Настройка DNS в офисе без DC

[Geforce257]

Здравствуйте, в кратце опишу ситуацию...

Имеется 3 офиса, удаленных друг от друга. В каждом офисе стоит роутер (mikrotik) и между офисами натянут VPN тунель. Этот роутер является шлюзом для доступа в интернет на клиентских машинах, а так же я вляется dhcp сервером.

В главном офисе есть контроллер домена, который является Primary dns для рабочих станций(во всех офисах), а secondary dns указан провайдерский. Первый для разрешения имен в локальной сети, а второй соответсвенно для доступа в интернет. Все работает хорошо. Теперь возникла задача установить еще один контроллер домена в другом офисе... Соответсвенно появится еще один DNS, который непонятно как прописать на клиентских машинах. В тех офисах где есть контроллеры домена, полагаю прописать этот DNS как secondary, а на самих серверах прописать в серверах пересылки DNS провайдера... А вот как быть с тем офисом где еще нет контроллера домена?

Теоретически в офисе где нет контроллера домена можно прописать dns двух контроллеров, но таким образом я полагаю увеличится время разрешения запросов.. Ведь чтобы разрешить запрос нужно будет обратиться к серверу по vpn в другой офис, а тот в свою очередь к провайдеру, когда сейчас обращение сразу к провайдеру. И если каким то образом рухнет vpn то офис останется без dns вовсе, следовательно без инета

Как быть?

[KaMa31980]

Установи им доп линию инета и поставь доп шлюз с более низким приоритетом когда слетит инет в головном пакеты пойдут по нужному маршруту

[PLAstic]

Если не ошибаюсь, именно для этого и нужны такие области как sites. В одной из консолей AD можно найти возможность создания таких областей. Они нужны для определения "родного" DC, чтобы не ломиться через инет к другому.
Вообще, я не вижу причины, почему бы не дать в каждой из подсетей свой DNS. В 1ом офисе - его DC, который сам форвардит запросы на DNS провайдера, во 2ом свой - тоже форвардит, а в третьем сразу провайдерский DNS. Поверх этого устанавливается в нужных случаях VPN куда надо.
А зачем этот геморрой вобще? Неужели нельзя обойтись терминалом и одним сервером?