إعداد مجموعات خوادم DNS

في Ping64، توفر مجموعة خوادم الأسماء إعدادات تحليل أسماء DNS لأجهزة الثقة الصفرية المحددة. يمكن للمسؤول إعداد DNS موحد للأسماء التي لا تعالجها قاعدة أكثر تحديدا، أو توجيه نطاقات مؤسسية معينة فقط إلى خوادم DNS محددة.

يحدد نطاق التطبيق الأجهزة التي تتلقى الإعدادات، بينما تحدد قاعدة تحليل الأسماء استعلامات النطاق التي تستخدمها على تلك الأجهزة. بعد الحفظ، لا يزال على الجهاز الاتصال واستلام الإعدادات وتطبيقها، كما يجب أن يتمكن من الوصول إلى خادم DNS.

المتطلبات

• استخدم حساب مسؤول يملك صلاحية إعداد DNS للثقة الصفرية، وتحقق من اتصال الأجهزة المستهدفة بشبكة الثقة الصفرية.
• جهز عناوين IP ومنافذ خوادم DNS التي تستطيع الأجهزة الوصول إليها، ومجموعة الوصول التي ستطبق عليها الإعدادات. تستخدم مجموعات الخوادم حاليا UDP؛ المنفذ الشائع هو 53، لكن المرجع هو إعداد الخادم الفعلي.
• حدد نطاق الأجهزة والنطاقات. قبل اختيار جميع النطاقات، تحقق من قدرة DNS على تحليل الأسماء المطلوبة وقيّم الأثر في الخدمات الحالية وتحليل أسماء الإنترنت.
• إذا كان الجهاز ضمن نطاق تعطيل إدارة DNS، فلا تفترض تطبيق هذه الإعدادات عليه. تتأثر النتيجة أيضا بنظام التشغيل وشبكة الجهاز وطريقة تحليل الأسماء في التطبيق.

إنشاء مجموعة خوادم أسماء

1. في وحدة التحكم، افتح DNS ضمن الثقة الصفرية. إذا كانت الصفحة تحتوي بالفعل على مجموعة خوادم أسماء أو منطقة مخصصة، فاختر علامة التبويب «Nameserver Groups» ثم «Create». إذا كانت القائمتان فارغتين، فاختر «Create Nameserver Group» في صفحة البدء.
2. أدخل اسما يميز الغرض ووصفا عند الحاجة في «Basic Information»، مثل «DNS داخلي للتطوير».
3. في «Effective Scope» اختر مجموعة وصول واحدة على الأقل وتحقق من انتماء الأجهزة المستهدفة إليها.
4. في «DNS Servers» أدخل عنوان IP والمنفذ. يمكن إضافة خوادم؛ وينبغي أن تلبي خوادم المجموعة نفسها احتياجات التحليل ذاتها. يجب أن تضم كل مجموعة من 1 إلى 3 عناوين خادم صالحة. تسمح الصفحة بإضافة صفوف أخرى، لكن يفشل الحفظ عند إرسال أكثر من 3 عناوين صالحة.
5. في «Resolution Rules» اختر «All Domains» أو «Specified Domains». عند اختيار «Specified Domains»، أضف نطاقا واحدا على الأقل في «Matched Domains». إذا كانت هناك حاجة إلى الأسماء القصيرة، فقيّم خيار نطاق البحث الموضح أدناه.
6. احفظ، ثم تحقق في القائمة من المجموعة ونطاقات المطابقة ومجموعات التطبيق وحالة التفعيل، واختبر التحليل من الجهاز المستهدف.

إذا فشل الحفظ، فراجع الاسم والعنوان والمنفذ والبروتوكول والنطاق ونطاقات المطابقة حسب الرسالة. يجب أن يكون المنفذ بين 1 و65535. لا توزع إلا الإعدادات المفعلة على الأجهزة المطابقة لمجموعاتها. إذا لم يتصل الجهاز أو لم يطبق الإعدادات، فلا يثبت حفظ وحدة التحكم أن التحليل قد تغير.

إذا طابق عنوان أي خادم DNS في المجموعة عنوان الثقة الصفرية الخاص بجهاز ما، فقد لا يتلقى ذلك الجهاز المجموعة بأكملها، بما فيها الخوادم الأخرى، حتى لو كان ضمن مجموعة التطبيق. لا تستنتج تطبيق المجموعة على جهاز الخادم من عضويته وحدها؛ خطط لتحليل الأسماء عليه وتحقق منه بصورة منفصلة، واختبر الوصول إلى الخادم من أجهزة تجريبية أخرى.

اختيار وضع التحليل

جميع النطاقات

تعمل المجموعة كخادم DNS افتراضي للأجهزة المعنية للاستعلامات التي لا تعالجها قاعدة أكثر تحديدا. لا يضبط هذا الوضع نطاقات مطابقة ولا يفعل نطاقات البحث لهذه المجموعة.

