Доброго времени суток. Была задача настроить форвард днс запросов с Cisco на внутренний DNS сервер.Имеем: внутренний адрес Cisco: 192.168.2.1
Внутренний адрес DNS сервера: 192.168.2.21При настройке сделано следующее:
ip name-server 192.168.2.21
ip domain-lookup
ip dns server
ip dns spoofing 192.168.2.21
Все работает, однако есть одна небольшая проблема, стали доступны рекурсивные запросы к ДНС серверу 192.168.2.21 через внешний интерфейс Cisco. То есть теперь можно из мира спросить у циски кто например www.ru и она отвечает. Как это закрыть?
Т.е. у вас адрес 192.168.2.21 висит на внешнем интерфейсе. Замечательно.
> Т.е. у вас адрес 192.168.2.21 висит на внешнем интерфейсе. Замечательно.Не вижу здесь ничего замечательного. Просто я решил опустить подробность того, что на внешнем интерфейсе вист честный белый айпи. Думал что это и так понятно судя из темы. Если же такая подрбность необходима:
Внешний: ххх.ххх.ххх.ххх/32
Внутренний: 192.168.2.1/24
>> Т.е. у вас адрес 192.168.2.21 висит на внешнем интерфейсе. Замечательно.
> Не вижу здесь ничего замечательного. Просто я решил опустить подробность того, что
> на внешнем интерфейсе вист честный белый айпи. Думал что это и
> так понятно судя из темы. Если же такая подрбность необходима:
> Внешний: ххх.ххх.ххх.ххх/32
> Внутренний: 192.168.2.1/24UPD: 192.168.2.21 - адрес днс сервера внутри сети
>>> Т.е. у вас адрес 192.168.2.21 висит на внешнем интерфейсе. Замечательно.
>> Не вижу здесь ничего замечательного. Просто я решил опустить подробность того, что
>> на внешнем интерфейсе вист честный белый айпи. Думал что это и
>> так понятно судя из темы. Если же такая подрбность необходима:
>> Внешний: ххх.ххх.ххх.ххх/32
>> Внутренний: 192.168.2.1/24
> UPD: 192.168.2.21 - адрес днс сервера внутри сетиэтим же например страдает NTP, поэтому ACLом закрыть на аутсайде всё что не нужно
>>>> Т.е. у вас адрес 192.168.2.21 висит на внешнем интерфейсе. Замечательно.
>>> Не вижу здесь ничего замечательного. Просто я решил опустить подробность того, что
>>> на внешнем интерфейсе вист честный белый айпи. Думал что это и
>>> так понятно судя из темы. Если же такая подрбность необходима:
>>> Внешний: ххх.ххх.ххх.ххх/32
>>> Внутренний: 192.168.2.1/24
>> UPD: 192.168.2.21 - адрес днс сервера внутри сети
> этим же например страдает NTP, поэтому ACLом закрыть на аутсайде всё что
> не нужноА если ДНС поддерживает какой-нить домен?
>>>>> Т.е. у вас адрес 192.168.2.21 висит на внешнем интерфейсе. Замечательно.
>>>> Не вижу здесь ничего замечательного. Просто я решил опустить подробность того, что
>>>> на внешнем интерфейсе вист честный белый айпи. Думал что это и
>>>> так понятно судя из темы. Если же такая подрбность необходима:
>>>> Внешний: ххх.ххх.ххх.ххх/32
>>>> Внутренний: 192.168.2.1/24
>>> UPD: 192.168.2.21 - адрес днс сервера внутри сети
>> этим же например страдает NTP, поэтому ACLом закрыть на аутсайде всё что
>> не нужно
> А если ДНС поддерживает какой-нить домен?А зачем фантазировать? :)
>[оверквотинг удален]
>>>>> Не вижу здесь ничего замечательного. Просто я решил опустить подробность того, что
>>>>> на внешнем интерфейсе вист честный белый айпи. Думал что это и
>>>>> так понятно судя из темы. Если же такая подрбность необходима:
>>>>> Внешний: ххх.ххх.ххх.ххх/32
>>>>> Внутренний: 192.168.2.1/24
>>>> UPD: 192.168.2.21 - адрес днс сервера внутри сети
>>> этим же например страдает NTP, поэтому ACLом закрыть на аутсайде всё что
>>> не нужно
>> А если ДНС поддерживает какой-нить домен?
> А зачем фантазировать? :)Ну я просто, ради просвящения)) Допустим днс поддерживает домен, т.е. мы не можем закрыть на вход 53 порт. Тогда только на ДНС запрещать рекусию?
>[оверквотинг удален]
>>>>>> Внешний: ххх.ххх.ххх.ххх/32
>>>>>> Внутренний: 192.168.2.1/24
>>>>> UPD: 192.168.2.21 - адрес днс сервера внутри сети
>>>> этим же например страдает NTP, поэтому ACLом закрыть на аутсайде всё что
>>>> не нужно
>>> А если ДНС поддерживает какой-нить домен?
>> А зачем фантазировать? :)
> Ну я просто, ради просвящения)) Допустим днс поддерживает домен, т.е. мы не
> можем закрыть на вход 53 порт. Тогда только на ДНС запрещать
> рекусию?поправьте меня если я не прав: поскольку для внутреннего днс все запросы идут от киски (независимо от того с какого интерфейса внутреннего или внешнего спуфился реквест), то отключать рекурсию на днс наверно зло с точки зрения локальных писюков.
имхо в случае наличия поддержки домена следует отказаться от спуфинга как такого, кинуть днс в дмз и настроить поддержку рекурсивных запросов только для локальных хостов.
>[оверквотинг удален]
>> Ну я просто, ради просвящения)) Допустим днс поддерживает домен, т.е. мы не
>> можем закрыть на вход 53 порт. Тогда только на ДНС запрещать
>> рекусию?
> поправьте меня если я не прав: поскольку для внутреннего днс все запросы
> идут от киски (независимо от того с какого интерфейса внутреннего или
> внешнего спуфился реквест), то отключать рекурсию на днс наверно зло с
> точки зрения локальных писюков.
> имхо в случае наличия поддержки домена следует отказаться от спуфинга как такого,
> кинуть днс в дмз и настроить поддержку рекурсивных запросов только для
> локальных хостов.Поправочка, на циске фукция ДНС используется исключительно для заворачивания запросов клиентов на внутренний ДНС сервер.
>[оверквотинг удален]
>>> рекусию?
>> поправьте меня если я не прав: поскольку для внутреннего днс все запросы
>> идут от киски (независимо от того с какого интерфейса внутреннего или
>> внешнего спуфился реквест), то отключать рекурсию на днс наверно зло с
>> точки зрения локальных писюков.
>> имхо в случае наличия поддержки домена следует отказаться от спуфинга как такого,
>> кинуть днс в дмз и настроить поддержку рекурсивных запросов только для
>> локальных хостов.
> Поправочка, на циске фукция ДНС используется исключительно для заворачивания запросов
> клиентов на внутренний ДНС сервер.А чем от rdr отличается?