Условное разрешение DNS имен в Windows Server: DNS Conditional Forwarding, политики DNS
08.02.2021
itpro
Windows Server 2016, Windows Server 2019
комментариев 6
В этой статье мы рассмотрим два способа организации условного разрешения имен в DNS сервере на Windows Server 2016: DNS conditional forwarding и DNS policy. Эти технологии позволяют настроить условное разрешение DNS имен в зависимости от запрошенного имени, IP адреса и местоположения клиента, времени суток и т.д.
Условная пересылка DNS (Conditional Forwarding) позволяет перенаправить DNS запросы об определенном домене на определенные DNS-сервера. Обычно Conditional Forwarders используется, когда нужно настроить быстрое разрешение имен между несколькими внутренними приватными доменами, или вы не хотите, чтобы DNS запросы с вашего сервера пересылались через публичную сеть Интернет. В этом случае вы можете создать на DNS сервере правило DNS пересылки DNS запросов для определенной доменной зоны (только . ) на определенный DNS сервер.
Настройка DNS Conditional Forwarder в Windows Server
Попробуем настроить условное перенаправление DNS запросов для определенной доменной зоны на Windows Server 2016. Например, я хочу, чтобы все DNS запросы к зоне corp.winitpro.ru пересылались на DNS сервер 10.1.10.11.
- Запустите консоль управления DNS ( dnsmgmt.msc );
- Разверните ваш DNS сервер, щелкните правой кнопкой по разделу Conditional Forwarders и выберите New Conditional Forwarder;
- В поле DNS domain укажите FQDN имя домена, для которого нужно включить условную пересылку;
- В поле IP addresses of the master servers укажите IP адрес DNS сервера, на который нужно пересылать все запросы для указанного пространства имен;
- Если вы хотите хранить правило условной переадресации не только на этом DNS сервере, вы можете интегрировать его в AD. Выберите опцию “Store this conditional forwarder in Active Directory”;
- Выберите правило репликации записи conditional forwarding (All DNS servers in this forest, All DNS servers in this domain или All domain controllers in this domain).
Настройка DNS Conditional Forwarding с помощью PowerShell
Вы можете создать правило Conditional Forward для определенной DNS зоны с помощью PowerShell. Воспользуйтесь командлетом Add-DnsServerConditionalForwarderZone:
Add-DnsServerConditionalForwarderZone -Name dmz.winitpro.ru -MasterServers 192.168.1.11,192.168.101.11 -ReplicationScope Forest
Чтобы вывести список DNS Conditional Forwarders на определенном сервере, выполните следующий PowerShell скрипт:
$DNSServer = «DC01»
$Zones = Get-WMIObject -Computer $DNSServer -Namespace «root\MicrosoftDNS» -Class «MicrosoftDNS_Zone»
$Zones | Select-Object Name,MasterServers,DsIntegrated,ZoneType | where <$_.ZoneType -eq "4">| ft -AutoSize
Фильтрация запросов DNS, политики разрешения имен в Windows Server 2016
В Windows Server 2016 появилась новая фича в службе DNS сервера – DNS политики. DNS политики позволяют настроить DNS сервер так, чтобы он возвращал различные ответы на DNS запросы в зависимости от местоположения клиента (с какого IP адреса или подсети пришел запрос), интерфейса DNS сервера, времени суток, типа запрошенной записи (A, CNAME, PTR, MX) и т.д. DNS политики в Windows Server 2016 позволяют реализовать сценарии балансировки нагрузки, фильтрации DNS трафика, возврата DNS записей в зависимости от геолокации (IP адреса клиента) и многие другие сложные сценарии.
Вы можете создать политику как на уровне DNS сервера, так и на уровне всей зоны. Настройка DNS политик в Windows Server 2016 возможна только из командной строки PowerShell.
Попробуем создать простую политику, которая позволяет вернуть разный ответ на DNS запрос в зависимости от геолокации клиента. Допустим, вы хотите, чтобы клиенты в каждом офисе использовали собственный прокси на площадке. Вы создали политику назначения прокси в домене (на всех клиентах будет указано proxy.winitpro.ru). Но клиент из каждого офиса должен резолвить этот адрес по-разному, чтобы использовать для доступа свой локальный прокси-сервер.
