Master-зоны позволяют использовать Ideco NGFW как сервер имен и переводить IP-адреса в доменные имена внутри сети.
DNS-сервер в Ideco NGFW недоступен извне в целях безопасности. Для поддержки внешних DNS-зон рекомендуем использовать сторонние DNS-хостинги.
Формат записей
Формат записей для настройки Master-зоны соответствует формату записей DNS-сервера BIND.
Описание параметров записи
TTL - определяет время кеширования положительных ответов (например, найденного IP-адреса). Задается в секундах или с помощью сокращений: m (минуты), h (часы), d (дни), w (недели).
ORIGIN - определяет текущее доменное имя. Значение ORIGIN заменяет символ @ в записях, а также автоматически добавляется к любому имени, не заканчивающемуся точкой (.).
SOA - описывает начальные параметры зоны и определяет зону ответственности сервера. Для каждой зоны допустима только одна запись SOA. Включает primary NS-сервер домена и email администратора (с заменой @ на ., например: admin.example.com). Включает:
Serial - серийный номер зоны. Должен увеличиваться при любых изменениях, чтобы вторичные серверы обновили данные. Рекомендуемый формат: YYYYMMDDnn (год, месяц, день + двузначный номер изменения, начиная с 00). Например, первое изменение 15 мая 2025 года будет 2025051500, следующее в тот же день - 2025051501.
Refresh - как часто вторичные серверы должны проверять первичный на наличие обновлений.
Retry - интервал между повторными попытками при неудачном обновлении.
Expiry - срок, после которого вторичный сервер прекратит использовать данные зоны, если не сможет обновиться.
TTL - минимальное время кеширования для вторичных серверов.
SRV - указывает серверы, ответственные за определенные службы в домене (например, Jabber, Active Directory, SIP). Формат: _служба._протокол.домен.
NS - указывает авторитетные DNS-серверы для домена. Для каждой NS-записи обязательно должны существовать сопоставимые A или AAAA-записи.
PTR - преобразует IP-адрес в доменное имя (reverse DNS). Используется, например, для проверки почтовых серверов.
MX - указывает почтовые серверы для домена. Формат: Приоритет Сервер (например, 10 mx.example.com). Для каждого MX обязательна A или AAAA-запись.
A - сопоставляет доменное имя с IPv4-адресом (например, 192.0.2.1). Для каждого интерфейса требуется отдельная запись.
AAAA - аналогична A, но для IPv6 (например, 2001:db8::1).
CNAME - задает алиас (псевдоним) для другого доменного имени. Для алиаса не должно быть других записей (например, MX или TXT).
Со всеми ресурсными записями можно ознакомиться по .
Пример записей:
Примеры записей в мастер-зону:
1. Имя зоны: ms
$ORIGIN ms.
$TTL 600
@ SOA ns1.ms. administrator.ms. ( 4 7200 3600 1209600 600 )
@ NS ns1.ms.
@ MX 10 mx10.ms.
@ A 192.168.0.250
ns1 A 192.168.0.250
mx10 A 192.168.0.250
www CNAME @
2. Имя зоны: example.com
$TTL 86400
@ SOA localhost. root.localhost. ( 2024120713 28800 14400 3600000 86400 )
@ NS my-dns-server.example.com.
my-dns-server A 1.2.3.4
Работа с IDN-доменами
IDN-домен - домен, составленный из национальных символов алфавита. Например, дневник.ру. Для корректной работы Master-зон с IDN-доменами выполните действия:
2. При создании содержимого Master-зоны используйте преобразованное в формат Punycode доменное имя.
Обратная Master-зона
Обратная Master-зона используется для распознавания домена по IP-адресу.
Статические Master-зоны требуют ручного создания PTR-записей, динамические - генерируют их автоматически. Пример обратной Master-зоны:
Имя зоны: 168.192.in-addr.arpa
Доменная зона соответствует IP-адресу 192.168.0.0/16. В содержимом зоны указаны три PTR-записи:
$TTL 1h ; 3600 seconds
$ORIGIN 168.192.in-addr.arpa.
@ IN SOA ns1.example.com. hostmaster.example.com. (
2024120701 ; serial number
3h ; refresh
15m ; retry
3w ; expire
1h ; minimum TTL
)
IN NS ns1.example.com.
5.110 IN PTR example2.test.
7.110 IN PTR example3.test.
9.110 IN PTR example4.test.
1. Преобразуйте IDN-домены в формат Punycode. Подробнее в .
Не используйте Master-зоны для блокировки доступа к сайтам, для этого есть другие .
Блокировка таким способом работает неэффективно и не позволяет выборочно запрещать доступ по пользователям или подсетям. Также приводит к проблемам с излишним кешированием.
