จัดการโซนและระเบียน DNS แบบกำหนดเอง

โซนแบบกำหนดเองใช้จัดการระเบียนแปลงชื่อของโดเมนใน DNS ของ Zero Trust ต่างจากกลุ่มเนมเซิร์ฟเวอร์ที่กำหนด DNS ต้นทาง โซนจะจัดการระเบียนเฉพาะภายในโซน

ตรวจสอบโดเมนของโซน เนื้อหาระเบียนและขอบเขตการกระจายแยกกัน การบันทึกโซนไม่ยืนยันว่าอุปกรณ์ทุกเครื่องได้รับการตั้งค่าหรือบริการที่ระเบียนชี้ไปเข้าถึงได้

เตรียมก่อนดำเนินการ

• ใช้บัญชีที่มีสิทธิ์จัดการ DNS ของ Zero Trust และกำหนดโดเมนที่ต้องดูแลกับผู้รับผิดชอบ
• ยืนยันว่าอุปกรณ์เป้าหมายเชื่อมต่อ Zero Trust และอนุญาตให้ใช้การจัดการ DNS พร้อมกำหนดกลุ่มการเข้าถึงที่ต้องรับระเบียน
• ตรวจสอบว่าระเบียนใหม่ไม่ขัดกับชื่อ DNS และการตั้งค่าธุรกิจเดิมโดยไม่ตั้งใจ และเตรียมที่อยู่หรือชื่อแทนเป้าหมายที่ตรวจสอบได้
• ประเมินผลกระทบก่อนเปลี่ยนและทดลองด้วยอุปกรณ์ที่ควบคุมกับชื่อทดสอบก่อน

สร้างโซน

1. ในคอนโซลเปิด DNS ของ Zero Trust หากมีชุดเนมเซิร์ฟเวอร์หรือโซนแบบกำหนดเองอยู่แล้ว ให้เลือกแท็บ “Custom Zones” แล้วเลือก “Create” หากทั้งสองรายการว่าง ให้เลือก “Create Custom Zone” ในหน้าแนะนำ
2. ป้อนโดเมนโซนใน “Domain” และชื่อที่แยกวัตถุประสงค์ได้ใน “Name” ตามจำเป็น โดเมนเป็นข้อมูลบังคับและแก้ไม่ได้หลังสร้าง หากต้องเปลี่ยนให้วางแผนสร้างโซนใหม่
3. เปิด “Distribution Settings” แล้วเลือกกลุ่มที่ต้องรับโซนใน “Distribution Groups” หากไม่เลือกกลุ่มกระจาย โซนอาจใช้กับอุปกรณ์ทุกเครื่องที่ตรงเงื่อนไข หากต้องทดลองหรือจำกัดแผนกให้เลือกกลุ่มชัดเจน
4. เปิด “Enable Search Domain” ตามจำเป็น เมื่อเปิด โซนจะส่งเป็นโดเมนค้นหา DNS แต่การเติมชื่อสั้นยังขึ้นกับระบบปฏิบัติการและแอป
5. หลังบันทึก ตรวจสอบชื่อ โดเมน กลุ่มและสถานะในรายการ แล้วเข้าโซนเพื่อดูแลระเบียน DNS

ต่างจากกลุ่มเนมเซิร์ฟเวอร์ที่ต้องเลือกขอบเขต โซนกำหนดเองอาจไม่เลือกกลุ่มกระจาย อย่าใช้สมมติฐานเดียวกัน เมื่อปิดโซนไม่ควรคาดว่าค่าใหม่จะยังมีผลบนอุปกรณ์ ต้องรอให้อุปกรณ์เดิมรับการเปลี่ยนและตรวจสอบ

ระเบียนชื่อเดียวกันและข้อขัดแย้ง: ภายในโซนเดียวกัน ชื่อเดียวสามารถมีระเบียน A หรือ AAAA หลายรายการที่มีค่าต่างกัน และมีทั้ง A กับ AAAA ได้ แต่ CNAME ไม่สามารถอยู่ร่วมกับระเบียนชื่อเดียวกันอื่น รวมถึง CNAME อีกรายการ ระเบียนที่ชื่อ ประเภท และค่าเหมือนกันไม่สามารถสร้างซ้ำได้แม้ TTL ต่างกัน หากบันทึกไม่สำเร็จให้ตรวจระเบียนและประเภทเดิมก่อน ก่อนแทนที่ให้ประเมินผลต่อแคชและบริการและเตรียมแผนกู้คืน

ระเบียนไวลด์การ์ด: ชื่อระเบียนในโซนกำหนดเองสามารถใช้ไวลด์การ์ดด้านซ้ายสุด เช่น สร้างระเบียน A สำหรับ *.dev.example.com ใน dev.example.com ในบางกรณีของการแปลงชื่อบนอุปกรณ์ หากชื่อที่ค้นหาไม่มีระเบียนภายในแบบระบุชัด git.dev.example.com อาจตรงกับระเบียนนี้ ส่วนรากโซน dev.example.com และชื่อที่ลึกกว่า api.git.dev.example.com ไม่ตรงกับระเบียนไวลด์การ์ดนี้ การตั้งค่า DNS อื่นยังอาจตอบได้ ให้ทดสอบชื่อเฉพาะ รากโซน และชื่อหลายระดับแยกกัน อย่าถือว่ากฎนี้รับประกันการแปลงชื่อหรือการบล็อกทุกระดับ