Я создал 3 подсети для разных офисов компании:
Add-DnsServerClientSubnet -Name «MSK_DNS_Subnet» -IPv4Subnet «192.168.1.0/24»
Add-DnsServerClientSubnet -Name «EKB_DNS_Subnet» -IPv4Subnet «192.168.11.0/24»
Add-DnsServerClientSubnet -Name «SPB_DNS_Subnet» -IPv4Subnet «192.168.21.0/24»
Чтобы вывести список всех IP подсетей клиентов, выполните:
Теперь нужно для каждого офиса создать отдельную DNS область:
Add-DnsServerZoneScope -ZoneName “winitpro.ru” -Name “MSKZoneScope”
Add-DnsServerZoneScope -ZoneName “winitpro.ru” -Name “EKBZoneScope”
Add-DnsServerZoneScope -ZoneName “winitpro.ru” -Name “SPBZoneScope”
Следующие команды добавят 3 DNS записи с одним именем, но указывающие на разные IP адреса в разных областях DNS:
Add-DnsServerResourceRecord -ZoneName “winitpro.ru” -A -Name “proxy” -IPv4Address “192.168.1.10” -ZoneScope “MSKZoneScope”
Add-DnsServerResourceRecord -ZoneName “winitpro.ru” -A -Name “proxy” -IPv4Address “192.168.11.10” -ZoneScope “EKBZoneScope”
Add-DnsServerResourceRecord -ZoneName “winitpro.ru” -A -Name “proxy” -IPv4Address “192.168.21.10” -ZoneScope “SPBZoneScope”
Get-DnsServerResourceRecord -ZoneName “winitpro.ru” -ZoneScope SPBZoneScope
Теперь нужно создать DNS политики, которые свяжут IP подсети, DNS области и A записи.
Add-DnsServerQueryResolutionPolicy -Name “MSKResolutionPolicy” -Action ALLOW -ClientSubnet “eq,MSK_DNS_Subnet” -ZoneScope “MSKZoneScope,1” -ZoneName “winitpro.ru” –PassThru
Add-DnsServerQueryResolutionPolicy -Name “EKBResolutionPolicy” -Action ALLOW -ClientSubnet “eq,EKB_DNS_Subnet” -ZoneScope “EKBZoneScope,1” -ZoneName “winitpro.ru” -PassThru
Add-DnsServerQueryResolutionPolicy -Name “SPBResolutionPolicy” -Action ALLOW -ClientSubnet “eq,SPB_DNS_Subnet” -ZoneScope “SPBZoneScope,1” -ZoneName “winitpro.ru” –PassThru
- -Action ALLOW
- -Action DENY
- -Action IGNORE
Можно использовать следующие параметры в фильтре DNS:
-InternetProtocol «EQ,IPv4,NE,IPv6»
-TransportProtocol «EQ,UDP,TCP»
-ServerInterfaceIP «EQ,192.168.1.21»
-QType «EQ,A,AAAA,NE,PTR»
-TimeOfDay «EQ,9:00-18:00»
Вывести список всех DNS политик для DNS зоны на сервере можно так:
Get-DnsServerQueryResolutionPolicy -ZoneName winitpro.ru
Теперь с устройств из различных офисов проверьте, что DNS сервер на один и тот же запрос возвращает различные IP адреса прокси:
Можно запретить DNS серверу возвращать DNS адреса для определенного пространства имен (домена):
Add-DnsServerQueryResolutionPolicy -Name ‘BlockFidhingPolicy’ -Action IGNORE -FQDN «EQ,*.cberbank.ru»
Предыдущая статья Следующая статья 
DNS Сервера
Один и тот же сервер может быть настроен на работу в кэширующем и в перенаправляющем режимах.
Кэширующий DNS сервер
Кэширующий (caching) DNS-сервер работает, выполняя все DNS-запросы, выполняемые вашей системой, а затем сохраняя или кэшируя результаты в памяти.
Как только результаты будут кэшироваться в памяти каждый раз, когда вы делаете дублирующий запрос для домена, результат будет почти мгновенно обработан из памяти.
Это может показаться не слишком важным, но если DNS-серверы вашего провайдера не торопятся с ответом, это значительно замедлит ваш просмотр Интернета.
Например, для правильной загрузки домашней страницы новостного канала MSNBC в США необходимо связаться с более чем 100 уникальными доменными именами.
