Benutzerdefinierte DNS-Zonen und Einträge verwalten

Benutzerdefinierte Zonen verwalten Auflösungseinträge einer Domäne im Zero-Trust-DNS. Anders als eine Nameservergruppe, die Upstream-DNS-Server bestimmt, enthält eine Zone konkrete Einträge.

Prüfen Sie Zonendomäne, Eintragsinhalt und Verteilungsbereich getrennt. Das Speichern einer Zone beweist weder die Übernahme auf jedem Endpunkt noch die Erreichbarkeit des eingetragenen Dienstes.

Vorbereitung

• Verwenden Sie ein Konto mit Zero-Trust-DNS-Verwaltungsrechten und bestimmen Sie die zu verwaltende Domäne und deren Verantwortliche.
• Prüfen Sie, ob Zielendpunkte mit Zero Trust verbunden sind und DNS-Verwaltung anwenden dürfen; legen Sie die empfangenden Zugriffsgruppen fest.
• Prüfen Sie, dass neue Einträge nicht unbeabsichtigt mit vorhandenen DNS-Namen und Geschäftskonfigurationen kollidieren, und halten Sie überprüfbare Zieladressen oder Aliasse bereit.
• Bewerten Sie die Auswirkungen und testen Sie zunächst mit kontrollierten Endpunkten und Testnamen.

Zone erstellen

1. Öffnen Sie in der Konsole Zero Trust und DNS. Wenn bereits eine Nameservergruppe oder eine benutzerdefinierte Zone vorhanden ist, wählen Sie den Tab „Custom Zones“ und dann „Create“. Sind beide Listen leer, wählen Sie auf der Einstiegsseite „Create Custom Zone“.
2. Geben Sie die Zonendomäne unter „Domain“ und bei Bedarf einen unterscheidbaren Namen unter „Name“ ein. Die Domäne ist erforderlich und nach Erstellung nicht bearbeitbar; planen Sie für eine andere Domäne eine neue Zone.
3. Öffnen Sie „Distribution Settings“ und wählen Sie die Verteilungsgruppen unter „Distribution Groups“. Ohne ausgewählte Verteilungsgruppe kann die Zone für alle geeigneten Endpunkte gelten. Für einen Test oder eine bestimmte Abteilung wählen Sie die Gruppen ausdrücklich aus.
4. Aktivieren Sie bei Bedarf „Enable Search Domain“. Dadurch wird die Zone als DNS-Suchdomäne verteilt; die Ergänzung von Kurznamen hängt weiterhin von Betriebssystem und Anwendung ab.
5. Kontrollieren Sie nach dem Speichern in der Liste Name, Domäne, Gruppen und Aktivierung und öffnen Sie die Zone zur Pflege der DNS-Einträge.

Anders als bei Nameservergruppen muss bei einer benutzerdefinierten Zone keine Verteilungsgruppe ausgewählt werden. Verwenden Sie nicht dieselbe Annahme für beide. Nach Deaktivierung ist keine fortgesetzte Anwendung neuer Zonenkonfiguration zu erwarten; warten Sie auf die Übernahme vorhandener Endpunkte und prüfen Sie diese.

Gleichnamige Einträge und Konflikte: In derselben Zone sind für einen Namen mehrere A- oder AAAA-Einträge mit unterschiedlichen Werten sowie A und AAAA nebeneinander möglich. Ein CNAME darf jedoch nicht mit einem anderen gleichnamigen Eintrag, auch keinem weiteren CNAME, bestehen. Einträge mit identischem Namen, Typ und Wert können auch mit unterschiedlicher TTL nicht doppelt angelegt werden. Prüfen Sie bei Speicherfehlern bestehende Einträge und Typen. Bewerten Sie vor dem Ersetzen Cache- und Betriebsauswirkungen und bereiten Sie eine Wiederherstellung vor.