مثلا، بعد توزيع DNS المؤسسة بوضع جميع النطاقات على أجهزة المكتب، تعالج المجموعة عادة الاستعلامات التي لا تطابق قاعدة أكثر تحديدا. قبل النشر تحقق من تحليل أسماء الأعمال الداخلية والخارجية. قد يؤثر استخدام DNS يحلل النطاقات الداخلية فقط لجميع النطاقات في تحليل الأسماء الأخرى.

نطاقات محددة ونطاقات المطابقة

أضف نطاق مطابقة واحدا على الأقل. يمكن للنطاق نفسه ونطاقاته الفرعية استخدام المجموعة؛ ولا تعني هذه القاعدة تحويل جميع الاستعلامات خارج النطاق إليها.

مثال: خادم DNS هو 10.20.0.53 والمنفذ 53 ونطاق المطابقة dev.example.com ونطاق التطبيق مجموعة أجهزة التطوير. يمكن للمجموعة تحليل استعلامي dev.example.com وgit.dev.example.com من الأجهزة التي تلقت الإعدادات، أما www.example.net فخارج النطاق. القيم أمثلة فقط، والنجاح يعتمد أيضا على سجلات DNS وإمكانية الوصول الشبكي.

أدخل نطاقًا عاديًا دون حرف بدل مثل *. في نطاق المطابقة. مثلًا يطابق dev.example.com النطاق نفسه ونطاقاته الفرعية، بينما لا يجتاز *.dev.example.com تحقق الحفظ. يختلف ذلك عن سجلات حرف البدل في المناطق المخصصة.

تفعيل نطاقات البحث

يوزع «Enable Search Domains» نطاقات المطابقة كنطاقات بحث DNS على الأجهزة، ولا يوسع نطاق الأجهزة التي تتلقى الإعدادات. يستخدم الخيار مع وضع النطاقات المحددة فقط.

مثلا، عند استخدام dev.example.com قد يحاول نظام التشغيل الاسم git.dev.example.com عند الاستعلام عن الاسم القصير git. تعتمد الإضافة وترتيب المحاولات والنتيجة على النظام والتطبيق. لتقليل الالتباس، تحقق من الخدمات المهمة أيضا باستخدام الاسم الكامل.

غياب الإعدادات والسلوك الاحتياطي

عند عدم إعداد مجموعة لجميع النطاقات، يمكن عادة استمرار تحليل النطاقات العادية بواسطة DNS الأصلي للجهاز. لا يعني ذلك أن الثقة الصفرية لا تشارك في DNS إطلاقا؛ فقد تبقى أسماء العقد أو قواعد أخرى سارية. يعتمد توفر DNS الأصلي ومسار التحليل على بيئة الجهاز، ولا يضمن نجاح جميع الاستعلامات.

قد يستخدم جهاز الثقة الصفرية DNS الأصلي مصدرا احتياطيا. لا تفترض انتقالا سلسا دائما عند تعذر الوصول إلى DNS المحدد، ولا تفترض أن نطاقات المؤسسة لن تصل مطلقا إلى محلل آخر. تحقق من السلوك الفعلي وفق متطلبات أمن DNS في المؤسسة.

عند فشل جميع الخوادم المعمول بها: في بعض حالات تحليل DNS للثقة الصفرية على الجهاز، إذا أُحيل الاستعلام إلى مجموعات خوادم الأسماء المعمول بها ولم تحصل أي مجموعة على استجابة صالحة، تُعاد نتيجة فشل التحليل لهذا الاستعلام؛ ولا يؤدي الفشل وحده إلى متابعة الاستعلام لدى DNS الأصلي للجهاز. تحقق من المجموعات والخوادم والشبكة وسجلات DNS بدل افتراض أن DNS الأصلي يوفر بديلًا مضمونًا في هذه الحالة. قد تختلف طريقة تحليل نظام التشغيل أو التطبيق ومحاولاته اللاحقة؛ ولا يضمن هذا الشرح عدم إرسال النطاق إلى خادم DNS آخر.

التحقق من نقل DNS وتعدد الخوادم

نوع مجموعة خوادم الأسماء المُعد هو UDP، لكن الاستعلام لا يستخدم UDP وحده بالضرورة. في بعض حالات تحليل DNS للثقة الصفرية على الجهاز، عند اقتطاع استجابة UDP يحاول العميل مجددًا عبر TCP إلى خادم DNS والمنفذ نفسيهما؛ وقد يستخدم الاستعلام الوارد عبر TCP اتصال TCP بالخادم الأعلى أيضًا. قبل النشر، تحقق من أن اتصال UDP وTCP من الجهاز إلى العنوان والمنفذ المحددين يوافق متطلبات الشبكة والتحكم في الوصول بالمؤسسة، واختبر الاستعلامات البسيطة والاستجابات الكبيرة كلًا على حدة. لا يثبت الوصول عبر UDP وحده اكتمال جميع الاستعلامات.

