Windows Server 2003 Integrazione di DNS in Strutture Esistenti PierGiorgio Malusardi – Microsoft

Cosa vedremo  Ripresa dei Concetti di Base  DNS e Active Directory  Architetture DNS  Uso di DNS non-Microsoft  Messa in Sicurezza del DNS

Concetti di base DNS  Protocollo di Risoluzione dei Nomi per Reti TCP/IP  Database Gerarchico e Distribuito Forward Lookup Zone Reverse Lookup Zone Chi è NY-CERT-01? Chi è ? NY-CERT-01 = = NY-WXP-01 TCP/IP

Concetti di base DNS Gerarchia dello Spazio dei Nomi Pubblico. com gov research.Contoso.com us.Contoso.com IRS.gov Contoso.com Internet Root Sotto domini Domini Secondo Livello Domini Top-Level

Concetti di base DNS Gerarchia dello Spazio dei Nomi Locale research.Contoso.local us.Contoso.local Contoso.local

Concetti di base DNS Query Interne NY-WXP-01.contoso.com NY-WEB-01.contoso.com NY-DNS-01.contoso.com

Concetti di base DNS Query Interne NY-WXP-01.contoso.com NY-WEB-01.contoso.com NY-DNS-01.contoso.com

Concetti di base DNS Query Interne NY-WXP-01.contoso.com NY-WEB-01.contoso.com NY-DNS-01.contoso.com NY-DNS-01 A NY-WEB-01 A NY-WXP-01 A www CNAMENY-WEB-01.contoso.com contoso.com

Concetti di base DNS Query Interne NY-WXP-01.contoso.com NY-WEB-01.contoso.com NY-DNS-01.contoso.com NY-DNS-01 A NY-WEB-01 A NY-WXP-01 A www CNAMENY-WEB-01.contoso.com Query: contoso.com

Concetti di base DNS Query Interne NY-WXP-01.contoso.com NY-WEB-01.contoso.com NY-DNS-01.contoso.com NY-DNS-01 A NY-WEB-01 A NY-WXP-01 A www CNAMENY-WEB-01.contoso.com contoso.com

Concetti di base DNS Query Interne NY-WXP-01.contoso.com NY-WEB-01.contoso.com NY-DNS-01.contoso.com NY-DNS-01 A NY-WEB-01 A NY-WXP-01 A www CNAMENY-WEB-01.contoso.com contoso.com TCP/IP

Concetti di base DNS Query Esterne WideWorldImporters.com

Concetti di base DNS Query Esterne WideWorldImporters.com

Concetti di base DNS Query Esterne WideWorldImporters.com

Concetti di base DNS Query Esterne WideWorldImporters.com a.root-server.net contoso.com =

Concetti di base DNS Query Esterne WideWorldImporters.com NY-DNS-01.contoso.com NY-WEB-01.contoso.com a.root-server.net contoso.com =

Concetti di base DNS Query Esterne WideWorldImporters.com NY-DNS-01.contoso.com NY-WEB-01.contoso.com a.root-server.net contoso.com =

Concetti di base DNS Query Esterne WideWorldImporters.com NY-DNS-01.contoso.com NY-WEB-01.contoso.com a.root-server.net TCP/IP

Cosa vedremo  Ripresa dei Concetti di Base  DNS e Active Directory  Architetture DNS  Uso di DNS non-Microsoft  Messa in Sicurezza del DNS

Active Directory e DNS Registrazione dei Service Locator Record  AD usa il DNS per registrare i servizi  I record SRV sono registrati all’avvio NY-DC-01.contoso.com NY-NS-01.contoso.com LDAP Kerberos Kerberos Password Global Catalog

Active Directory e DNS Registrazione dei Service Locator Record  Il file NETLOGON.dns elenca i record SRV

Active Directory e DNS Registrazione dei Service Locator Record  Service Locator Record: descritti da RFC 2782  Proprietà dei Record SRV _ldap._tcp 600SRV NY-DC-01.contoso.com. _kerberos._tcp600SRV010088NY-DC-01.contoso.com. _gc._tcp600 SRV NY-DC-01.contoso.com. _kpasswd._tcp600SRV NY-DC-01.contoso.com. Service Protocol Site TTL PriorityWeightPortHost

Active Directory e DNS Localizzazione dei Servizi Tilbury Site London Site New York Site NY-DC-01 LON-DC-01 TIL-DNS-01 Dov’è la più vicina stampante di rete?

