Раздельный DNS отвечает на вопрос, какой набор данных нужен контексту. DoH отвечает на вопрос о способе передачи к выбранному резолверу; шифрование не выбирает корпоративное представление автоматически.
DNS и разрешение имён
Раздельные представления DNS
Определение
Раздельные представления DNS — это способ настройки службы имён, при котором на одно и то же полное имя внутренние и внешние запросы получают разные наборы записей. Какое представление увидит приложение, решают выбранный резолвер и путь к нему.
Также ищут: split-horizon DNS · DNS views · Split DNS
Зачем это знать
Внутренний адрес через VPN и публичный ответ могут быть корректны в своих областях. Исправление должно восстановить нужный путь приложения, а не автоматически сделать все ответы одинаковыми.
Связи из словаря
Карта понятия
Раздельные представления DNS
Доказательная часть
Что подтверждено
Split DNS позволяет отдавать разные наборы записей одного имени для внутренних и публичных запросов с помощью отдельных представлений или источников.
Граница применимости: Частные и разделённые представления DNS.
Выбор резолвера и пути к нему определяет доступное представление, поэтому внешний шифрованный DNS может обойти предусмотренное внутреннее пространство имён.
Граница применимости: Split DNS с VPN, локальными правилами или альтернативным шифрованным резолвером.
Одно полное имя может иметь разные данные во внутренних и внешних представлениях. Такое различие является частью принятой архитектуры, если оно задано политикой обслуживания.
Граница применимости: Раздельный DNS и частные пространства имён по RFC 9499 и RFC 6950; конкретная политика должна быть известна владельцу системы.
Сокрытие внутренней записи от публичного резолвера не заменяет контроль доступа к службе. Узел по известному адресу всё равно нуждается в применимой проверке подлинности и прав.
Граница применимости: Редакторское разделение области видимости DNS и идентификации службы; сетевые и прикладные правила доступа не выводятся из отсутствия публичной записи.
После изменения VPN предлагаем заново проверить фактически выбранный резолвер и ответ приложения. Наличие туннеля само по себе не описывает правила выбора DNS каждым клиентом.
Граница применимости: Редакторская процедура проверки из раздельных пространств и прикладного DoH; не заявляет конкретного приоритета настроек ОС.
При переходе между внутренним и внешним разрешением нужно учитывать ранее полученные положительные и отрицательные ответы. Нельзя по одной новой настройке DNS доказать, что приложение больше не использует прежний результат.
Граница применимости: Редакторский вывод о проверке кэша между контекстами; автоматическая очистка или разделение кэшей конкретной реализацией не предполагаются и не отрицаются.
Проверенный ответ публичного DNS описывает данные выбранного публичного пути. Он не подтверждает, что отдельно настроенное частное представление содержит тот же набор записей или вообще использует ту же цепочку доверия.
Граница применимости: Сопоставление частных пространств и модели доверия DNSSEC; не предлагает отключать проверку ради согласования разных представлений.
Граница терминов
Не путать
FQDN делает имя абсолютным, но не назначает источник ответа. Полное внутреннее имя может требовать корпоративного резолвера даже без поисковых суффиксов.
Перед спецификацией
Что проверить
- Опишите ожидаемый ответ для каждой сети и состояния VPN.
- Зафиксируйте одинаковое полное имя и тип для сравниваемых запросов.
- Проверьте фактически выбранный резолвер у приложения и утилиты.
- Уточните пересылку и исключения для частных зон.
- Проверьте положительный и отрицательный кэш после смены контекста.
- Согласуйте применимые доверенные пути DNSSEC для каждого представления.
- Проверьте подключение, подлинность и права доступа к найденной внутренней службе.
Открытые основания
Первоисточники
- DNS Terminology
Актуализирует определения names, resolvers, authoritative servers, zones, delegation, split DNS и DNSSEC states.
- DNS Queries over HTTPS
Определяет перенос DNS messages через authenticated HTTPS connection и media type application/dns-message.
- Service Identity in TLS
Задаёт construction и verification reference identifiers для TLS services; server identity находится в subjectAltName, не в commonName.
Утверждения: 04
- Negative Caching of DNS Queries
Определяет cacheable NXDOMAIN и NODATA responses и получение negative TTL из SOA.
Утверждения: 06
- DNS Security Introduction and Requirements
Определяет DNSSEC goals, resolver security states, trust anchors и границы защиты.
Утверждения: 07