Configurer les groupes de serveurs DNS

Dans Ping64, un groupe de serveurs fournit une configuration de résolution DNS aux terminaux Zero Trust concernés. L'administrateur peut définir un DNS commun pour les noms non traités par une règle plus spécifique ou confier uniquement certains domaines d'entreprise à des serveurs DNS précis.

Le périmètre d'application détermine les terminaux qui reçoivent la configuration ; la règle de résolution détermine quelles requêtes de domaine l'utilisent sur ces terminaux. Après l'enregistrement, les terminaux doivent encore se connecter, recevoir et appliquer la configuration, et pouvoir joindre les serveurs DNS.

Prérequis

• Utilisez un compte administrateur autorisé à configurer le DNS Zero Trust et vérifiez que les terminaux concernés sont connectés au réseau Zero Trust.
• Préparez les adresses IP et ports de serveurs DNS accessibles depuis les terminaux, ainsi que le groupe d'accès auquel appliquer la configuration. Les groupes de serveurs utilisent actuellement UDP ; le port DNS courant est 53, mais la configuration réelle du serveur fait foi.
• Définissez le périmètre de terminaux et de domaines. Avant de sélectionner tous les domaines, vérifiez que le DNS peut résoudre tous les noms nécessaires et évaluez l'effet sur les services existants et la résolution Internet.
• Si un terminal appartient à un périmètre où la gestion DNS est désactivée, ne supposez pas que cette configuration s'y applique. Le résultat dépend aussi du système d'exploitation, du réseau du terminal et du mode de résolution propre à l'application.

Créer un groupe de serveurs

1. Dans la console, ouvrez Zero Trust puis DNS. Si la page contient déjà un groupe de serveurs ou une zone personnalisée, sélectionnez l’onglet « Nameserver Groups » puis « Create ». Si les deux listes sont vides, sélectionnez « Create Nameserver Group » sur la page d’accueil.
2. Dans « Basic Information », saisissez un nom permettant d'identifier l'usage et, si nécessaire, une description, par exemple « DNS interne développement ».
3. Dans « Effective Scope », sélectionnez au moins un groupe d'accès et vérifiez que les terminaux ciblés en font partie.
4. Sous « DNS Servers », saisissez l'adresse IP et le port. Vous pouvez ajouter des serveurs ; ceux d'un même groupe doivent répondre aux mêmes besoins de résolution. Chaque groupe doit contenir de 1 à 3 adresses de serveur valides. La page permet d’ajouter des lignes, mais l’enregistrement échoue si plus de 3 adresses valides sont soumises.
5. Dans « Resolution Rules », choisissez « All Domains » ou « Specified Domains ». Pour « Specified Domains », ajoutez au moins une entrée dans « Matched Domains ». Si l'accès par nom court est nécessaire, examinez l'option de domaine de recherche ci-dessous.
6. Enregistrez. Dans la liste, vérifiez le groupe, les domaines correspondants, les groupes concernés et l'état d'activation, puis testez la résolution depuis un terminal cible.

En cas d'échec de l'enregistrement, vérifiez selon le message le nom, l'adresse, le port, le protocole, le périmètre et les domaines correspondants. Le port doit être compris entre 1 et 65535. Seule une configuration activée est distribuée aux terminaux correspondant aux groupes. Un terminal déconnecté ou n'ayant pas encore appliqué la configuration n'a pas nécessairement changé de résolution malgré l'enregistrement dans la console.

Si une adresse DNS du groupe correspond à l’adresse Zero Trust propre à un terminal, celui-ci peut ne pas recevoir l’ensemble du groupe, y compris les autres serveurs, même s’il appartient au périmètre. Ne déduisez pas l’application du groupe sur le terminal hébergeant le serveur de sa seule appartenance. Planifiez et vérifiez séparément sa résolution, puis testez l’accès au serveur depuis d’autres terminaux pilotes.

Choisir le mode de résolution

Tous les domaines

Le groupe sert de DNS amont par défaut aux terminaux concernés pour les requêtes non traitées par une règle plus spécifique. Aucun domaine correspondant ni domaine de recherche de ce groupe n'est configuré dans ce mode.

