Gérer les zones et enregistrements DNS personnalisés

Une zone personnalisée permet de gérer dans le DNS Zero Trust les enregistrements de résolution d'un domaine. Contrairement au groupe de serveurs, qui indique les DNS amont, la zone contient des enregistrements précis.

Vérifiez séparément le domaine de la zone, les enregistrements et le périmètre de distribution. Enregistrer une zone ne prouve pas que chaque terminal l'a reçue ni que le service désigné est accessible.

Préparation

• Utilisez un compte autorisé à gérer le DNS Zero Trust et identifiez le domaine et son responsable.
• Vérifiez que les terminaux cibles sont connectés à Zero Trust et autorisés à appliquer la gestion DNS ; identifiez les groupes d'accès destinataires.
• Vérifiez l'absence de conflit involontaire avec les noms DNS et configurations métier existants, et préparez des adresses ou alias cibles vérifiables.
• Évaluez l'impact avant changement et testez d'abord avec des terminaux contrôlés et des noms de test.

Créer une zone

1. Dans la console, ouvrez Zero Trust puis DNS. Si la page contient déjà un groupe de serveurs ou une zone personnalisée, sélectionnez l’onglet « Custom Zones » puis « Create ». Si les deux listes sont vides, sélectionnez « Create Custom Zone » sur la page d’accueil.
2. Saisissez le domaine de la zone dans « Domain » et, si nécessaire, un nom identifiable dans « Name ». Le domaine est obligatoire et non modifiable après création ; prévoyez une nouvelle zone pour en changer.
3. Ouvrez « Distribution Settings » et choisissez les groupes destinataires dans « Distribution Groups ». Sans groupe de distribution sélectionné, la zone peut s'appliquer à tous les terminaux admissibles. Pour un pilote ou un service précis, sélectionnez explicitement les groupes concernés.
4. Activez si nécessaire « Enable Search Domain ». La zone est alors distribuée comme domaine de recherche DNS ; la complétion des noms courts dépend toujours du système et de l'application.
5. Après enregistrement, vérifiez dans la liste nom, domaine, groupes et état, puis ouvrez la zone pour gérer ses enregistrements DNS.

Contrairement aux groupes de serveurs, qui exigent un périmètre, une zone personnalisée peut ne sélectionner aucun groupe de distribution. Ne supposez pas le même comportement. Après désactivation, ne supposez pas que la nouvelle configuration de zone continue à s'appliquer ; attendez sa réception par les terminaux existants et vérifiez le résultat.

Enregistrements homonymes et conflits : dans une même zone, un nom peut avoir plusieurs enregistrements A ou AAAA de valeurs différentes, et A et AAAA peuvent coexister. Un CNAME ne peut toutefois pas coexister avec un autre enregistrement du même nom, y compris un autre CNAME. Un nom, type et contenu identiques ne peuvent pas être créés deux fois, même avec un TTL différent. En cas d'échec, vérifiez d'abord les enregistrements et leurs types. Avant un remplacement, évaluez l'effet sur les caches et services et préparez un retour arrière.

Enregistrements génériques : le nom d'un enregistrement de zone personnalisée peut commencer par un caractère générique. Par exemple, créez un enregistrement A pour *.dev.example.com dans dev.example.com. Dans certains cas de résolution sur le terminal, git.dev.example.com peut correspondre si aucun enregistrement local explicite n'existe pour ce nom ; la racine dev.example.com et le nom plus profond api.git.dev.example.com ne correspondent pas à cet enregistrement générique. D'autres configurations DNS peuvent toutefois répondre. Testez séparément les noms précis, la racine et les noms plus profonds ; cette règle ne garantit ni résolution ni blocage à tous les niveaux.

Ajouter un enregistrement DNS

1. Ouvrez la zone cible dans la liste, accédez à « DNS Records » et choisissez « Create Record ».
2. Saisissez le nom de domaine complet ; par exemple git.dev.example.com dans la zone dev.example.com.
3. Choisissez le type d’enregistrement et saisissez le contenu correspondant : une adresse IPv4 pour A, une adresse IPv6 pour AAAA et le nom de domaine cible pour CNAME.
4. Saisissez un TTL positif conforme à vos exigences DNS et enregistrez. La valeur initiale d'un nouvel enregistrement est 300. Vérifiez nom, type, contenu et TTL dans la liste.
5. Vérifiez que la zone est active et contient les enregistrements attendus, puis interrogez le nom complet depuis un terminal du périmètre. Une zone sans enregistrement ne forme pas de jeu d'enregistrements distribuable.

Par exemple, ajoutez à dev.example.com un enregistrement A pour git.dev.example.com avec l'adresse de test 10.20.0.10. Ces valeurs ne sont pas des valeurs par défaut ; l'organisation détermine les cibles réelles.