เพิ่มระเบียน DNS

1. เปิดโซนเป้าหมายจากรายการ เข้า “DNS Records” และเลือก “Create Record”
2. ป้อนชื่อโดเมนเต็ม เช่น ในโซน dev.example.com ป้อน git.dev.example.com
3. เลือกชนิดระเบียนและป้อนเนื้อหาที่ตรงกัน โดยป้อนที่อยู่ IPv4 สำหรับ A ที่อยู่ IPv6 สำหรับ AAAA และชื่อโดเมนเป้าหมายสำหรับ CNAME
4. ป้อน TTL เป็นจำนวนบวกตามข้อกำหนด DNS และบันทึก ค่าเริ่มต้นของระเบียนใหม่คือ 300 ตรวจสอบชื่อ ชนิด เนื้อหาและ TTL ในรายการ
5. ยืนยันว่าโซนเปิดและมีระเบียนที่ต้องการ แล้วค้นชื่อเต็มจากอุปกรณ์ในขอบเขต โซนที่ไม่มีระเบียนจะไม่สร้างชุดระเบียนสำหรับส่ง

ตัวอย่างเพิ่มระเบียน A ของ git.dev.example.com ใน dev.example.com โดยใช้ที่อยู่ทดสอบ 10.20.0.10 ค่าเหล่านี้เป็นตัวอย่างไม่ใช่ค่าเริ่มต้น องค์กรต้องยืนยันเป้าหมายจริง

TTL เป็นศูนย์หรือว่าง: หน้าจอรับ 0 และถือว่าการล้างช่องเป็น 0 ด้วย เมื่อสร้างระเบียนใหม่ 0 จะถูกบันทึกเป็น 300 วินาที ส่วนการแก้ไขระเบียนเดิมด้วย 0 จะคง TTL เดิม ไม่เปลี่ยนเป็นศูนย์ ระเบียนเก่าที่มี TTL ไม่เป็นบวกจะใช้ค่า 60 วินาทีเมื่อส่งให้อุปกรณ์ อย่าใช้ 0 เพื่อหมายถึงปิดแคช ให้ป้อนค่าบวกที่ต้องการ บันทึก เปิดหรือโหลดรายการใหม่เพื่อตรวจค่าที่บันทึก แล้วทดสอบบนอุปกรณ์นำร่อง

ระเบียนกำหนดเองและแหล่ง DNS อื่น

โซนกำหนดเองไม่ใช่ขอบเขตแยกชื่อทั้งหมด เมื่ออุปกรณ์ประมวลผลโซนที่ได้รับ ชื่อที่ไม่มีในโซนอาจถูกส่งต่อไปยังแหล่งแก้ชื่ออื่นที่ใช้ได้ อย่าสมมติว่าชื่อที่ไม่ได้ตั้งค่าจะถูกบล็อกเสมอ หรือคำค้นจะไม่ออกนอกขอบเขตที่องค์กรอนุญาต

ตรวจสอบระเบียนแต่ละประเภทของชื่อเดียวกันแยกกัน เช่น หากโซนมีเพียงระเบียน A สำหรับ git.dev.example.com การถาม AAAA สำหรับชื่อนั้นอาจได้คำตอบที่ไม่มีที่อยู่ อย่าสมมติว่าระบบจะถามเซิร์ฟเวอร์ต้นทางเพิ่มเติมเพื่อหาที่อยู่ IPv6 เสมอ กฎ DNS อื่นและวิธีแก้ชื่อของอุปกรณ์อาจมีผลต่อผลสุดท้าย ชื่อและที่อยู่เป็นเพียงตัวอย่าง

ก่อนใช้งาน ให้ใช้อุปกรณ์ทดลองและชื่อทดสอบที่องค์กรอนุญาต ตรวจสอบ A และ AAAA ของชื่อที่ตั้งค่า ชื่อที่ไม่ได้ตั้งในโซน และชื่อนอกโซนแยกกัน ตรวจว่าคำตอบสุดท้ายและแหล่ง DNS ที่ใช้จริงตรงตามข้อกำหนดความปลอดภัย อย่าใช้ชื่ออ่อนไหวที่ไม่ได้รับอนุญาตทดสอบการแก้ชื่อภายนอก และตรวจสอบการเชื่อมต่อธุรกิจและนโยบายการเข้าถึงแยกกัน

