BIND thar VPN: seoladh coinníollach nó stubchrios?

Freagraíonn do rúsálaí oifige gach rud seach aon spás ainmneacha corparáideach, agus tá an freastalaí DNS corparáideach a bhfuil aithne aige air taobh thiar de VPN. Is féidir le BIND an crios aonair sin a thabhairt don upstream ar thrí bhealach éagsúla, agus teipeann orthu ar bhealaí éagsúla. Is é an seoladh coinníollach an gealltanas is lú, coinníonn stubchrios na sonraí tarmligthe, agus coinníonn secondary cóip iomlán. Roghnaigh de réir a bhfuil an upstream sásta a cheadú agus de réir a theastaíonn uait go gcoinneodh do rúsálaí, ní de réir an smíste a fuair tú ar dtús.

Trí shocrú do spás ainmneacha amháin

Seoladh coinníollach: an gealltanas is lú

Cuir i gcás rúsálaí oifige ag 192.168.10.53 agus freastalaí corparáideach ag 10.40.0.53 atá inrochtana trí thollán ceadaithe. Tá trí líne sa dearbhú, agus is é forward only an ceann suimiúil, mar athraíonn sé iompar na teipe, ní an bealach.

zone "corp.example" {
    type forward;
    forward only;
    forwarders { 10.40.0.53; };
};

Le forward only, táirgeann upstream nach féidir a shroicheadh SERVFAIL don chrios seo in ionad titim ar ais go réiteach atriallach. Is gnách gurb é sin a theastaíonn uait do spás ainmneacha príobháideach, mar chuirfeadh an titim ar ais ainmneacha príobháideacha chuig rúsálaí poiblí agus thabharfadh sé freagra gan úsáid ón idirlíon ar ais. An tagairt BIND déanann sé an dá bheartas a dhoiciméadú, agus tá an difríocht níos tábhachtaí ná mar a thugann an smíste le tuiscint. Cumaisc an crios leis an gcumraíocht atá ann cheana in ionad crios a athsholáthar atá ann cheana don ainm céanna.

Stub nó secondary: nuair a bhíonn tábhacht leis an tarmligean

Iarrann stubchrios ar an bhfreastalaí corparáideach taifead NS an chreasa agus ansin cuireann sé ceisteanna go díreach ar na freastalaithe údaráis. Roghnaigh é nuair atá réigiún an upstream mór nó foroinnte agus teastaíonn uait go leanfadh do rúsálaí an tarmligean in ionad gach rud a phionnáil le seoladh amháin. Is é an costas ná spleáchas ar na sonraí NS a bheith cothrom le dáta, agus ar gach ainmfreastalaí liostaithe a bheith inrochtana ó sheoladh foinse do rúsálaí.

zone "corp.example" {
    type stub;
    masters { 10.40.0.53; };
};

zone "corp.example" {
    type secondary;
    primaries { 10.40.0.53; };
    file "corp.example.db";
};

Freagraíonn secondary ó shonraí áitiúla agus maireann sé aistarraingt an upstream, agus sin an fáth glacadh leis an spleáchas aistrithe. Ciallaíonn sé freisin go bhfuil cóip de chrios nach leis anois ag do rúsálaí, mar sin bíonn cosán an chomhaid, an ACL aistrithe ar an mbunfhostaí agus na hamadóirí athnuachana ina gcuid de do dhromchla oibriúcháin.

An seiceáil a shocraíonn eatarthu

Gineann BIND a iarratas amach féin, mar sin ní hé an cheist an féidir le ríomhaire glúine 10.40.0.53 a shroicheadh, ach an féidir le hóstach an rúsálaí é a dhéanamh, ón seoladh foinse a fheicfidh an freastalaí corparáideach. Fiafraigh den eithne, ansin fiafraigh den fhreastalaí, san ord sin.

ip route get 10.40.0.53
named-checkconf
rndc reload corp.example
dig @10.40.0.53 corp.example NS +norecurse
dig @192.168.10.53 portal.corp.example

Ceadaigh UDP agus TCP ar an mbealach: cuireann freagra teasctha iallach ar TCP, agus táirgeann beartas nach gceadaíonn ach UDP teipeanna eatramhacha atá cosúil le cailliúint paicéad. Teastaíonn ón taobh corparáideach riail ghlactha do fhoinse do rúsálaí agus bealach fillte chuici; féadfaidh an fhoinse sin a bheith ina seoladh ródaithe an rúsálaí nó ina seoladh a aistríodh go sainráite, agus is annamh gur seoladh ó linn cliant é. Má theipeann ar an iarratas NS, ní féidir le stubchrios oibriú is cuma conas a iompraíonn an crios forward.

Fíoraigh an freagra, ní an tollán

Cuir ceist trí rúsálaí na hoifige faoi ainm nach bhfiafraigh tú riamh faoi, agus féach ar roinn authority an fhreagra chun a fheiceáil ar tháinig sé ón gcrios corparáideach. Ní chruthaíonn freagra atá i dtaisce aon rud faoin mbealach reatha, agus ní chruthaíonn iarratas rathúil go díreach chuig an upstream gur roghnaigh do rúsálaí an crios sin. Déan an t-iarratas céanna a athdhéanamh thar TCP chun a dheimhniú go maireann an bealach an teascth.

Coinnigh na cliaint dírithe ar rúsálaí na hoifige, agus coinnigh bailíochtú DNSSEC ar siúl. Seachnaíonn brabhsálaí atá cumraithe le rúsálaí criptithe neamhspleách an socrú seo go hiomlán, agus athraíonn sé teip infheicthe ar theip dofheicthe bailíochtú a mhúchadh ionas go mbeadh cuma cheart ar fhreagra gan choinne.

Scríobh síos cén ceann de na trí chineál a roghnaigh tú agus cén fáth. Beidh an abairt sin ag teastáil ón gcéad duine eile a fheicfidh an crios ag teip níos mó ná an comhad cumraíochta.