Par exemple, après distribution d'un DNS d'entreprise en mode tous domaines aux terminaux de bureau, les requêtes sans règle plus spécifique sont normalement confiées à ce groupe. Avant le déploiement, vérifiez la résolution des noms métier internes et externes. Un DNS ne résolvant que les domaines internes peut perturber les autres noms s'il est utilisé pour tous les domaines.

Domaines spécifiques et domaines correspondants

Ajoutez au moins un domaine correspondant. Le domaine lui-même et ses sous-domaines peuvent utiliser ce groupe ; les requêtes hors périmètre ne lui sont pas toutes transmises du seul fait de cette règle.

Exemple : serveur 10.20.0.53, port 53, domaine correspondant dev.example.com et groupe d'accès des terminaux de développement. Les requêtes dev.example.com et git.dev.example.com peuvent être résolues par ce groupe ; www.example.net est hors périmètre. Ces valeurs sont des exemples ; le succès dépend aussi des enregistrements et de l'accès réseau au DNS.

Saisissez un domaine ordinaire sans caractère générique tel que *.. Par exemple, dev.example.com correspond à ce domaine et à ses sous-domaines ; *.dev.example.com échoue à la validation d’enregistrement. Cela diffère des enregistrements génériques des zones personnalisées.

Activer les domaines de recherche

« Enable Search Domains » distribue les domaines correspondants comme domaines de recherche DNS des terminaux ; cette option n'étend pas le périmètre de terminaux. Elle s'utilise uniquement avec les domaines spécifiques.

Avec dev.example.com, le système peut par exemple essayer git.dev.example.com pour le nom court git. La complétion, l'ordre et le résultat dépendent du système et de l'application. Pour éviter les ambiguïtés, vérifiez aussi les services critiques avec leur nom de domaine complet.

Sans configuration et repli

Sans groupe configuré pour tous les domaines, les noms ordinaires peuvent généralement continuer à être résolus par le DNS existant du terminal. Cela ne signifie pas que Zero Trust n'intervient plus dans le DNS : des noms de nœuds ou d'autres règles configurées peuvent rester actifs. La disponibilité du DNS existant et le chemin de résolution dépendent de l'environnement ; le succès de toutes les requêtes n'est pas garanti.

Le terminal Zero Trust peut utiliser le DNS existant comme source de repli. Ne supposez ni un basculement toujours transparent lorsque le DNS choisi est inaccessible, ni qu'un domaine d'entreprise n'atteindra jamais un autre résolveur. Vérifiez le comportement réel selon les exigences de sécurité DNS de l'organisation.

Lorsque tous les serveurs applicables échouent : dans certains cas de résolution DNS Zero Trust sur le terminal, si une requête a été confiée aux groupes de serveurs applicables et qu’aucun ne fournit de réponse valide, cette requête renvoie un échec de résolution. Cet échec seul ne déclenche pas sa poursuite vers le DNS d’origine du terminal. Vérifiez les groupes applicables, les serveurs, le réseau et les enregistrements DNS, sans considérer le DNS d’origine comme une solution de secours garantie dans ce cas. Les résolveurs du système ou de l’application et les tentatives ultérieures peuvent se comporter autrement ; cela ne garantit pas que le domaine ne sera jamais envoyé à un autre DNS.

Vérifier le transport DNS et les serveurs multiples

Le groupe de serveurs de noms est configuré en UDP, mais une requête n’utilise pas nécessairement uniquement UDP. Dans certains cas de résolution DNS Zero Trust sur le terminal, une réponse UDP tronquée déclenche une nouvelle tentative en TCP vers le même serveur DNS et le même port ; une requête entrante en TCP peut aussi utiliser TCP en amont. Avant le déploiement, vérifiez que les accès UDP et TCP du terminal vers l’adresse et le port configurés respectent les règles réseau et de contrôle d’accès. Testez séparément les requêtes simples et les réponses plus volumineuses. La seule connectivité UDP ne prouve pas que toutes les requêtes aboutiront.

