Website-Suche

Konfigurieren der bedingten DNS-Weiterleitung und DNS-Richtlinien auf Windows Server

In diesem Artikel betrachten wir zwei Möglichkeiten, die bedingte Namensauflösung in einem DNS-Server unter Windows Server 2016/2019/2022 zu organisieren: DNS Conditional Forwarding und DNS Policies. Mit diesen Technologien können Sie die bedingte DNS-Namensauflösung basierend auf dem angeforderten Namen, der IP-Adresse, dem Clientstandort, der Tageszeit usw. konfigurieren.

DNS Conditional Forwarding ermöglicht die Weiterleitung von DNS-Anfragen zu einer bestimmten Domäne an bestimmte DNS-Server. Normalerweise werden bedingte Weiterleitungen verwendet, wenn Sie eine schnelle Namensauflösung zwischen mehreren privaten internen Domänen konfigurieren möchten oder wenn Sie nicht möchten, dass DNS-Anfragen von Ihrem Server über das Internet gesendet werden. In diesem Fall können Sie auf Ihrem DNS-Server eine Regel erstellen, um DNS-Anfragen für eine bestimmte Domänenzone (nur!!!) an einen angegebenen DNS-Server weiterzuleiten.

Wie konfiguriere ich eine bedingte DNS-Weiterleitung auf Windows Server?

Versuchen wir, die bedingte DNS-Weiterleitung für eine bestimmte Domänenzone unter Windows Server 2019 zu konfigurieren. Beispielsweise alle DNS-Anfragen an

corp.a-d.site

Zone soll an den DNS-Server weitergeleitet werden

10.1.10.11

  1. Öffnen Sie die DNS-Verwaltungskonsole (

    dnsmgmt.msc

    );

  2. Erweitern Sie Ihren DNS-Server, klicken Sie mit der rechten Maustaste auf Bedingte Weiterleitungen und wählen Sie Neue bedingte Weiterleitung

  3. Geben Sie im Feld DNS-Domäne den FQDN der Domäne ein, für die Sie die bedingte Weiterleitung aktivieren möchten.

  4. Geben Sie im Feld IP-Adressen der Master-Server die IP-Adresse des DNS-Servers an, an den alle Anfragen für den angegebenen Namespace weitergeleitet werden sollen.

  5. Wenn Sie eine bedingte Weiterleitungsregel auf mehr als nur diesem einen DNS-Server speichern möchten, können Sie diese mit AD integrieren. Aktivieren Sie die Option Diese bedingte Weiterleitung in Active Directory speichern;

  6. Konfigurieren Sie die Option für die bedingte Weiterleitungsreplikation (Alle DNS-Server in dieser Gesamtstruktur, Alle DNS-Server in dieser Domäne oder Alle Domänencontroller in dieser Domäne).

Konfigurieren Sie die bedingte DNS-Weiterleitung mit PowerShell

Sie können mithilfe von PowerShell eine bedingte Weiterleitungsregel für eine DNS-Zone erstellen. Verwenden Sie das Cmdlet Add-DnsServerConditionalForwarderZone:

Add-DnsServerConditionalForwarderZone -Name dmz.a-d.site -MasterServers 192.168.1.11,192.168.101.11 -ReplicationScope Forest

Erfahren Sie mehr über die Verwaltung von DNS-Servern mit PowerShell.

Führen Sie das folgende PowerShell-Skript aus, um bedingte DNS-Weiterleitungen auf einem bestimmten Server aufzulisten:

$DNSServer = "DC01"
$Zones = Get-WMIObject -Computer $DNSServer -Namespace "root\MicrosoftDNS" -Class "MicrosoftDNS_Zone"
$Zones | Select-Object Name,MasterServers,DsIntegrated,ZoneType | where {$_.ZoneType -eq "4"} | ft -AutoSize

Filtern Sie DNS-Abfragen mit den Windows Server-DNS-Richtlinien

Windows Server 2016 fügt dem DNS-Server eine DNS-Richtlinie-Funktion hinzu. Mit DNS-Richtlinien können Sie den DNS-Server so konfigurieren, dass er unterschiedliche Antworten auf DNS-Anfragen zurückgibt, je nachdem, wo Sie sich befinden (abhängig von der IP-Adresse oder dem Subnetz, von dem die Anfrage gesendet wurde), der Schnittstelle des DNS-Servers und der Tageszeit , der Typ des angeforderten Eintrags (A, CNAME, PTR, MX) usw. DNS-Richtlinien in Windows Server ermöglichen Ihnen die Implementierung von Lastausgleich, DNS-Verkehrsfilterung, DNS-Eintragsrückgabe basierend auf dem geografischen Standort (Client-IP-Adresse) und anderen komplexen Szenarien.

Sie können eine Richtlinie auf der Ebene eines DNS-Servers oder einer bestimmten Domänenzone erstellen. Die Konfiguration von DNS-Richtlinien in Windows Server kann nur über die PowerShell-Befehlszeile erfolgen.

