DHCP-сервер не регистрирует записи PTR — несколько DHCP-серверов

У меня есть сервер DHCP, настроенный на постоянное динамическое обновление записей DNS. DNS-сервер настроен на разрешение как безопасных, так и небезопасных обновлений (я знаю, что это небезопасно, но это только внутренняя сеть, без подключения к Интернету). Оба Windows Server 2016.

Один домен, один лес.

Есть филиал, который имеет другую подсеть (все тот же домен), с VPN между главным офисом и филиалом. Другой DC в филиале, на котором работает DHCP (только для филиала) и DNS (для всего домена). Репликация между контроллерами домена в главном и филиалах работает нормально.

Нет ничего особенного в настройке подсетей. Зоны прямого и обратного просмотра существуют для обеих подсетей в DNS.

Клиенты в главном офисе получают IP-адреса от контроллера домена в главном офисе, а DNS корректно обновляет их записи A и PTR.

Однако в филиале, хотя клиенты получают IP-адреса и создаются правильные записи A, записи PTR никогда не создаются для клиентов DHCP. (Только для статических записей.)

Клиенты отправляют опцию 81 в пакете DHCP-запроса с полным доменным именем, все флаги установлены на ноль.

Обратите внимание, что я разрешаю как безопасные, так и небезопасные обновления, поэтому это не должно быть вызвано отсутствием учетных данных. Я не настроил учетные данные для обновлений DNS, но не вижу, как это поможет, поскольку разрешены небезопасные обновления.

На клиентах установлен флажок Advanced TCP «Зарегистрировать адреса этого подключения в DNS» (по умолчанию в Windows).

Я видел предложения по настройке каждого клиента с опцией «Использовать DNS-суффикс этого подключения при регистрации DNS». Еще не пробовал, но не понимаю, почему это должно что-то помочь. (Он отправляет полное доменное имя, и это должен быть сервер, выполняющий регистрацию DNS.) И хотелось бы избежать ручной настройки всех клиентов.

Кто-нибудь знает, связано ли это с тем, что в том же домене есть 2-я подсеть?

И как мне его правильно настроить, чтобы DNS/DHCP понимал, что делать?

Решил это, обновив учетные данные на DHCP-сервере для филиала - на самом деле это не было связано с несколькими подсетями.

(Щелкните правой кнопкой мыши IPv4 под именем домена на сервере DCHP, выберите «Дополнительно» и «Учетные данные», введите информацию о новом пользователе/пароле — это должна быть непривилегированная учетная запись пользователя только для этой цели, с неограниченным сроком действия пароля, и пользователь не может изменить пароль. Я говорю непривилегированный - хотя он должен быть членом группы DnsAdmin.)

На этом DHCP-сервере в филиале (и только на этом) учетные данные были установлены для фактической учетной записи пользователя, пароль которого был изменен несколько месяцев назад.

Поскольку небезопасные обновления были разрешены, неудачная аутентификация обычно не имела значения.

Однако, почему это имело значение, я считаю, что мое доменное имя является многоуровневым (internal.example.com), и AD создала зону прямого просмотра как для «internal.example.com», так и для «example.com». А в зоне «example.com» для динамических обновлений было установлено значение «Только безопасные», а для «inernal.example.com» было «Небезопасно и безопасно».

Таким образом, тот факт, что родительский домен не мог быть обновлен, каким-то образом привел к сбою обновления PTR.

(Обратите внимание, что в данном случае добавление DHCP-серверов в группу DnsUpdateProxy НЕ решило проблему.)