BIND iwwer eng VPN: bedingt Weiderleedung oder Stub-Zon?

Dräi Weeër fir eng privat Zon duerch eng VPN opzeléisen, a wéini jiddweree passt: forward, stub oder secondary, plus d'Prüfung vun der Quelladress déi decidéiert.

Ären Büro-Resolwer beäntwert alles ausser engem Firmennummraum, an de Firmen-DNS-Server deen en kennt steet hannert enger VPN. BIND kann déi eenzeg Zon op dräi verschidde Manéieren un den Upstream iwwerginn, an si versoen ënnerschiddlech. Bedingt Weiderleedung ass déi klengst Verflichtung, eng Stub-Zon behält d'Delegatiounsdaten, an eng Secondary behält eng komplett Kopie. Wielt no deem wat den Upstream erlaabt an no deem wat Dir wëllt datt Äre Resolwer behält, net no deem wéi en Ausschnëtt Dir als éischten fonnt hutt.

Dräi Uspréch fir een Nummraum

TypeWhat your resolver keepsUpstream mustFails when
forwarda forwarder listanswer queries from your source addressupstream is down and forward only is set
stubthe zone's NS records and addressesanswer NS queries for the zonedelegation data goes stale after an NS change
secondarya full copy of the zonepermit AXFR or IXFR from your sourcetransfer is blocked by ACL or firewall

Bedingt Weiderleedung: déi klengst Verflichtung

Stellt Iech e Büro-Resolwer op 192.168.10.53 vir an e Firmeserver op 10.40.0.53 deen iwwer en approuvéierten Tunnel erreechbar ass. D'Deklaratioun ass dräi Zeilen, an déi interessant ass forward only, well se d'Verhalen beim Feeler ännert, net de Wee.

zone "corp.example" {
    type forward;
    forward only;
    forwarders { 10.40.0.53; };
};

Mat forward only gëtt en onerreechbaren Upstream e SERVFAIL fir dës Zon amplaz vun engem Réckfall op iterativ Opléisung. Dat ass meeschtens dat wat Dir fir en private Nummraum wëllt, well de Réckfall privat Nimm un e ëffentleche Resolwer schécke géif an eng onnëtzlech Äntwert aus dem Internet zréckbréngt. D'BIND-Referenz dokumentéiert béid Politiken, an den Ënnerscheed ass wichteger wéi den Ausschnëtt et vermuten léisst. Fitt d'Zon an déi existéierend Konfiguratioun an, amplaz eng Zon z'ersetzen déi schonn fir deen selwechten Numm existéiert.

Stub oder Secondary: wéini d'Delegatioun zielt

Eng Stub-Zon freet de Firmeserver no den NS-Recorde vun der Zon an freet dann d'autoritativ Servere direkt. Wielt se wann d'Upstream-Regioun grouss oder opgedeelt ass an Dir wëllt datt Äre Resolwer der Delegatioun follegt amplaz alles un eng Adress ze befestegen. De Präis ass eng Ofhängegkeet dovun datt d'NS-Daten aktuell sinn, an dovun datt all opgezielten Numm-Server vun der Quelladress vun Ärem Resolwer aus erreechbar ass.

zone "corp.example" {
    type stub;
    masters { 10.40.0.53; };
};

zone "corp.example" {
    type secondary;
    primaries { 10.40.0.53; };
    file "corp.example.db";
};

Eng Secondary äntwert aus lokalen Daten an iwwerlieft en Upstream-Ausfall, an dat ass de Grond fir d'Iwwerdroungs-Ofhängegkeet ze akzeptéieren. Et bedeit och datt Äre Resolwer elo eng Kopie vun enger Zon hält déi him net gehéiert, also ginn de Dateipad, den Iwwerdroungs-ACL um Primär an d'Aktualiséierungs-Timer all Deel vun Ärer Betribsfläch.

D'Prüfung déi tëscht hinnen decidéiert

BIND generéiert seng eege erausgänglech Ufro, also ass d'Fro net ob e Laptop 10.40.0.53 erreeche kann, mä ob de Resolwer-Host et kann, vun der Quelladress déi de Firmeserver gesäit. Frot de Kernel, frot dann de Server, an där Reihenfolg.

ip route get 10.40.0.53
named-checkconf
rndc reload corp.example
dig @10.40.0.53 corp.example NS +norecurse
dig @192.168.10.53 portal.corp.example

Erlaabt UDP an TCP um Wee: eng ofgeschnidden Äntwert forcéiert TCP, an eng Politik déi nëmmen UDP erlaabt produzéiert ënnerbrach Feeler déi wéi Paketverloscht ausgesinn. D'Firmesäit brauch souwuel eng Akzeptanzregel fir d'Quell vun Ärem Resolwer wéi och eng Réckroute dohinner; déi Quell kann d'geroutet Adress vum Resolwer sinn oder eng explizit iwwersat, an et ass seelen eng Adress aus engem Clientpool. Wann d'NS-Ufro versuergt, kann eng Stub-Zon net schaffen, egal wéi sech d'Forward-Zon verhält.

Verifizéiert d'Äntwert, net den Tunnel

Frot iwwer de Büro-Resolwer no engem Numm no deem Dir nach ni gefrot hutt, a kuckt d'Authority-Sektioun vun der Äntwert fir ze gesinn ob se aus der Firmenzon koum. Eng gechacéiert Äntwert beweist näischt iwwer de momentanen Wee, an eng erfollegräich direkt Ufro un den Upstream beweist net datt Äre Resolwer déi Zon ausgewielt huet. Widderhëlt déiselwecht Ufro iwwer TCP fir ze bestätegen datt de Wee d'Ofschneiden iwwersteet.

Halt d'Clienten op de Büro-Resolwer geriicht, an hal d'DNSSEC-Validéierung un. E Browser deen mat engem onofhängegen verschlësselte Resolwer konfiguréiert ass ëmgeet dës Uspréch komplett, an d'Validéierung auszeschalten fir datt eng onerwaart Äntwert richteg ausgesäit tauscht e sichtbare Feeler géint en onsichtbaren.

Schreift op wéi eng vun den dräi Aarten Dir gewielt hutt a firwat. Déi nächst Persoun déi d'Zon versoe gesäit, brauch dee Saz méi wéi d'Konfiguratiounsdatei.

Ähnlech Artikelen