В нашем небольшом офисе должны быть внутренние DNS-серверы?

Я управляю небольшим офисом (<50 человек). У нас всегда были внутренние DNS-серверы в офисе. DNS-серверы довольно просты, но в прошлом мы сталкивались с ними. У нас есть некоторые офисные ресурсы, которые доступны только в офисе или через VPN, и у нас также есть некоторые офисные ресурсы с публичным адресом и записью. Эти ресурсы в настоящее время имеют одно и то же DNS-имя, хотя это необязательно, и их гораздо меньше, чем раньше.

У нас также уже есть пространство имен внутреннего офиса, поэтому вполне возможно, что я смогу заполнить свой общедоступный DNS всеми частными IP-адресами внутренних ресурсов офиса, которые у нас есть, и просто полностью прекратить использование внутреннего DNS.

Это хорошая идея? Я никогда не работал в месте, где нет внутреннего офиса DNS. Каковы некоторые причины, почему мы все еще должны держать это? Когда-то это было критически, теперь все еще удобно, но проблемы, с которыми мы столкнулись, больше не делают его удобным.

Текущие причины сохранить:

Разделенный DNS позволяет нам использовать одно и то же имя хоста для тех ресурсов, которые размещены внутри, но также доступны извне
У нас есть несколько тестовых доменов, которые нам не нужно было покупать, но они понадобились бы, если бы мы избавились от них.
??? это знакомо и утешительно?

Причины, чтобы избавиться от этого:

Нет поддержки IPv6 в настоящее время
Было несколько проблем с разделением DNS, в основном с настройкой VPN
Обслуживание на сервере, которое может быть ненужным

internal-dns Аарон Р.
источник

Я думаю, вы должны принять во внимание и другие вещи, такие как количество серверов и стабильность интернет-соединения. Если вы полагаетесь на внешний DNS-сервер, что произойдет, если вы надолго потеряли подключение к Интернету? (когда информация больше не кэшируется) это означает, что ни один из ваших серверов также не сможет общаться друг с другом, и, следовательно, все службы будут недоступны. это бонус, если у вас есть локальный DNS-сервер хотя бы для кэширования и выполнения локальных разрешений.

olivierg

Основная причина наличия внутренних DNS-серверов, по крайней мере в сети Windows, заключается в поддержке Active Directory и домена Windows. Если у вас домен, вы не можете избавиться от DNS, интегрированного в AD. Или, по крайней мере, вы не должны в любом случае.

Appleoddity

У нас есть внутренний сервер LDAP, а не AD. DNS не интегрирован в это, хотя мне интересно, имеет ли он какую-либо взаимозависимость.

Аарон Р.

он должен иметь некоторые требования DNS, если существует несколько серверов LDAP, AD использует SRVзаписи для обнаружения службы, как и Dir389.

Джейкоб Эванс

Интересно, приятно знать. Хотя я не уверен, что это должно быть внутренним в любом случае; мне кажется, мы могли бы использовать публичный DNS для этого.

Аарон Р.

Ответы:

Чтение из ваших комментариев ...

Я бы на 100% держал DNS. Я бы также расширил вашу реализацию LDAP до AD. 50 человек определенно достаточно велики; Я бы внедрил DNS для> 10 пользователей, если они вообще нетехнические и имеют несколько внутренних ресурсов, к которым им нужно было получить доступ.

Что касается минусов:

Нет поддержки IPv6 в настоящее время

Какую платформу вы используете? Существует несколько платформ с поддержкой IPv6, а именно OpenDNS

Конфигурация VPN вызывает проблемы

Без обид, но, может быть, вам стоит разобраться, почему настройки VPN нарушают работу DNS, и решить эту проблему? Это лучше, чем обходной путь «Нет, внутренний DNS слишком сложен для работы с VPN!».

