Búsqueda de sitios web

Configuración de reenvío condicional de DNS y políticas de DNS en Windows Server

En este artículo, veremos dos formas de organizar la resolución de nombres condicional en un servidor DNS en Windows Server 2016/2019/2022: Reenvío condicional de DNS y Políticas de DNS. Estas tecnologías le permiten configurar la resolución de nombres de DNS condicional en función del nombre solicitado, la dirección IP, la ubicación del cliente, la hora del día, etc.

El reenvío condicional de DNS permite reenviar solicitudes de DNS sobre un dominio en particular a servidores DNS específicos. Por lo general, los reenviadores condicionales se utilizan cuando desea configurar una resolución rápida de nombres entre varios dominios internos privados, o si no desea que las solicitudes de DNS de su servidor se envíen a través de Internet. En este caso, puede crear una regla en su servidor DNS para reenviar solicitudes de DNS para una zona de dominio en particular (¡¡solo!!!) a un servidor DNS específico.

¿Cómo configurar el reenviador condicional de DNS en Windows Server?

Intentemos configurar el reenvío condicional de DNS para una zona de dominio específica en Windows Server 2019. Por ejemplo, todas las solicitudes de DNS a

corp.a-d.site

la zona debe ser reenviada al servidor DNS

10.1.10.11

  1. Abra la consola de administración de DNS (

    dnsmgmt.msc

    );

  2. Expanda su servidor DNS, haga clic con el botón derecho en Reenviadores condicionales y seleccione Nuevo reenviador condicional;

  3. Introduzca el FQDN del dominio para el que desea habilitar el reenvío condicional en el campo Dominio DNS;

  4. Especifique la dirección IP del servidor DNS al que se deben reenviar todas las solicitudes para el espacio de nombres especificado en el campo Direcciones IP de los servidores maestros;

  5. Si desea almacenar una regla de reenvío condicional en más de este servidor DNS, puede integrarlo con AD. Marque la opción Almacenar este reenviador condicional en Active Directory;

  6. Configure la opción de replicación de reenvío condicional (Todos los servidores DNS de este bosque, Todos los servidores DNS de este dominio o Todos los controladores de dominio de este dominio).

Configurar el reenvío condicional de DNS con PowerShell

Puede crear una regla de reenviador condicional para una zona DNS mediante PowerShell. Use el cmdlet Add-DnsServerConditionalForwarderZone:

Add-DnsServerConditionalForwarderZone -Name dmz.a-d.site -MasterServers 192.168.1.11,192.168.101.11 -ReplicationScope Forest

Obtenga más información sobre la administración de servidores DNS mediante PowerShell.

Ejecute el siguiente script de PowerShell para enumerar los reenviadores condicionales de DNS en un servidor específico:

$DNSServer = "DC01"
$Zones = Get-WMIObject -Computer $DNSServer -Namespace "root\MicrosoftDNS" -Class "MicrosoftDNS_Zone"
$Zones | Select-Object Name,MasterServers,DsIntegrated,ZoneType | where {$_.ZoneType -eq "4"} | ft -AutoSize

Filtrar consultas de DNS con las políticas de DNS de Windows Server

Windows Server 2016 agrega una función de política DNS al servidor DNS. Las políticas de DNS le permiten configurar el servidor DNS para que devuelva diferentes respuestas a las consultas de DNS según su ubicación (según la dirección IP o la subred desde la que se envió la solicitud), la interfaz del servidor de DNS, la hora del día, el tipo de registro solicitado (A, CNAME, PTR, MX), etc. Las políticas de DNS en Windows Server le permiten implementar el equilibrio de carga, el filtrado de tráfico de DNS, la devolución de registros de DNS en función de la ubicación geográfica (dirección IP del cliente) y otros escenarios complejos.

Puede crear una política a nivel de un servidor DNS o una zona de dominio específica. La configuración de las políticas de DNS en Windows Server solo se puede realizar desde la línea de comandos de PowerShell.

Intentemos crear una política simple que devuelva una respuesta diferente a una consulta de DNS según la ubicación de un cliente. Suponga que desea que los clientes de cada sucursal utilicen su servidor proxy local en un sitio.

