Hoe split-horizon DNS thuis werkt

Heb je je ooit afgevraagd waarom je soms, zelfs als je op kantoor bent, de website van je eigen bedrijf niet kunt bereiken via het openbare adres? Het is een klassiek probleem. DNS split-horizonSplit-brain DNS, ook wel bekend als split-brain DNS, is de technische tool die dit probleem oplost, waardoor dezelfde domeinnaam ons naar verschillende websites kan leiden, afhankelijk van waar we vandaan verbinding maken.

Kort gezegd gaat het erom dat de naamserver kan onderscheiden of de persoon die de vraag stelt... binnen het bedrijfsnetwerk Of als het van buitenaf komt, zoals het openbare internet. Dus in plaats van altijd hetzelfde te geven. IP-adresDe server manipuleert de reacties om ervoor te zorgen dat het verkeer zo efficiënt en veilig mogelijk verloopt, en vermijdt onzinnige routes die de verbinding alleen maar vertragen.

Het probleem van interne toegang en het Hairpin NAT-alternatief.

Wanneer we een dienst publiceren, zoals een webserver, heeft deze meestal een openbaar IP-adres zodat iedereen ter wereld er toegang toe heeft. Het probleem ontstaat wanneer een gebruiker die zich al op het lokale netwerk bevindt, probeert toegang te krijgen tot diezelfde dienst via het openbare domein. Normaal gesproken zal de DNS het openbare IP-adres retourneren. uitgaand openbaar IP-adresHet apparaat zal proberen online te gaan en vervolgens direct weer verbinding te maken, iets wat vaak mislukt omdat de router niet weet hoe die terugkeer moet worden afgehandeld.

Om dit op te lossen, is er de Haarspeld NAT (of NAT Loopback), waardoor de router gedwongen wordt het publieke IP-adres van de bestemming te vertalen naar een intern IP-adres en vice versa. Hoewel het werkt, is het een onnodige omweg. Op Cisco-apparatuur vereist het bijvoorbeeld het configureren van specifieke ACL's en NAT-regels, terwijl dit op Mikrotik gebeurt met behulp van regels van src-nat en dst-nat om het verkeer te maskeren en te voorkomen dat de server in de war raakt door het bron-IP-adres.

Hoe werkt DNS Split-Horizon nu precies?

In tegenstelling tot NAT pakt split-horizon DNS het probleem bij de wortel aan: naamresolutie. In plaats van het datapakket te manipuleren nadat het de server al heeft verlaten, levert de DNS-server het direct door. een ander antwoord Afhankelijk van het IP-adres van degene die de query uitvoert. Als de client intern is, vertelt de DNS het volgende: "de server bevindt zich op 10.0.0.3". Als de client extern is, antwoordt deze: "het is op 172.16.16.1".

Dit is vooral handig in omgevingen waar de fasen van ontwikkeling, bedrijfsvoering en productieHet stelt ontwikkelaars in staat om toegang te krijgen tot hun testomgevingen via dezelfde domeinnaam als het publiek, maar dan verwijzend naar interne servers zonder de ontwikkelingsdiensten voor iedereen bloot te stellen, om veiligheids- en privacyredenen.

Technische implementatie op verschillende platforms

Er zijn verschillende manieren om een ​​split-horizon DNS-systeem op te zetten, afhankelijk van de beschikbare hardware en software. Dit kan fysieke scheiding (met behulp van aparte servers) of logische scheiding via software inhouden.

• BIND9 op Linux: Het concept van uitzichtenDoor ACL's te configureren, definieert de server welke IP-bereiken tot de "interne" weergave behoren en welke tot de "externe" weergave. Elke weergave heeft zijn eigen zonebestanden, waardoor... empresa.com Gebruik een privé-IP-adres voor medewerkers en een openbaar IP-adres voor alle anderen.
• Windows Server: Gebruik de DNS-richtlijnen en zonebereikenIn plaats van twee servers op te zetten, worden zonebereiken binnen dezelfde service gecreëerd. De beheerder definieert een beleid waarbij, als de query via een specifieke netwerkinterface (het privé-IP-adres van de server) binnenkomt, het interne bereik wordt afgeleverd.

Een geavanceerde functie in Windows Server is de selectieve recursiecontroleDit voorkomt dat de server een "open resolver" wordt, waardoor deze kwetsbaar zou zijn voor denial-of-service- of mirror-aanvallen. Op deze manier voert de server alleen recursieve resoluties uit voor interne gebruikers, terwijl hij voor externe gebruikers alleen fungeert als een... gezaghebbende server vanuit hun eigen gebieden.

Overwegingen met betrekking tot A-registers en mesh-netwerken

Om dit alles te begrijpen, is het essentieel om te onthouden dat de record A (Adresrecord) Het is het fundamentele onderdeel dat de voor mensen leesbare naam vertaalt naar een numeriek IP-adres. In een split-brain-omgeving hebben we in feite twee verschillende A-records voor hetzelfde hostlabel.

Bij moderne implementaties zoals mesh-VPN's (bijv. Netbird) ontstaat de behoefte om een consistente naamgevingHet doel is dat een "Road Warrior" (gebruiker op afstand) toegang krijgt tot de service met dezelfde DNS-naam, ongeacht of hij zich op het LAN-netwerk bevindt of via een mesh-netwerk is verbonden. Als hij op kantoor is, krijgt hij het LAN-IP-adres; als hij zich in een café met openbare wifi bevindt, moet de DNS het juiste IP-adres leveren. maasrichting Om de verbinding te behouden zonder de URL te wijzigen.

Het beheren van een split-horizon DNS-systeem elimineert latentie doordat verkeer niet via onnodige routers hoeft te gaan en verbetert de beveiliging. interne topologie verbergen van het netwerk naar externe gebruikers. Het is alleen nodig om de weergaven of bereiken gesynchroniseerd te houden om inconsistenties in de navigatie te voorkomen.

Het implementeren van een split-horizon DNS is de meest efficiënte strategie voor het beheren van de dualiteit van privé- en publieke IP-adressen, waardoor interne gebruikers kunnen browsen met maximale snelheid en efficiëntie Terwijl de buitenwereld toegang blijft houden tot diensten via openbare gateways, allemaal zonder NAT-complicaties en met volledige controle over netwerkrecursie en -zichtbaarheid.