linux dhcp怎么集成ad

在 Linux 上把 DHCP 服务与 Active Directory（AD）集成，通常不是为了“让 DHCP 加域认证”，而是为了实现下面几类典型需求：

DHCP 动态更新 DNS（由 AD/DNS 接管）
DHCP 服务器加入 AD 域（Kerberos 认证）
根据 AD 用户/计算机信息分配 IP 或选项
Windows DHCP 故障转移 / 迁移到 Linux（ISC DHCP / Kea）

下面按常见场景说明。

一、最常见方案：Linux DHCP + AD DNS 动态更新

适用于：ISC DHCP Server / Kea + Windows AD 集成的 DNS

目标

Linux DHCP 分配 IP
自动在 AD 的 DNS 区域 中注册 A / PTR 记录
使用 Kerberos 安全更新

步骤概览

1. Linux 加入 AD（或使用仅 Kerberos 账号）

# 以 Rocky / Ubuntu 为例
realm join ad.example.com

或仅创建 AD 计算机账号 + keytab。

2. 配置 DHCP 使用 TSIG / GSS-TSIG

ISC DHCP 示例（dhcpd.conf）

ddns-updates on;
ddns-update-style interim;

key "AD-DNS" {
    algorithm hmac-md5;
    secret "Base64Key==";
}

zone example.com. {
    primary 192.168.1.10;  # AD DC
    key AD-DNS;
}

zone 1.168.192.in-addr.arpa. {
    primary 192.168.1.10;
    key AD-DNS;
}

更推荐 GSS-TSIG + Kerberos，避免明文 key

3. 使用 Kerberos 更新 DNS

dhcpd 以域账号运行
使用 nsupdate -g

二、Kea DHCP + AD（现代方案）

Kea（ISC 官方推荐） 更适合企业环境。

特点

支持 DDNS hook
可对接 AD DNS
REST API 管理
数据库后端（MySQL/PostgreSQL）

示例（Kea DDNS）

"DhcpDdns": {
  "reverse-ddns": { },
  "forward-ddns": {
    "dns-server-timeout": 5000
  }
}

AD 侧：

允许 Kea 服务器 IP 做安全动态更新
或使用 GSS-TSIG

三、Linux DHCP 服务器“加入 AD 域”

目的

让 DHCP 服务像 Windows 一样被 AD 管理
使用域账号运行服务
安全更新 DNS

步骤

安装并配置 SSSD / Winbind
加入域
创建服务账号（DHCP）
生成 keytab
DHCP 以该账号运行

⚠️ 注意：

Linux DHCP 不能直接管理 Windows DHCP 数据库
AD 不“控制”Linux DHCP，只是认证 / DNS 集成

四、根据 AD 用户/计算机分配 IP（高级）

方案

DHCP + MAC 绑定
或 802.1X（FreeRADIUS + AD）
或 DHCP Option 根据计算机名（需 DNS 反查）

✅ 推荐：

AD 认证 → 网络设备 → DHCP 分配 VLAN/IP

五、如果你是想“替代 Windows DHCP”

可行方案

需求	推荐
简单 DHCP	ISC DHCP
企业级	Kea DHCP
AD 集成 DNS	AD DNS + DDNS
策略分配	802.1X + RADIUS

六、典型架构示例

AD DC (DNS)
   ↑ (GSS-TSIG)
Linux DHCP (Kea / ISC)
   ↓
客户端

七、我可以继续帮你

你可以告诉我：

用的是 Ubuntu / CentOS / Rocky / Debian？
用 ISC DHCP 还是 Kea？
目标是：
- 只做 DNS 更新？
- 还是像 Windows DHCP 一样管理？
AD 是 Windows Server 2016/2019/2022？

我可以直接给你可复制的配置文件。