Active Directory e DNS Localizzazione dei Servizi Tilbury Site London Site New York Site NY-DC-01 LON-DC-01 TIL-DNS-01 Dov’è la più vicina stampante di rete? Global Catalog?

Active Directory e DNS Localizzazione dei Servizi Tilbury Site London Site New York Site Site Link Cost 25 Site Link Cost 50 NY-DC-01 LON-DC-01 TIL-DNS-01 Dov’è la più vicina stampante di rete? NY-DC-01 e LON-DC-01 sono Global Catalog Global Catalog?

Active Directory e DNS Localizzazione dei Servizi Tilbury Site London Site New York Site Site Link Cost 25 Site Link Cost 50 NY-DC-01 LON-DC-01 TIL-DNS-01 Qual’è la più vicina stampante di rete? NY-DC-01 e LON-DC-01 sono Global Catalog Global Catalog? NY-DC-01 e LON-DC-01 Ricerca della stampante sul GC

Active Directory e DNS Modifica Dinamica dei Record  È definta da RFC 2136 Server DNS DHCP ServerRichiesta di IP IP in Affitto Window 2000, XP, 2003

Active Directory e DNS Modifica Dinamica dei Record DNS Server DHCP ServerRichiesta di IP IP in Affitto DNS Dynamic update del nome Host (A). Window 2000, XP, 2003 DNS Dynamic update del Pointer (PTR).

Cosa vedremo  Ripresa dei Concetti di Base  DNS e Active Directory  Architetture DNS  Uso di DNS non-Microsoft  Messa in Sicurezza del DNS

Spazio dei Nomi Unico contoso.com InternetRete Interna NY-WEB-01 NY-SMTP-01 NY-NS-01 NY-NS-02 NY-DC-01 NS NY-NS-01.contoso.com NY-NS-01 A NY-WEB-01 A NY-SMTP-01 A www CNAME NY-WEB-01.contoso.com smtp CNAME NS NY-NS-02.contoso.com NY-NS-02 A NY-WEB-01 A NY-SMTP-01 A www CNAME NY-WEB-01.contoso.com NY-WXP-01 A NY-DC-01 A

Spazio dei Nomi Delegato contoso.com corp.contoso.com NY-NS-01 NY-NS-02 NY-DC-01 NS NY-NS-01.contoso.com Corp NS NY-NS-02.corp.contoso.com NY-NS-02.corp A NY-NS-01 A NY-WEB-01 A NY-SMTP-01 A www CNAME NY-WEB-01.contoso.com smtp CNAME NS NY-NS-02.corp.contoso.com NY-NS-02 A NY-WXP-01 A NY-DC-01 A

Spazio dei Nomi Delegato contoso.comcorp.contoso.com InternetRete Interna NY-WEB-01 NY-SMTP-01 NY-NS-01 NY-NS-02 NY-DC-01 NS NY-NS-01.contoso.com NY-NS-01 A NY-WEB-01 A NY-SMTP-01 A www CNAME NY-WEB-01.contoso.com smtp CNAME NS NY-NS-02.corp.contoso.com NY-NS-02 A NY-WEB-01 A NY-SMTP-01 A www CNAME NY-WEB-01.contoso.com NY-WXP-01 A NY-DC-01 A

Spazio dei Nomi Univoco contoso.comcontoso.local InternetRete Interna NY-WEB-01 NY-SMTP-01 NY-NS-01 NY-NS-02 NY-DC-01 NS NY-NS-01.contoso.com NY-NS-01 A NY-WEB-01 A NY-SMTP-01 A www CNAME NY-WEB-01.contoso.com smtp CNAME NS NY-NS-02.contoso.local NY-NS-02 A NY-WXP-01 A NY-DC-01 A

Pianificazione dei Nomi DNS Buone Pratiche Usare nomi distinti Creare uno spazio dei nomi compatibile con AD Separa lo spazio dei nomi interno da quello esterno

Pianificazione dei Nomi DNS Linee Guida Selezionare lo spazio dei nomi DNS per il dominio Mantenere la separazione tra gli spazi dei nomi interno ed esterno Usare spazi dei nomi differenti per Internet e Intranet