Wildcard-Einträge: Ein Eintragsname einer benutzerdefinierten Zone kann links einen Platzhalter enthalten, etwa einen A-Eintrag für *.dev.example.com in dev.example.com. In bestimmten Auflösungsszenarien auf Endpunkten kann git.dev.example.com passen, wenn für den abgefragten Namen kein expliziter lokaler Eintrag existiert. Der Zonenname dev.example.com und das tiefer liegende api.git.dev.example.com passen nicht zu diesem Wildcard-Eintrag. Andere DNS-Konfigurationen können dennoch antworten. Testen Sie konkrete Namen, den Zonennamen und tiefere Namen getrennt; die Regel garantiert weder Auflösung noch Sperre auf allen Ebenen.

DNS-Eintrag hinzufügen

1. Öffnen Sie in der Zonenliste die Zielzone und wählen Sie unter „DNS Records“ die Option „Create Record“.
2. Geben Sie den vollständigen Domänennamen ein, etwa git.dev.example.com in der Zone dev.example.com.
3. Wählen Sie den Eintragstyp und geben Sie den passenden Inhalt ein: für A eine IPv4-Adresse, für AAAA eine IPv6-Adresse und für CNAME den Zieldomänennamen.
4. Geben Sie entsprechend Ihren DNS-Vorgaben einen positiven TTL ein und speichern Sie. Der Anfangswert für neue Einträge ist 300. Prüfen Sie Name, Typ, Inhalt und TTL in der Liste.
5. Prüfen Sie, dass die Zone aktiviert ist und die erwarteten Einträge enthält. Fragen Sie den vollständigen Namen von einem Endpunkt im Verteilungsbereich ab. Eine Zone ohne Einträge erzeugt keinen verteilbaren Eintragssatz.

Beispiel: Legen Sie in dev.example.com für git.dev.example.com einen A-Eintrag mit der Testadresse 10.20.0.10 an. Dies sind keine Standardwerte; die Organisation bestimmt die tatsächlichen Ziele.

TTL null oder leer: Die Oberfläche akzeptiert 0 und behandelt ein geleertes Feld ebenfalls als 0. Bei einem neuen Eintrag wird 0 als 300 Sekunden gespeichert; beim Bearbeiten bleibt der bisherige TTL erhalten, statt auf null gesetzt zu werden. Historische Einträge mit nicht positivem TTL werden an Endgeräte mit einem Ersatzwert von 60 Sekunden verteilt. Verwenden Sie 0 nicht zum Deaktivieren des Caches. Geben Sie den gewünschten positiven Wert ein, speichern Sie, prüfen Sie den gespeicherten Wert nach erneutem Öffnen oder Aktualisieren der Liste und testen Sie am Pilotgerät.

Benutzerdefinierte Einträge und andere DNS-Quellen

Eine benutzerdefinierte Zone isoliert nicht den gesamten Namensraum. Wenn ein Endgerät eine verteilte Zone verarbeitet, kann ein dort nicht vorhandener Name an eine andere passende DNS-Quelle weitergegeben werden. Gehen Sie weder von einer sicheren Sperre nicht konfigurierter Namen aus noch davon, dass solche Anfragen den erlaubten Unternehmensbereich nie verlassen.

Prüfen Sie Eintragstypen eines Namens getrennt. Enthält die Zone beispielsweise nur einen A-Eintrag für git.dev.example.com, kann eine AAAA-Abfrage ohne Adresse beantwortet werden. Nehmen Sie nicht an, dass immer eine IPv6-Adresse bei einem vorgelagerten DNS-Server nachgefragt wird. Andere DNS-Regeln und die Namensauflösung des Endgeräts können das Ergebnis beeinflussen. Name und Adressen sind Beispiele.

Testen Sie vor der Einführung mit freigegebenen Testnamen und Pilotendgeräten A und AAAA eines konfigurierten Namens, einen nicht konfigurierten Namen innerhalb sowie einen Namen außerhalb der Zone. Prüfen Sie Antworten und tatsächlich genutzte DNS-Quellen gegen die Sicherheitsanforderungen. Verwenden Sie keine nicht autorisierten sensiblen Namen für externe Tests. Prüfen Sie auch Geschäftsverbindung und Zugriffsrichtlinie getrennt.

