DNS-Nameservergruppen konfigurieren

Für Ping64 gilt: Eine Nameservergruppe stellt ausgewählten Zero-Trust-Endpunkten eine DNS-Auflösungskonfiguration bereit. Administratoren können einen gemeinsamen DNS für Namen konfigurieren, die keine spezifischere Regel behandelt, oder nur bestimmte Unternehmensdomänen an ausgewählte DNS-Server leiten.

Der Geltungsbereich bestimmt, welche Endpunkte die Konfiguration erhalten. Die Auflösungsregel bestimmt, welche Domänenanfragen dieser Endpunkte sie verwenden. Nach dem Speichern müssen Endpunkte verbunden sein und die Konfiguration empfangen und anwenden; außerdem müssen sie die DNS-Server erreichen können.

Voraussetzungen

• Verwenden Sie ein Administratorkonto mit Rechten zur Zero-Trust-DNS-Konfiguration und prüfen Sie, dass die Zielendpunkte mit dem Zero-Trust-Netz verbunden sind.
• Halten Sie IP-Adressen und Ports von DNS-Servern bereit, die die Endpunkte erreichen können, sowie die Zugriffsgruppe für die Verteilung. Nameservergruppen verwenden derzeit UDP; der übliche DNS-Port ist 53, maßgeblich ist aber die Serverkonfiguration.
• Legen Sie Endpunkt- und Domänenbereich fest. Bevor Sie alle Domänen auswählen, prüfen Sie, ob der DNS alle benötigten Namen auflösen kann, und bewerten Sie Auswirkungen auf bestehende Anwendungen und Internetauflösung.
• Gehört ein Endpunkt zu einem Bereich mit deaktivierter DNS-Verwaltung, erwarten Sie keine Anwendung dieser Konfiguration. Das Ergebnis hängt auch von Betriebssystem, Endpunktnetz und Auflösungsmethode der Anwendung ab.

Nameservergruppe erstellen

1. Öffnen Sie in der Konsole Zero Trust und DNS. Wenn bereits eine Nameservergruppe oder eine benutzerdefinierte Zone vorhanden ist, wählen Sie den Tab „Nameserver Groups“ und dann „Create“. Sind beide Listen leer, wählen Sie auf der Einstiegsseite „Create Nameserver Group“.
2. Geben Sie unter „Basic Information“ einen unterscheidbaren Namen und bei Bedarf eine Beschreibung ein, etwa „Interner DNS Entwicklung“.
3. Wählen Sie unter „Effective Scope“ mindestens eine Zugriffsgruppe und prüfen Sie, dass die Zielendpunkte dazugehören.
4. Geben Sie unter „DNS Servers“ Server-IP und Port ein. Sie können Server hinzufügen; Server derselben Gruppe sollten dieselben Auflösungsanforderungen erfüllen. Jede Gruppe muss 1 bis 3 gültige Serveradressen enthalten. Die Seite erlaubt weitere Zeilen, beim Absenden von mehr als 3 gültigen Adressen schlägt das Speichern jedoch fehl.
5. Wählen Sie unter „Resolution Rules“ den Modus „All Domains“ oder „Specified Domains“. Bei „Specified Domains“ fügen Sie mindestens einen Eintrag unter „Matched Domains“ hinzu. Wenn Kurznamen benötigt werden, prüfen Sie zusätzlich die unten beschriebene Suchdomänenoption.
6. Speichern Sie. Kontrollieren Sie in der Liste Gruppe, passende Domänen, Geltungsgruppen und Aktivierungsstatus und testen Sie anschließend die Auflösung am Zielendpunkt.

Schlägt das Speichern fehl, prüfen Sie gemäß Meldung Namen, Adresse, Port, Protokoll, Geltungsbereich und passende Domänen. Der Port muss zwischen 1 und 65535 liegen. Nur eine aktivierte Konfiguration wird an passende Endpunkte verteilt. Ist ein Endpunkt nicht verbunden oder hat er die Konfiguration noch nicht angewendet, beweist das Speichern keine Umstellung der Auflösung.

Entspricht eine DNS-Serveradresse in der Gruppe der eigenen Zero-Trust-Adresse eines Endpunkts, erhält dieser möglicherweise die gesamte Servergruppe einschließlich der anderen Server nicht, obwohl er zum Geltungsbereich gehört. Leiten Sie die Anwendung auf dem Serverendpunkt nicht allein aus der Gruppenmitgliedschaft ab. Planen und prüfen Sie dessen Auflösung gesondert und testen Sie die Servererreichbarkeit von anderen Pilotendpunkten.

Auflösungsmodus wählen

Alle Domänen

Die Gruppe dient den betreffenden Endpunkten als standardmäßiger Upstream für Anfragen ohne spezifischere Regel. In diesem Modus werden weder passende Domänen konfiguriert noch Suchdomänen für die Gruppe aktiviert.