Versuchen wir, eine einfache Richtlinie zu erstellen, die je nach Standort eines Clients eine unterschiedliche Antwort auf eine DNS-Abfrage zurückgibt. Angenommen, Sie möchten, dass Clients in jeder Zweigstelle ihren lokalen Proxyserver auf einer Site verwenden.

Sie haben ein Gruppenrichtlinienobjekt erstellt, um Proxy-Einstellungen in der Domäne zu konfigurieren (proxy.a-d.site wird auf allen Clients angegeben). Um jedoch ihren lokalen Proxyserver verwenden zu können, müssen Clients aus verschiedenen Niederlassungen diesen FQDN unterschiedlich auflösen.

Ich habe 3 Subnetze für Firmenzweigstellen erstellt:

Add-DnsServerClientSubnet -Name "BER_DNS_Subnet" -IPv4Subnet "192.168.1.0/24"
Add-DnsServerClientSubnet -Name "HH_DNS_Subnet" -IPv4Subnet "192.168.11.0/24"
Add-DnsServerClientSubnet -Name "MCH_DNS_Subnet" -IPv4Subnet "192.168.21.0/24"

Sie müssen diese Befehle auf allen Domänencontrollern ausführen, auf denen Sie die bedingte DNS-Richtlinie aktivieren möchten. Diese Einstellungen werden nicht im DNS repliziert und lokal in der Registrierung des DNS-Servers gespeichert. Sie können einen Servernamen mit angeben

-ComputerName dc01

Möglichkeit.

Listen Sie alle verfügbaren IP-Subnetze auf dem DNS-Server auf:

Get-DnsServerClientSubnet

Jetzt müssen Sie für jedes Büro eine separate DNS-Zone erstellen:

Add-DnsServerZoneScope -ZoneName "a-d.site" -Name "BERZoneScope"
Add-DnsServerZoneScope -ZoneName "a-d.site" -Name "HHZoneScope"
Add-DnsServerZoneScope -ZoneName "a-d.site" -Name "MCHZoneScope"

Die folgenden Befehle fügen drei DNS-Einträge mit demselben Namen hinzu, die auf verschiedene IP-Adressen in verschiedenen DNS-Zonen verweisen:

Add-DnsServerResourceRecord -ZoneName "a-d.site" -A -Name proxy -IPv4Address "192.168.1.10" -ZoneScope "BERZoneScope"
Add-DnsServerResourceRecord -ZoneName "a-d.site" -A -Name proxy -IPv4Address "192.168.11.10" -ZoneScope "HHZoneScope"
Add-DnsServerResourceRecord -ZoneName "a-d.site" -A -Name proxy -IPv4Address "192.168.21.10" -ZoneScope "MCHZoneScope"

Mit dem folgenden Befehl können Sie alle DNS-Ressourceneinträge in einer Zone auflisten:

Get-DnsServerResourceRecord -ZoneName "a-d.site" -ZoneScope BERZoneScope

Erstellen Sie dann DNS-Richtlinien, die IP-Subnetze, DNS-Zonen und A-Einträge binden.

Add-DnsServerQueryResolutionPolicy -Name BERResolutionPolicy -Action ALLOW -ClientSubnet "eq,BER_DNS_Subnet" -ZoneScope "BERZoneScope,1" -ZoneName a-d.site -PassThru
Add-DnsServerQueryResolutionPolicy -Name HHResolutionPolicy -Action ALLOW -ClientSubnet "eq,HH_DNS_Subnet" -ZoneScope "HHZoneScope,1" -ZoneName a-d.site -PassThru
Add-DnsServerQueryResolutionPolicy -Name MCHResolutionPolicy -Action ALLOW -ClientSubnet "eq,MCH_DNS_Subnet" -ZoneScope "MCHZoneScope,1" -ZoneName a-d.site -PassThru

Die folgenden Aktionen sind in den DNS-Richtlinien verfügbar:

  • -Action ALLOW
  • -Action DENY
  • -Action IGNORE

Sie können in Ihren DNS-Filtern die folgenden Optionen verwenden:

-InternetProtocol "EQ,IPv4,NE,IPv6"
-TransportProtocol "EQ,UDP,TCP"
-ServerInterfaceIP "EQ,192.168.1.21"
-QType "EQ,A,AAAA,NE,PTR"
-TimeOfDay "EQ,9:00-18:00"

Sie können eine Liste der DNS-Richtlinien für eine DNS-Zone auf dem Server anzeigen:

Get-DnsServerQueryResolutionPolicy -ZoneName a-d.site

Überprüfen Sie nun, ob der DNS-Server für dieselbe Anfrage, die von Geräten in verschiedenen Büros gesendet wird, unterschiedliche Proxy-IP-Adressen zurückgibt:

nslookup proxy.a-d.site

Sie können verhindern, dass Ihr DNS-Server DNS-Adressen für einen Namespace (Domäne) zurückgibt:

Add-DnsServerQueryResolutionPolicy -Name 'BlockDNSQuery' -Action IGNORE -FQDN "EQ,*.spamorg.org"

Verwandte Artikel