ตั้งค่ากลุ่มเซิร์ฟเวอร์ DNS

ใน Ping64 กลุ่มเนมเซิร์ฟเวอร์ใช้ส่งการตั้งค่าการแปลงชื่อ DNS ให้อุปกรณ์ปลายทาง Zero Trust ที่กำหนด ผู้ดูแลสามารถตั้ง DNS กลางสำหรับชื่อที่ไม่มีกฎเฉพาะกว่าจัดการ หรือส่งเฉพาะโดเมนองค์กรที่กำหนดไปยังเซิร์ฟเวอร์ DNS ที่เลือก

ขอบเขตการใช้งาน กำหนดว่าอุปกรณ์ใดได้รับการตั้งค่า ส่วน กฎการแปลงชื่อ กำหนดว่าคำค้นหาโดเมนใดบนอุปกรณ์เหล่านั้นใช้การตั้งค่านี้ หลังบันทึก อุปกรณ์ยังต้องเชื่อมต่อ รับและใช้การตั้งค่า และต้องเข้าถึงเซิร์ฟเวอร์ DNS ได้

ข้อกำหนดก่อนดำเนินการ

• ใช้บัญชีผู้ดูแลที่มีสิทธิ์ตั้งค่า DNS ของ Zero Trust และตรวจสอบว่าอุปกรณ์เป้าหมายเชื่อมต่อเครือข่าย Zero Trust แล้ว
• เตรียม IP และพอร์ตของเซิร์ฟเวอร์ DNS ที่อุปกรณ์เข้าถึงได้ รวมทั้งกลุ่มการเข้าถึงที่ต้องการใช้การตั้งค่า ปัจจุบันกลุ่มเนมเซิร์ฟเวอร์ใช้ UDP พอร์ต DNS ที่ใช้ทั่วไปคือ 53 แต่ให้ยึดการตั้งค่าจริงของเซิร์ฟเวอร์
• กำหนดขอบเขตอุปกรณ์และโดเมน ก่อนเลือกทุกโดเมน ให้ตรวจสอบว่า DNS แปลงชื่อที่อุปกรณ์ต้องใช้ได้และประเมินผลกระทบต่อบริการเดิมและการแปลงชื่ออินเทอร์เน็ต
• หากอุปกรณ์อยู่ในขอบเขตที่ปิดการจัดการ DNS ไม่ควรคาดว่าจะใช้การตั้งค่านี้ ผลจริงยังขึ้นกับระบบปฏิบัติการ เครือข่ายอุปกรณ์ และวิธีแปลงชื่อของแอปพลิเคชัน

สร้างกลุ่มเนมเซิร์ฟเวอร์

1. ในคอนโซลเปิด DNS ของ Zero Trust หากมีชุดเนมเซิร์ฟเวอร์หรือโซนแบบกำหนดเองอยู่แล้ว ให้เลือกแท็บ “Nameserver Groups” แล้วเลือก “Create” หากทั้งสองรายการว่าง ให้เลือก “Create Nameserver Group” ในหน้าแนะนำ
2. ใน “Basic Information” ป้อนชื่อที่แยกวัตถุประสงค์ได้และคำอธิบายตามจำเป็น เช่น “DNS ภายในฝ่ายพัฒนา”
3. ใน “Effective Scope” เลือกกลุ่มการเข้าถึงอย่างน้อยหนึ่งกลุ่ม และยืนยันว่าอุปกรณ์เป้าหมายอยู่ในกลุ่ม
4. ใน “DNS Servers” ป้อน IP และพอร์ตของเซิร์ฟเวอร์ สามารถเพิ่มเซิร์ฟเวอร์ได้ โดยเซิร์ฟเวอร์ในกลุ่มเดียวกันควรรองรับความต้องการแปลงชื่อเดียวกัน แต่ละกลุ่มต้องมีที่อยู่เซิร์ฟเวอร์ที่ถูกต้อง 1 ถึง 3 รายการ หน้าจออนุญาตให้เพิ่มแถวได้อีก แต่หากส่งที่อยู่ที่ถูกต้องมากกว่า 3 รายการ การบันทึกจะล้มเหลว
5. ใน “Resolution Rules” เลือก “All Domains” หรือ “Specified Domains” หากเลือก “Specified Domains” ให้เพิ่มโดเมนอย่างน้อยหนึ่งรายการใน “Matched Domains” หากต้องใช้ชื่อสั้น ให้พิจารณาโดเมนค้นหาตามหัวข้อด้านล่าง
6. บันทึก แล้วตรวจสอบกลุ่มเซิร์ฟเวอร์ โดเมนที่ตรงกัน กลุ่มที่ใช้และสถานะเปิดใช้งานในรายการ จากนั้นตรวจสอบผลบนอุปกรณ์เป้าหมาย