Если серверы имен вашего провайдера отвечают даже на 10 секунд дольше, чем обычно, это означает, что загрузка страницы займет на 10 секунд больше времени.
Локальный кэширующий DNS-сервер поможет не только в вашем доме или офисе, но и на вашем сервере. Если у вас есть приложение, которое выполняет множество поисков DNS, например, загруженный почтовый сервер, на котором работает программное обеспечение для защиты от нежелательной почты, оно получит повышение скорости от локального кэширующего DNS-сервера.
Наконец, systemd-resolved поддерживает самые последние, безопасные стандарты DNS DNSSEC и DNSoverTLS или DoT. Это помогает обеспечить вашу безопасность и сохранить вашу конфиденциальность в Интернете.
Перенаправление DNS повышает производительность, балансирует нагрузку и делает вашу сеть более устойчивой.
Это обеспечивает способ передачи пространств имен или записей ресурсов, которые не содержатся в зоне сервера локальной системы доменных имен (DNS), на удаленный DNS-сервер для разрешения запросов имен как внутри, так и за пределами сети.
Есть два метода, которые мы обсудим: перенаправление (Forwarding) и условное перенаправление (Conditional Forwarding).
Чтобы понять преимущества условного перенаправления, мы должны сначала понять, как работает обычное перенаправление.
Перенаправляющий сервер
В простом примере перенаправляющий сервер DNS отправляет запросы имен внешних доменов на удаленные DNS-серверы за пределами своей локальной сети для разрешения.
Внутренние запросы имен обрабатываются внутренним DNS-сервером
Если на DNS-сервере нет отправителя, указанного для имени, указанного в запросе, он может попытаться разрешить запрос с помощью стандартной рекурсии с использованием файла root hints
Существует два типа запросов DNS-имен: рекурсивные и итеративные.
Хотя как переадресация DNS, так и условная переадресация DNS выполняются в соответствии с описанными выше общими шагами, каждый из них немного отличается.
Рекурсивный запрос имени
Переадресованные запросы отправляются в рекурсивном виде.
В этом случае DNS-клиент требует, чтобы DNS-сервер ответил клиенту либо запрошенной записью ресурса, либо сообщением об ошибке, в котором указывается, что запись или доменное имя не существуют.
DNS-сервер не может просто перенаправить DNS-клиента на другой DNS-сервер.
Рекурсивные запросы имен выполняются быстрее, чем итеративные запросы имен
Итеративный запрос имени
DNS-клиент позволяет DNS-серверу возвращать наилучший ответ, который он может дать на основе данных своего кэша или зоны.
DNS-сервер, настроенный на использование пересылки, будет вести себя иначе, чем DNS-сервер, не настроенный на использование пересылки.
Вот как работает DNS-сервер при использовании переадресации
- Когда DNS-сервер получает запрос имени, он пытается разрешить этот запрос, используя свои первичные зоны, вторичные зоны и, наконец, свой кэш в таком порядке.
- Если запрос имени не может быть разрешен с использованием данных локальной зоны или кэша, он перенаправит запрос на DNS-сервер, назначенный в качестве переадресатора.
Условное перенаправление
Условное перенаправление (Conditional Forwarding) позволяет улучшить разрешение имен между внутренними (частными) пространствами имен DNS, которые не являются частью пространства имен DNS Интернета. Например, полученные в результате слияния компаний
Сервер условной пересылки dns для чего
Чуток поработаю переводчиком. Если есть неточности или ошибки — укажите. Оригинал здесь.
Разница между stub zones и conditional forwarders
Существует некое недопонимание в каком случае использовать conditional forwarders, а в каком stub zones, из-за того что оба варианта позволяют ответить на DNS-запрос ссылкой или перенаправить запрос на другой сервер DNS. Однако, эти настройки используются в совершенно различных целях. Использование этих возможностей позволяет:
- Настройка Сonditional forwarder позволяет DNS-серверу переслать полученный запрос на другой DNS-сервер, в соответствии с DNS-именем, указанным в запросе.
- Stub zone позволяет DNS-серверу, который хранит родительскую зону, контролировать список DNS-серверов, которые будут авторитетны для дочерней зоны.
