Newsgroup: it.comp.reti.locali
Titolo: Ancora su DNS forward

Ciao a tutti.
Qualche giorno fa ho avuto dei preziosi consigli da Mirko e ObiWan su
questo gruppo a proposito della configurazione del DNS della mia rete
interna su controller di dominio con A.D. W2K Server, ecco il link:
http://groups.google.it/group/it.comp.reti.locali/browse_thread/thread/3ab936a22ded43b6/db4e5a64e0f91143?lnk=st&q=alexsixf+dns&rnum=1&hl=it#db4e5a64e0f91143
Oggi finalmente sono riuscito a riconfigurare tutto come spiegato nel
post qui sopra.
Tutto è andato benissimo, il forward ai server d'inoltro funziona
benissimo ed ora tutti i miei client puntano solo al DNS interno che
risolve con i server d'inoltro (ci sono anche però tutti i Root Hints
configurati).
Controllando però il firewall aziendale (una linux box Watchguard), il
cui IP è inserito naturalmente come gateway predefinito del server DNS
interno, mi sono accorto che numerosi pacchetti UDP 53 (appunto dns) mi
vengono spediti dai server d'inoltro che ho configurato nel mio DNS
(l'ADSL è SMART telecom, per cui i server d'inoltro sono quelli con
151.99.125.1-2-3 e altri) e sembrano non sollecitati dall'interno, di
conseguenza il firewall li droppa.
I pacchetti arrivano anche quando nessuno (e niente) usa internet.
La navigazione non ne risente per niente, e tutto funziona, mi chiedevo
solo come mai possa succedere, quando prima di configurare i server
d'inoltro non era mai successo.
Ma bisogna per caso aprire una nat verso il server DNS interno per
permettere ai server DNS dell'ISP di mandare pacchetti non richiesti al
mio DNS interno? (tipo aggiornamenti).
(Il mio server DNS ovviamente non è un server registrato in internet,
è un semplicissimo DNS per A.D. di una LAN interna).
Grazie per l'aiuto e anche Buona Pasqua a tutti!
Ciao, Alexsixf.

 mio DNS interno? (tipo aggiornamenti).
No, non c'è bisogno di aprire (forwardare) la porta 53 .. a meno di non
voler pubblicare il tuo DNS su internet :-) .. assicurati soltando che il
firewall consenta queries in USCITA verso la porta 53 sia per UDP
che per TCP; per quanto riguarda i pacchetti "loggati e bloccati" in
genere si tratta di un semplice problema di timeout/ritrasmissione
devi considerare che UDP è "connectionless" ossia non viene
stabilita una connessione ma vengono semplicemente inviati e
(si spera) ricevuti dei pacchetti; per questo motivo il firewall deve
gestire il traffico UDP utilizzando dei timeout; ad esempio.. il tuo
DNS invia un pacchetto UDP verso la 53 di un forwarder, il tuo
firewall "vede" tale richiesta ed attiva un timer accettando poi il
pacchetto che arriverà in risposta ENTRO il tempo limite, nel
caso in cui però, per un qualsiasi motivo, la risposta arrivasse
"fuori tempo massimo" il firewall rifiuterà il pacchetto in arrivo
Una cosa come quella da te rilevata non è rara, in generale è
indice del fatto che i DNS che usi come forwarders non sono
particolarmente veloci e/o che sono sovraccarichi, in linea di
principio, se/quando possibile tendo ad evitare del tutto l'uso
dei forwarders ed a far lavorare il server in maniera ricorsiva
utilizzando i root-hints.. non sto qui a sindacare il perchè non
mi piaccia utilizzare forwarders o se/quando utilizzarli, del
resto... ognuno è libero di configurare il proprio DNS come
crede meglio, io posso soltanto fornire qualche consiglio
Ciao
-- 
* ObiWan
Microsoft MVP: Windows Server - Networking
http://www.microsoft.com/communities/MVP/MVP.mspx
http://italy.mvps.org
DNS "fail-safe" for Windows 2000 and 9X clients.
http://www.treewalkdns.com
Support and discussions forums/groups
http://forums.treewalkdns.com
news://
news.treewalkdns.com
408 XP/2000 tweaks and tips
http://www.treewalkdns.com/tq/index.htm