หาก CNAME ที่กำหนดเองชี้ไปยังชื่อในเขตที่แจกจ่ายเดียวกัน แต่ระเบียนเป้าหมายมีเฉพาะใน DNS ต้นทาง อย่าสมมติว่าปลายทางจะใช้ชื่อแทนที่กำหนดเองแล้วสอบถามเป้าหมายจากต้นทางเสมอ ในกรณีนี้ คำถามชื่อแทนเดิมอาจถูกส่งต่อให้แหล่งแปลชื่ออื่น และอาจล้มเหลวหากแหล่งนั้นไม่มีชื่อแทน ควรกำหนดระเบียนเป้าหมายที่ต้องใช้ในเขตกำหนดเอง และทดสอบชื่อแทนกับชื่อเป้าหมายแยกกัน

เมื่อชื่อหนึ่งส่งคืนที่อยู่ A หรือ AAAA หลายรายการ ไคลเอนต์อาจกรองบางที่อยู่ตามสถานะการเชื่อมต่อของโหนด Zero Trust ที่รู้จัก ที่อยู่ที่ไม่รู้จักจะไม่ถูกกรองด้วยเหตุผลนี้ และไม่รับประกันการกรองเมื่อมีที่อยู่เดียวหรือเมื่อตัวเลือกทั้งหมดใช้งานไม่ได้ การได้รับที่อยู่จาก DNS ไม่ยืนยันสุขภาพของบริการหรือความสำเร็จในการเข้าถึง ให้ตรวจสอบการเชื่อมต่อโหนด สถานะบริการ และการเข้าถึงจริงแยกกัน

แก้ไข ปิดใช้งาน หรือลบโซนและระเบียน

ก่อนเปลี่ยนแปลง ให้บันทึกการตั้งค่าโซน ขอบเขตการแจกจ่าย และเนื้อหาระเบียนเดิม ประเมินผลกระทบและเตรียมวิธีกู้คืน

1. เปิด Zero Trust > DNS > Custom Zones เลือก Edit ในแถวโซนเป้าหมาย แก้ไขชื่อ กลุ่มแจกจ่าย หรือการตั้งค่าโดเมนค้นหา แล้วเลือก Save โดเมนของโซนแก้ไขไม่ได้หลังสร้าง
2. ใช้สวิตช์สถานะในแถวโซนเพื่อปิดหรือเปิดใช้งานอีกครั้ง แล้วตรวจสอบสถานะสุดท้าย สวิตช์อาจใช้ไม่ได้ระหว่างดำเนินการหรือเมื่อไม่มีสิทธิ์เขียน
3. หากต้องแก้ไขระเบียน ให้เลือกแถวโซนเพื่อเปิดรายการ เลือก Edit ที่ระเบียนเป้าหมายและเลือก Save หลังแก้ไข หากต้องลบ เลือก Delete ตรวจสอบเป้าหมายและยืนยันด้วย Delete
4. หากต้องลบทั้งโซน ให้กลับไปยังรายการโซน เลือก Delete ในแถวเป้าหมาย ตรวจสอบและยืนยันด้วย Delete สิทธิ์ลบอาจต่างจากสิทธิ์แก้ไข หลังดำเนินการให้ตรวจรายการ รวมทั้งทดสอบการแปลงชื่อและการอัปเดตแคชบนอุปกรณ์ที่ได้รับผลกระทบ

เปลี่ยนแปลงและแก้ปัญหา

1. ก่อนแก้หรือลบระเบียน ตรวจสอบบริการที่พึ่งพาชื่อนี้ อุปกรณ์และผลกระทบต่อแคช หลังบันทึกให้ค้นอีกครั้งและรอการรับค่าและอัปเดตแคช DNS ตามจำเป็น
2. หากผลไม่ตรง ให้ตรวจว่าโซนเปิด มีระเบียนอย่างน้อยหนึ่งรายการ และอุปกรณ์ใช้การจัดการ DNS ของ Zero Trust หากเลือกกลุ่มกระจาย ให้ตรวจว่าอุปกรณ์อยู่ในกลุ่มที่เลือกอย่างน้อยหนึ่งกลุ่ม หากไม่เลือกกลุ่ม โซนอาจใช้กับอุปกรณ์ทุกเครื่องที่ตรงเงื่อนไขโดยไม่ต้องเป็นสมาชิกกลุ่มกระจายที่ระบุ
3. ตรวจสอบชื่อเต็ม ชนิดและเนื้อหาให้ตรงกัน เป้าหมายของ CNAME ต้องแปลงชื่อได้ในสภาพแวดล้อมปัจจุบันด้วย
4. หากแปลงชื่อถูกต้องแต่บริการใช้ไม่ได้ ให้ตรวจสอบเส้นทาง นโยบายเข้าถึง บริการเป้าหมายและเครือข่าย ระเบียน DNS แก้เพียงการแปลงชื่อ ไม่ให้สิทธิ์เข้าถึงโดยอัตโนมัติ
5. การปิดหรือลบโซนกระทบอุปกรณ์ที่พึ่งพาระเบียน ก่อนเปลี่ยนให้บันทึกค่าและเตรียมการกู้คืน แล้วตรวจสอบด้วยอุปกรณ์ทดสอบทั้งในและนอกขอบเขต