Conditional forwarders
В ситуации, когда вы хотите, чтобы клиенты, находящиеся в разных сетях, могли разрешать имена друг-друга без осуществления запроса к DNS-серверам в Интернете (например, в случае слияния компаний), вы можете настроить сервера DNS в каждой из сетей для адресного перенаправления запросов, относящихся к именам партнерской сети. Сервера DNS в одной сети перенаправляют запрос на определенный сервер другой сети, пополняя собственный кэш после получения ответа. В случае такого перенаправления вы создаете прямую связь между DNS-серверами двух сетей, сокращая нужду в выполнении рекурсивных запросов.
Stub zone не обеспечивают подобного преимущества, так как сервер DNS, содержащий stub zone для некой сети, отвечает на запросы списком всех авторитетных серверов этой зоны, а не ссылкой на один определенный сервер DNS, который должен обрабатывать трафик. Это усложняет обеспечение безопасности при организации взаимодействия между серверами DNS разных сетей. Для дополнительной информации см. Understanding forwarders.
Stub zones
Stub zone используются когда вы хотите чтобы DNS-сервер, содержащий родительскую зону, всегда оставался в курсе того, какие сервера являются авторитетными для одной из его дочерних зон. Если stub zone дочерней зоны содержится на том же сервере DNS, что и родительская, то этот сервер DNS будет получать список всех новых, авторитетных для дочерней зоны серверов, если они обновятся на основном сервере дочерней зоны. Такой метод позволяет DNS-серверу, содержащему родительскую зону, поддерживать актуальный список серверов, авторитетных для дочерней зоны, при их добавлении или удалении.
В свою очередь, использование на DNS-сервере с родительской зоной conditional forwarder’а для дочерней зоны не позволяет настолько же эффективно достичь той же цели. При использовании такого метода каждый раз, когда меняются DNS-серверы, авторитетные за дочернюю зону, необходимо вручную изменить их IP-адреса в настройках conditional forwarder на сервере с родительской зоной. Для дополнительной информации см. Understanding stub zones.
Настройка условной пересылки
Если у вас несколько внутренних доменов, вам стоит подумать о настройке условной пересылки. Она позволяет направлять запросы конкретных доменов для разрешения на конкретные DNS-серверы. Условная пересылка полезна, если в вашей организации есть несколько внутренних доменов и вам требуется разрешать запросы между ними.
Чтобы настроить условную пересылку, выполните следующие действия:
1. В консоли Диспетчер DNS (DNS Manager) щелкните правой кнопкой папку Серверы условной пересылки (Conditional Forwarders) нужного вам сервера. В контекстном меню выберите команду Создать условную пересылку (Conditional Forwarder).
2. В диалоговом окне Создать сервер условной пересылки (New Conditional Forwarder) введите имя домена, в который следует пересылать запросы, например, logi.cc.
3. Щелкните список ІР-адрес (IP Address), введите ІР-адрес полномочного DNS-сервера в указанном домене и нажмите Enter. Повторите процесс, чтобы указать дополнительные ІР-адреса.
4. При использовании интеграции DNS с Active Directory установите флажок Сохранять условную пересылку в Active Directory (Store This Conditional Forwarder In Active Directory) и выберите одну из следующих стратегий репликации.
• Все DNS-серверы в этом лесу (All DNS Servers In This Forest) Это обширнейшая стратегия репликации. Помните, что лес Active Directory включает все деревья доменов, использующие данные каталога совместно с текущим доменом.
• Все DNS-серверы в этом домене (All DNS Servers In This Domain) Выберите эту стратегию, чтобы реплицировать информацию DNS внутри текущего домена и его дочерних доменов.
• Все контроллеры домена в этом домене (All Domain Controllers In This Domain) Выберите эту стратегию, если хотите реплицировать информацию DNS на все контроллеры домена внутри текущего домена и его дочерних доменов. Хотя эта стратегия обеспечивает более широкую репликацию информации DNS внутри домена, не каждый контролер домена является DNS-сервером (вам и не нужно настраивать каждый контроллер домена как DNS-сервер).
5. Задайте время ожидания пересылки, то есть, время, в течение которого сервер пытается запросить сервер пересылки в случае отсутствия ответа. По истечении времени ожидания сервер пытается запросить следующий полномочный сервер из списка. Стандартное время ожидания составляет пять секунд. Щелкните ОК.
6. Повторите процедуру, чтобы настроить условную пересылку для других доменов.