v13

DNS

Сервер DNS преобразует человеко-читаемые имена серверов в IP-адреса. В состав Ideco UTM входит DNS-сервер, не требующий дополнительной настройки в большинстве случаев.

Название службы раздела DNS: ideco-unbound; ideco-dns-backend; nsd. Список служб для других разделов доступен по ссылке.

Настройка производится в разделе Сервер -> DNS в следующих вкладках:

Внешние DNS-серверы - позволяют указать DNS-серверы во внешних сетях, через которые будут разрешаться доменные имена, запрашиваемые из локальных сетей.

Forward-зоны - позволяют указать сторонние DNS-серверы (в локальных или внешних сетях относительно UTM) с указанием конкретных DNS-зон, которые эти сервера обслуживают. Перечисленные возможности DNS-сервера могут использоваться одновременно.

Master-зоны - позволяют настроить полнофункциональный DNS-сервер, разрешающий имена в IP-адреса сетевых устройств в локальной сети.

Внешние DNS-серверы

Для корректной работы резолвинга имён через Ideco UTM указывать DNS-серверы в этом разделе не требуется.

Если DNS-сервера не указаны, то сервер будет разрешать имена в сети Интернет, используя корневые DNS-серверы в интернете.

Данная конфигурация работать не будет, если вышестоящий роутер перехватывает DNS-запросы. В этом случае рекомендуем:

  • указать DNS-серверы вручную (нажмите Добавить -> Задать вручную и укажите IP-адрес DNS-сервера);

  • использовать опцию Использовать DNS, выданные подключению, указав нужное подключение;

  • использовать NextDNS.

Рекомендации:

1. DNS-сервер встроенный в Ideco UTM — кеширующий. Рекомендуется использовать его в качестве DNS-сервера для локальной сети.

2. Не указывайте 8.8.8.8, 1.1.1.1 или подобные без особой необходимости. Ideco UTM справится с резолвингом самостоятельно.

3. Не указывайте DNS-сервера от внутреннего сервера Active Directory, даже если он может самостоятельно резолвить доменные имена в интернете. При интеграции с AD Ideco UTM автоматически настроит всё необходимое (forward-зону) для работы AD и резолвинга внутренних имён вашего домена. Для резолвинга каких-то особых зон не связанных с AD создавайте forward-зону.

4. Не рекомендуем использовать DNS, выданные интернет-провайдером, так как они превышают TTL и долго отвечают. Ideco UTM настроит автоматически всё необходимое для подключения к PPTP/L2TP через доменное имя. Если нужна особая внутренняя доменная зона провайдера, то создавайте forward-зону.

5. Можно указывать DNS-сервера занимающиеся фильтрацией, если это необходимо (SkyDNS или Яндекс-DNS).

6. Если все DNS-сервера отключены или удалены, то DNS будет работать нормально (Ideco UTM резолвит имена самостоятельно).

7. Если интернет-провайдер или вышестоящее устройство перехватывает DNS запросы, то использование стандартной конфигурации с корневыми серверами невозможно. Рекомендуем задать сервера вручную или использовать DNS сервера выданные подключению.

Перехват DNS-запросов

Включение перехвата пользовательских DNS-запросов блокирует использование DNS-over-TLS (DoT), DNS-over-QUIC (DoQ) и DNS-over-HTTPS (DoH).

Если на рабочей станции пользователя указаны сторонние DNS-сервера (например с целью обхода блокировок), включите опцию Перехват пользовательских DNS-запросов в разделе Внешние DNS-серверы.

Опция включается глобально для всех хостов в локальной сети для избежания возможной подмены адреса ресурса при резолвинге его домена. Также перехват позволит контролировать процесс резолвинга доменных имен в Интернет исключительно средствами UTM. Запрос будет перенаправлен на DNS-сервер UTM и он же сформирует ответ (вместо исходного DNS-сервера).

Перехват DNS-запросов также блокирует возможность туннелирования через DNS (DNS-tunneling) и блокирует использование DNS-over-TLS

Сторонние DNS-сервера, для дополнительной фильтрации трафика

  • SkyDNS 193.58.251.251;

  • Yandex DNS 77.88.8.88, 77.88.8.2;

  • Google DNS 8.8.8.8, 8.8.4.4;

  • Open DNS 208.67.222.222, 208.67.220.220, 208.67.222.220, 208.67.220.222;

  • Cloudflare DNS 1.1.1.1, 1.0.0.1.

Безопасный поиск

При резолвинге через DNS сервер UTM будут возвращать адреса поисковых систем с включенной фильтрацией неподобающего контента.