หากบันทึกไม่สำเร็จ ให้ตรวจสอบชื่อ ที่อยู่ พอร์ต โปรโตคอล ขอบเขตและโดเมนตามข้อความแจ้ง พอร์ตต้องอยู่ระหว่าง 1 ถึง 65535 การตั้งค่าที่เปิดใช้เท่านั้นที่จะส่งให้อุปกรณ์ซึ่งตรงกับกลุ่ม หากอุปกรณ์ยังไม่เชื่อมต่อหรือยังไม่ใช้การตั้งค่า การบันทึกบนคอนโซลเพียงอย่างเดียวไม่ยืนยันว่าการแปลงชื่อเปลี่ยนแล้ว

หากที่อยู่ DNS ใดในกลุ่มตรงกับที่อยู่ Zero Trust ของอุปกรณ์เอง อุปกรณ์นั้นอาจไม่ได้รับทั้งกลุ่มรวมถึงเซิร์ฟเวอร์อื่น แม้จะอยู่ในกลุ่มที่มีผล อย่าสรุปจากการเป็นสมาชิกว่าอุปกรณ์ที่เป็นเซิร์ฟเวอร์ใช้กลุ่มนี้แล้ว ควรวางแผนและตรวจการแปลงชื่อของอุปกรณ์นั้นแยกต่างหาก และทดสอบการเข้าถึงเซิร์ฟเวอร์จากอุปกรณ์ทดลองอื่น

เลือกโหมดการแปลงชื่อ

ทุกโดเมน

กลุ่มทำหน้าที่เป็น DNS ต้นทางเริ่มต้นสำหรับอุปกรณ์ที่กำหนดเมื่อคำค้นหาไม่มีกฎเฉพาะกว่าจัดการ โหมดนี้ไม่ตั้งโดเมนที่ตรงกันและไม่เปิดโดเมนค้นหาของกลุ่ม

ตัวอย่างเช่น เมื่อส่ง DNS ขององค์กรในโหมดทุกโดเมนให้อุปกรณ์สำนักงาน คำค้นหาที่ไม่ตรงกฎเฉพาะกว่ามักส่งให้กลุ่มนี้ ก่อนใช้งานจริงให้ตรวจสอบการแปลงชื่อบริการทั้งภายในและภายนอก หาก DNS แปลงได้เฉพาะโดเมนภายใน การใช้กับทุกโดเมนอาจกระทบชื่ออื่น

โดเมนที่ระบุและโดเมนที่ตรงกัน

เพิ่มโดเมนที่ตรงกันอย่างน้อยหนึ่งรายการ ตัวโดเมนและโดเมนย่อยสามารถใช้กลุ่มนี้ได้ ส่วนคำค้นหานอกขอบเขตไม่ได้ถูกส่งทั้งหมดไปยังกลุ่มนี้เพียงเพราะมีกฎดังกล่าว

ตัวอย่างใช้ DNS 10.20.0.53 พอร์ต 53 โดเมนที่ตรงกัน dev.example.com และขอบเขตเป็นกลุ่มการเข้าถึงของอุปกรณ์ฝ่ายพัฒนา คำค้นหา dev.example.com หรือ git.dev.example.com จากอุปกรณ์ที่รับการตั้งค่าสามารถใช้กลุ่มนี้ ส่วน www.example.net อยู่นอกขอบเขต ค่าเหล่านี้เป็นตัวอย่าง ผลสำเร็จยังขึ้นกับระเบียน DNS และการเข้าถึงเครือข่าย

