresu IP z unikalnym adresem fizycznym MAC (Media Access Control) karty sieciowej danego urządzenia. Rozwiązanie to stosuje się dla drukarek sieciowych, skanerów, serwerów plików NAS (Network Attached Storage) oraz kamer monitoringu.
Zarządzanie czasem dzierżawy (DHCP Lease Time) – dobranie odpowiedniego okresu ważności przydzielonego adresu IP. Krótszy czas sprawdza się w sieciach z dużą rotacją urządzeń (np. gościnne sieci bezprzewodowe), natomiast dłuższy czas stabilizuje pracę stacji stacjonarnych w biurze.
Wdrożenie wysokiej dostępności (DHCP Failover) – konfiguracja klastra DHCP w trybie równoważenia obciążenia (Load Balance) lub w trybie gorącej rezerwy (Hot Standby), co zapewnia nieprzerwane działanie sieci nawet w razie fizycznej awarii jednego z serwerów.

Warianty wdrożenia i architektury sieciowej

Struktura usług DNS i DHCP różni się w zależności od wielkości przedsiębiorstwa, liczby oddziałów oraz stopnia skomplikowania infrastruktury sieciowej.

W małych firmach z pojedynczym serwerem Windows Server usługi DNS i DHCP działają najczęściej na tej samej maszynie, która pełni również funkcję kontrolera domeny. W takim układzie kluczowe jest prawidłowe przypisanie adresu pętli zwrotnej (127.0.0.1) oraz rzeczywistego adresu IP serwera na podstawowej karcie sieciowej, co zapobiega problemom z wewnętrzną komunikacją usług systemowych.

W średnich i większych środowiskach stosuje się model wieloserwerowy. Wdraża się wówczas przynajmniej dwa kontrolery domeny z równorzędnymi serwerami DNS. Replikacja danych stref odbywa się automatycznie poprzez mechanizmy Active Directory. Usługa DHCP jest wtedy konfigurowana w trybie DHCP Failover między dwoma niezależnymi instancjami systemu Windows Server, co eliminuje pojedynczy punkt awarii (Single Point of Failure).

W przypadku sieci podzielonych na wirtualne sieci lokalne VLAN (Virtual Local Area Network) serwer DHCP zlokalizowany w centralnej serwerowni obsługuje wiele różnych podsieci. Wymaga to skonfigurowania funkcji agenta przekazywania DHCP (DHCP Relay Agent) na przełącznikach zarządzalnych warstwy trzeciej (L3 Switch) lub na routerach brzegowych. Agent przekazuje zapytania rozgłoszeniowe typu broadcast ze stacji roboczych bezpośrednio do wskazanego serwera Windows Server za pomocą pakietów typu unicast.

Dla firm posiadających własne serwery udostępniane publicznie (np. serwery poczty, portale pracownicze, serwery VPN) stosuje się architekturę Split-Brain DNS (podzielony widok strefy DNS). Użytkownicy wewnątrz sieci lokalnej otrzymują prywatny adres IP serwera, co odciąża łącze internetowe, natomiast użytkownicy łączący się z zewnątrz przez internet otrzymują publiczny adres IP.

Bezpieczeństwo i integralność danych w usługach sieciowych

Niewłaściwie zabezpieczone usługi DNS i DHCP mogą stanowić wektor ataków sieciowych lub źródło paraliżu pracy biura. W ramach profesjonalnej konfiguracji wdrażane są odpowiednie mechanizmy ochronne:

Podstawowym zabezpieczeniem serwera DNS jest wymuszenie bezpiecznych aktualizacji dynamicznych (Secure Dynamic Updates Only). W tym trybie tylko uwierzytelnione komputery należące do domeny Active Directory mogą rejestrować i modyfikować swoje rekordy nazw w bazie danych serwera. Uniemożliwia to nieuprawnionym urządzeniom podszywanie się pod serwery firmowe.

W usłudze DHCP stosuje się mechanizm Name Protection (ochrona nazw). Funkcja ta korzysta z rekordu DHCID (DHCP Information Resource Record) i zapobiega sytuacji, w której nowo podłączone urządzenie nadpisuje istniejący w strefie DNS rekord innego komputera. Dodatkowo dla urządzeń bez systemu Windows (np. drukarki, systemy Linux, urządzenia mobilne) konfiguruje się dedykowane konto usługi (DNS Dynamic Update Credentials), które pozwala serwerowi DHCP bezpiecznie rejestrować rekordy DNS w imieniu tych urządzeń.

