DNS
Сервер DNS преобразует человеко-читаемые имена серверов в IP-адреса. В состав Ideco UTM входит DNS-сервер, не требующий дополнительной настройки в большинстве случаев.
Last updated
Сервер DNS преобразует человеко-читаемые имена серверов в IP-адреса. В состав Ideco UTM входит DNS-сервер, не требующий дополнительной настройки в большинстве случаев.
Last updated
Название службы раздела DNS: ideco-unbound; ideco-dns-backend; nsd.
Список служб для других разделов доступен по ссылке.
Настройка производится в разделе Сервер -> DNS в следующих вкладках:
Внешние DNS-серверы - позволяют указать DNS-серверы во внешних сетях, через которые будут разрешаться доменные имена, запрашиваемые из локальных сетей.
Forward-зоны - позволяют указать сторонние DNS-серверы (в локальных или внешних сетях относительно UTM) с указанием конкретных DNS-зон, которые эти сервера обслуживают. Перечисленные возможности DNS-сервера могут использоваться одновременно.
Master-зоны - позволяют настроить полнофункциональный DNS-сервер, разрешающий имена в IP-адреса сетевых устройств в локальной сети.
Для корректной работы резолвинга имён через Ideco UTM указывать DNS-серверы в этом разделе не требуется.
Если DNS-сервера не указаны, то сервер будет разрешать имена в сети Интернет, используя корневые DNS-серверы в интернете.
Данная конфигурация работать не будет, если вышестоящий роутер перехватывает DNS-запросы. В этом случае рекомендуем:
указать DNS-серверы вручную (нажмите Добавить -> Задать вручную и укажите IP-адрес DNS-сервера);
использовать опцию Использовать DNS, выданные подключению, указав нужное подключение;
использовать NextDNS.
1. DNS-сервер встроенный в Ideco UTM — кеширующий. Рекомендуется использовать его в качестве DNS-сервера для локальной сети.
2. Не указывайте 8.8.8.8, 1.1.1.1 или подобные без особой необходимости. Ideco UTM справится с резолвингом самостоятельно.
3. Не указывайте DNS-сервера от внутреннего сервера Active Directory, даже если он может самостоятельно резолвить доменные имена в интернете. При интеграции с AD Ideco UTM автоматически настроит всё необходимое (forward-зону) для работы AD и резолвинга внутренних имён вашего домена. Для резолвинга каких-то особых зон не связанных с AD создавайте forward-зону.
4. Не рекомендуем использовать DNS, выданные интернет-провайдером, так как они превышают TTL и долго отвечают. Ideco UTM настроит автоматически всё необходимое для подключения к PPTP/L2TP через доменное имя. Если нужна особая внутренняя доменная зона провайдера, то создавайте forward-зону.
5. Можно указывать DNS-сервера занимающиеся фильтрацией, если это необходимо (SkyDNS или Яндекс-DNS).
6. Если все DNS-сервера отключены или удалены, то DNS будет работать нормально (Ideco UTM резолвит имена самостоятельно).
7. Если интернет-провайдер или вышестоящее устройство перехватывает DNS запросы, то использование стандартной конфигурации с корневыми серверами невозможно. Рекомендуем задать сервера вручную или использовать DNS сервера выданные подключению.
Включение перехвата пользовательских DNS-запросов блокирует использование DNS-over-TLS (DoT), DNS-over-QUIC (DoQ) и DNS-over-HTTPS (DoH).
Если на рабочей станции пользователя указаны сторонние DNS-сервера (например с целью обхода блокировок), включите опцию Перехват пользовательских DNS-запросов в разделе Внешние DNS-серверы.
Опция включается глобально для всех хостов в локальной сети для избежания возможной подмены адреса ресурса при резолвинге его домена. Также перехват позволит контролировать процесс резолвинга доменных имен в Интернет исключительно средствами UTM. Запрос будет перенаправлен на DNS-сервер UTM и он же сформирует ответ (вместо исходного DNS-сервера).
Перехват DNS-запросов также блокирует возможность туннелирования через DNS (DNS-tunneling) и блокирует использование DNS-over-TLS
При резолвинге через DNS сервер UTM будут возвращать адреса поисковых систем с включенной фильтрацией неподобающего контента.
Позволяет задать DNS-сервер для разрешения имен конкретной DNS-зоны. Указав доступный в сети DNS-сервер и обслуживаемую зону, клиенты сети Ideco UTM получают возможность обращаться к ресурсам этой зоны по именам домена.
Например, IT-отдел предприятия предоставляет ресурсы для сотрудников в зоне in.metacortex.ru под именами realm1.in.metacortex.ru, sandbox.metacortex.ru и использует для этого DNS-сервер 10.10.10.10.
Для возможности доступа к этим ресурсам по доменным именам укажите forward-зону провайдера, как isp, и далее задайте DNS-сервер 10.10.10.10:
Master-зоны позволят использовать UTM, как сервер имен внутри сетевой инфраструктуры, для обращения к IP-адресам хостов в сети по доменным именам.
DNS-сервер в Ideco UTM не доступен извне по соображениям безопасности. Для поддержки внешних DNS-зон, рекомендуем использовать сторонние DNS-хостинги.
Не используйте master-зоны для блокировки доступа к сайтам, для этого есть другие средства. Блокировка таким способом работает неэффективно и не позволяет выборочно запрещать доступ по пользователям или подсетям. Также приводит к проблемам с излишним кешированием.
Формат записей для настройки master-зоны соответствует формату записей DNS-сервера BIND.
Пример записи приведен на скриншоте ниже:
Несколько примеров записей в master-зону:
Имя зоны: ms
Имя зоны: example.com