ป้อนโดเมนปกติในช่องโดเมนที่ตรงกันโดยไม่ใส่ไวลด์การ์ด เช่น *. ตัวอย่าง dev.example.com ตรงกับโดเมนนั้นและโดเมนย่อย แต่ *.dev.example.com ไม่ผ่านการตรวจสอบเมื่อบันทึก การตั้งค่านี้ต่างจากระเบียนไวลด์การ์ดในโซนกำหนดเอง

เปิดโดเมนค้นหา

“Enable Search Domains” ส่งโดเมนที่ตรงกันเป็นโดเมนค้นหา DNS บนอุปกรณ์ ไม่ได้เพิ่มขอบเขตอุปกรณ์ที่รับการตั้งค่า ใช้ได้เฉพาะโหมดโดเมนที่ระบุ

ตัวอย่างเช่น เมื่อโดเมนตรงกันเป็น dev.example.com ระบบอาจลอง git.dev.example.com เมื่อค้นหาชื่อสั้น git การเติมชื่อ ลำดับและผลขึ้นกับระบบปฏิบัติการและแอปพลิเคชัน สำหรับบริการสำคัญควรตรวจสอบด้วยชื่อโดเมนเต็มเพื่อลดความกำกวม

เมื่อไม่ตั้งค่าและการใช้แหล่งสำรอง

หากไม่ได้ตั้งกลุ่มสำหรับทุกโดเมน โดเมนทั่วไปมักยังแปลงผ่าน DNS เดิมของอุปกรณ์ได้ แต่ไม่ได้หมายความว่า Zero Trust ไม่เกี่ยวข้องกับ DNS เลย ชื่อโหนดหรือกฎอื่นที่ตั้งไว้อาจยังมีผล ความพร้อมของ DNS เดิมและเส้นทางแปลงชื่อขึ้นกับสภาพอุปกรณ์ จึงไม่รับประกันว่าทุกคำค้นหาจะสำเร็จ

อุปกรณ์ Zero Trust อาจใช้ DNS เดิมเป็นแหล่งสำรอง อย่าตีความว่าจะสลับได้โดยไม่มีผลกระทบเสมอเมื่อเข้าถึง DNS ที่กำหนดไม่ได้ หรือสมมติว่าโดเมนองค์กรจะไม่ถึงเซิร์ฟเวอร์แปลงชื่ออื่นโดยเด็ดขาด ให้ตรวจสอบพฤติกรรมจริงตามข้อกำหนดความปลอดภัย DNS ขององค์กร

เมื่อเซิร์ฟเวอร์ต้นทางที่เกี่ยวข้องทั้งหมดล้มเหลว: ในบางกรณีของการแปลงชื่อ DNS แบบ Zero Trust บนอุปกรณ์ หากส่งคำถามให้กลุ่มเนมเซิร์ฟเวอร์ที่เกี่ยวข้องแล้วไม่มีกลุ่มใดให้คำตอบที่ใช้ได้ คำถามนั้นจะส่งผลการแปลงชื่อล้มเหลว และความล้มเหลวเพียงอย่างเดียวจะไม่ทำให้ถาม DNS เดิมของอุปกรณ์ต่อโดยอัตโนมัติ ให้ตรวจกลุ่มที่ใช้ เซิร์ฟเวอร์ เครือข่ายและระเบียน DNS แทนการถือว่า DNS เดิมเป็นระบบสำรองที่ใช้ได้แน่นอนในกรณีนี้ วิธีแปลงชื่อของระบบหรือแอปและการลองใหม่ภายหลังอาจต่างกัน ข้อความนี้ไม่ได้รับประกันว่าจะไม่มีการส่งโดเมนไปยัง DNS อื่น

