Newsgroup: it.comp.reti.locali
Titolo: DNS forward o no?

Ciao a tutti.
Leggendo vari post ho visto come non sia assolutamente una buona
pratica mettere come dns dei client di una LAN appartenenti ad un
dominio w2k srv con AD il dns del provider, quanto sia invece meglio
impostare nei client il dns del proprio server interno w2k e poi
forwardare dal proprio dns sui dns dei provider.
Io però ho questa configurazione:
- i client hanno impostato come dns il mio dns interno di w2k
- il dns interno non fa forward verso l'esterno
- i client navigano attraverso un proxy (wingate) che è configurato
non come macchina del dominio ma ha un suo workgroup a cui appartiene
solo lui e i dns di questa macchina proxy sono solo quelli del provider
(avevo seguito un documento MS che spiegava che una macchina
appartenente ad un workgroup e non ad un dominio poteva avere i dns del
provider).
La stessa macchina proxy ha caricato un server smtp/pop3 solo interno
(l'SMTP non è pubblico, serve solo a inviare la posta all'smtp del
provider e il pop3 fa un fetching della posta dalle caselle di 
tin.it
ogni tot minuti) e funge anche da server antivirus corporate ed.
symantec.
Le richieste dns per la rete interna della macchina proxy vengono
mandate all'esterno?
Secondo voi anche così posso essere esposto a rischi di sniffing e
altre amenità/exploit che ho letto se qualcuno dall'esterno risponde
alle richieste di risoluzione interna dei nomi fatte dalla macchina
proxy?
Se secondo voi è meglio cambiare la mia situazione usando il forward
sopra descritto, non mi indichereste un link che spiega come
configurare il dns interno per fare foward, per favore?
Grazie a tutti, Alex.

 configurare il dns interno per fare foward, per favore?
PErsonalmente se ho il DNS interno (tipicamente ambiente AD) tendo a
far passare tutto attraverso lui.
http://support.microsoft.com/kb/300202
Ciao ciao
-- 
MirkoB.   
ne...@bsi-net.it
Motoretta BMW R1150R Nera...
L'indirizzo em@il non è da considerarsi pubblico,
ma utilizzabile solo per temi inerenti il NG corrente.

 ma utilizzabile solo per temi inerenti il NG corrente.
Ciao, e grazie 1000.
Alex.

 forwardare dal proprio dns sui dns dei provider.
Come ha scritto Mirko, una configurazione simile, non solo non
è una buona idea.. ma è COMPLETAMENTE ERRATA !
Nel caso di una LAN sulla quale sia presente un DNS e che
magari abbia anche un dominio "Active Directory" tutti i computers
(inclusi i servers ed incluso il server DNS stesso) debbono usare
nelle impostazioni di rete SOLO ed ESCLUSIVAMENTE il (o i) DNS
interno e MAI, ripeto MAI indirizzi DNS esterni (es. quelli del provider)
Poi, il DNS (o i DNS) della LAN andrà opportunamente configurato in
modo da permettere la risoluzione di hosts esterni (internet), al proposito
consiglio la lettura di questo articolo
http://support.microsoft.com/default.aspx?scid=kb;en-us;300202&sd=tech
in particolare, in riferimento all'articolo di cui sopra, ed in presenza di
una
connessione ad internet "decente" (es. *DSL) consiglio di evitare "in toto"
l'uso dei forwarders e di lasciare che il DNS utilizzi la ricorsione ed i
"root
hints" per la risoluzione dei nomi
Ciao

 per l'esterno.
Beh, per giusta regola ed anche per evitare che il proxy tenti di
inoltrare verso internet richieste relative alla rete locale, il proxy
dovrebbe essere configurato per usare ANCHE LUI come DNS
il server interno
Ciao

 Ciao
Ciao ObiWan, quando parlavo dei post che avevo letto mi riferivo
proprio a post tuoi, grazie di avermi risposto.
Ora però vorrei approfittare ancora della tua cortesia per alcuni
chiarimenti:
- perchè dici di evitare l'uso dei forwarders e di usare i root hints?
(questi ultimi non so cosa sono, devo ancora leggere bene l'articolo
che mi avete consigliato, tu in inglese e prima in italiano)
- se voglio usare i forwarders devo eliminare la zona principale "." ?
Dal documento MS non si capisce bene.
- in una LAN senza dominio / AD ma con solo workgroup i dns dei client
saranno quelli del provider?
Grazie ancora, Alex.

