Jak funguje DNS s rozděleným horizontem doma?

Přemýšleli jste někdy, proč se někdy, i když jste v kanceláři, nemůžete dostat na webové stránky své firmy pomocí veřejné adresy? Je to klasická bolest hlavy. DNS s rozděleným horizontemDNS s rozděleným mozkem, také známý jako split-brain DNS, je technický nástroj, který tento problém řeší a umožňuje, aby nás stejné doménové jméno přesměrovalo na různé weby v závislosti na tom, odkud jsme připojeni.

V podstatě jde o to, aby jmenný server dokázal rozlišit, zda se ptájící osoba jedná... v rámci firemní sítě Nebo pokud to přichází zvenčí, jako je veřejný internet. Takže místo toho, abyste vždy poskytovali totéž IP adresaServer manipuluje s odpověďmi tak, aby zajistil co nejefektivnější a nejbezpečnější tok provozu a vyhýbal se absurdním trasám, které pouze zpomalují připojení.

Problém interního přístupu a alternativa Hairpin NAT

Když publikujeme službu, například webový server, obvykle má veřejnou IP adresu, aby k ní měl přístup kdokoli na světě. Problém nastává, když se uživatel, který je již v lokální síti, pokusí přistupovat k téže službě pomocí veřejné domény. DNS obvykle vrátí odchozí veřejná IP adresaA zařízení se pokusí připojit online a okamžitě se znovu přihlásit, což často selže, protože router neví, jak tento návrat zvládnout.

Aby se to napravilo, existuje Vlásenka NAT (nebo NAT Loopback), která nutí router překládat cílovou veřejnou IP adresu na interní IP adresu a naopak. I když to funguje, je to zbytečná oklika. Například na zařízeních Cisco to vyžaduje konfiguraci specifických ACL a pravidel NAT, zatímco na Mikrotiku se to provádí pomocí pravidel src-nat a dst-nat maskovat provoz a zabránit tomu, aby byl server zmatený zdrojovou IP adresou.

Jak vlastně DNS Split-Horizon funguje?

Na rozdíl od NATu řeší DNS s rozděleným horizontem problém u jeho kořene: rozlišení jmen. Místo toho, aby se datový paket klamal, jakmile již opustil server, DNS server doručuje… jiná odpověď V závislosti na IP adrese osoby, která dotaz provádí. Pokud je klient interní, DNS mu sdělí: „server je na adrese 10.0.0.3“. Pokud je klient externí, odpoví: „je na adrese 172.16.16.1“.

To je obzvláště užitečné v prostředích, kde fáze vývoj, korporátní a výrobníUmožňuje vývojářům přistupovat k testovacím prostředím pomocí stejného doménového jména jako veřejná doména, ale s odkazem na interní servery, aniž by z důvodu zabezpečení a ochrany soukromí byly vývojářské služby zveřejněny všem.

Technická implementace na různých platformách

Existuje několik způsobů, jak nastavit systém DNS s rozděleným horizontem, v závislosti na dostupném hardwaru a softwaru. To může zahrnovat fyzické oddělení (pomocí samostatných serverů) nebo logické oddělení pomocí softwaru.

• BIND9 v Linuxu: Koncept zobrazeníKonfigurací ACL server definuje, které rozsahy IP adres patří do „interního“ zobrazení a které do „externího“ zobrazení. Každé zobrazení má své vlastní soubory zón, což umožňuje... empresa.com Pro zaměstnance přidělte soukromou IP adresu a pro všechny ostatní veřejnou.
• Windows Server: Použijte Direktivy DNS a rozsahy zónMísto nastavení dvou serverů se v rámci stejné služby vytvářejí rozsahy zón. Správce definuje zásadu, podle níž je v případě, že dotaz přijde přes specifické síťové rozhraní (soukromá IP adresa serveru), doručen interní rozsah.

Pokročilou funkcí v systému Windows Server je selektivní rekurzní řízeníDíky tomu se server nestane „otevřeným resolverem“, což by ho mohlo učinit zranitelným vůči útokům typu denial-of-service nebo zrcadlovým útokům. Server tak provádí rekurzivní resolvery pouze pro interní uživatele, zatímco pro externí uživatele funguje pouze jako... autoritativní server z jejich vlastních oblastí.

Úvahy o A-registrech a sítích typu Mesh

Abychom tomu všemu porozuměli, je důležité si uvědomit, že záznam A (záznam adresy) Je to základní prvek, který převádí lidsky čitelný název na číselnou IP adresu. V prostředí s rozděleným mozkem máme v podstatě dva různé záznamy A pro stejný hostitelský štítek.

V moderních implementacích, jako jsou Mesh VPN (např. Netbird), vzniká touha po udržení konzistentní pojmenováníCílem je, aby „cestovní bojovník“ (vzdálený uživatel) přistupoval ke službě pomocí stejného DNS jména, ať už je v místní síti (LAN) nebo připojen přes síť (mesh). Pokud je v kanceláři, obdrží IP adresu z místní sítě (LAN); pokud je v kavárně s veřejnou Wi-Fi sítí, měl by DNS poskytnout… směr sítě pro zachování připojení bez změny URL adresy.

Správa systému DNS s rozděleným horizontem eliminuje latenci tím, že brání průchodu provozu přes nepotřebné routery a zlepšuje zabezpečení. skrýt vnitřní topologii ze sítě k externím uživatelům. Synchronizace zobrazení nebo oborů je nutná pouze proto, aby se předešlo nekonzistencím v navigaci.

Přijetí DNS s rozděleným horizontem je nejčistší strategií pro správu duality soukromých a veřejných IP adres, což umožňuje interním uživatelům procházet maximální rychlost a efektivita Zatímco vnější svět nadále přistupuje ke službám prostřednictvím veřejných bran, to vše bez komplikací s NAT a s plnou kontrolou nad rekurzí a viditelností sítě.