Diseño de servidor dns Considerando

No todo el mundo tiene la experiencia necesaria para diseñar soluciones para aplicaciones a nivel de infraestructura, tales como DNS (o para la Web y el correo, pero eso es otro tema). Si usted sigue un conjunto básico de directrices, sin embargo, usted puede tener un servidor DNS estable y escalable sin mucha molestia. Estabilidad y escalabilidad son las dos cualidades que todos los arquitectos se esfuerzan para. Por supuesto, los servidores DNS se pueden implementar en otra formas- cada administrador de sistemas aparentemente tiene sus propios trucos para la configuración de un sistema. Tenga en cuenta que cada truco inteligente que utiliza en la configuración de un sistema es una más dolores de cabeza que tienes cuando estás solución de problemas del sistema en el futuro. Luchar por la sencillez y la cordura se lo agradecerá.

Mantener el servidor seguro

La seguridad es de suma importancia cuando se está configurando un servidor DNS. Usted puede pensar que la seguridad es verdaderamente importante sólo en un entorno de Proveedores de Servicios de Internet (ISP), para evitar la página Web secuestro o e-mail spoofing, pero es igualmente importante en un entorno corporativo. Seguridad DNS es muy importante en un ISP. Si un intruso obtiene acceso a su servidor DNS, se puede señalar unos registros a otros servidores que contienen las páginas web desfigurados, que es tan bueno como el acceso al servidor Web original sí mismo y desfigurar la página. El acceso del intruso también se puede utilizar para cambiar el registro MX para un dominio, que tiene consecuencias aún peores. Al señalar el registro MX a un servidor de correo, los controles de intrusos e incluso toma la propiedad del dominio mediante la presentación de cambios en el registro de dominio. Tenga en cuenta que esta inseguridad no es tanto un fallo en la infraestructura de DNS, ya que es culpa de los administradores de dominio que utilizan Mail-to como un método de autenticación para sus dominios.

Seguridad DNS es igualmente importante en un entorno corporativo, aunque tiene una importancia más sutil. El problema en un entorno corporativo es el mismo que en un ISP: Un intruso puede cambiar los registros DNS para que apunte a un servidor que controla. En este caso, se puede robar datos importantes al hacer los usuarios piensan que va a un servidor real cuando realmente va al servidor rogue. Recuerde que la mayoría de los ataques a las redes corporativas vienen desde el interior de la empresa, por lo que la seguridad de DNS es importante, incluso si usted tiene un servidor de seguridad o incluso sin conexión a Internet.

DNS no funciona en el vacío. No sólo necesitamos su servicio de DNS para ser asegurado, pero el sistema operativo que utiliza y el servidor físico también deben ser examinados a fondo y probado. Incluso si usted ha hecho con los servicios de DNS correctamente, todo es en vano si un intruso red puede hacerse con el control administrativo-o-nivel de la raíz del servidor que aloja DNS.

Tal vez lo más obvio, debe proteger físicamente el servidor en una ubicación en la que sólo los usuarios autorizados pueden tener acceso. También debe restringir, mediante las políticas del sistema de explotación, personal no administrativos de la posibilidad de iniciar sesión en el servidor. Compruebe regularmente con el proveedor del sistema operativo para obtener las actualizaciones de software y alertas de seguridad. La seguridad del servidor que aloja DNS es "Trabajo # 1" - si se deja que se deslice, es probable que lamentarás.

En caso de emergencia

Cuando la planificación de la infraestructura DNS, siempre se necesita tener al menos dos servidores DNS para los fines de redundancia. Si un servidor se cae, el otro todavía puede servir a los clientes. Servidores DNS en muchos casos no son redundantes, pero no es en absoluto recomendable esa situación. Si estás utilizando un único servidor DNS y falla, es probable que obtener la poco envidiable tarea de responder a un montón de llamadas telefónicas desagradables.

Puede proporcionar redundancia DNS de dos maneras:

• Maestro-esclavo: En la relación de DNS maestro / esclavo tradicional (uno o más) datos de la zona de carga servidores esclavos DNS desde el servidor maestro en el arranque y en los intervalos especificados en el inicio de autoridad (SOA) de cada zona. Este método de redundancia tiene un enorme ventaja: Cuando se cambia un archivo de zona, los cambios se propagan automáticamente a los servidores esclavos. Este proceso normalmente ocurre tan pronto como se hacen los cambios si la función NOTIFICAR DNS es compatible, y ocurre después de que el intervalo de tiempo en el registro SOA si notificación no es compatible.

La relación del servidor DNS maestro / esclavo tiene una desventaja también: Si el maestro falla, el esclavo se reinicia, y los datos de la zona no se puede transferir. Además, si el maestro se pone y no se restablezca, en el momento en el registro DNS vuelve rancio (porque no se puede actualizar desde el servidor maestro), la zona ya no es accesible.

• Multiple Master: Si usted está más preocupado por tener DNS disponibles en todo momento en lugar de tener la comodidad proporcionada por una configuración maestro / esclavo, puede utilizar una configuración maestro múltiple. Este concepto es simple: Todos los servidores DNS son los servidores maestros para cada zona. La parte más difícil de tener varios servidores DNS maestro llega cuando se hace un cambio en un archivo de zona o la configuración DNS. El cambio debe realizarse en todos los servidores DNS principal y no se propaga automáticamente.

No poner todos los huevos en una canasta

La ubicación de los servidores DNS es importante para un número de razones. (Esta sección se solapa ligeramente con los dos apartados anteriores.) La mayoría de los entornos de utilizar dos servidores DNS - un maestro y un esclavo o dos maestros si están sólo caché - aunque no existe límite en el número de servidores que puede tener.

Debe tener en cuenta dos cuestiones distintas pero relacionadas para la ubicación del servidor DNS:

• La colocación en relación con un servidor de seguridad: En la mayoría de los casos, los servidores DNS internos se colocan en la red interna, y los servidores accesibles desde el exterior se colocan en la zona desmilitarizada (DMZ) del servidor de seguridad, que es seguro, pero también accesible desde la red pública. Si usted tiene sólo un conjunto de servidores DNS, tanto para DNS interno y externo (aunque no se recomienda cita previa), debe colocarlos en la zona de distensión y tienen los usuarios internos que acceder desde la red interna en lugar de colocarlos en la red interna y abrir un agujero en el servidor de seguridad para solicitudes DNS externos.

• Colocación en sus segmentos de red geográficamente o de alguna otra manera lógica: Usted tiene un número de razones para colocar sus servidores DNS en segmentos de red independientes y ubicaciones separadas -principalmente, la redundancia. Si un segmento de red se cae, o incluso un lugar entero se pierde debido a un desastre de algún tipo, usted todavía puede proporcionar servicio DNS. Además, aumenta el rendimiento de los servidores DNS internos pueden resultar si configura los sistemas para utilizar el servidor DNS local primero y utilizar el servidor DNS remoto si el servidor local es hacia abajo. Tener al menos un servidor DNS interno en cada ubicación geográfica es una práctica común.