سوال در مورد نحوه عملکرد DNS در مورد کلاینتهای وب پروکسی

[hexman]

سلام
این نوشته رو توی کتاب اموزش ایزا خوندم در موردش سوال پیش اومده برام:

""..سرور isa کلاینتهای firewall را مجبور میکند تا برای ترجمه نامهای مربوط به این دومین [دومین داخلی] از سرور dns داخلی بهره ببرند.."

حالا سوال من اینه که توی یه دومین داخلی ما اومدیم یک کلاینت رو بصورت وب پروکسی و یا فایروال کلاینت تعریف کردیم و ادرس dns داخلی شبکه رو هم در فیلد dns تنظیمات کارت شبکه اش ست کردیم حالا وفتی این کلاینت میخواد بای یکی از کلاینهای داخلی شبمه مثلا با کامپیوتری با نام server.mydomain.com ارتباط برقرار کنه یک dns query برای بدست اوردن ای پی این کامپیوتر به سرور dns داخلی میفرسته..

اما با این تعربف این طور به نظر میاد که اول میاد این کلاینت dns query اش رو میفرسته به ایزا و اگه ایزا تشخیص داد که متعلق به دومین داخلی هست اونوقت کلاینت اجازه داره با dns داخلی ارتباط برقرار کنه..

حالا میخوام بدونم کدوم مکانیزم درسته

---

موضوعات مشابه:

• سوال : باگ در سی سی پروکـــسی
• سوال در مورد تاریخ انقضای سی پنل
• چند سوال وایمکسی
• سوال در مورد سطح دسترسی

---

[mahdi7610]

اصلا آیزا با کلاینتهای Internal کاری نداره .

ISA ترافیک بین Internal به External و Localhost را مسدود میکنه .

کلاینتهای داخلی دامین (Internal) برای ارتباط با یکدیگر اصلا کاری با آیزا ندارن.

شاید منظور اون جمله کتاب این باشه که اگر DNS سرور شما یک Forwarder داشته باشه یا بخواد از یک DNS سرور دیگر در یک شبکه دیگه (External) سوال بکنه آیزا اجازه نخواهد داد . که در واقع درست هم هست آیزا به صورت دیفالت به شما اجازه نخواهد داد.

البته شما می تونی یک Rule تعریف کنی و این اجازه را به DNS Server بدی که بره و از یک DNS Server دیگه سوال کنه.

[hexman]

ممنون ولی یه قسمت توی properties شبکه اینترنال وجود داره که domain name خودت رو اونجا وارد میکنی منظور این جمله از دومین هم همون دومین داخلی هست عکس این قسمت هم انداخته

[mahdi7610]

نه منظور دامین داخلی نیست.
شما توی این قسمت میتونید مشخص کنید کلاینت ها برای دسترسی به یک سری سرور های خاص در شبکه به جای اینکه درخواستشون را به ISA بدن، مستقیما درخواستشون را به خود سرور بدن و دیگه درخواست به ISA نره.
مثلا
server.com.*

[hexman]

ممنون یه سوال دیگه هم دارم یه منبع اموزشی دیگه در مورد tmg تهیه کردم که مالتی مدیا هست توی یه قسمتش میاد سناریوی secure nat رو پیاده سازی میکنه میاد میگه روی کارت شبکه اکسترنال tmg بهتره که ای پی dns ست نکنید و این کار هم نمیکنه روی کارت شبکه اینترنالش هم برای dns ای پی dns server داخلی رو میزاره روی همه کلاینتها هم همینطور و ای پی کارت شبکه اینترنال tmg هم بعنوان gateway ست میکنه.یعنی هیچ کلاینتی dns server خارجی براش ست نشده خود ایزا هم همینطور حرفی هم از تعریف کردن فورواردینگ برای dns داخلی نمیزنه اما در نهایت همه کلاینتها اینترنت دار شدن چطور ممکنه به نظر شما>

[mahdi7610]

واسه کارت شبکه اکسترنال ISA سرور باید یک Dns server اینترنتی مثل 4.2.2.4 داده بشه.

[hexman]

من به استادی که این مالتی مدیا رو تهیه کردند ایمیل زدم و ایشون هم لطف کردند پاسخ دادن :

ابتدا سوال خودم:

توی اموزش tmg در فصل سوم درس دوم که مربوط به تنظیمات dns است شما روی کارت شبکه اکسترنال tmg ای پی dns ست نکردید و روی dns داخلی هم فورواردینگ ست نکردید(و یا شاید هم کردید و تو فیلم ما ندیدیم) و بعد اومدید یکی از کلاینتها رو بصورت secure nat پیکربندی کردید بدون اینکه براش ادرس dns خارجی ست کنید ولی ارتباط اینترنت کلاینت برقرار شد! مگه میشه همچین چیزی؟تو ایزا که نمیشد میشه توضیح بدید؟

پاسخ استاد :

جناب آقای ...، تنظیمات DNS در TMG، حالتهای مختلفی دارد ...