W celu ochrony przed nieautoryzowanymi serwerami DHCP (tzw. Rogue DHCP Server), które mogą rozsyłać stacjom fałszywe adresy bram i przejmować ruch sieciowy, wykorzystuje się mechanizm autoryzacji w domenie Active Directory oraz weryfikację funkcji DHCP Snooping na przełącznikach sieciowych.

Błędy przy samodzielnej konfiguracji i ich konsekwencje

Próby samodzielnego wdrażania lub modyfikowania usług DNS i DHCP bez odpowiedniego przygotowania technicznego prowadzą do powtarzających się problemów w infrastrukturze IT:

Jednym z najczęstszych błędów jest pozostawienie aktywnego serwera DHCP na routerze dostawcy internetu (modemie ISP) po uruchomieniu serwera Windows Server. W sieci zaczynają wówczas działać dwa serwery DHCP jednocześnie. Urządzenia losowo pobierają adresację z routera lub serwera. W efekcie część komputerów traci dostęp do zasobów domeny, folderów sieciowych i serwerów bazodanowych, ponieważ router przydziela im publiczne serwery DNS zamiast adresu kontrolera domeny.

Poważnym błędem jest również ręczne wpisywanie publicznych serwerów DNS (np. 8.8.8.8 lub 1.1.1.1) we właściwościach kart sieciowych na stacjach roboczych jako alternatywnych serwerów nazw. W środowisku Windows stacja robocza może w dowolnym momencie wysłać zapytanie do serwera alternatywnego. Gdy zapyta publiczny DNS o wewnętrzne zasoby domeny (np. nazwę serwera księgowego lub kontrolera), otrzyma odpowiedź negatywną, co skutkuje zrywaniem sesji użytkowników i komunikatami o braku dostępu do sieci.

Kolejną pułapką jest brak wdrożenia mechanizmu oczyszczania strefy DNS (Scavenging). Z czasem w bazie gromadzą się tysiące starych rekordów. Dochodzi do sytuacji, w której pod jedną nazwą komputera widnieje kilka różnych adresów IP lub jeden adres IP jest przypisany do kilku różnych stacji. Powoduje to błędy we wdrażaniu oprogramowania, problem z połączeniami przez pulpit zdalny RDP (Remote Desktop Protocol) oraz zakłócenia w pracy systemów zarządzania IT.

Błędem bywa także ręczne konfigurowanie statycznych adresów IP na urządzeniach biurowych wewnątrz zakresu dynamicznego DHCP bez utworzenia formalnego wykluczenia lub rezerwacji. Gdy serwer DHCP przydzieli ten sam adres innemu komputerowi, następuje konflikt adresów IP (IP Address Conflict), w wyniku którego jedno lub oba urządzenia zostają odcięte od sieci.

Diagnostyka i narzędzia weryfikacji

Prawidłowe funkcjonowanie usług sieciowych weryfikuje się za pomocą wyspecjalizowanych narzędzi diagnostycznych wbudowanych w system Windows Server oraz systemy klienckie:

Narzędzie konsolowe nslookup pozwala na bezpośrednie odpytywanie serwerów DNS o poszczególne typy rekordów, sprawdzanie poprawności stref wyszukiwania w przód i wstecz oraz testowanie odpowiedzi serwerów przekazujących. Polecenia ipconfig /flushdns (czyszczenie lokalnego bufora rozpoznawania nazw) oraz ipconfig /registerdns (wymuszenie odświeżenia rejestracji w serwerze DNS) umożliwiają szybką weryfikację komunikacji stacji klienckiej z serwerem.

W obszarze DHCP wykorzystuje się moduły środowiska PowerShell (m.in. polecenia Get-DhcpServerv4Scope, Get-DhcpServerv4Lease, Test-DhcpServer) oraz konsolę zarządzania DHCP MMC (Microsoft Management Console) do monitorowania poziomu wykorzystania puli adresowej i stanu synchronizacji klastra Failover.

Kluczowe znaczenie ma analiza dzienników zdarzeń w narzędziu Event Viewer (Podgląd zdarzeń). Weryfikacja logów systemowych w sekcjach DNS Server oraz DHCP-Server pozwala wykryć wczesne symptomy problemów, takie jak błędy replikacji stref, odrzucenia autoryzacji czy próby rejestracji duplikatów nazw.

Kiedy problem leży poza usługami Windows Server

Objawy wskazujące na awarię DNS lub DHCP mogą w rzeczywistości wynikać z usterek innych elementów infrastruktury teleinformatycznej:

Brak możliwości pobrania adresu IP lub brak odpowiedzi serwera nazw często bywa spowodowany uszkodzeniem okablowania strukturalnego (skrętki sieciowej kategorii 5e, 6 lub 6A), uszkodzeniem patchcordu łączącego komputer z gniazdem ściennym lub awarią portu w przełączniku sieciowym (switchu).