 * ObiWan
Comunque lasciami proprio dire che sei grande, ObiWan.
E' parecchio che studio sui gruppi leggendo tutti i tuoi post, che sono
sempre impeccabili e tecnicamente chiarissimi.
Stai veramente facendo un bellissimo servizio alla comunità, grazie
tantissime davvero!
E già che ci siamo ti auguro, e anche a tutti i frequentatori del ng,
una buonissima Pasqua.
Ciao, Alexsixf.

 la risposta. Ho capito tutto giusto, vero?
Si; per capirsi, utilizzando i root-hints (scusa ma preferisco usare
questo nome) e non i forwarders il DNS funzionerà più o meno
in questo modo; supponi di voler risolvere l'indirizzo IP dell'host
"
www.intel.com
" ecco cosa farà il tuo DNS
1) query ad uno dei root-servers chiedendo l'indirizzo di 
www.intel.com
    il root server non conosce la risposta ma sa che il TLD "com" è di
    pertinenza dei gTLD servers, quindi ritorna l'indirizzo di questi ultimi
2) query ad uno dei gTLD servers relativa a 
www.intel.com
 il gTLD server
     non conosce l'indirizzo di ma sa che "
intel.com
" è di pertinenza dei
DNS
     che gestiscono il dominio di intel e ritorna gli indirizzi di questi
ultimi
3) query ad uno dei DNS autoritativi per 
www.intel.com
 che a questo punto
     ritornerà l'informazione richiesta, ossia l'IP del record "www" nel
dominio
     "
intel.com
"
il DNS inoltre conserverà in cache le risposte ottenute in ciascuno dei
passi
visti sopra per il tempo "di vita" del record (TTL) specificato dal DNS dal
quale
l'informazione è stata ricevuta; in questo modo, ad esempio, una successiva
query per 
www.3com.com
 inizierà direttamente dal punto (2) dato che il DNS
conoscerà già gli indirizzi dei servers gTLD e saprà che questi sono
autoritativi
per il TLD "com"; spero di essere stato chiaro e mi scuso con chi leggerà
quanto
sopra per la semplificazione... cercavo solo di chiarire il funzionamento di
base
di una query DNS.. dimenticavo; nel caso in cui il tuo DNS utilizzasse
invece dei
forwarders, tutto il lavoro di cui sopra lo farebbe uno dei forwarders
ritornando poi
al tuo DNS solo l'informazione richiesta e non le info "intermedie"



Grazie ancora tantissimo delle bellissime spiegazioni, sei veramente
indispensabile!
Devo anche chiedere una cosa sui DNS con una VPN e altre cose
correlate, ma lo faccio in un altro post per chiarezza.
Ciao, Alexsixf.

 altre cose correlate, ma lo faccio in un altro post per chiarezza.
Ok .. ciao !



E ancora grazie tantissime, ma ora scrivo l'altro post sulle VPN.
Riciao, Alexsixf.

 Già, è vero anche questo...
Già che ci sei; assicurati che tutti i clients, i servers (ed anche il
server DNS stesso) abbiano le corrette impostazioni IP, ossia
che come server DNS puntino all'IP del DNS sulla LAN e NON
ad altri DNS esterni (come ho detto, anche il server dovrà puntare
a se stesso); inoltre, giusto per sicurezza, configura il firewall in
modo che il traffico verso DNS esterni (ossia verso la porta 53
UDP e TCP) venga permesso SOLTANTO al server DNS e non
agli altri computers, in questo modo eviterai parecchi problemi
Ciao

Già fatto tutto!
Guarda, sono proprio contento di vedere che avevo pensato giusto:
- tutti i client DNS (client e server) puntano al DNS interno
- il firewall lascia passare per il DNS solo l'IP del DNS interno (ho
controllato: la regola è impostata su UDP e TCP, non me ne ero mai
accorto...)
Ho già postato anche per la VPN sul gruppo, speravo proprio che tu,
appena hai tempo, potessi dare un occhio al mio msg...
Ancora grazie moltissime, sono veramente in debito con te!
Ciao, Alexsixf.

 mai accorto...)
Ok, già che ci siamo.. blocca tutto il traffico dai clients ed apri solo
le porte necessarie, ad esempio, l'accesso alla 25/tcp di hosts
esterni andrebbe permesso SOLO al mailserver e NON ai clients
in linea di massima.. chiudi tutto e poi apri man mano soltanto le
porte che ti servono e solo per gli hosts ai quali servono :-)
Ciao

Fatto tutto!
Siamo in sintonia veramente...   :-)
Grazie tantissime, Alexsixf.