Amazon web services Active Directory委派到AWS专用托管区域

我们办公室正在处理一个非常奇怪的案件，我不是Active Directory（AD）专家

我们在active directory中有一个内部区域，我们希望将子域委派给VPC中的AWS私有托管区域（通过VPN连接）

VPN已连接，VPC中的主机可从AD端ping

AWS不允许您从VPN外部连接到其DNS服务器，但他们建议您托管将DNS查询转发到AWS DNS服务器的代理

因此，我们有两个使用iptables将UDP和TCP 53转发到AWS托管DNS服务器的框

从Active Directory方面，我们可以通过使用nslookup确认DNS确实正在转发：

nslookup <aws_domain> <dns_proxy_ip>
Server:     <dns_proxy_ip>
Address:    <dns_proxy_ip>#53

Non-authoritative answer:
Name:   <aws_domain>
Address: <correct_ip>

nslookup
服务器：
地址:#53
非权威性回答：
姓名：
地址:

我们已将子域作为委派DNS添加到active directory。我们不能使用条件转发，因为这样我们就不能让Active Directory管理DNS的一部分

所以。。。现在我们看到了非常奇怪的行为

我可以查询Active Directory DNS，但我们的AWS域不显示

nslookup
服务器：
地址:#53
**服务器找不到：NXDOMAIN

但是，在任何连接到AD的笔记本电脑上，我都可以查询AWS DNS服务器

nslookup <aws_domain> <dns_proxy_ip>
Server:     <dns_proxy_ip>
Address:    <dns_proxy_ip>#53

Non-authoritative answer:
Name:   <aws_domain>
Address: <correct_ip>

nslookup
服务器：
地址:#53
非权威性回答：
姓名：
地址:

现在。。。任何笔记本电脑（使用常规广告名称服务器）都可以看到广告的正确响应

nslookup <aws_domain> <active_directory_ip>
Server:     <active_directory_ip>
Address:    <active_directory_ip>#53

Non-authoritative answer:
Name:   <aws_domain>
Address: <correct_ip>

nslookup
服务器：
地址:#53
非权威性回答：
姓名：
地址:

实际上，一台笔记本电脑（数百台中的一台）会影响整个系统，这有点令人不安

但我真正想做的是将Active Directory转发到我的私有托管区域

为这篇冗长的文章道歉。我不知道如何让疯狂更简洁

nslookup <aws_domain> <active_directory_ip>
Server:     <active_directory_ip>
Address:    <active_directory_ip>#53

Non-authoritative answer:
Name:   <aws_domain>
Address: <correct_ip>