Zeigt ein benutzerdefinierter CNAME auf einen Namen in derselben verteilten Zone und liegt der Zieleintrag nur im vorgelagerten DNS, folgt der Endpunkt nicht notwendigerweise dem benutzerdefinierten Alias bis zum vorgelagerten Ziel. In diesem Fall kann stattdessen die ursprüngliche Alias-Abfrage an eine andere Auflösung weitergegeben werden; fehlt dort der Alias, kann die Auflösung scheitern. Legen Sie den benötigten Zieleintrag in der benutzerdefinierten Zone an und prüfen Sie Alias und Ziel getrennt.

Liefert ein Name mehrere A- oder AAAA-Adressen, kann der Client einzelne Adressen anhand des Verbindungsstatus bekannter Zero-Trust-Knoten herausfiltern. Unbekannte Adressen werden aus diesem Grund nicht gefiltert; bei einer einzelnen Adresse oder ausschließlich nicht verfügbaren Kandidaten ist eine Filterung nicht garantiert. Eine DNS-Antwort belegt weder den Zustand des Dienstes noch erfolgreichen Zugriff. Prüfen Sie Knotenverbindung, Dienst und tatsächlichen Zugriff getrennt.

Zonen und Einträge bearbeiten, deaktivieren oder löschen

Halten Sie vor Änderungen Zoneneinstellungen, Verteilungsbereich und Einträge fest, prüfen Sie die Auswirkungen und bereiten Sie eine Wiederherstellung vor.

1. Öffnen Sie Zero Trust > DNS > Custom Zones. Wählen Sie in der Zeile der Zone Edit, ändern Sie Name, Verteilungsgruppen oder Suchdomäneneinstellung und wählen Sie Save. Die Zonendomäne ist nach dem Erstellen nicht bearbeitbar.
2. Deaktivieren oder aktivieren Sie die Zone über den Statusschalter ihrer Zeile und prüfen Sie den endgültigen Status. Während einer laufenden Änderung oder ohne Schreibberechtigung kann der Schalter gesperrt sein.
3. Wählen Sie die Zonenzeile, um die Eintragsliste zu öffnen. Wählen Sie beim gewünschten Eintrag Edit und nach der Änderung Save. Zum Entfernen wählen Sie Delete, prüfen das Ziel und bestätigen Delete.
4. Um die Zone zu löschen, kehren Sie zur Zonenliste zurück, wählen in ihrer Zeile Delete, prüfen das Ziel und bestätigen Delete. Das Löschen kann andere Berechtigungen als das Bearbeiten erfordern. Prüfen Sie anschließend die Liste sowie Auflösung und Cache-Aktualisierung auf betroffenen Endgeräten.

Änderungen und Fehlerbehebung

1. Prüfen Sie vor Änderung oder Löschung abhängige Dienste, Zielendpunkte und Cache-Auswirkungen. Fragen Sie nach dem Speichern erneut ab und warten Sie bei Bedarf auf Konfigurationsverteilung und DNS-Cache-Aktualisierung.
2. Fehlt das erwartete Ergebnis, prüfen Sie, ob die Zone aktiviert ist, mindestens einen Eintrag enthält und die Zero-Trust-DNS-Verwaltung auf dem Endpunkt angewendet wird. Sind Verteilungsgruppen ausgewählt, muss der Endpunkt mindestens einer davon angehören. Ohne ausgewählte Verteilungsgruppen kann die Zone für alle geeigneten Endpunkte gelten, ohne dass eine bestimmte Verteilungsgruppe erforderlich ist.
3. Prüfen Sie vollständigen Eintragsnamen und passenden Typ und Inhalt. Auch das CNAME-Ziel muss in der aktuellen Umgebung auflösbar sein.
4. Ist die Auflösung korrekt, aber der Dienst nicht verfügbar, prüfen Sie Route, Zugriffsrichtlinie, Zieldienst und Netzwerk. Ein DNS-Eintrag löst Namen auf und erteilt nicht automatisch Zugriffsrechte.
5. Deaktivierung oder Löschung betrifft abhängige Endpunkte. Dokumentieren Sie zuvor die Konfiguration und klären Sie die Wiederherstellung; testen Sie danach mit Endpunkten innerhalb und außerhalb des Bereichs.