Problemy z przydzielaniem adresacji mogą wynikać z błędnej konfiguracji przełączników zarządzalnych, w tym niewłaściwego przypisania portu do wirtualnej sieci VLAN, zablokowania pakietów rozgłoszeniowych przez zbyt agresywne reguły kontroli burzy rozgłoszeniowej (Storm Control) lub zablokowania protokołu Spanning Tree (STP).

Blokady na lokalnych zaporach sieciowych (Windows Defender Firewall) lub sprzętowych urządzeniach UTM (Unified Threat Management) mogą uniemożliwiać komunikację na portach UDP 53 i TCP 53 (usługa DNS) oraz portach UDP 67 i UDP 68 (usługa DHCP). W takich przypadkach serwery działają prawidłowo, lecz pakiety są odrzucane na poziomie reguł filtrujących.

Brak dostępu do stron internetowych przy sprawnie działających zasobach lokalnych bywa z kolei skutkiem awarii łącza po stronie dostawcy internetu (ISP) lub awarii zewnętrznych serwerów nazw operatora, co wymaga weryfikacji łącza nadrzędnego.

Często zadawane pytania

Czy po zmianie konfiguracji serwera DHCP komputery od razu otrzymają nowe ustawienia?

Komputery pobierają zaktualizowane parametry sieciowe w momencie odnowienia dzierżawy (zazwyczaj po upływie połowy czasu dzierżawy DHCP Lease Time) lub po restarcie systemu. Aby natychmiast wymusić pobranie nowych ustawień na danej stacji, stosuje się w wierszu poleceń komendy ipconfig /release oraz ipconfig /renew.

Dlaczego kontroler domeny Active Directory wymaga lokalnego serwera DNS?

Usługa Active Directory przechowuje informacje o strukturze domeny, serwerach katalogowych, usługach uwierzytelniania Kerberos i topologii sieci w formie rekordów SRV w bazie DNS. Publiczne serwery DNS w internecie nie posiadają wiedzy o wewnętrznych zasobach prywatnej sieci firmowej, dlatego lokalny serwer DNS jest niezbędny do prawidłowego logowania i pracy stacji w domenie.

Co się stanie z siecią firmową w przypadku awarii serwera DHCP?

W przypadku pojedynczego serwera DHCP urządzenia, które posiadają ważną dzierżawę adresu, będą działać normalnie do momentu wygaśnięcia czasu dzierżawy. Nowe urządzenia podłączane do sieci oraz komputery po restarcie nie otrzymają adresu IP i przypiszą sobie tymczasowy adres z puli autokonfiguracji APIPA (Automatic Private IP Addressing z zakresu 169.254.x.x), tracąc łączność z siecią. Wdrożenie klastra DHCP Failover zapobiega temu problemowi, automatycznie przejmując obsługę zapytań przez drugi serwer.

Czy serwer DHCP na Windows Server może obsługiwać sieci Wi-Fi i urządzenia mobilne?

Tak. Serwer DHCP na Windows Server może obsługiwać zarówno sieć przewodową LAN, jak i bezprzewodową sieć Wi-Fi, telefony VoIP, tablety oraz laptopy pracowników i gości. Dla sieci bezprzewodowych tworzy się dedykowane zakresy adresowe z odpowiednio skróconym czasem dzierżawy oraz odrębną konfiguracją parametrów sieciowych.

Wsparcie techniczne i wdrożenia na terenie Warszawy i okolic

Prawidłowe zaprojektowanie i wdrożenie ról DNS oraz DHCP w systemie Windows Server eliminuje przestoje w pracy biura, zabezpiecza komunikację sieciową oraz usprawnia zarządzanie stacjami roboczymi. Wieloletnie doświadczenie w pracy z infrastrukturą serwerową Microsoft pozwala na szybkie zdiagnozowanie i usunięcie nawet skomplikowanych problemów z replikacją stref i dystrybucją adresacji.

Wszystkie prace konfiguracyjne, audyty środowiska sieciowego oraz naprawy realizowane są z bezpośrednim dojazdem do siedziby klienta. Usługa obejmuje obszar całej Warszawy oraz miejscowości w promieniu do 40 km, w tym powiaty: grodziski, legionowski, otwocki, piaseczyński, pruszkowski, warszawski zachodni oraz wołomiński. Na wykonane prace udzielana jest gwarancja do 12 miesięcy, a po zakończeniu konfiguracji zapewnione jest wsparcie techniczne do 30 dni.

22 378 48 09