Si un groupe contient plusieurs serveurs, vérifiez qu’ils fournissent des réponses cohérentes et attendues pour les domaines concernés. En cas de délai dépassé ou de certaines erreurs serveur, le client peut essayer un autre serveur du groupe. Une réponse indiquant que le domaine n’existe pas est une réponse DNS valide et ne provoque normalement pas l’essai du serveur suivant dans ce groupe. Certaines erreurs liées à la politique de sécurité peuvent également arrêter les tentatives. Plusieurs groupes applicables au même domaine peuvent participer simultanément : ne supposez pas qu’un groupe donné répond toujours en premier. En cas de divergence, vérifiez les enregistrements, droits et accès UDP/TCP de chaque serveur ainsi que la configuration du terminal, puis testez l’application.

Dans certains cas de résolution DNS Zero Trust sur le terminal, les serveurs d’un même groupe sont essayés dans l’ordre transmis. Une réponse valide n’entraîne pas l’interrogation du serveur suivant à des fins de comparaison. Le temps total des tentatives est limité : chaque serveur n’est pas nécessairement essayé. Après modification de l’ordre, enregistrez, revérifiez et testez sur les terminaux ; les requêtes simultanées de groupes différents peuvent encore influencer le résultat.

Modifier, désactiver et supprimer un groupe

Avant une modification, notez les serveurs, le mode de résolution, les domaines correspondants et le périmètre ; identifiez les terminaux et services dépendants et préparez un plan de retour arrière. La désactivation ou la suppression peut modifier la résolution interne ou externe ; le basculement automatique vers un autre DNS fonctionnel n'est pas garanti.

Changer de mode de résolution : passer des domaines spécifiques à tous les domaines efface immédiatement les domaines correspondants du formulaire et désactive les domaines de recherche ; revenir au mode précédent ne les restaure pas automatiquement. Pour un groupe existant non encore enregistré, annulez et rouvrez-le pour vérifier la configuration enregistrée. Après enregistrement, restaurez les valeurs manuellement à partir du relevé de changement et vérifiez-les. Les saisies non enregistrées d’un nouveau groupe doivent aussi être ressaisies.

1. Dans Zero Trust > DNS > Nameserver Groups, recherchez le groupe. Dans sa ligne, choisissez Edit, modifiez la configuration et enregistrez. Vérifiez à nouveau les serveurs, les domaines, le périmètre et l'état.

2. Pour désactiver temporairement ou réactiver le groupe, utilisez le commutateur d'état de sa ligne. Vérifiez le résultat et l'état. Le commutateur peut être indisponible sans droit d'écriture ou pendant le traitement.

3. Si le groupe n'est plus nécessaire, choisissez Delete, vérifiez son nom puis confirmez Delete. Évaluez d'abord les effets et le retour arrière ; la suppression et la modification peuvent exiger des droits différents.

4. Attendez la réception de la modification par les terminaux concernés, puis testez depuis des terminaux pilotes les noms complets concernés et les noms de domaines ordinaires. Testez aussi les noms courts si vous utilisez des domaines de recherche. L'enregistrement ou le changement d'état ne prouve pas l'application sur tous les terminaux ; le résultat dépend aussi des autres réglages et de leur environnement.

Vérification et problèmes courants

1. Vérifiez que le groupe est actif, que le terminal appartient au périmètre, qu'il est connecté et qu'il a appliqué la configuration actuelle.
2. Depuis le terminal, interrogez séparément un nom complet dans le domaine correspondant et un nom hors de ce domaine. Comparez les résultats attendus en utilisant des domaines appartenant à l'organisation ou dont le test est autorisé.
3. Si un domaine de recherche est utilisé, testez séparément nom court et nom complet. Si seul le nom complet fonctionne, vérifiez le domaine de recherche et l'utilisation des paramètres système par l'application.
4. En cas d'échec, vérifiez IP, port, connectivité UDP et TCP et enregistrements du serveur, ainsi qu'une éventuelle exclusion du terminal de la gestion DNS.
5. Si des domaines ordinaires sont affectés, vérifiez le mode tous domaines et la capacité de résolution du DNS. Avant modification, consignez la configuration et évaluez l'impact ; contactez l'administrateur ou le support si nécessaire.