¿Cuál debería ser el orden de los servidores DNS para un controlador de dominio AD y por qué?

Esta es una pregunta canónica sobre la configuración de DNS de Active Directory.

Relacionado:

• ¿Qué son los Servicios de dominio de Active Directory y cómo funciona?

Suponiendo un entorno con múltiples controladores de dominio (suponga que todos también ejecutan DNS):

• ¿en qué orden deberían aparecer los servidores DNS en los adaptadores de red para cada controlador de dominio?
• ¿Debería usarse 127.0.0.1 como el servidor DNS primario para cada controlador de dominio?
• ¿Hay alguna diferencia, en caso afirmativo, qué versiones se ven afectadas y cómo?

Según este enlace y el Analizador de mejores prácticas de Windows Server 2008 R2, la dirección de bucle invertido debe estar en la lista, pero nunca como el servidor DNS principal. En ciertas situaciones, como un cambio de topología, esto podría interrumpir la replicación y hacer que un servidor esté "en una isla" en lo que respecta a la replicación.

Supongamos que tiene dos servidores: DC01 (10.1.1.1) y DC02 (10.1.1.2) que son controladores de dominio en el mismo dominio y ambos contienen copias de las zonas ADI para ese dominio. Deben configurarse de la siguiente manera:

DC01
Primary DNS   10.1.1.2
Secondary DNS 127.0.0.1

DC02
Primary DNS   10.1.1.1
Secondary DNS 127.0.0.1

De http://technet.microsoft.com/en-us/library/ff807362%28v=ws.10%29.aspx

Si la dirección IP de bucle invertido es la primera entrada en la lista de servidores DNS, es posible que Active Directory no pueda encontrar sus socios de replicación.

La inclusión de su propia dirección IP en la lista de servidores DNS mejora el rendimiento y aumenta la disponibilidad de los servidores DNS. Sin embargo, si el servidor DNS también es un controlador de dominio y solo apunta a sí mismo, o se apunta a sí mismo primero para la resolución de nombres, esto puede causar un retraso durante el inicio. Por este motivo, tenga cuidado al configurar la dirección de bucle invertido en un adaptador si el servidor también es un controlador de dominio. La dirección de bucle invertido debe configurarse solo como un servidor DNS secundario o terciario en un controlador de dominio.

También quiero compartir este fragmento del libro Windows Server 2008 R2 Unleashed :

Sin embargo, incluso si nunca se ve afectado por el problema de la "isla", su DC aún se reiniciará mucho más rápido y con menos errores si usa otro DC ya en funcionamiento como su principal resolución DNS.

Nunca, nunca un DC se utiliza como DNS primario.

Todo tipo de estragos puede suceder (y Murphy dicta: sucederá) si los servicios de AD se conectan antes de que el servicio de DNS esté activo después de un reinicio. (O DNS se bloquea, se bloquea DOS, lo que sea).
También hay interacción entre DHCP (con actualizaciones dinámicas de DNS) y DNS que depende en gran medida de que DNS funcione correctamente.

Siempre ponga 127.0.0.1 al final. Además: tampoco se sienta tentado a utilizar la dirección IP LAN real del servidor.
Las actualizaciones dinámicas de DNS de DHCP son muy sensibles a esto.
(127.0.0.1 siempre existe y se puede acceder más rápido. Es posible que la dirección IP real no siempre esté disponible / esté ocupada. En algunos escenarios, las actualizaciones dinámicas de DNS pueden en realidad DOS el adaptador LAN si hay una gran cantidad de solicitudes DHCP simultáneas combinadas con NIC / controladores por debajo del par.)