Quản lý vùng và bản ghi DNS tùy chỉnh

Vùng tùy chỉnh quản lý các bản ghi phân giải của miền trong DNS Zero Trust. Khác với nhóm máy chủ tên, vốn chỉ định DNS thượng nguồn, vùng tùy chỉnh duy trì các bản ghi cụ thể trong vùng.

Cần kiểm tra riêng miền của vùng, nội dung bản ghi và phạm vi phân phối. Lưu vùng thành công không có nghĩa mọi thiết bị đã nhận cấu hình hoặc dịch vụ được trỏ tới có thể truy cập.

Chuẩn bị

• Dùng tài khoản có quyền quản lý DNS Zero Trust; xác định miền cần quản lý và người phụ trách.
• Xác nhận thiết bị đích kết nối Zero Trust và được phép áp dụng cấu hình quản lý DNS; xác định nhóm truy cập cần nhận bản ghi.
• Kiểm tra bản ghi không xung đột ngoài ý muốn với tên DNS và cấu hình nghiệp vụ hiện có; chuẩn bị địa chỉ hoặc bí danh đích có thể xác minh.
• Đánh giá ảnh hưởng trước khi thay đổi và thử trước với phạm vi thiết bị được kiểm soát cùng tên kiểm thử.

Tạo vùng

1. Trong bảng điều khiển, mở DNS của Zero Trust. Nếu đã có nhóm máy chủ tên hoặc vùng tùy chỉnh, chọn thẻ “Custom Zones” rồi chọn “Create”. Nếu cả hai danh sách đều trống, chọn “Create Custom Zone” trên trang hướng dẫn.
2. Nhập miền trong “Domain” và tên dễ nhận biết trong “Name” nếu cần. Miền bắt buộc và không thể sửa sau khi tạo; nếu cần đổi miền, hãy lập kế hoạch tạo vùng mới.
3. Mở “Distribution Settings”, rồi chọn nhóm nhận vùng tại “Distribution Groups”. Nếu không chọn nhóm phân phối, vùng có thể áp dụng cho mọi thiết bị đủ điều kiện. Nếu chỉ thử nghiệm hoặc giới hạn phòng ban, phải chọn nhóm tương ứng rõ ràng.
4. Bật “Enable Search Domain” nếu cần. Khi bật, vùng được phân phối làm miền tìm kiếm DNS; việc bổ sung tên ngắn vẫn phụ thuộc hệ điều hành và ứng dụng.
5. Sau khi lưu, kiểm tra tên, miền, nhóm và trạng thái bật trong danh sách, rồi vào vùng để quản lý bản ghi DNS.

Khác với nhóm máy chủ tên yêu cầu chọn phạm vi, vùng tùy chỉnh có thể không chọn nhóm phân phối. Không áp dụng cùng một giả định cho hai loại. Sau khi tắt vùng, không kỳ vọng cấu hình mới tiếp tục có hiệu lực trên thiết bị; chờ thiết bị hiện có nhận thay đổi và xác minh.

Bản ghi cùng tên và xung đột: Trong cùng vùng, một tên có thể có nhiều bản ghi A hoặc AAAA với giá trị khác nhau, và A có thể cùng tồn tại với AAAA. Tuy nhiên, CNAME không thể cùng tồn tại với bản ghi khác cùng tên, kể cả một CNAME khác. Không thể tạo trùng tên, loại và giá trị ngay cả khi TTL khác. Nếu lưu thất bại, trước hết kiểm tra các bản ghi hiện có và loại của chúng. Trước khi thay thế, đánh giá ảnh hưởng đến bộ nhớ đệm và dịch vụ, đồng thời chuẩn bị phương án khôi phục.