Forward-зоны

Позволяет задать DNS-сервер для разрешения имен конкретной DNS-зоны. Указав доступный в сети DNS-сервер и обслуживаемую зону, клиенты сети Ideco UTM получают возможность обращаться к ресурсам этой зоны по именам домена.

Например, IT-отдел предприятия предоставляет ресурсы для сотрудников в зоне in.metacortex.ru под именами realm1.in.metacortex.ru, sandbox.metacortex.ru и использует для этого DNS-сервер 10.10.10.10. Для возможности доступа к этим ресурсам по доменным именам укажите forward-зону провайдера, как isp, и далее задайте DNS-сервер 10.10.10.10:

Master-зоны

Master-зоны позволят использовать UTM, как сервер имен внутри сетевой инфраструктуры, для обращения к IP-адресам хостов в сети по доменным именам.

DNS-сервер в Ideco UTM не доступен извне по соображениям безопасности. Для поддержки внешних DNS-зон, рекомендуем использовать сторонние DNS-хостинги.

Не используйте master-зоны для блокировки доступа к сайтам, для этого есть другие средства. Блокировка таким способом работает неэффективно и не позволяет выборочно запрещать доступ по пользователям или подсетям. Также приводит к проблемам с излишним кешированием.

Формат записей для настройки master-зоны соответствует формату записей DNS-сервера BIND.

Описание параметров записи

  • $TTL - определяет время кеширования положительных ответов (ответ в виде найденного IP-адреса). Время задается в секундах или с помощью сокращений: m — минуты, h — часы, d — дни, w — недели;

  • $ORIGIN - определяет текущее имя домена. Текущее значение $ORIGIN заменяет символ @ в записи. Текущее значение $ORIGIN добавляется к любому имени, которое не заканчивается на «точку»;

  • $SOA - описывает основные/начальные настройки зоны, или определяет зону ответственности данного сервера. Для каждой зоны должна существовать только одна запись SOA и она должна быть первая. В записи $SOA указывается primary NS для домена и e-mail контактного лица и далее в скобках:

    1. Serial - Серийный номер файла зоны. При изменении данных нужно менять серийный номер, при этом зона обновляется на всех серверах. Используйте следующий формат: ГГГГММДДнн (год, месяц, день, нн — порядковый номер изменения за день). Если вы уже второй раз за день вносите изменения в файл зоны, укажите "нн" равным 01, если третий — 02, и т.д.;

    2. Refresh - указывает, как часто вторичные серверы должны опрашивать первичный, чтобы узнать, не увеличился ли серийный номер зоны;

    3. Retry - время ожидания после неудачной попытки опроса;

    4. Expiry - максимальное время, в течение которого вторичный сервер может использовать информацию о полученной зоне;

    5. TTL - минимальное время, в течение которого данные остаются в кэше вторичного сервера.

  • $SRV - указывают на сервера, обеспечивающие работу тех или иных служб в данном домене (например Jabber и Active Directory);

  • $NS - DNS-сервер, обслуживающий данный домен. Минимально их необходимо два, причем они должны находится в разных подсетях, а лучше — в географически разных местах. Первым указывайте primary сервер;

  • $PTR - отображает IP-адрес в доменное имя;

  • $MX - описывает почтовые шлюзы (обычно один), на которые будет доставляться вся почта этого домена. Для каждого шлюза устанавливается приоритет (по умолчанию — 10). Обычно имя домена почтового шлюза выглядит так: mx.example.com. Для MX хостов должны быть соответствующие A-записи;

  • $A - отображают имя хоста (доменное имя) на адрес IPv4. Для каждого сетевого интерфейса машины должна быть сделана одна A-запись;

  • $AAAA - аналогична записи A, но для IPv6;

  • $CNAME - отображает алиас на реальное имя (для перенаправления на другое имя).

Со всеми ресурсными записями можно ознакомиться по ссылке.

Пример записи приведен на скриншоте ниже:

Несколько примеров записей в master-зону:

  1. Имя зоны: ms

    $ORIGIN ms. 
$TTL 600 
@ SOA ns1.ms. administrator.ms. ( 4 7200 3600 1209600 600 ) 
@ NS ns1.ms. 
@ MX 10 mx10.ms. 
@ A 192.168.0.250 
ns1 A 192.168.0.250 
mx10 A 192.168.0.250 
www CNAME @

  2. Имя зоны: example.com

    $TTL 86400
 @ SOA localhost. root.localhost. ( 991079290 28800 14400 3600000 86400 )
 @ NS my-dns-server.example.com.
my-dns-server A 1.2.3.4
PreviousОбратный проксиNextNextDNS

Last updated