Ha creado un GPO para configurar los ajustes de proxy en el dominio (proxy.a-d.site se especificará en todos los clientes). Sin embargo, para usar su servidor proxy local, los clientes de diferentes oficinas deben resolver este FQDN de manera diferente.

He creado 3 subredes para las sucursales de la empresa:

Add-DnsServerClientSubnet -Name "BER_DNS_Subnet" -IPv4Subnet "192.168.1.0/24"
Add-DnsServerClientSubnet -Name "HH_DNS_Subnet" -IPv4Subnet "192.168.11.0/24"
Add-DnsServerClientSubnet -Name "MCH_DNS_Subnet" -IPv4Subnet "192.168.21.0/24"

Debe ejecutar estos comandos en todos los DC en los que desee habilitar la política de DNS condicional. Estas configuraciones no se replican en DNS y se almacenan localmente en el registro del servidor DNS. Puede especificar un nombre de servidor usando el

-ComputerName dc01

opción.

Enumere todas las subredes IP disponibles en el servidor DNS:

Get-DnsServerClientSubnet

Ahora necesita crear una zona DNS separada para cada oficina:

Add-DnsServerZoneScope -ZoneName "a-d.site" -Name "BERZoneScope"
Add-DnsServerZoneScope -ZoneName "a-d.site" -Name "HHZoneScope"
Add-DnsServerZoneScope -ZoneName "a-d.site" -Name "MCHZoneScope"

Los siguientes comandos agregarán 3 registros DNS con el mismo nombre apuntando a diferentes direcciones IP en diferentes zonas DNS:

Add-DnsServerResourceRecord -ZoneName "a-d.site" -A -Name proxy -IPv4Address "192.168.1.10" -ZoneScope "BERZoneScope"
Add-DnsServerResourceRecord -ZoneName "a-d.site" -A -Name proxy -IPv4Address "192.168.11.10" -ZoneScope "HHZoneScope"
Add-DnsServerResourceRecord -ZoneName "a-d.site" -A -Name proxy -IPv4Address "192.168.21.10" -ZoneScope "MCHZoneScope"

Puede enumerar todos los registros de recursos DNS en una zona usando el siguiente comando:

Get-DnsServerResourceRecord -ZoneName "a-d.site" -ZoneScope BERZoneScope

Luego, cree políticas de DNS que vinculen subredes de IP, zonas de DNS y registros A.

Add-DnsServerQueryResolutionPolicy -Name BERResolutionPolicy -Action ALLOW -ClientSubnet "eq,BER_DNS_Subnet" -ZoneScope "BERZoneScope,1" -ZoneName a-d.site -PassThru
Add-DnsServerQueryResolutionPolicy -Name HHResolutionPolicy -Action ALLOW -ClientSubnet "eq,HH_DNS_Subnet" -ZoneScope "HHZoneScope,1" -ZoneName a-d.site -PassThru
Add-DnsServerQueryResolutionPolicy -Name MCHResolutionPolicy -Action ALLOW -ClientSubnet "eq,MCH_DNS_Subnet" -ZoneScope "MCHZoneScope,1" -ZoneName a-d.site -PassThru

Las siguientes acciones están disponibles en las políticas de DNS:

  • -Action ALLOW
  • -Action DENY
  • -Action IGNORE

Puede utilizar las siguientes opciones en sus filtros DNS:

-InternetProtocol "EQ,IPv4,NE,IPv6"
-TransportProtocol "EQ,UDP,TCP"
-ServerInterfaceIP "EQ,192.168.1.21"
-QType "EQ,A,AAAA,NE,PTR"
-TimeOfDay "EQ,9:00-18:00"

Puede mostrar una lista de políticas DNS para una zona DNS en el servidor:

Get-DnsServerQueryResolutionPolicy -ZoneName a-d.site

Ahora verifique que el servidor DNS devuelva diferentes direcciones IP de proxy para la misma solicitud enviada desde dispositivos en diferentes oficinas:

nslookup proxy.a-d.site

Puede evitar que su servidor DNS devuelva direcciones DNS para un espacio de nombres (dominio):

Add-DnsServerQueryResolutionPolicy -Name 'BlockDNSQuery' -Action IGNORE -FQDN "EQ,*.spamorg.org"

Artículos relacionados