UTM/APP/Nameserver-Zonen

Letzte Anpassung zur Version: 12.6.0

Neu:

Aktualisierung zum Redesign des Webinterfaces

Zuletzt aktualisiert:

Hinweise für PTR-RR überarbeitet

notempty

Dieser Artikel bezieht sich auf eine Beta-Version

11.7 11.6.11

Einleitung

Der Nameserver der UTM bietet:

Forward-Zonen: Namensauflösung (FQDN) in IP-Adressen
Reverse-Zonen: IP-Adressen in FQDN
Relay-Zonen: Weiterleiten von Anfragen, die zu einer bestimmten Domain gehören
DNS Forwarding: Weiterleiten sämtlicher DNS Anfragen

Um den Nameserver der UTM nutzen zu können, muss im Paketfilter eine Regel mit dem jeweiligen Netz als Quelle und dem Ziel

xy-Interface existieren.
Als Dienst muss mindestens

dns erlaubt werden (Port 53 für TCP und UDP).
Es empfiehlt sich in der Regel jedoch die Dienstgruppe

proxy zu verwenden. Dies gibt weitere Ports für Dienste wie z.B. den transparenten Proxy, webcache oder einen Ping frei.

Voraussetzungen

Firewall als Nameserver festlegen

Servereinstellungen UTMbenutzer@firewall.name.fqdnNetzwerk Nameserver IP Im ersten Schritt muss die UTM selbst als Nameserver der Firewall festgelegt werden.

Konfiguration unter Netzwerk Servereinstellungen Bereich Servereinstellungen Abschnitt
DNS-Server
Feld Primärer Nameserver als IP die 127.0.0.1 (localhost) setzen.
Speichern mit

Wird kein Nameserver hinterlegt, werden DNS-Anfragen über die root-DNS-Server und die dort hinterlegten DNS-Server für die Top-Level-Domains aufgelöst

Forward-Zone

Eine Forward-Zone wird zur Umsetzung von Domainnamen in IP-Adressen verwendet.
Diese Umsetzung ist sowohl in IPv4 (A) als auch in IPv6 (AAAA) möglich. In dem folgenden Einrichtungsbeispiel wird das Anlegen eines A-RR, für eine öffentliche Domain gezeigt.
Wird der DNS der Firewall zur Auflösung verwendet, soll eine private IP aus dem internen Netz zurückgegeben werden.

Diese Einstellung wird unter anderem dann benötigt, wenn aus dem internen Netz eine Domain aufgerufen wird, dessen öffentliche IP die der Firewall ist.
Ohne diesen Eintrag würde man eine komplizierte Portweiterleitung benötigen, so allerdings kann die Anfrage ohne Umwege direkt an den Server gestellt werden.
Einrichtung unter Anwendungen Nameserver Bereich Zonen Schaltfläche Forward-Zone hinzufügen.

notempty

Wenn ein NAT-Router vorhanden ist, muss eine Forward-Zone eingerichtet werden.

A-RR anlegen

Schritt 1

Zonenname: webserver.anyideas.de
Domain, die von einem internen DNS-Server verwaltet wird

Schritt 2

Nameserver Hostname: localhost
Als Nameserver dient die UTM selbst

Schritt 3

IP-Adresse:

Die IP-Adresse ist nur dann erforderlich, wenn der Nameserver in der Zone liegt, die gerade erstellt wird und nicht der localhost, also die UTM selbst ist

Abschluss des Assistenten mit der Schaltfläche Fertig

Beschriftung Wert Beschreibung Nameserver UTMbenutzer@firewall.name.fqdnAnwendungen Zonen Übersicht

Bearbeiten Die Zone kann durch einen Klick auf den Schraubenschlüssel bearbeitet werden

Einstellungen

Typ: Normal Einstellungen für Forward Zonen Zone bearbeiten UTMbenutzer@firewall.name.fqdnAnwendungenNameserver Zone bearbeiten

Aktualisierung: 10000 Sekunden Frequenz, mit der der Eintrag aktualisiert wird

Retry: 1800 Sekunden Wiederholung der Aktualisierung bei Fehlschlag

Läuft ab: 3600000 Sekunden Ablauffrist des Eintrags (beginnt nach erfolgreicher Aktualisierung erneut)

Minimum: 3600 Sekunden

Einträge

Typ NS localhost. Es existiert bereits ein NS-Eintrag (mit Punkt am Ende!)

Bearbeiten Öffnet den Record-Eintrag zum Bearbeiten

Löschen Löscht den Record-Eintrag

Eintrag hinzufügen Weiteren Record Eintrag hinzufügen

Name: webserver.anyideas.de. Gewünschter Domain Name
An die Domain wird ein Punkt "." gehängt (=Top-Level) Eintrag hinzufügen UTMbenutzer@firewall.name.fqdnAnwendungenNameserverZone bearbeiten Eintrag hinzufügen

