Roman_T's questions

Gostaria de entender como funciona o processo de resolução de registros CNAME. Digamos que eu tenha um registro no servidor DNS NS1

proxy.example.com IN CNAME proxy.example1.com

NS1 não é autoritário para example1.com. No servidor NS2 tenho um registro

proxy.example1.com IN A 1.2.3.4

proxy.example1.comsó pode ser resolvido a partir da rede de clientes e não da rede onde o NS1 está localizado.

Se o cliente solicitar proxy.example.com, o servidor NS1 tentará resolver toda a cadeia em nome do cliente ou retornará o nome proxy.example1.com? E se ele tentar resolver toda a cadeia, o que acontece quando ele falha porque o NS2 não pode ser alcançado pelo NS1? Que resposta enviará ao cliente?

Obrigado.

Estou tentando ativar o DMARC.

O problema que vejo é que, como uso empresas terceirizadas para e-mails de marketing, o DMARC SPF falha nesses e-mails porque eles colocam e-mail de seu próprio domínio no caminho de retorno (ou seja, endereço de e-mail devolvido).

É o que vejo no relatório:

<row>   
  <source_ip>3rdpartyIP</source_ip> 
  <count>1</count>  
  <policy_evaluated>    
    <disposition>none</disposition> 
    <dkim>pass</dkim>   
    <spf>fail</spf> 
  </policy_evaluated>   
</row>  
<identifiers>   
  <header_from>mydomain.com</header_from>   
</identifiers>  
<auth_results>  
  <dkim>    
    <domain>mydomain.com</domain>   
    <result>pass</result>   
  </dkim>   
  <spf> 
    <domain>3rdparty.domain</domain>    
    <result>pass</result>   
  </spf>    
</auth_results> 

Ou seja, auth_results estão bem, mas policy_evaluated falha.

Então a pergunta é:

Existe alguma maneira de verificar apenas o DKIM na política DMARC?

Obrigado, Atenciosamente, Romano

Gostaria de configurar a autenticação de dois fatores para meus usuários sem fio.

Tenho um servidor Windows NPS que atualmente está autenticando meus usuários sem fio e desejo adicionar certificados ou qualquer outro segundo fator para autenticação.

O Microsoft NPS oferece suporte a certificados, mas não vejo como forçar os usuários a se autenticarem usando nome de usuário/senha E certificado.

Só pode ser ou. Ou seja, posso configurar o servidor para usar certificado OU autenticação de nome de usuário/senha.

Existe alguma maneira de forçar 2 métodos?

Ou pode haver alguma outra maneira gratuita/barata de configurar 2FA para usuários sem fio. Acredito que seja possível usar freeradius com autenticação do Google, mas onde os usuários vão entrar no OTP nessa situação?

obrigado, romano

Provavelmente é uma pergunta estúpida, mas ainda pode ser útil não apenas para mim.

Eu tenho um firewall Juniper SRX em uma filial. Todas as portas estão bloqueadas da Internet para a rede interna. Todas as portas são abertas da rede interna para a Internet.

Existe algum benefício em usar IPS nele?

Isso me protegerá de qualquer tipo de ataque se todas as portas de entrada forem bloqueadas?

Há um problema. Eles introduziram o novo TLD ".dev" e eu tenho a zona interna "dev.companyname.com". Alguns usuários internos usam nomes curtos para acessar os hosts nesta zona (ou seja, eles acessam hostname.dev em vez do nome completo). Existe alguma maneira de modificar as consultas DNS (no servidor BIND ou no servidor DNS da Microsoft) de hostname.dev para hostname.dev.companyname.com (ou seja, anexar companyname.com a todas as consultas que terminam com .dev)? Ou pode haver uma maneira de rejeitar solicitações como hostname.dev? É necessário apenas como uma solução temporária - entendo que devo mover todos os hosts para fora desta zona.

Obrigado.

Existe alguma maneira de fazer com que o servidor DHCP da Microsoft atualize de forma dinâmica e segura os registros A e PTR na zona Unix Bind DNS?

A Microsoft suporta atualização segura usando autenticação de nome de usuário/senha. Bind9 suporta atualização segura usando chaves. Mas não consegui encontrar a maneira de fazer o Microsoft DHCP usar a chave, pois isso pode ser feito com o dhcpd.