عند إعداد عدة خوادم في مجموعة واحدة، تحقق من أنها تقدم إجابات متسقة ومتوقعة للنطاقات المعنية. عند انتهاء المهلة أو حدوث بعض أخطاء الخادم قد يجرب العميل خادمًا آخر في المجموعة؛ لكن استجابة عدم وجود النطاق هي إجابة DNS صالحة ولا تؤدي عادةً إلى تجربة الخادم التالي في المجموعة نفسها. وقد توقف بعض الأخطاء المرتبطة بسياسات الأمان المحاولات أيضًا. قد تشارك عدة مجموعات تنطبق على النطاق نفسه بالتزامن، لذا لا تفترض أن مجموعة معينة تجيب أولًا دائمًا. عند اختلاف النتائج، تحقق من سجلات كل خادم وصلاحياته واتصال UDP/TCP وإعداد الجهاز، ثم اختبر التطبيق الفعلي.

في بعض حالات تحليل DNS للثقة الصفرية على الجهاز، تُجرَّب خوادم المجموعة الواحدة بالترتيب المستلَم. عند تلقي إجابة صحيحة من خادم لا يُسأل الخادم التالي لمجرد المقارنة. لإعادة المحاولة حد زمني إجمالي، فلا يُضمن اختبار كل خادم. بعد تغيير الترتيب احفظه وأعد التحقق واختبر على الأجهزة الفعلية؛ قد تؤثر الاستعلامات المتزامنة بين المجموعات المختلفة أيضاً في النتيجة.

تحرير المجموعة وتعطيلها وحذفها

قبل التغيير سجّل الخوادم ووضع تحليل الأسماء ونطاقات المطابقة ونطاق التطبيق الحالي، وحدد الأجهزة والخدمات المعتمدة على المجموعة وأعد خطة استعادة. قد يغيّر التعطيل أو الحذف تحليل الأسماء الداخلية أو الخارجية؛ لا تفترض أن الأجهزة ستنتقل تلقائيا إلى DNS آخر يعمل.

تغيير وضع التحليل: عند الانتقال من النطاقات المحددة إلى جميع النطاقات تمسح الصفحة نطاقات المطابقة من النموذج فورًا وتعطل نطاقات البحث؛ ولا تستعيدها تلقائيًا عند الرجوع. إذا كنت تعدّل مجموعة قائمة ولم تحفظ، يمكنك الإلغاء وإعادة فتحها للتحقق من الإعداد المحفوظ. بعد الحفظ يجب استعادة القيم يدويًا من سجل التغيير والتحقق منها. يجب أيضًا إعادة إدخال البيانات غير المحفوظة في المجموعة الجديدة.

1. اعثر على المجموعة في Zero Trust > DNS > Nameserver Groups. اختر Edit في صفها وعدّل الإعدادات واحفظها، ثم راجع الخوادم ونطاقات المطابقة ونطاق التطبيق والحالة.

2. للتعطيل المؤقت أو إعادة التفعيل استخدم مفتاح الحالة في الصف. تحقق من نتيجة العملية والحالة مجددا؛ قد لا يتاح المفتاح دون صلاحية الكتابة أو أثناء المعالجة.

3. عندما لا تعود المجموعة مطلوبة، اختر Delete من صفها وتحقق من الاسم ثم أكد Delete. قيّم الأثر وخطة الاستعادة مسبقا؛ قد تختلف صلاحيات الحذف والتحرير.

4. انتظر استلام الأجهزة المتأثرة للتغيير، ثم اختبر أسماء النطاقات الكاملة المتأثرة وأسماء النطاقات المعتادة كلّا على حدة من أجهزة تجريبية. اختبر الأسماء القصيرة أيضا عند استخدام نطاقات البحث. لا يثبت الحفظ أو تغيير الحالة أن جميع الأجهزة طبقت التغيير؛ تتأثر النتيجة أيضا بالإعدادات الأخرى وبيئة الجهاز.

التحقق والمشكلات الشائعة

1. تحقق من تفعيل المجموعة وانتماء الجهاز إلى نطاقها واتصاله وتطبيقه الإعدادات الحالية.
2. من الجهاز المستهدف استعلم عن اسم كامل داخل نطاق المطابقة وآخر خارجه بشكل منفصل، وقارن النتائج. استخدم نطاقات تملكها المؤسسة أو يسمح لها باختبارها.
3. عند استخدام نطاق البحث اختبر الاسم القصير والكامل كلّا على حدة. إذا عمل الاسم الكامل فقط، فتحقق من نطاق البحث ومن اتباع التطبيق لإعدادات تحليل نظام التشغيل.
4. عند فشل التحليل تحقق من IP الخادم والمنفذ واتصال UDP وTCP وسجلات DNS، ومن عدم استثناء الجهاز من إدارة DNS.
5. إذا تأثرت النطاقات العادية فتحقق من وضع جميع النطاقات وقدرة DNS على تحليل الأسماء. سجل الإعدادات وقيّم الأثر قبل التغيير، واتصل بالمسؤول أو الدعم عند الحاجة.