 Mi sai dire tu cosa devo fare per favore?
ovvio che la devi togliere. Lasciando la zona punto lui crede di
essere il capo del mondo e quindi non farà andare niente oltre a se
stesso (per lui non esiste altro, oltre a se stesso). Inoltre, per
questa ragione, non ti lascia configurare i server d'inoltro. Che
comunque, come dice obiwan non sono indispensabili se usi la
ricorsione (che se hai la zona punto ancora attiva non funzionerà di
certo). 
Se non conosci molto bene l'argomento DNS, cancella la punto, imposta
il server d'inoltro e sei a posto. Poi con calma studi l'argomento e
valuti le modifiche.


Mirko Borsari ha scritto:

Hai centrato il punto, non conosco per niente l'argomento e voi mi
siete stati utilissimi veramente.
Volevo rivolgere anche a te la domanda che ho posto a ObiWan, e che
sicuramente leggerà anche lui: in una LAN senza dominio / A.D. ma con
solo workgroup i dns dei client
sono quelli del provider? (parliamo della classica piccola rete con 4 o
5 client e un firewall hardware che funge da gateway per internet).
Ancora grazie della pazienza, Alex.

 5 client e un firewall hardware che funge da gateway per internet).
Si. Se non hai un DNS interno (e nella rete con 4-5 PC non lo trovi)
devi usare quelli dell'ISP (che ti servono solo per navigare).


Mirko Borsari ha scritto:

Ok, ti ringrazio tantissimo delle informazioni, sei stato (e anche Obi)
molto gentile.
Ciao, Alex.

 devi usare quelli dell'ISP (che ti servono solo per navigare).
Occhio SOLO se non c'è un DNS sulla rete, altrimenti nel caso in cui
esista un DNS sulla LAN, si dovrà sempre usare il DNS della LAN;
oltre a questo, e considerando che parecchi routers SoHo offrono
anche un servizio DNS cache/forward, in un caso del genere sarà
opportuno configurare i clients per usare l'IP del router come DNS
e lasciare che il router si preoccupi di effettuare il forwarding verso
i DNS del provider ed il caching delle risposte
Ciao

 i DNS del provider ed il caching delle risposte
Ma fanno anche caching? In questo caso il vantaggio c'è! 
Però su questo non sono assolutamente preparato. In genere opero dove
c'è AD e per forza anche il DNS interno.


Mirko Borsari ha scritto:

Ok, tutto chiarissimo, grazie ancora ad entrambi per la pazienza e la
competenza.
Ciao, Alex.

 competenza.
Cerca di quotare perň... 
Ciao ciao
-- 
MirkoB.   
ne...@bsi-net.it
Motoretta BMW R1150R Nera...
L'indirizzo em@il non č da considerarsi pubblico,


 interno.
pure io .. che c'entra, solo che di problematiche in giro se
ne incontrano di tutti i tipi.. ed in ogni caso, AD o non AD
nel caso in cui esista un DNS o un "forwarder" locale è
una buona idea usarlo :)

 Ciao ciao
Oppsss... chiedo scusa, oltretutto usando google gruppi non è
semplicissimo fare le cose fatte bene: se fai "rispondi" e sei già
loggato, in automatico non ti quota un bel niente!
Grazie ancora, Alex.

 ha scritto nel messaggio 
news:1144265905.9...@i39g2000cwa.googlegroups.com...
Mirko Borsari ha scritto:
In una LAN senza dominio / A.D. ma con
solo workgroup i dns dei client
sono quelli del provider? (parliamo della classica piccola rete con 4 o
5 client e un firewall hardware che funge da gateway per internet).
Di solito si imposta il DNS che punta al firewall/router/gateway che poi 
risolve gli indirizzi e invia le richieste.
Ciao!