Cosa vedremo  Ripresa dei Concetti di Base  DNS e Active Directory  Architetture DNS  Uso di DNS non Microsoft  Messa in Sicurezza del DNS

Interoperabilità con BIND Se esistono dei NS BIND, e si vuole mantenerli nell’infrastruttura di supporto ad AD, scegliere una delle seguenti strategie: Usare BIND per Internet e DNS di Windows Server 2003 per la rete interna Usare BIND sia per Internet sia per la intranet Usere BIND sia per Internet sia per la intranet, ma mettere i domini AD in Zone delegate su DNS Windows Server 2003 Usare i DNS Windows Server 2003 DNS sia per Internet sia per la intranet

Uso di DNS non-Microsoft  È possibile usare per AD anche DNS non- Microsoft  Devono Supportare i Record SRV  È meglio se supportano anche l’Update Dinamico dei Record  È meglio che venga assegnata ad AD una sub-zone separata

Esempio di named.conf //BIND Configuration File options { directory "/usr/local/named"; notify yes; }; zone "corp.contoso.com" in { type master; file "db.corp.contoso"; check-names ignore; allow-transfer { ; }; allow-update { ; ; ;}; }; zone " in-addr.arpa" in { type master; file "db "; allow-transfer { ; }; allow-update { ; ; ;}; }; zone " in-addr.arpa" in { type master; file "db "; zone "." in { type hint; file "db.cache"; };

Significato delle opzioni in named.conf  notify yes Istruisce il DNS Primario a mandare modifiche immediatamente ai DNS Secondari quando ci sono delle modifiche alla Zona  check-names ignore Per default, BIND controlla tutti i record per verificare che siano usati solo nomi di host standard per evitare problemi di interoperabilità.. Windows 2000 usa una sub- zone chiamata "_msdcs" per mantenere i dati di Active Directory. Questa zona non può entrare in conflitto con un nome di host (_ non ammesso per questi), ma rende anche impossibile mettere nomi di host in questa zona (BIND li vede come illegali). Active Directory cerca di inserire i GC in _msdcs, ma questa operazione viene vietata per default da BIND. Per evitare questi problemi, Microsoft raccomanda che AD sia piazzata in una sub-zone per la quale disabilitare il controllo dei nomi host.  allow transfer Indica quali host (NS) possono iniziare un trasferimento di zona.  allow update Per motivi di sicurezza è meglio consentire solo ai DC e ai DHCP la modifica dei record in DNS.

Cosa vedremo  Ripresa dei Concetti di Base  DNS e Active Directory  Architetture DNS  Uso di DNS non-Microsoft  Messa in Sicurezza del DNS

Messa in Sicurezza del DNS L’approccio corretto alla risoluzione dei nomi deve: Esporre solo la parte pubblica dello spazio dei nomi Abilitare tutti i client AD per la risoluzione di tutti i nomi aziendali, interni ed esterni Abilitare la risoluzione dei nomi Internet, su Internet Limitare il numero di record nel DNS esterno

Messa in Sicurezza del DNS  Usare pochi Record Alias (CNAME)  Adottare Pratiche Standard per i DNS  Integrare le Zone in Active Directory  Considerare la Possibilità di usare Zone Secondarie  Rivedere gli RFC     Inserire le Informazioni per Contattare l’Admin di Zona  = admin.contoso.com

Messa in Sicurezza del DNS  Usare i Forwarder per le Zone su Internet  Filtrare il Traffico DNS sui Firewall  Restringere il Traffico DNS in base agli IP  Usare la Ricorsione ogni volta che è possibile  Cancellare i Root Hint sui server che non devono comunicare con i DNS servers autoritativi per i root domain  Modificare i Root Hint se il Root Domain è interno  Modificare i Root Hints quando cambia il NS autoritativo per il Root Domain

Messa in Sicurezza del DNS  Consentire la Replica solo per i NS Specificati  Mettere in Sicurezza il Servizio DNS usando le ACL  Per le Zone Standard modificare i Permessi sui File di Zona  \System32\DNS  Mettere in Sicurezza le Chiavi di Registry del DNS  HKLM\System\CurrentControlSet\Services\DNS

© Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.