ตรวจสอบการรับส่ง DNS และเซิร์ฟเวอร์หลายเครื่อง

กลุ่มเนมเซิร์ฟเวอร์กำหนดชนิดเป็น UDP แต่การค้นหาอาจไม่ได้ใช้ UDP เพียงอย่างเดียว ในบางกรณีของการแปลงชื่อ DNS แบบ Zero Trust บนอุปกรณ์ หากคำตอบ UDP ถูกตัดทอน ระบบจะลองใหม่ผ่าน TCP ไปยังเซิร์ฟเวอร์ DNS และพอร์ตเดิม และคำค้นหาที่เข้ามาทาง TCP อาจใช้ TCP ไปยังเซิร์ฟเวอร์ต้นทางด้วย ก่อนใช้งานให้ตรวจสอบว่า UDP และ TCP จากอุปกรณ์ไปยังที่อยู่และพอร์ตที่กำหนดเป็นไปตามข้อกำหนดเครือข่ายและการควบคุมสิทธิ์ขององค์กร และทดสอบคำค้นหาทั่วไปกับคำตอบขนาดใหญ่แยกกัน การตรวจสอบ UDP อย่างเดียวไม่พิสูจน์ว่าทุกคำค้นหาจะสำเร็จ

เมื่อกำหนดหลายเซิร์ฟเวอร์ในกลุ่มเดียว ควรตรวจสอบว่าทุกเครื่องให้ผลลัพธ์ของโดเมนที่เกี่ยวข้องตรงกันและเป็นไปตามที่คาด เมื่อหมดเวลาหรือเกิดข้อผิดพลาดบางชนิด ไคลเอนต์อาจลองเซิร์ฟเวอร์อื่นในกลุ่ม แต่คำตอบว่าไม่มีโดเมนเป็นคำตอบ DNS ที่ถูกต้อง และโดยปกติจะไม่ทำให้ลองเซิร์ฟเวอร์ถัดไปในกลุ่มเดียวกัน ข้อผิดพลาดบางอย่างที่เกี่ยวกับนโยบายความปลอดภัยอาจหยุดการลองใหม่ด้วย หลายกลุ่มที่ใช้กับโดเมนเดียวกันอาจร่วมค้นหาพร้อมกัน จึงไม่ควรสมมติว่ากลุ่มใดจะตอบก่อนเสมอ หากผลต่างกันให้ตรวจสอบระเบียน สิทธิ์ การเชื่อมต่อ UDP/TCP ของแต่ละเซิร์ฟเวอร์ และการตั้งค่าอุปกรณ์ แล้วทดสอบแอปพลิเคชันจริง

ในบางกรณีของการแปลงชื่อ DNS แบบ Zero Trust บนอุปกรณ์ เซิร์ฟเวอร์ในกลุ่มเดียวกันจะถูกลองตามลำดับที่ได้รับ หากเซิร์ฟเวอร์ก่อนหน้าตอบได้อย่างถูกต้องจะไม่ถามเซิร์ฟเวอร์ถัดไปเพื่อเปรียบเทียบ การลองซ้ำมีเวลารวมจำกัด จึงไม่รับประกันว่าจะลองครบทุกเซิร์ฟเวอร์ หลังเปลี่ยนลำดับให้บันทึก ตรวจอีกครั้ง และทดสอบบนอุปกรณ์จริง การถามพร้อมกันจากหลายกลุ่มยังอาจมีผลต่อผลลัพธ์

แก้ไข ปิดใช้งาน และลบกลุ่ม

ก่อนเปลี่ยนแปลงให้บันทึกเซิร์ฟเวอร์ โหมดแปลงชื่อ โดเมนที่ตรงกัน และขอบเขตเดิม ตรวจสอบอุปกรณ์และบริการที่พึ่งพากลุ่ม และเตรียมแผนกู้คืน การปิดหรือลบอาจเปลี่ยนการแปลงชื่อทั้งภายในและภายนอก อย่าสมมติว่าอุปกรณ์จะสลับไปใช้ DNS อื่นที่ทำงานได้โดยอัตโนมัติเสมอ