Bản ghi ký tự đại diện: Tên bản ghi trong vùng tùy chỉnh có thể dùng ký tự đại diện ở ngoài cùng bên trái, chẳng hạn tạo bản ghi A cho *.dev.example.com trong dev.example.com. Trong một số trường hợp phân giải trên thiết bị, khi tên được hỏi không có bản ghi cục bộ tường minh, git.dev.example.com có thể khớp bản ghi này; tên gốc vùng dev.example.com và tên sâu hơn api.git.dev.example.com không khớp bản ghi đại diện đó. Cấu hình DNS khác vẫn có thể trả lời. Hãy thử riêng tên cụ thể, tên gốc và tên nhiều cấp; không coi quy tắc này là bảo đảm phân giải hoặc chặn mọi cấp.

Thêm bản ghi DNS

1. Mở vùng đích trong danh sách vùng tùy chỉnh, vào “DNS Records” và chọn “Create Record”.
2. Nhập tên miền đầy đủ. Ví dụ trong vùng dev.example.com, nhập git.dev.example.com.
3. Chọn loại bản ghi và nhập nội dung tương ứng: địa chỉ IPv4 cho A, địa chỉ IPv6 cho AAAA và tên miền đích cho CNAME.
4. Nhập TTL dương theo yêu cầu quản lý DNS và lưu. TTL ban đầu của bản ghi mới là 300. Kiểm tra tên, loại, nội dung và TTL trong danh sách.
5. Xác nhận vùng đang bật và có bản ghi dự kiến, rồi truy vấn tên đầy đủ từ thiết bị trong phạm vi. Vùng không có bản ghi không tạo tập bản ghi có thể phân phối.

Ví dụ, thêm bản ghi A cho git.dev.example.com trong dev.example.com với địa chỉ thử nghiệm 10.20.0.10. Giá trị chỉ để minh họa, không phải mặc định; tổ chức xác nhận đích thực tế.

TTL bằng không hoặc để trống: Giao diện nhận 0 và cũng xử lý ô bị xóa trống là 0. Khi tạo mới, 0 được lưu thành 300 giây; khi sửa bản ghi hiện có, 0 giữ TTL cũ thay vì đặt về không. Bản ghi cũ có TTL không dương được gửi xuống thiết bị với giá trị dự phòng 60 giây. Không dùng 0 để biểu thị tắt bộ nhớ đệm. Hãy nhập số dương mong muốn, lưu, mở lại hoặc tải lại danh sách để kiểm tra giá trị đã lưu, rồi thử trên thiết bị thí điểm.

Bản ghi tùy chỉnh và nguồn DNS khác

Vùng tùy chỉnh không phải ranh giới cô lập toàn bộ không gian tên. Khi thiết bị xử lý vùng đã được phân phối, tên không có trong vùng có thể tiếp tục được gửi tới nguồn phân giải phù hợp khác. Không giả định tên chưa cấu hình luôn bị chặn hoặc các truy vấn này không bao giờ rời khỏi phạm vi tổ chức cho phép.

Kiểm tra riêng từng loại bản ghi của cùng một tên. Ví dụ nếu vùng chỉ có bản ghi A cho git.dev.example.com, truy vấn AAAA của tên đó có thể nhận phản hồi không có địa chỉ; không giả định hệ thống luôn hỏi thêm máy chủ thượng nguồn để lấy địa chỉ IPv6. Quy tắc DNS khác và cách thiết bị phân giải cũng có thể ảnh hưởng kết quả cuối cùng. Tên và địa chỉ chỉ là ví dụ.

Trước khi triển khai, dùng tên thử nghiệm được tổ chức cho phép và thiết bị thí điểm để kiểm tra riêng A và AAAA của tên đã cấu hình, một tên chưa cấu hình trong vùng và một tên ngoài vùng. Đối chiếu phản hồi cuối cùng và nguồn DNS thực tế với yêu cầu bảo mật. Không dùng tên nhạy cảm chưa được phép để thử phân giải bên ngoài. Đồng thời kiểm tra riêng kết nối nghiệp vụ và chính sách truy cập.

