Переадресация DNS помогает ускорить работу сети, и ее следует применять, если пользователи запрашивают ваше доменное имя, но их DNS-сервер не может найти соответствующий IP-адрес в кэше. Компании с обширными пространствами имен часто используют этот процесс.

Продолжайте читать блог, чтобы узнать, что такое переадресация DNS и как она используется для внешних и внутренних адресов.

Что такое переадресация DNS?

Переадресация DNS - это процесс, в котором другой назначенный сервер (корневой сервер подсказок) обрабатывает неразрешимые адреса или DNS-запросы, поскольку первоначально обратившийся сервер не имеет ответа. Как правило, всем серверам, предназначенным для преобразования доменных имен в IP-адреса, назначается определенный переадресатор для пересылки всех запросов, которые они не могут разрешить.

Эта техника используется компаниями, имеющими очень большие пространства имен, или компаниями, сотрудничающими между собой, поскольку они могут разрешать пространства имен друг друга.

Что такое DNS Fowarder?

DNS-переадресатор - это DNS-сервер, настроенный на переадресацию запросов, которые не могут быть разрешены локально, на другой DNS-сервер, обычно внешний. Этот DNS-сервер обычно выступает в качестве сервера-посредника, который отвечает за простую передачу DNS-запросов более авторитетному DNS-серверу для эффективного разрешения запросов.

Как работает переадресация DNS?

Теперь давайте посмотрим, как работает переадресация DNS.

Когда внутренняя информация DNS является частной, ее можно передавать через Интернет, если корневой сервер подсказок открыт для публичного доступа, поскольку во внутренней сети не используется DNS-форвардер. Вы также можете использовать его, если плата за услуги провайдера в вашей сети велика или соединение не является скоростным из-за отсутствия внутреннего DNS-форвардера. Это происходит потому, что внутренний DNS-форвардер увеличивает внешний трафик, что усложняет его обработку.

Использование DNS forwarder поможет создать внутренний кэш для внешних DNS-данных, чтобы уменьшить внешний DNS-трафик.

Типы переадресации DNS

Давайте обсудим 2 основных типа переадресации DNS и принцип работы каждого из них:

1. Условная переадресация

Условная переадресация DNS осуществляется с помощью DNS-серверов, которые пересылают запросы для определенных доменных имен вместо того, чтобы пересылать все запросы. Они направляют запросы определенным переадресаторам в зависимости от имен хостов, указанных в запросе. Условная переадресация DNS улучшает обычную переадресацию, добавляя в процесс условие, основанное на имени. Условная переадресация DNS полезна, поскольку она обеспечивает более безопасное, быстрое и надежное интернет-соединение. При этом DNS-сервер отправляет рекурсивные запросы на переадресацию.

2. Рекурсивная переадресация

При этом типе переадресации DNS сервер DNS пересылает запрос другому серверу DNS. Второй сервер выполняет рекурсивный поиск для разрешения запроса. В качестве примера можно привести ситуацию, когда DNS-сервер пересылает запросы на центральный DNS-сервер для разрешения.

Переадресация и кэширование

При переадресации DNS сервер DNS отправляет запросы клиентов, которые он не может разрешить напрямую, на другой DNS-сервер (переадресатор). Это используется для разгрузки задач по разрешению запросов или для реализации определенных политик маршрутизации запросов.

Кэширование DNS подразумевает временное хранение результатов предыдущих запросов для уменьшения задержки и повышения производительности. Если на DNS-сервере есть кэшированная запись, он обслуживает запрос немедленно, а не пересылает его.

Преимущества переадресации DNS

Давайте рассмотрим различные преимущества переадресации DNS:

1. Повышение эффективности запросов

Переадресация запросов на определенный DNS-сервер значительно сокращает время выполнения запросов и обеспечивает более быстрые ответы, а также уменьшает время задержки.

2. Централизованное управление

Переадресация DNS упрощает управление DNS. Это особенно полезно в крупных организациях, поскольку позволяет администраторам централизовать и контролировать разрешение DNS-запросов, назначив несколько определенных DNS-серверов.

3. Безопасность

Перенаправление DNS-запросов на безопасный и надежный DNS-сервер помогает предотвратить кибернетические атаки, такие как атаки DNS-спуфинга.

4. Балансировка нагрузки

Распределяя задачи разрешения запросов между назначенными DNS-серверами, переадресация DNS помогает сбалансировать нагрузку в сети. В конечном итоге это предотвращает перегрузку отдельного DNS-сервера.

5. Поддержка нескольких доменов

Для организаций с несколькими внутренними или внешними доменами условная переадресация позволяет беспрепятственно разрешать запросы в зависимости от домена.

Как настроить переадресаторы DNS на Microsoft Windows Server 2008 R2 и 2016?

Перед началом процедуры настройки переадресации DNS запишите IP-адреса рекурсивных DNS-серверов SIA и убедитесь, что корневой файл настроен. Сайт поиск IP-адреса поможет вам легко найти IP-адрес вашего собственного домена. В корневом файле подсказок перечислены корневые DNS-серверы, к которым домен active directory обращается для рекурсивных запросов. Это можно сделать с помощью графического интерфейса пользователя Windows Server или командной строки.

Графический интерфейс пользователя

Чтобы настроить DNS-форвардеры в Windows с помощью графического интерфейса пользователя, выполните следующие действия.

