Cấu hình nhóm máy chủ DNS

Trong Ping64, nhóm máy chủ tên cung cấp cấu hình phân giải DNS cho các thiết bị đầu cuối Zero Trust được chỉ định. Quản trị viên có thể cấu hình DNS chung cho tên không được quy tắc cụ thể hơn xử lý hoặc chỉ chuyển các miền doanh nghiệp nhất định đến máy chủ DNS được chọn.

Phạm vi áp dụng quyết định thiết bị nào nhận cấu hình; quy tắc phân giải quyết định truy vấn miền nào trên các thiết bị đó sử dụng cấu hình. Sau khi lưu, thiết bị vẫn cần kết nối, nhận và áp dụng cấu hình, đồng thời có thể truy cập máy chủ DNS.

Điều kiện trước khi thực hiện

• Dùng tài khoản quản trị có quyền cấu hình DNS Zero Trust và xác nhận thiết bị đích đã kết nối mạng Zero Trust.
• Chuẩn bị IP và cổng của máy chủ DNS mà thiết bị có thể truy cập, cùng nhóm truy cập cần áp dụng. Nhóm máy chủ tên hiện dùng UDP; cổng DNS thông dụng là 53, nhưng phải theo cấu hình máy chủ thực tế.
• Xác định phạm vi thiết bị và miền. Trước khi cấu hình tất cả miền, kiểm tra DNS có phân giải được các tên cần thiết và đánh giá ảnh hưởng đến dịch vụ hiện có và phân giải Internet.
• Không kỳ vọng cấu hình được áp dụng cho thiết bị thuộc phạm vi tắt quản lý DNS. Kết quả còn phụ thuộc hệ điều hành, mạng thiết bị và cách phân giải của ứng dụng.

Tạo nhóm máy chủ tên

1. Trong bảng điều khiển, mở DNS của Zero Trust. Nếu đã có nhóm máy chủ tên hoặc vùng tùy chỉnh, chọn thẻ “Nameserver Groups” rồi chọn “Create”. Nếu cả hai danh sách đều trống, chọn “Create Nameserver Group” trên trang hướng dẫn.
2. Trong “Basic Information”, nhập tên phân biệt mục đích và mô tả nếu cần, ví dụ “DNS nội bộ phát triển”.
3. Trong “Effective Scope”, chọn ít nhất một nhóm truy cập và xác nhận thiết bị đích thuộc nhóm đã chọn.
4. Trong “DNS Servers”, nhập IP và cổng. Có thể thêm máy chủ; các máy chủ trong cùng nhóm cần đáp ứng cùng nhu cầu phân giải. Mỗi nhóm phải có từ 1 đến 3 địa chỉ máy chủ hợp lệ. Trang cho phép thêm dòng, nhưng việc lưu sẽ thất bại nếu gửi quá 3 địa chỉ hợp lệ.
5. Trong “Resolution Rules”, chọn “All Domains” hoặc “Specified Domains”. Với “Specified Domains”, thêm ít nhất một mục trong “Matched Domains”; nếu cần truy cập bằng tên ngắn, xem xét tùy chọn miền tìm kiếm ở dưới.
6. Lưu, kiểm tra nhóm máy chủ, miền khớp, nhóm áp dụng và trạng thái bật trong danh sách, rồi xác minh phân giải từ thiết bị đích.

Nếu lưu thất bại, kiểm tra tên, địa chỉ, cổng, giao thức, phạm vi và miền khớp theo thông báo. Cổng phải từ 1 đến 65535. Chỉ cấu hình đang bật mới được phân phối cho thiết bị khớp phạm vi nhóm. Nếu thiết bị chưa kết nối hoặc chưa áp dụng, không thể kết luận việc phân giải đã chuyển chỉ vì bảng điều khiển lưu thành công.

Nếu địa chỉ của bất kỳ máy chủ DNS nào trong nhóm trùng với địa chỉ Zero Trust của chính thiết bị, thiết bị đó có thể không nhận toàn bộ nhóm, kể cả các máy chủ khác, dù thuộc nhóm áp dụng. Không chỉ dựa vào tư cách thành viên để kết luận thiết bị chạy máy chủ đã áp dụng nhóm; hãy lập kế hoạch và kiểm tra phân giải của thiết bị đó riêng, đồng thời thử kết nối máy chủ từ các thiết bị thí điểm khác.

Chọn chế độ phân giải

Tất cả miền

Nhóm trở thành DNS thượng nguồn mặc định cho thiết bị áp dụng đối với truy vấn không được quy tắc cụ thể hơn xử lý. Chế độ này không cấu hình miền khớp hoặc bật miền tìm kiếm của nhóm.