اصولا در شبکه های دامینی، آدرس های DNS ای را بر روی کارت شبکه External، ست نکرده و از فورواردر استفاده می شود که این روش در کتاب ... استفاده شده است ودر مقابل مشکلاتی که استفاده از این روش برای Secure Nat ها به وجود می آورد نیز شرح داده شده و روش برطرف ساختن آن نیز توضیح داده شده است...

در هر صورت در حالتی هم که DNS بر روی کارت شبکه External ست نشده و از فورواردر هم استفاده نشده باشد، از تنظیمات DNS ای Connection ISP، استفاده می شود... امتحان این روش خالی از لطف نیست.. می توانید به راحتی این روش را نیز تست کنید..

برای درک بیشتر این مفاهیم و مقایسه مزایا و معایب استفاده از این روشها، مطالعه کتاب .....را به شما توصیه می کنیم

توجه به تنظیمات صحیح DNS، یکی از نکات بسیار مهم و قابل توجه در شبکه ها می باشد به این خاطر که نقش بسیار مهمی در Performance شبکه خواهد داشت
موفق و پیروز باشید.

این لینک هم برام فرستادند:

DNS Configuration Review for Microsoft Forefront Threat Management Gateway (TMG) 2010

نظرتون چیه دوستان در مورد اینکه ایشون فرمودند :

در حالتی هم که DNS بر روی کارت شبکه External ست نشده و از فورواردر هم استفاده نشده باشد، از تنظیمات DNS ای Connection ISP، استفاده می شود

[exxtreme]

امیر اقا یه سوال خارج از بحث.
شما از اموزش مالتی مدیا فارسی tmg استفاده میکنین؟میشه بپرسم واسه کدوم شرکت؟(به خاطر قوانین بی زحمت پیام خصوصی)

[mahdi7610]

درست میگه .
گاهی وقتها آدرس DNS توسط شرکت ISP تعیین میشه . شما میتونید با ISP تماس بگیرید و بپرسید که ادرس DNS شما چیه

[hexman]

درست میگه .
گاهی وقتها آدرس DNS توسط شرکت ISP تعیین میشه . شما میتونید با ISP تماس بگیرید و بپرسید که ادرس DNS شما چیه

منظور شما اینه که من از isp بپرسم dns اش چیه بعد اون رو ست کنم رو کلاینتهام؟

ولی ایشون منظورشون اینه که هیچ dns ای جز dns داخلی ست نشه روی کلاینتها

[mahdi7610]

شما روی کلاینتها نیازی نیست DNS اکسترنال را set کنید. برای کلاینت های Internal شما باید DNS سرور داخل سازمان را set کنید.
وقتی شما IP public دارید دیگه نیازی به ست کردن DNS اکسترنال ندارید . خود ISP این کار را واسه شما می کنه. شما وقتی به اینترنت وصل میشید مگه IP Public اختصاصی دارید؟ خب ندارید . شما متصل میشید به شرکتی که به شما اینترنت داده و اونها یک ip public به شما میدن و شما با استفاده از اون می رید اینترنت . البته این ip اختصاصی نیست و هر بار تغییر می کنه .
اگه میخوای این Ip را ببینی توی گوگل بزن my ip address توی خط اول به شما ip را نشون میده.
کلاینت های Internal شما نیازی به Dns اکسترنال ندارند. باید Dns اینترنال را واسشون ست کنید.

[hexman]

فرض کن من کلا یک کامپیوتر دارم با یک مودم adsl که pppoe ست شده

میام مستقیم وصلش میکنم به سیستم

ای پی کارت شبکه رو از رنج ای پی مودم میدم ای پی مودم رو میزارم جای گیت وی اش و dns هم براش ست نمیکنم.به نظر شما میتونه گوگل رو باز کنه؟

[hexman]

کسی نیست دوستان؟

[mahdi7610]

شما بر روی کارت شبکه Internal نباید Default Gateway ست کنید.
در ضمن شما وقتی یک کارت شبکه بر روی سیستم داری و اون هم مستقیم به اینترنت متصل شده دیگه IP نمیخواد بدی.
خود مودم یک Ip به صورت public بر روی کارت شبکه شما ست میکنه.

فرض کن من کلا یک کامپیوتر دارم با یک مودم adsl که pppoe ست شده

میام مستقیم وصلش میکنم به سیستم

ای پی کارت شبکه رو از رنج ای پی مودم میدم ای پی مودم رو میزارم جای گیت وی اش و dns هم براش ست نمیکنم.به نظر شما میتونه گوگل رو باز کنه؟

با این چیزی که شما گفتی ، نه نمیتونی به اینترنت بری
شما نیازی به دادن Ip نداری. Ip را خود مودم بر روی کارت شبکه شما ست میکنه.
شما فقط کافیه یک Rule تعریف کنی و http را باز کنی . اونوقت می تونی اینترنت داشته باشی