Understanding Split Brain DNS

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

.NETラボ 2019 10月勉強会
小鮒通成

Split-Brain DNS機能とは
 DNSクライアントからのクエリー条件によって、名前解
決するIPアドレスを指定できる
→クライアント条件によって、名前解決セットを個別に
指定できる
 DNSクライアントからのクエリー条件によって、...

自己紹介です
 都内Sierに勤務し、Windows認証基盤のコンサル・
設計・構築・トラブルシュートなどをやっています。
 Technetフォーラムで、ときどき回答しています。
 商業誌でWindows記事の寄稿を行うことがあります。
...

Split-Brain DNSの必要条件
 Windows Server 2016以降が必要
→DNSサーバーの「DNSポリシー」機能で実行する
ため
 Active Directoryは必須でない
→Active Directory環境で...

Split-Brain DNSの利用シーン
 アプリケーション負荷分散
 ジオロケーションによるトラフィック制御
 DNS分離
 フィルタリング
 フォレンジック(隔離)
 現在時刻によるリダイレクト処理

Split-Brain DNSのコンポーネント(1)
 ゾーンスコープ
→特定の条件時にアクセス先として指定される、ス
コープ化されたゾーン。通常ゾーン内の隠しゾーン
のイメージ。
 (スコープされた)リソースレコード
→ゾーンスコープ内に...

Split-Brain DNSのコンポーネント(2)
 クライアントサブネット
→アクセス元クライアントのIPアドレスセットの定
義。アクセスする際の「条件」に使用する。
 再帰スコープ
→特定の条件時にDNS再帰を許可/拒否する、スコー
...

Split-Brain DNSの格納データ
 ゾーンスコープ
 (スコープ化された)リソースレコード
→DNSゾーン内で設定
 DNSポリシー
 クライアントサブネット
 再帰スコープ
→DNSサービスのレジストリで設定

Split-Brain DNSの動作
1. クライアントからのDNSクエリーが解析され、
「条件に合致したポリシー」があるかどうかを評
価する。
2. 条件に合うDNSポリシーがある場合、その条件と
紐付いたゾーンスコープ「だけ」をDNSサーバ...

ゾーンスコープの動作イメージ
DNSサーバー
通常ゾーン
ゾーンスコープ A DNSポリシーA
条件 A
クライアントA
chab2k19dc00 A 172.20.11.194
ゾーンスコープ B
chab2k19dc00 A 192.168...

再帰スコープの動作イメージ
DNSサーバー
再帰設定
再帰スコープ DNSポリシー
条件 A
クライアントA
○再帰を許可する
×再帰を拒否するクライアントB
条件A/
www.microsoft.comは?

DNSポリシーのフィールド(1)
種類内容説明コメント
Name - ポリシー名 256文字以下で
ファイルにつけら
れる文字ならOK
State Enable
Disabled
ポリシーの有効/無効デフォルトは有効
-Disableで...

DNSポリシーのフィールド(2)
種類内容説明コメント
Criteria 条件式
(eq/ne)
基準となる
要素(別表)
ポリシー条件（AND / OR）
およびポリシーが適用され
るための基準リスト
-eq,<要素>,<要素>
=or...

DNSポリシーのフィールド(3)
種類内容説明コメント
Apply on
recursion
-
ApplyOnRec
ursion
再帰スコープに再帰設定を
適用するフラグ
-
ApplyOnRecursio
n
Recursion
S...

Criteriaの各要素(1)
種類内容説明例
Client Subnet - クライアントサブネット名
(要定義)
eq,Spain,France
ne,Canada,Mexico
Transport
Protocol
TCP
UDP
...

Criteriaの各要素(2)
種類内容説明例
Query Type A/SRV/TXT/
MX etc
Lookupするレコードタイプ eq,TXT,SRV
eq,MX
Time of Day <開始時間>-
<終了時間>
クエリの発生...

ケース1 - 名前解決の制御

ゾーンスコープの構成
 Add-DNSServerZoneScope -Name "External" -
ZoneName "dotnet.adfstan.com"
 Add-DNSServerZoneScope -Name "Inter...

リソースレコードの構成
 Add-DNSServerResourceRecord -A -Name
"chab2k19dc00" -IPv4Address "172.20.11.194" -
ZoneScope "External" -Zon...

名前解決ポリシーの構成
 Add-DNSServerQueryResolutionPolicy -Name
"SplitBrainExternal" -Action Allow -ServerInterfaceIP
"EQ,172.20.11...

ケース2 – DNS再帰の制御

クライアントサブネットの構成
 Add-DNSServerClientSubnet -Name "InternetAccess"
-IPv4Subnet "192.168.1.0/24"

再帰スコープの構成
 Set-DNSServerRecursionScope -Name "." -
EnableRecursion $False
 Add-DNSServerRecursionScope -Name
"AvailableR...

再帰ポリシーの構成
 Add-DNSServerQueryResolutionPolicy -Name
"AllowRecursion" -Action Allow -ApplyOnRecursion -
RecursionScope "Av...

DNSサーバーのキャッシュ無効化
 HKLMSystemCurrentControlSetServicesDNSPara
meters!MaxCacheTtl
 REG_DWORD: 0x0
設定しない場合、InternetAccessのコ...

ケース3 – ゾーン転送の制御

クライアントサブネットの構成
 Add-DnsServerClientSubnet -Name "AllowedSubnet"
-IPv4Subnet 172.21.33.0/24

ゾーン転送ポリシーの構成
 Add-DnsServerZoneTransferPolicy -Name
"NorthAmericaPolicy" -Action IGNORE -ClientSubnet
"ne,AllowedSubnet"
...

参考情報
 DNS Policies Overview
https://docs.microsoft.com/en-us/windows-
server/networking/dns/deploy/dns-policies-overview
...

Share Slideshare

LinkedIn
Facebook
Twitter

Embed

Size (px)

Show related Slideshows at end

WordPress Shortcode

Link

Share
Email

2024 Trend Updates: What Really Wor... by Search Engine Jou... 1031532 views
Storytelling For The Web: Integrate... by Chiara Aliotta 942577 views
Artificial Intelligence, Data and C... by OECD Directorate ... 861630 views
How to Leverage AI to Boost Employe... by SocialHRCamp 361199 views
2024 State of Marketing Report – by... by Marius Sescu 205359 views
Everything You Need To Know About C... by Expeed Software 226150 views

View on Slideshare

1 of 29 Ad

View on Slideshare

1 of 29 Ad