Ví dụ, sau khi phân phối DNS doanh nghiệp ở chế độ tất cả miền cho thiết bị văn phòng, các truy vấn không khớp quy tắc cụ thể hơn thường được nhóm xử lý. Trước khi triển khai, kiểm tra khả năng phân giải tên dịch vụ nội bộ và bên ngoài. Dùng DNS chỉ phân giải miền nội bộ cho tất cả miền có thể ảnh hưởng các tên khác.

Miền chỉ định và miền khớp

Thêm ít nhất một miền khớp. Bản thân miền và các miền con có thể dùng nhóm này; truy vấn ngoài phạm vi không tự động bị chuyển hết đến nhóm chỉ vì quy tắc đó.

Ví dụ: máy chủ DNS 10.20.0.53, cổng 53, miền khớp dev.example.com, phạm vi là nhóm truy cập của thiết bị phát triển. Truy vấn dev.example.com hoặc git.dev.example.com từ thiết bị đã nhận cấu hình có thể do nhóm phân giải; www.example.net nằm ngoài phạm vi. Đây chỉ là giá trị ví dụ; kết quả còn tùy bản ghi DNS và khả năng kết nối mạng.

Nhập miền thông thường, không thêm ký tự đại diện như *. vào miền khớp. Ví dụ dev.example.com khớp miền đó và các miền con, còn *.dev.example.com không vượt qua kiểm tra khi lưu. Đây là cấu hình khác với bản ghi ký tự đại diện trong vùng tùy chỉnh.

Bật miền tìm kiếm

“Enable Search Domains” phân phối miền khớp làm miền tìm kiếm DNS trên thiết bị, không mở rộng số thiết bị áp dụng. Tùy chọn chỉ dùng trong chế độ miền chỉ định.

Ví dụ, với dev.example.com, hệ điều hành có thể thử git.dev.example.com khi truy vấn tên ngắn git. Việc bổ sung tên, thứ tự thử và kết quả tùy hệ điều hành và ứng dụng. Với dịch vụ quan trọng, hãy kiểm tra cả tên miền đầy đủ để giảm mơ hồ.

Khi chưa cấu hình và hành vi dự phòng

Nếu không cấu hình nhóm cho tất cả miền, các miền thông thường vẫn có thể được phân giải qua DNS vốn có của thiết bị. Điều này không có nghĩa Zero Trust hoàn toàn không tham gia DNS: tên nút hoặc quy tắc khác vẫn có thể áp dụng. Tính sẵn sàng của DNS cũ và đường phân giải phụ thuộc môi trường; không bảo đảm mọi truy vấn thành công.

Thiết bị Zero Trust có thể dùng DNS cũ làm nguồn dự phòng. Không hiểu rằng luôn chuyển đổi không gián đoạn khi DNS chỉ định không truy cập được, cũng không giả định miền doanh nghiệp chắc chắn không đến máy chủ phân giải khác. Cần kiểm tra hành vi thực tế theo yêu cầu bảo mật DNS của tổ chức.

Khi mọi máy chủ thượng nguồn áp dụng đều thất bại: Trong một số trường hợp phân giải DNS Zero Trust trên thiết bị, nếu truy vấn đã được chuyển tới các nhóm máy chủ tên áp dụng nhưng không nhóm nào trả lời hợp lệ, truy vấn đó trả về lỗi phân giải; riêng lỗi này không khiến truy vấn tiếp tục tới DNS ban đầu của thiết bị. Hãy kiểm tra các nhóm áp dụng, máy chủ, mạng và bản ghi DNS thay vì coi DNS ban đầu là phương án dự phòng chắc chắn trong trường hợp này. Cách phân giải của hệ điều hành, ứng dụng hoặc các lần thử sau có thể khác; điều này không bảo đảm tên miền sẽ không được gửi tới DNS khác.

Kiểm tra truyền tải DNS và nhiều máy chủ

Nhóm máy chủ tên được cấu hình với loại UDP, nhưng truy vấn không nhất thiết chỉ dùng UDP. Trong một số trường hợp phân giải DNS Zero Trust trên thiết bị, khi phản hồi UDP bị cắt, hệ thống thử lại bằng TCP tới cùng máy chủ DNS và cổng; truy vấn đến bằng TCP cũng có thể dùng TCP tới máy chủ thượng nguồn. Trước khi triển khai, xác nhận kết nối UDP và TCP từ thiết bị tới địa chỉ và cổng đã cấu hình đáp ứng yêu cầu mạng và kiểm soát truy cập của tổ chức. Kiểm tra riêng truy vấn đơn giản và phản hồi lớn. Chỉ kiểm tra UDP không chứng minh mọi truy vấn đều hoàn tất.