TTL nul ou vide : l’interface accepte 0 et traite également un champ vidé comme 0. Pour un nouvel enregistrement, 0 est enregistré comme 300 secondes ; en modification, 0 conserve le TTL précédent au lieu de le mettre à zéro. Les anciens enregistrements dont le TTL n’est pas positif sont distribués aux terminaux avec une valeur de repli de 60 secondes. N’utilisez pas 0 pour désactiver le cache. Saisissez la valeur positive voulue, enregistrez, rouvrez ou actualisez la liste pour vérifier la valeur enregistrée, puis testez sur un terminal pilote.

Enregistrements personnalisés et autres sources DNS

Une zone personnalisée n’isole pas tout l’espace de noms. Lorsqu’un terminal traite une zone distribuée, un nom absent peut être transmis à une autre source de résolution applicable. Ne supposez ni que les noms non configurés sont toujours bloqués, ni que ces requêtes ne sortiront jamais du périmètre autorisé par l’organisation.

Vérifiez séparément les types d’enregistrement d’un même nom. Par exemple, si la zone contient seulement un enregistrement A pour git.dev.example.com, une requête AAAA pour ce nom peut recevoir une réponse sans adresse ; ne supposez pas qu’une adresse IPv6 sera systématiquement recherchée auprès d’un serveur en amont. D’autres règles DNS et le comportement du terminal peuvent influencer le résultat final. Le nom et les adresses sont des exemples.

Avant déploiement, utilisez des noms de test autorisés et des terminaux pilotes pour vérifier A et AAAA d’un nom configuré, un nom non configuré dans la zone et un nom extérieur. Contrôlez les réponses et sources DNS réellement utilisées au regard des exigences de sécurité. Ne testez pas la résolution externe avec des noms sensibles non autorisés. Vérifiez séparément la connexion métier et la politique d’accès.

Si un CNAME personnalisé pointe vers un nom de la même zone distribuée et que l’enregistrement cible existe uniquement dans le DNS amont, ne supposez pas que le terminal suivra toujours l’alias personnalisé pour interroger cette cible en amont. Dans ce cas, la requête de l’alias initial peut être transmise à un autre résolveur ; la résolution peut échouer si celui-ci ne connaît pas l’alias. Configurez l’enregistrement cible nécessaire dans la zone personnalisée et vérifiez séparément l’alias et la cible.

Lorsqu’un nom renvoie plusieurs adresses A ou AAAA, le client peut en filtrer certaines selon l’état de connexion des nœuds Zero Trust connus. Les adresses inconnues ne sont pas filtrées pour cette raison ; le filtrage n’est pas garanti pour une seule adresse ni lorsque tous les candidats sont indisponibles. Une réponse DNS ne prouve ni la santé du service ni la réussite de l’accès. Vérifiez séparément la connexion des nœuds, le service et l’accès réel.

Modifier, désactiver ou supprimer les zones et enregistrements

Avant toute modification, notez les paramètres de la zone, son périmètre de distribution et ses enregistrements ; évaluez les conséquences et préparez une restauration.

1. Ouvrez Zero Trust > DNS > Custom Zones. Sur la ligne de la zone, choisissez Edit, modifiez le nom, les groupes de distribution ou le domaine de recherche, puis choisissez Save. Le domaine de la zone ne peut plus être modifié après sa création.
2. Utilisez le commutateur d’état de la ligne pour désactiver ou réactiver la zone, puis vérifiez l’état final. Il peut être indisponible pendant une modification ou sans droit d’écriture.
3. Pour modifier un enregistrement, sélectionnez la ligne de la zone afin d’ouvrir sa liste, puis choisissez Edit sur l’enregistrement et Save après modification. Pour le supprimer, choisissez Delete, vérifiez la cible et confirmez avec Delete.
4. Pour supprimer la zone entière, revenez à la liste des zones, choisissez Delete sur sa ligne, vérifiez la cible et confirmez avec Delete. La suppression peut exiger des droits différents de la modification. Vérifiez ensuite la liste, la résolution et l’actualisation du cache sur les terminaux concernés.

Modifications et dépannage

1. Avant de modifier ou supprimer un enregistrement, vérifiez les services dépendants, terminaux ciblés et effets du cache. Après enregistrement, interrogez de nouveau et attendez si nécessaire la réception de la configuration et l'actualisation du cache DNS.
2. Si le résultat manque, vérifiez que la zone est active, contient au moins un enregistrement et que la gestion DNS Zero Trust s'applique au terminal. Si des groupes de distribution sont sélectionnés, vérifiez que le terminal appartient à au moins l'un d'eux. Si aucun groupe n'est sélectionné, la zone peut s'appliquer à tous les terminaux admissibles sans appartenance à un groupe de distribution précis.
3. Vérifiez que le nom est complet et que type et contenu correspondent. La cible d'un CNAME doit aussi pouvoir être résolue dans l'environnement courant.
4. Si la résolution est correcte mais le service indisponible, vérifiez route, politique d'accès, service cible et connectivité. Un enregistrement DNS résout un nom et n'accorde pas automatiquement l'accès.
5. La désactivation ou suppression d'une zone affecte les terminaux qui en dépendent. Consignez la configuration et préparez sa restauration avant le changement ; vérifiez ensuite depuis des terminaux dans et hors périmètre.