Nếu CNAME tùy chỉnh trỏ đến một tên trong cùng vùng đã phân phối nhưng bản ghi đích chỉ có trên DNS thượng nguồn, không nên giả định thiết bị luôn dùng bí danh tùy chỉnh rồi truy vấn đích ở thượng nguồn. Trong trường hợp này, truy vấn bí danh ban đầu có thể được chuyển sang nguồn phân giải khác; việc phân giải vẫn có thể thất bại nếu nguồn đó không có bí danh. Nên cấu hình bản ghi đích cần thiết trong vùng tùy chỉnh và kiểm tra riêng bí danh cùng tên đích.

Khi một tên trả về nhiều địa chỉ A hoặc AAAA, máy khách có thể lọc một số địa chỉ theo trạng thái kết nối của các nút Zero Trust đã biết. Địa chỉ chưa biết không bị lọc vì lý do này; việc lọc cũng không được bảo đảm khi chỉ có một địa chỉ hoặc tất cả ứng viên đều không khả dụng. Địa chỉ do DNS trả về không chứng minh dịch vụ hoạt động tốt hay truy cập thành công. Hãy kiểm tra riêng kết nối nút, trạng thái dịch vụ và truy cập thực tế.

Sửa, tắt hoặc xóa vùng và bản ghi

Trước khi thay đổi, ghi lại cấu hình vùng, phạm vi phân phối và nội dung bản ghi; đánh giá ảnh hưởng và chuẩn bị phương án khôi phục.

1. Mở Zero Trust > DNS > Custom Zones. Chọn Edit ở dòng vùng cần sửa, thay đổi tên, nhóm phân phối hoặc thiết lập miền tìm kiếm, rồi chọn Save. Không thể sửa miền của vùng sau khi tạo.
2. Dùng công tắc trạng thái trên dòng vùng để tắt hoặc bật lại và kiểm tra trạng thái cuối cùng. Công tắc có thể không khả dụng khi đang xử lý hoặc tài khoản không có quyền ghi.
3. Để sửa bản ghi, chọn dòng vùng để mở danh sách, chọn Edit ở bản ghi cần sửa rồi Save sau khi thay đổi. Để xóa, chọn Delete, kiểm tra đối tượng và xác nhận bằng Delete.
4. Để xóa toàn bộ vùng, trở lại danh sách vùng, chọn Delete ở dòng tương ứng, kiểm tra đối tượng và xác nhận bằng Delete. Quyền xóa có thể khác quyền sửa. Sau đó kiểm tra danh sách, việc phân giải và cập nhật bộ nhớ đệm trên thiết bị bị ảnh hưởng.

Thay đổi và khắc phục sự cố

1. Trước khi sửa hoặc xóa, kiểm tra dịch vụ phụ thuộc tên, thiết bị đích và ảnh hưởng bộ nhớ đệm. Sau khi lưu, truy vấn lại và chờ thiết bị nhận cấu hình hoặc bộ nhớ đệm DNS cập nhật nếu cần.
2. Nếu kết quả không như mong đợi, kiểm tra vùng đã bật, có ít nhất một bản ghi và quản lý DNS Zero Trust được áp dụng trên thiết bị. Nếu đã chọn nhóm phân phối, xác nhận thiết bị thuộc ít nhất một nhóm đã chọn. Nếu không chọn nhóm, vùng có thể áp dụng cho mọi thiết bị đủ điều kiện mà không yêu cầu thuộc một nhóm phân phối cụ thể.
3. Kiểm tra tên bản ghi đầy đủ và loại phù hợp nội dung. Tên đích của CNAME cũng phải phân giải được trong môi trường hiện tại.
4. Nếu phân giải đúng nhưng dịch vụ không dùng được, kiểm tra tuyến, chính sách truy cập, dịch vụ đích và kết nối mạng. Bản ghi DNS chỉ giải quyết tên, không tự cấp quyền truy cập.
5. Tắt hoặc xóa vùng ảnh hưởng thiết bị phụ thuộc bản ghi. Trước khi thay đổi, ghi lại cấu hình và phương án khôi phục; sau đó xác minh từ thiết bị thử trong và ngoài phạm vi.