Нажмите кнопку Пуск и перейдите в раздел Администрирование > DNS.
Щелкните правой кнопкой мыши DNS-сервер, который вы хотите настроить в качестве переадресатора.
Перейдите в меню "Действие" и перейдите на вкладку "Свойства".
Выберите вкладку Переадресаторы.
Нажмите Редактировать.
В диалоговом окне Edit Forwarders введите основной IP-адрес рекурсивного DNS-сервера SIA и нажмите Enter.
Добавьте вторичный IP-адрес рекурсивного DNS-сервера SIA и нажмите Enter.
Удалите другие серверы, перечисленные в списке переадресаторов. Сохраните в списке переадресаторов только первичный и вторичный рекурсивные DNS-серверы.
Добавьте значение в раздел Число секунд до окончания пересылки запросов, чтобы назначить количество секунд, в течение которых DNS-сервер ожидает ответа.
Нажмите OK.
Включите параметр "Использовать корневую подсказку, если переадресаторы недоступны". Эта опция гарантирует, что DNS-серверы в файле корневых подсказок разрешат имя локально.
В диалоговом окне свойств нажмите OK.

Интерфейс командной строки

Выполните следующие шаги, чтобы настроить переадресацию DNS в Windows с помощью интерфейса командной строки.

Откройте следующую командную строку. Обратите внимание, что ее следует запускать от имени администратора.

Type dnscmd <ServerName> /ResetForwarders <PrimaryIPaddress …> [/TimeOut <Time>] /noslave and press Enter.

Где:

<ServerName> is the DNS server’s domain name or IP address.
<PrimaryIPaddress> are IP addresses of the DNS servers where you forward queries.
Каждый IP-адрес следует разделять пробелом.
<Time> refers to the time-out settings time. It is calculated in seconds.

Переадресация DNS для внешних адресов

Переадресация DNS важна, потому что если нет назначенного DNS-сервера, на который будут направляться все внешние запросы, то все внутренние DNS серверы должны обрабатывать запросы. Это нежелательно, потому что:

Если DNS не разделен на внешний и внутренний, вполне возможна утечка данных внутреннего DNS.
Нагрузка на трафик возрастает, если вы не включили переадресацию DNS. Когда вы назначаете DNS-сервер переадресатором, он обрабатывает все внешние разрешения DNS и создает кэш внешних адресов, чтобы минимизировать количество рекурсивных запросов, тем самым сокращая трафик.

Если ваша компания небольшая и имеет ограниченную пропускную способность, подразумеваемая переадресация DNS может сделать сеть более эффективной и скоростной.

Переадресация DNS для внутренних адресов

Эксперты рекомендуют использовать подмножество внутренних адресов, обрабатываемых с помощью переадресации DNS. Кроме того, для обширных интрасетей, включающих несколько доменов и поддоменов, целесообразно, чтобы DNS-запросы для подмножества этих доменов контролировались выделенный сервер. Эти запросы обычно пересылаются с помощью принципа условной переадресации DNS.

Лучшие практики для переадресации DNS

DNS имеет решающее значение для современного мира, управляемого Интернетом. Если у вас только один DNS-сервер, он должен быть настроен как переадресатор. Если у вас их несколько, то вы можете настроить один из них, некоторые или все в качестве переадресаторов. Кроме того, вы можете следовать перечисленным ниже практикам для обеспечения оптимальной работы DNS-переадресаторов.

Отключить рекурсию

Рекурсия позволяет DNS-серверам запрашивать другие серверы от имени клиента. Это помогает в процессе переадресации DNS, но также подвергает вашу сеть риску безопасности. Поэтому, если вы отключите ее, вероятность подвергнуться атаке уменьшится. Это также снизит нагрузку на трафик, и ваша сеть станет более скоростной.

Включить проверку DNSSEC

DNSSEC или Domain Name System Security Extensions - это протоколы безопасности, которые защищают от подмена DNS и атак, отравляющих кэш. Если эта функция включена, DNS-форвардеры проверяют цифровые подписи. Если подпись не совпадает, ответ отбрасывается, а клиенту отправляется сообщение об ошибке.

Однако использовать его следует только через защищенное соединение. В противном случае хакеры могут перехватить и изменить обмениваемые данные.

Мониторинг DNS-серверов

Регулярный мониторинг DNS-серверов предупреждает вас о потенциальных технических проблемах, позволяя быстро принять меры. Это сокращает время простоя, которое в противном случае может сильно повлиять на ваш бизнес.

Также следует проверять журналы DNS-форвардеров, чтобы заметить подозрительные действия или безответственное поведение пользователей, чтобы опередить потенциальные риски безопасности.

Создание и тестирование альтернативной конфигурации

Альтернативная конфигурация позволит вам переключиться на другой форвардер в случае сбоя. Это снова сократит время простоя и сохранит доступ к вашим ресурсам. Не пропускайте тестирование альтернативной конфигурации перед установкой новой.

Регулярное резервное копирование данных DNS-сервера

Вредоносные субъекты атакуют ваш сервер и пытаются изменить или удалить данные. Резервное копирование данных DNS-сервера помогает быстро восстановить их, не нарушая поток трафика в сети. Без резервного копирования на восстановление всех данных уйдут часы или даже дни, что сильно повлияет на ваш бизнес.

О сайте
Последние сообщения

Ахона Рудра

Эксперт по безопасности доменов и электронной почты в PowerDMARC

Аона - менеджер по маркетингу в PowerDMARC, имеет более чем 5-летний опыт написания статей на темы кибербезопасности, специализируясь на безопасности доменов и электронной почты. Ахона получила диплом о высшем образовании по специальности "Журналистика и коммуникации", а с 2019 года начала работать в сфере безопасности.

Последние сообщения Ахона Рудра (см. все)

DMARC станет обязательным для индустрии платежных карт с 2025 года - 12 января 2025 г.
Изменения в NCSC Mail Check и их влияние на безопасность электронной почты в государственном секторе Великобритании - 11 января 2025 г.
Руководство по объяснению тегов DMARC aspf - 7 января 2025 г.

Что такое переадресация DNS и 5 ее основных преимуществ