BIND fuq VPN: forward kundizzjonali jew żona stub?

Tliet modi kif tissolva żona privata waħda permezz ta' VPN, u meta kull waħda tajba: forward, stub jew secondary, flimkien mal-verifika tal-indirizz tas-sors li tiddeċiedi.

Ir-resolver tal-uffiċċju tiegħek iwieġeb għal kollox ħlief għal spazju wieħed ta' ismijiet korporattiv, u s-server DNS korporattiv li jafu qiegħed wara VPN. BIND jista' jgħaddi dik iż-żona waħda lill-upstream bi tliet modi differenti, u jonqsu b'mod differenti. Il-forward kundizzjonali hu l-iżgħar impenn, iż-żona stub iżżomm id-dejta tad-delegazzjoni, u s-secondary iżżomm kopja sħiħa. Agħżel skont dak li se jippermetti l-upstream u skont dak li trid li r-resolver tiegħek iżżomm, u mhux skont liema siltiet sibt l-ewwel.

Tliet arranġamenti għal spazju wieħed ta' ismijiet

TypeWhat your resolver keepsUpstream mustFails when
forwarda forwarder listanswer queries from your source addressupstream is down and forward only is set
stubthe zone's NS records and addressesanswer NS queries for the zonedelegation data goes stale after an NS change
secondarya full copy of the zonepermit AXFR or IXFR from your sourcetransfer is blocked by ACL or firewall

Forward kundizzjonali: l-iżgħar impenn

Ejja ngħidu resolver tal-uffiċċju fuq 192.168.10.53 u server korporattiv fuq 10.40.0.53 li jista' jintlaħaq minn tunnel approvat. Id-dikjarazzjoni hija tliet linji, u dik interessanti hija forward only, għax tibdel l-imġiba tal-falliment, mhux il-mogħdija.

zone "corp.example" {
    type forward;
    forward only;
    forwarders { 10.40.0.53; };
};

B'forward only, upstream li ma jintlaħaqx jipproduċi SERVFAIL għal din iż-żona minflok ma jaqa' lura għal soluzzjoni iterattiva. Normalment dan hu dak li trid għal spazju privat ta' ismijiet, għax il-fallback jibgħat ismijiet privati lil resolver pubbliku u jġib tweġiba mingħajr użu mill-internet. Ir-referenza tal-BIND tiddokumenta ż-żewġ politiki, u d-differenza hija aktar importanti milli tissuġġerixxi s-silta. Għaqqad iż-żona mal-konfigurazzjoni eżistenti minflok ma tissostitwixxi żona li diġà teżisti għall-istess isem.

Stub jew secondary: meta d-delegazzjoni hija importanti

Żona stub tistaqsi lill-server korporattiv għall-annotazzjonijiet NS taż-żona u mbagħad tistaqsi lis-servers awtorevoli direttament. Agħżilha meta r-reġjun tal-upstream ikun kbir jew maqsum u trid li r-resolver tiegħek isegwi d-delegazzjoni minflok ma jsammar kollox ma' indirizz wieħed. Il-prezz hu dipendenza fuq li d-dejta NS tkun aġġornata, u fuq li kull server tal-ismijiet elenkat ikun jista' jintlaħaq mill-indirizz tas-sors tar-resolver tiegħek.

zone "corp.example" {
    type stub;
    masters { 10.40.0.53; };
};

zone "corp.example" {
    type secondary;
    primaries { 10.40.0.53; };
    file "corp.example.db";
};

Secondary iwieġeb minn dejta lokali u jiflaħ waqfa tal-upstream, u dan hu r-raġuni biex taċċetta d-dipendenza tat-trasferiment. Dan ifisser ukoll li r-resolver tiegħek issa jżomm kopja ta' żona li mhijiex tiegħu, għalhekk il-mogħdija tal-fajl, l-ACL tat-trasferiment fuq il-primarja u t-timers tal-aġġornament isiru kollha parti mill-wiċċ operattiv tiegħek.

Il-verifika li tiddeċiedi bejniethom

BIND jiġġenera l-mistoqsija tiegħu stess li toħroġ, għalhekk il-mistoqsija mhijiex jekk laptop jistax jilħaq 10.40.0.53 iżda jekk il-host tar-resolver jistax, mill-indirizz tas-sors li se jara s-server korporattiv. Staqsi lill-kernel, imbagħad staqsi lis-server, f'dak l-ordni.

ip route get 10.40.0.53
named-checkconf
rndc reload corp.example
dig @10.40.0.53 corp.example NS +norecurse
dig @192.168.10.53 portal.corp.example

Ippermetti UDP u TCP fil-mogħdija: tweġiba maqtugħa tħajjar TCP, u politika li tippermetti biss UDP tipproduċi fallimenti intermittenti li jidhru bħal telf ta' pakketti. In-naħa korporattiva teħtieġ kemm regola ta' aċċettazzjoni għas-sors tar-resolver tiegħek kif ukoll rotta lura lejh; dak is-sors jista' jkun l-indirizz routed tar-resolver jew wieħed tradott b'mod espliċitu, u rarament hu indirizz ta' pool tal-klijenti. Jekk il-mistoqsija NS tfalli, żona stub ma tistax taħdem, tkun kif tkun l-imġiba taż-żona forward.

Ivverifika t-tweġiba, mhux it-tunnel

Staqsi permezz tar-resolver tal-uffiċċju għal isem li qatt ma tlabt, u ħares lejn is-sezzjoni authority tat-tweġiba biex tara jekk ġietx miż-żona korporattiva. Tweġiba fil-cache ma tipprova xejn dwar il-mogħdija attwali, u mistoqsija diretta li tirnexxi lill-upstream ma tipprovax li r-resolver tiegħek għażel dik iż-żona. Errepeti l-istess mistoqsija fuq TCP biex tikkonferma li l-mogħdija tiflaħ il-qtugħ.

Żomm il-klijenti mmirati lejn ir-resolver tal-uffiċċju, u żomm il-validazzjoni DNSSEC mixgħula. Browser konfigurat b'resolver kriptat indipendenti jdawwar dan l-arranġament għal kollox, u li titfi l-validazzjoni biex tweġiba mhux mistennija tidher korretta tbdel falliment viżibbli ma' wieħed inviżibbli.

Ikteb liema mit-tliet tipi għażilt u għaliex. Il-persuna li jmiss li tara ż-żona tfalli se jkollha bżonn dik is-sentenza aktar mill-fajl tal-konfigurazzjoni.

Artikli relatati