Wird beispielsweise ein Unternehmens-DNS für alle Domänen an Büroendpunkte verteilt, werden Anfragen ohne spezifischeren Treffer normalerweise von dieser Gruppe behandelt. Prüfen Sie vor dem Einsatz interne und externe Geschäftsnamen. Ein DNS, der nur interne Namen auflöst, kann bei Verwendung für alle Domänen andere Auflösungen beeinträchtigen.

Bestimmte und passende Domänen

Geben Sie mindestens eine passende Domäne an. Die Domäne selbst und ihre Subdomänen können diese Gruppe verwenden; Anfragen außerhalb des Bereichs werden durch diese Regel nicht pauschal an die Gruppe weitergeleitet.

Beispiel: DNS 10.20.0.53, Port 53, passende Domäne dev.example.com, Geltungsbereich die Zugriffsgruppe der Entwicklungsendpunkte. Für dev.example.com und git.dev.example.com kann die Gruppe verwendet werden; www.example.net liegt außerhalb. Die Werte sind Beispiele; der Erfolg hängt auch von DNS-Einträgen und Erreichbarkeit ab.

Geben Sie als passende Domäne einen normalen Domänennamen ohne Platzhalter wie *. ein. dev.example.com passt beispielsweise zu dieser Domäne und ihren Subdomänen; *.dev.example.com besteht die Speicherprüfung nicht. Dies unterscheidet sich von Wildcard-Einträgen in benutzerdefinierten Zonen.

Suchdomänen aktivieren

„Enable Search Domains“ verteilt passende Domänen als DNS-Suchdomänen an Endpunkte; es erweitert nicht den Kreis der Endpunkte. Die Option wird nur für bestimmte Domänen verwendet.

Bei dev.example.com kann das Betriebssystem für den Kurznamen git etwa git.dev.example.com versuchen. Ergänzung, Reihenfolge und Ergebnis hängen von Betriebssystem und Anwendung ab. Prüfen Sie wichtige Dienste zur Vermeidung von Mehrdeutigkeit auch mit vollständigem Domänennamen.

Ohne Konfiguration und Rückfall

Ohne eine Gruppe für alle Domänen können gewöhnliche Namen normalerweise weiterhin über den vorhandenen DNS des Endpunkts aufgelöst werden. Zero Trust ist dadurch nicht zwangsläufig vollständig aus der DNS-Auflösung ausgeschlossen: Knotennamen oder andere konfigurierte Regeln können weiter gelten. Verfügbarkeit und Auflösungspfad hängen von der Endpunktumgebung ab; nicht jede Anfrage ist garantiert erfolgreich.

Ein Endpunkt kann den vorhandenen DNS als Rückfallquelle verwenden. Gehen Sie weder von einem immer unterbrechungsfreien Wechsel bei Ausfall des ausgewählten DNS noch davon aus, dass Unternehmensdomänen niemals andere Resolver erreichen. Prüfen Sie das tatsächliche Verhalten anhand Ihrer DNS-Sicherheitsanforderungen.

Wenn alle geltenden Upstreams fehlschlagen: In bestimmten Fällen der Zero-Trust-DNS-Auflösung auf Endpunkten wird für eine Anfrage, die an die geltenden Nameservergruppen übergeben wurde und von keiner davon eine gültige Antwort erhält, ein Auflösungsfehler zurückgegeben. Allein dieser Fehler bewirkt keine anschließende Anfrage an den ursprünglichen DNS des Endgeräts. Prüfen Sie geltende Gruppen, Server, Netzwerk und DNS-Einträge, statt den ursprünglichen DNS in diesem Fall als garantierte Ausfallsicherung anzusehen. Betriebssysteme, Anwendungen und spätere Wiederholungen können anders reagieren; dies garantiert nicht, dass die Domäne niemals an andere DNS-Server gesendet wird.

DNS-Transport und mehrere Server prüfen

Die Nameservergruppe wird als UDP konfiguriert; eine Abfrage verwendet jedoch nicht zwingend nur UDP. In bestimmten Fällen der Zero-Trust-DNS-Auflösung auf Endpunkten wird bei einer abgeschnittenen UDP-Antwort ein erneuter Versuch über TCP an denselben DNS-Server und Port unternommen. Eine eingehende TCP-Abfrage kann ebenfalls TCP zum Upstream verwenden. Prüfen Sie vor der Einführung, ob UDP und TCP vom Zielgerät zur konfigurierten Adresse und zum Port den Netzwerk- und Zugriffsregeln der Organisation entsprechen. Testen Sie einfache Abfragen und größere Antworten getrennt. UDP-Erreichbarkeit allein belegt nicht, dass alle Abfragen abgeschlossen werden.

