neue DNS-Zone mit Weiterleitung an externes DNS

Ich habe DNS- und Forward-Lookup-Zonen gelesen, aber dort habe ich nicht geantwortet.

Ich habe Microsoft Domain mit Active Directory-Server und DNS-Server für den internen Gebrauch. Meine lokale Domain heißt example.local und wird von diesem Server verwaltet. Ich muss in der Lage sein, lokal example.com hinzuzufügen (das von einem externen öffentlichen DNS-Server wie GoDaddy verwaltet wird), aber ich brauche den lokalen DNS-Server, um die Suche im Falle eines nicht vorhandenen Datensatzes weiterzuleiten.

Zum Beispiel: Auf dem öffentlichen DNS-Server habe ich www.example.com -> 1.2.3.4

Auf dem lokalen DNS habe ich mail.example.com -> 2.3.4.5

Jetzt muss ich in der Lage sein, sowohl www als auch mail.example.com von intern nachzuschlagen (es ist natürlich in Ordnung, nur www von extern nachzuschlagen), aber ich möchte es nicht überschreiben, ich möchte nur mail.example einfügen .com auf dem lokalen und dass der DNS-Server es an den ISP DNS weiterleitet.

Ist es möglich?

Vielen Dank.

domain-name-system active-directory forwarding gabi
quelle

Antworten:

Würde so etwas für Sie funktionieren:

Geben Sie hier die Bildbeschreibung ein

Dusan Bajic
quelle

Oh, ausgezeichnete Idee! Ich werde es versuchen.

Gabi

Haftungsausschluss: Ich würde dies niemals in meiner Umgebung tun.

Dusan Bajic

Ja, ich brauche es nur für 1 A Rekord

gabi

Ich weiß, dass dies eine alte Frage / Antwort ist, aber falls jemand dies kann, ist es möglich zu verstehen, warum dies nicht empfohlen wird? (Abgesehen von anderen Servern kann man dann auch nicht extern nur mit dieser Adresse kommunizieren).

Medoix

Daran ist technisch nichts auszusetzen, aber wenn Sie es routinemäßig tun, kann es sehr schwierig sein, es zu warten.

Dusan Bajic

Ich hoffe, ich habe die Frage verstanden, aber ich werde zwei Szenarien für alle Fälle einschließen:

SZENARIO 1 - Sie möchten ungelöste Anfragen extern weiterleiten

Dies ist einfach. Sie können entweder die Standardeinstellung beibehalten, um ungelöste DNS-Lookups an die Root-Hinweisserver weiterzuleiten. Oder Sie können im DNS-Admin-Tool zur ForwardersRegisterkarte in PropertiesIhrem DNS-Server wechseln. Legen Sie den entsprechenden externen FQDN oder die IP-Adresse des externen DNS-Servers fest, den Sie für weitergeleitete Suchvorgänge verwenden möchten (Sie können beispielsweise den DNS-Server Ihres Internetdienstanbieters oder 8.8.8.8 verwenden, den öffentlichen DNS-Server von Google).

SZENARIO 2 - Sie möchten Namen wie mail.example.com lokal auflösen

Wenn Sie Namen, die normalerweise extern vorhanden sind, in interne IP-Adressen auflösen möchten, z. B. Ihren Mailserver, den Sie intern hosten, können Sie autorisierende DNS-Forward-Lookupzonen für diesen Domainnamen erstellen (example.com). Fügen Sie dann ALLE erforderlichen A-Einträge wie MAIL, WWW, FTP usw. hinzu und setzen Sie ihre IPs entweder auf ihre internen oder auf ihre externen IP-Adressen (wenn sie nicht lokal gehostet werden). Sie müssten alle A-Einträge wie das WWW einschließen, auf die interne Benutzer über DNS-FQDN zugreifen können sollen, da die lokalen DNS-Server, sobald sie für diesen Domänennamen autorisiert sind, nicht mehr an nicht aufgelöste Hostnamen extern weitergeleitet werden dieser Punkt.

Der Reiniger
quelle

In Szenario 2 sagen Sie, Sie sollen eine neue lokale Zone erstellen und alle meine A-Datensätze darin ablegen, oder? wie das externe DNS überschreiben. In Szenario 1 sagen Sie, dass Sie tun sollen, was ich brauche (glaube ich), aber heute habe ich bereits Vorwärtsbewegungen - heute habe ich keine example.com-Zone, sodass alle meine example.com-Datensätze vorwärts zu meinem ISP suchen. Das Problem ist, dass ich meinem DNS-Server eine neue Zone (example.com) hinzufüge. Ich werde nicht an das externe DNS weitergeleitet. Es wird immer wieder gesagt, dass der Eintrag nicht gefunden wurde.

gabi

Szenario 2 würde "funktionieren", aber meiner Meinung nach ist es ein Missbrauch von DNS, da es interne Benutzer daran hindert, auf den tatsächlich autorisierenden DNS-Server (dh den externen) für example.com zuzugreifen.

Ryan Ries

Das Problem ist, dass ich von intern und extern auf unterschiedliche IP-Adressen zugreifen muss. Beispielsweise müssen die Benutzer im Büro als 1.2.3.4 zu demo.example.com und externe Benutzer im Internet zu demo.example gehen .com bis 20.30.40.50 ... Gibt es eine Möglichkeit, dies neben dem Überschreiben der DNS-Domäne zu tun (und den zukünftigen Datensatz zweimal hinzuzufügen, einen für die Welt und einen für meinen internen). Vielen Dank.

Gabi

Ich kenne keinen anderen Weg @gabi als das interne und externe Duplizieren von Zonen (Szenario 2). Eine mögliche Alternative, die besser sein könnte, wäre, interne Benutzer stattdessen auf den internen FQDN wie mail.example.local zu verweisen.

TheCleaner

Vielleicht könnten Sie mit Bind-Ansichten etwas Funky machen, aber nicht mit Microsoft DNS. Bei Microsoft DNS ist ein Server entweder für eine Zone autorisierend oder nicht. Es gibt kein "semi-autoritativ".

Sie können eine bedingte Weiterleitung für example.com einrichten, um alle Abfragen für example.com an die angegebenen Nameserver weiterzuleiten . Sie können eine Stubzone für example.com einrichten, um alle Abfragen für example.com an die angegebenen Nameserver weiterzuleiten . Aber nicht so, wovon du sprichst. Wenn Sie auf Ihrem internen DNS-Server eine Forward-Lookupzone für example.com einrichten, gibt Ihr DNS einfach NXDOMAIN für jede Abfrage für * .example.com zurück, die sich nicht in Ihrer Lookupzone befindet.

Mein grundlegender Rat wäre (vorausgesetzt, Sie besitzen example.com), Ihr internes Active Directory als Subdomain von example.com zu benennen, wie z. B. corp.example.com. Dann sollten Ihre internen Clients so konfiguriert sein, dass sie nach mail.corp.example.com suchen, wenn sie den internen Mailserver verwenden möchten, und mail.example.com, wenn sie den externen Mailserver verwenden möchten.

Ryan Ries
quelle

Was ist das NXDOMAIN? Kann ich damit einen anderen bestimmten DNS-Server nach den Einträgen fragen?

Gabi

NXDOMAIN ist der Antwortcode, den DNS-Server an den Client zurückgeben, wenn in einer Zone, für die dieser DNS-Server angeblich autorisierend ist, kein Eintrag gefunden wird. (Wenn Sie für eine Zone autorisierend sind, gibt es keine höheren DNS-Server in der Hierarchie, an die die Abfrage weitergeleitet werden kann.)

Ryan Ries