Khi một nhóm có nhiều máy chủ, cần bảo đảm các máy chủ trả kết quả nhất quán và đúng kỳ vọng cho miền áp dụng. Khi hết thời gian hoặc gặp một số lỗi máy chủ, máy khách có thể thử máy chủ khác trong nhóm. Tuy nhiên, phản hồi miền không tồn tại là phản hồi DNS hợp lệ và thông thường không khiến hệ thống thử máy chủ tiếp theo trong nhóm đó. Một số lỗi liên quan chính sách bảo mật cũng có thể dừng thử lại. Nhiều nhóm áp dụng cho cùng miền có thể tham gia đồng thời, vì vậy không mặc định một nhóm cụ thể luôn trả lời trước. Khi kết quả khác nhau, kiểm tra bản ghi, quyền, kết nối UDP/TCP của từng máy chủ và cấu hình thiết bị, rồi kiểm tra ứng dụng thực tế.

Trong một số trường hợp phân giải DNS Zero Trust trên thiết bị, các máy chủ trong cùng nhóm được thử theo thứ tự nhận được. Khi một máy trả lời hợp lệ, máy sau không được hỏi thêm để so sánh. Việc thử lại có giới hạn tổng thời gian nên không bảo đảm mọi máy chủ đều được thử. Sau khi đổi thứ tự, hãy lưu, kiểm tra lại và thử trên thiết bị thực tế; truy vấn đồng thời giữa các nhóm vẫn có thể ảnh hưởng kết quả.

Sửa, tắt và xóa nhóm

Trước khi thay đổi, ghi lại máy chủ, chế độ phân giải, miền khớp và phạm vi hiện tại; xác định thiết bị và dịch vụ phụ thuộc, đồng thời chuẩn bị phương án khôi phục. Việc tắt hoặc xóa có thể thay đổi phân giải tên nội bộ hoặc bên ngoài; không giả định thiết bị luôn tự chuyển sang DNS khác hoạt động được.

Chuyển chế độ phân giải: Khi chuyển từ miền chỉ định sang tất cả miền, trang lập tức xóa miền khớp trong biểu mẫu và tắt miền tìm kiếm; chuyển lại không tự khôi phục. Nếu đang sửa nhóm hiện có mà chưa lưu, có thể hủy và mở lại để kiểm tra cấu hình đã lưu. Sau khi lưu, phải khôi phục thủ công theo bản ghi thay đổi và xác minh. Dữ liệu chưa lưu của nhóm mới cũng cần nhập lại.

1. Trong Zero Trust > DNS > Nameserver Groups, tìm nhóm cần xử lý. Chọn Edit ở dòng tương ứng, chỉnh cấu hình và lưu; kiểm tra lại máy chủ, miền khớp, phạm vi và trạng thái.

2. Để tạm tắt hoặc bật lại, dùng công tắc trạng thái trên dòng đó. Kiểm tra kết quả và trạng thái; công tắc có thể không dùng được khi thiếu quyền ghi hoặc thao tác đang xử lý.

3. Khi không còn cần nhóm, chọn Delete, kiểm tra tên rồi xác nhận Delete. Đánh giá tác động và phương án khôi phục trước khi xóa; quyền xóa và sửa có thể khác nhau.

4. Chờ thiết bị bị ảnh hưởng nhận thay đổi, rồi thử riêng tên miền đầy đủ liên quan và tên miền thông thường từ thiết bị thử nghiệm. Nếu dùng miền tìm kiếm, thử thêm tên ngắn. Lưu hoặc đổi trạng thái không chứng minh mọi thiết bị đã áp dụng; kết quả còn phụ thuộc cấu hình khác và môi trường thiết bị.

Xác minh và sự cố thường gặp

1. Xác nhận nhóm đang bật, thiết bị thuộc phạm vi, đã kết nối và áp dụng cấu hình hiện tại.
2. Từ thiết bị đích, truy vấn riêng tên đầy đủ trong miền khớp và tên ngoài miền, rồi so sánh kết quả. Dùng miền tổ chức sở hữu hoặc được phép thử nghiệm.
3. Khi dùng miền tìm kiếm, thử riêng tên ngắn và tên đầy đủ. Nếu chỉ tên đầy đủ hoạt động, kiểm tra miền tìm kiếm và ứng dụng có tuân theo cấu hình phân giải của hệ điều hành không.
4. Nếu phân giải thất bại, kiểm tra IP, cổng, kết nối UDP và TCP, bản ghi DNS và việc thiết bị có bị loại khỏi quản lý DNS không.
5. Nếu miền thông thường bị ảnh hưởng, kiểm tra chế độ tất cả miền và khả năng phân giải của DNS. Ghi lại cấu hình và đánh giá tác động trước khi thay đổi; liên hệ quản trị viên hoặc hỗ trợ nếu cần.