Bei mehreren Servern in einer Gruppe müssen deren Antworten für die betreffenden Domains konsistent und erwartungsgemäß sein. Bei Zeitüberschreitung oder bestimmten Serverfehlern kann der Client einen anderen Server derselben Gruppe versuchen. Eine Antwort, dass die Domain nicht existiert, ist dagegen eine gültige DNS-Antwort und führt normalerweise nicht zum nächsten Server dieser Gruppe. Manche sicherheitsrichtlinienbezogenen Fehler können erneute Versuche ebenfalls beenden. Mehrere für dieselbe Domain geltende Gruppen können gleichzeitig beteiligt sein; ein bestimmter erster Antwortgeber ist nicht garantiert. Prüfen Sie bei Abweichungen die Einträge, Berechtigungen und UDP/TCP-Verbindungen jedes Servers sowie die Endgerätekonfiguration und testen Sie die Anwendung.

In bestimmten Fällen der Zero-Trust-DNS-Auflösung auf Endpunkten werden Server innerhalb einer Gruppe in der übermittelten Reihenfolge versucht. Bei einer gültigen Antwort wird der nächste Server nicht zum Vergleich abgefragt. Die Wiederholungen haben eine Gesamtzeitgrenze; ein Versuch jedes Servers ist nicht garantiert. Speichern und prüfen Sie eine geänderte Reihenfolge und testen Sie auf tatsächlichen Endpunkten. Gleichzeitige Anfragen verschiedener Gruppen können das Ergebnis weiterhin beeinflussen.

Gruppe bearbeiten, deaktivieren und löschen

Halten Sie vor Änderungen Server, Auflösungsmodus, passende Domänen und Geltungsbereich fest. Ermitteln Sie abhängige Endpunkte und Dienste und bereiten Sie eine Wiederherstellung vor. Deaktivieren oder Löschen kann die interne und externe Namensauflösung ändern; ein automatischer Wechsel zu einem anderen funktionierenden DNS ist nicht garantiert.

Auflösungsmodus wechseln: Der Wechsel von bestimmten zu allen Domänen löscht sofort die passenden Domänen im Formular und schaltet Suchdomänen aus. Beim Zurückwechseln werden sie nicht automatisch wiederhergestellt. Brechen Sie bei einer ungespeicherten Änderung einer vorhandenen Gruppe ab und öffnen Sie sie erneut, um den gespeicherten Zustand zu prüfen. Nach dem Speichern stellen Sie Werte anhand des Änderungsprotokolls manuell wieder her und prüfen sie. Ungespeicherte Eingaben einer neuen Gruppe müssen ebenfalls erneut eingegeben werden.

1. Suchen Sie die Gruppe unter Zero Trust > DNS > Nameserver Groups. Wählen Sie in der Zeile Edit, ändern und speichern Sie die Konfiguration. Prüfen Sie Server, passende Domänen, Geltungsbereich und Status erneut.

2. Nutzen Sie zum vorübergehenden Deaktivieren oder erneuten Aktivieren den Statusschalter der Zeile. Prüfen Sie Ergebnis und Status. Ohne Schreibberechtigung oder während der Verarbeitung kann der Schalter nicht verfügbar sein.

3. Wird die Gruppe nicht mehr benötigt, wählen Sie Delete, prüfen den Namen und bestätigen Delete. Bewerten Sie vorher Auswirkungen und Wiederherstellung; Bearbeiten und Löschen können unterschiedliche Rechte erfordern.

4. Warten Sie, bis betroffene Endpunkte die Änderung empfangen, und testen Sie betroffene vollständige sowie gewöhnliche Domänennamen von Pilotendpunkten aus. Testen Sie bei Suchdomänen auch Kurznamen. Speichern oder Statusänderung beweist nicht, dass alle Endpunkte die Änderung angewandt haben; weitere Einstellungen und die Endpunktumgebung beeinflussen das Ergebnis.

Prüfung und häufige Probleme

1. Prüfen Sie, ob die Gruppe aktiviert ist, der Endpunkt zum Geltungsbereich gehört, verbunden ist und die aktuelle Konfiguration angewendet hat.
2. Fragen Sie vom Endpunkt einen vollständigen Namen innerhalb und einen Namen außerhalb der passenden Domäne ab und vergleichen Sie die Ergebnisse. Verwenden Sie Domänen, die Ihre Organisation besitzt oder testen darf.
3. Testen Sie bei Suchdomänen Kurznamen und vollständige Namen getrennt. Funktioniert nur der vollständige Name, prüfen Sie die Suchdomäne und ob die Anwendung die DNS-Einstellungen des Betriebssystems verwendet.
4. Prüfen Sie bei Auflösungsfehlern Server-IP, Port, UDP- und TCP-Erreichbarkeit und DNS-Einträge sowie einen möglichen Ausschluss des Endpunkts von der DNS-Verwaltung.
5. Sind gewöhnliche Domänen betroffen, prüfen Sie den Modus für alle Domänen und die Auflösungsfähigkeit des DNS. Dokumentieren Sie vor Änderungen die Konfiguration und bewerten Sie die Auswirkungen; wenden Sie sich bei Bedarf an Administration oder Support.