เปลี่ยนโหมดการแปลงชื่อ: เมื่อเปลี่ยนจากโดเมนที่ระบุเป็นทุกโดเมน หน้าจอจะล้างโดเมนที่ตรงกันในแบบฟอร์มทันทีและปิดโดเมนค้นหา การเปลี่ยนกลับไม่คืนค่าอัตโนมัติ หากกำลังแก้กลุ่มเดิมและยังไม่บันทึก ให้ยกเลิกและเปิดใหม่เพื่อตรวจค่าเดิมที่บันทึก หากบันทึกแล้วต้องคืนค่าด้วยตนเองตามบันทึกการเปลี่ยนแปลงและตรวจสอบ ส่วนข้อมูลกลุ่มใหม่ที่ยังไม่บันทึกต้องป้อนใหม่เช่นกัน

1. ค้นหากลุ่มใน Zero Trust > DNS > Nameserver Groups เลือก Edit ในแถวนั้น ปรับและบันทึกการตั้งค่า แล้วตรวจสอบเซิร์ฟเวอร์ โดเมน ขอบเขต และสถานะอีกครั้ง

2. หากต้องการปิดชั่วคราวหรือเปิดใหม่ ให้ใช้สวิตช์สถานะในแถว ตรวจสอบผลและสถานะอีกครั้ง สวิตช์อาจใช้งานไม่ได้หากไม่มีสิทธิ์เขียนหรือรายการกำลังดำเนินการ

3. หากไม่ต้องการกลุ่มแล้ว ให้เลือก Delete ในแถว ตรวจสอบชื่อและยืนยัน Delete ก่อนลบให้ประเมินผลกระทบและแผนกู้คืน การลบและการแก้ไขอาจใช้สิทธิ์ต่างกัน

4. รอให้อุปกรณ์ที่ได้รับผลกระทบรับการเปลี่ยนแปลง จากนั้นทดสอบชื่อโดเมนเต็มที่เกี่ยวข้องและโดเมนทั่วไปแยกกันจากอุปกรณ์ทดลอง หากใช้โดเมนค้นหาให้ทดสอบชื่อสั้นด้วย การบันทึกหรือเปลี่ยนสถานะไม่ได้ยืนยันว่าอุปกรณ์ทั้งหมดใช้ค่าแล้ว ผลยังขึ้นกับการตั้งค่าอื่นและสภาพแวดล้อมของอุปกรณ์

ตรวจสอบและปัญหาที่พบบ่อย

1. ยืนยันว่ากลุ่มเปิดใช้งาน อุปกรณ์อยู่ในขอบเขต เชื่อมต่อแล้ว และใช้การตั้งค่าปัจจุบัน
2. จากอุปกรณ์เป้าหมาย ค้นหาชื่อเต็มภายในโดเมนที่ตรงกันและชื่อนอกขอบเขตแยกกัน แล้วตรวจสอบผล ใช้โดเมนที่องค์กรเป็นเจ้าของหรือได้รับอนุญาตให้ทดสอบ
3. หากใช้โดเมนค้นหา ให้ทดสอบชื่อสั้นและชื่อเต็มแยกกัน หากชื่อเต็มใช้ได้แต่ชื่อสั้นผิดปกติ ให้ตรวจสอบโดเมนค้นหาและว่าแอปใช้การตั้งค่าระบบหรือไม่
4. หากแปลงชื่อไม่สำเร็จ ให้ตรวจสอบ IP พอร์ต การเชื่อมต่อ UDP และ TCP และระเบียน DNS รวมทั้งการยกเว้นอุปกรณ์จากการจัดการ DNS
5. หากโดเมนทั่วไปได้รับผลกระทบ ให้ตรวจสอบโหมดทุกโดเมนและความสามารถของ DNS ก่อนปรับให้บันทึกค่าเดิมและประเมินผลกระทบ ติดต่อผู้ดูแลหรือฝ่ายสนับสนุนตามจำเป็น