Início / user-203022

nobody's questions

Martin Hope
nobody
Asked: 2025-02-20 15:21:47 +0800 CST
  • 5

Eu já estava fazendo uma pergunta semelhante que era muito específica ( nomeada para uso interno e encaminhando subdomínios específicos ). Para essa pergunta, encontrei uma solução alternativa que não está OK.

Agora estou fazendo uma pergunta mais geral. A pergunta é por que resolver outras zonas depende da configuração da zona "."?

Temos um DNS que não tem acesso à internet, porque queremos que ele resolva apenas nomes de domínio locais. Queremos que ele resolva apenas um domínio externo. Vamos chamá-lo de dmz.example.com. A configuração para essa zona em /etc/named.conf é:

zone "dmz.example.com" in
{
  type forward;
  forwarders { 10.100.1.1; 10.100.1.2; }; // DMZ DNSes
};

Como não queremos que nossos DNSs resolvam domínios externos/de internet, fizemos isso com o arquivo root.servers vazio assim:

zone "."
{
  type hint;
  file "root.servers"; // root.server is empty file
};

Quando o DNS é solicitado para um domínio de internet, ele retorna imediatamente no-answer, pois root.servers está vazio. Para domínios para os quais ele é master ou slave, ele os resolve normalmente. Com essa configuração, o DNS não resolve dmz.example.com.

Então mudamos a configuração da zona "." Definimos para ser uma zona de encaminhamento para ".", mas forwarder é um IP inexistente ou inacessível. Assim:

zone "." in
{
  type forward;
  forwarders { 10.100.100.100; }; // non-existent IP
};

Quando usamos essa configuração para a zona ".", o DNS resolve dmz.example.com, mas não responde mais imediatamente a consultas para domínios de internet. Ele espera o timeout para que o encaminhador responda.

Não gosto disso por dois motivos:

  1. O DNS agora faz consultas desnecessárias a IPs inexistentes.
  2. Domínios da Internet não são mais resolvidos com uma resposta negativa instantânea.

Como posso fazer com que o DNS resolva dmz.example.com e responda pelos domínios da Internet como antes (instantaneamente, sem tráfego de rede desnecessário)?

bind
Martin Hope
nobody
Asked: 2025-02-17 19:23:51 +0800 CST
  • 6

Temos servidores DNS em um ambiente protegido sem acesso à internet e esses servidores resolvem apenas domínios internos que criamos. O arquivo root.servers nesses servidores DNS internos está vazio:

zone "."
{
  type hint;
  file "root.servers"; // root.server is empty file
};

Dessa forma, o DNS interno resolve apenas nomes internos.

Então temos servidores DNS na DMZ que encaminham domínios internos para a DMZ assim:

zone "internal" in
  type forward;
  forwarders { 10.10.10.1; 10.10.10.2; }; // internal DNSes
};

Esses DNSs na DMZ também encaminham endereços de internet de DNSs que resolvem domínios de internet assim:

zone "." in {
  type forward;
  forwarders { 172.20.10.1; 172.20.20.2; }; // DNSes resolving internet domains
};

Dessa forma, o DNS na DMZ resolve domínios internos e de internet. Ele funciona assim há muitos anos.

Agora, precisamos obter certificados assinados de uma CA bem conhecida para alguns servidores na DMZ. Para isso, criamos um subdomínio de internet. Vamos chamá-lo de dmz.example.com.

Criamos uma zona dmz.example.com em servidores de nomes DMZ e a DMZ resolve esses domínios. Queremos resolver esses domínios na rede interna também. Para esse propósito, abrimos o acesso DNS de interno para DMZ e adicionamos uma zona em DNSes internos como esta:

zone "dmz.example.com" in
{
  type forward;
  forwarders { 10.100.1.1; 10.100.1.2; }; // DMZ DNSes
};

Agora, DNSes internos não resolvem dmz.example.com e não acessam DNSes DMZ para obter informações sobre esse domínio. Não consigo entender por que o DNS interno não usa essa configuração de zona? Isso tem algo a ver com o arquivo root.servers vazio e a zona "."?

Na outra direção, onde os DNSs DMZ encaminham domínios internos, funciona.

bind