техническое обслуживание

Автоматизируйте, автоматизируйте, автоматизируйте - это не должно быть слишком сложным, если вы внимательно подходите к DNS-записям и управлению системой в целом. DNS не должен быть радикально изменен (по крайней мере, не часто).

kilrainebc
источник

Только около трети офиса используют Windows, поэтому я не очень заинтересован в добавлении инфраструктуры для реализации контроллера домена. Я сейчас использую Bind, который, безусловно, поддерживает IPv6, но он не был включен, и это потребовало бы времени и усилий с моей стороны; это главное направление, правда; Я подвергаю себя риску, удалив этот ресурс и используя только публичный DNS, я настраиваю себя на дальнейшую работу позже из-за какой-то будущей офисной функции, которая действительно нуждается в DNS и т. Д.

Аарон Р.

Извините - предполагалось, что все были на устройстве с Windows (хотя AD отлично работает с Linux, и я думаю, что есть и некоторые зрелые варианты для OS X). Это дизайнерские решения, которые вы должны учитывать и действовать. Если вы думаете, рост и будущие характеристики. может потребоваться больше контролируемого домена с внутренним DNS для внутренних ресурсов - затем сохраните его или, по крайней мере, подготовьте его к загрузке, если вы считаете, что он вам может понадобиться. В противном случае, вы капитан своей собственной лодки - вы знаете? Подобные вещи всегда являются компромиссом между усилием и ожидаемым вознаграждением (ями). Удачи! :)

kilrainebc

Сохраните внутренний DNS, при необходимости сделайте его избыточным.

SplitBrain DNS - беспорядок, но обычно у вас есть (много) больше внутренних записей, чем внешних. Плюс вы можете разделить ваш трафик: внутренний использует внутренние IP, внешние использует внешние.
AD полагается на 100% на DNS
Вы не зависите от DNS вашего интернет-провайдера, потому что ваш DNS сможет использовать рекурсию.
Вы не хотите, чтобы все могли искать ваш внутренний ресурс
Вы не хотите предоставлять свои внутренние ресурсы своему провайдеру (DNS-)

Вам не нужен собственный DNS, когда все просто пользуются Интернетом и вам не нужно управлять своими серверами. VPN звучит для меня как внутренние сервисы, JST Kepp их внутренние.

Нет поддержки IPv6 в настоящее время

Есть еще DNS-серверы без v6? Получить в курсе здесь.

Было несколько проблем с разделением DNS, в основном с настройкой VPN

Проблемы с конфигурацией не исчезнут, а сервис исчезнет. Вам все равно придется правильно настроить vpn, теперь включая правила пробоя для внешнего DNS-трафика.

Обслуживание на сервере, которое может быть ненужным

DNS обычно маленький и не нуждается в собственной коробке. Просто установите один на один из ваших надежных серверов (например, файл или почта).

bjoster
источник

Вы выдвигаете один из реальных вопросов, которые у меня были, возможно, тот, который был бы лучше в качестве нового вопроса, но не могли бы вы объяснить больше, что вы имеете в виду, когда говорите: «Вы не хотите, чтобы все могли искать ваши внутренние ресурсы. " Добавление частных IP-адресов в общедоступный DNS является редкостью, но действительно ли что-то не так с этим? Зачем мне беспокоиться, если хакеры могут посмотреть частные IP-адреса моей компании? Они все еще не маршрутизируются.

Аарон Р.

Вы не хотите давать хакеру подсказки о вашей внутренней сети в случае нарушения вашей безопасности. Утечка вашего внутреннего DNS дает подсказки о внутренней структуре сети, возможных сочных целях («Ага!» HRserver на 192.168.99.72! Спасибо! Я могу пойти прямо на это ») и т. Д.

Брэндон Ксавьер

Это действительно проблема, хотя? Я знаю, что в профессиональном сообществе существует общее мнение, что лучше защищать все возможные клочки информации, но я не уверен, насколько это важно. Все наши непубличные DNS могут быть запрошены, и они получат эти данные за 10 минут. Так, может быть, мы экономим 10 минут времени на взлом? Это не кажется мне очень ценным.

Аарон Р.

Ваш непубличный DNS не должен быть открыт для запросов .... Следовательно "непубличный" ...

kilrainebc

Технически вы можете разместить своих рядовых на публике, но технически вы также можете не носить штаны на публике (или только на этом рабочем месте). Следовательно, это возможно , никто не хочет, чтобы вы когда-либо делали это, и ни один профессиональный айтишник не стал бы.

bjoster