Typ: A A-Record Eintrag wählen

Typ	Beschreibung
NS	Ein NS-Record (bzw. NS-RR: Name Server Resource Record) ist ein Datensatz eines DNS Servers und kann zwei unterschiedliche Funktionen erfüllen: Er definiert, welche Nameserver für diese Zone offiziell zuständig sind. Er verkettet Zonen zu einem Zonen-Baum (Delegation). In jedem Zonenfile muss mindestens ein NS-RR vorhanden sein, der angibt, welcher Nameserver für diese Zone autoritativ ist. Ist zum Bsp. die Firewall selbst zuständig muss hier "localhost" ausgewählt/eingegeben werden.
A	Mit einem A-RR (A Resource Record) wird einem DNS-Namen eine IPv4-Adresse zugeordnet.
AAAA	Mit einem AAAA Resource Record („quad-A“) wird einem DNS-Namen eine IPv6-Adresse zugeordnet. Es handelt sich damit um die IPv6-Entsprechung zum A Resource Record.
TXT	Mit einem TXT Resource Record kann ein frei definierbarer Text in einer DNS-Zone abgelegt werden. TXT Records können unter anderem zum Tunneln über DNS eingesetzt werden.
PTR	PTR Resource Records ordnen im Domain Name System einer gegebenen IP-Adresse einen oder mehrere Hostname(n) zu. Sie stellen damit gewissermaßen das Gegenstück zur klassischen Zuordnung einer oder mehrerer IP-Adresse(n) zu einem gegebenen Hostname per A- oder AAAA Resource Record dar. PTR Resource Records sind ein zentrales Element des Reverse DNS. Sie werden üblicherweise ausschließlich verwendet in der in-addr.arpa-Zone (für den Reverse-Lookup von IPv4-Adressen), in der Zone ip6.arpa (für den Reverse-Lookup von IPv6-Adressen)[1] sowie in anderen Zonen für Hostnames, auf die ein CNAME Resource Record aus einer der vorgenannten Zonen zeigt.
MX	Der MX Resource Record (MX-RR) einer Domain ist ein Eintrag im Domain Name System, der sich ausschließlich auf den Dienst E-Mail (SMTP) bezieht. Ein MX-Record sagt aus, unter welchem Fully Qualified Domain Name (FQDN) der Mail-Server zu einer Domäne oder Subdomäne erreichbar ist. Es ist üblich, für eine Domäne mehrere MX-Records zu definieren mit unterschiedlichen Prioritäten, so dass bei Ausfall eines Mail-Servers ein anderer die E-Mails entgegennehmen kann. Dies erhöht die Wahrscheinlichkeit, dass eine Mail trotzdem an die Empfängerdomain zugestellt werden kann.
CNAME	Ein CNAME Resource Record (CNAME RR) ist im Domain Name System dazu vorgesehen, einer Domänen einen weiteren Namen zuzuordnen. Die Abkürzung "CNAME" steht für canonical name (canonical = anerkannt, bezeichnet also den primären, quasi echten Namen). Im einfachsten Fall verweist der Name eines CNAME Resource Records auf den Namen eines A Resource Records und/oder eines AAAA Resource Records. Die Namen dieser Resource Records verweisen auf eine IP-Adresse. Beim Wechsel einer IP-Adresse muss dann für mehrere Namen nur ein einziger Resource Record geändert werden. Ein NS Resource Record, MX Resource Record oder PTR Resource Record darf nicht auf einen CNAME Resource Record verweisen. Umgekehrt darf ein PTR Resource Record aber durchaus nur über einen CNAME Resource Record zugänglich sein. Der Name eines CNAME Resource Records darf nicht als Name anderer Resource Records verwendet werden, da er stellvertretend für alle Resource Records des Ziels steht.

Wert: 192.168.222.2 IP des Servers, auf den die Domain verweisen soll

Schließt den Dialog für den DNS-Record

Schließt den Dialog zum Bearbeiten der Zone

A-RR testen

Testen des angelegten A-RR über die Tool-Leiste mit Netzwerkwerkzeuge Bereich Host

Einstellungen

Abfragetyp A Abfragetyp des Angelegten DNS-Records

Hostname: webserver.anyideas.de Webserver-Adresse wie im Record-Eintrag unter Name eingetragen (mit oder ohne den abschließenden Punkt)

Nameserver: 127.0.0.1 Localhost-Adresse der UTM

Antwort

Im unteren Fenster wird, wenn alles richtig eingerichtet wurde, die Domain auf die korrekte IP-Adresse aufgelöst.

Alternatives Testen durch ein nslookup webserver.anyideas.de von einem Rechner aus dem Netzwerk der UTM

Reverse-Zone

Reverse DNS lookup (rDNS) bezeichnet eine DNS-Anfrage, bei der zu einer IP-Adresse der Name ermittelt werden soll

Als RR-Typen sind nur PTR Resource Records zulässig
Bei einem PTR-RR steht eine IP-Adresse als Anfragebasis und ein Name als Ergebnis – im Gegensatz zum A Resource Record, wo ein Name die Anfrage und eine IP-Adresse das Ergebnis darstellt.

Genutzt wird ein rDNS lookup häufig im Zusammenhang mit Spamfiltern.
Viele Spam-Mails werden von Fake-Domänen versendet.
Der Empfänger kann anhand einer Rückauflösung der IP festzustellen ob die Domain auch wirklich zu der ankommenden IP gehört, ist dies nicht der Fall wird die Mail abgewiesen.

PTR-RR anlegen

Ein PTR-Eintrag (Pointer Record) ordnet einer IP-Adresse einen Domainnamen zu und wird für Reverse-DNS-Abfragen benötigt. Die in-addr.arpa-Domäne organisiert IP-Adressen in umgekehrter Reihenfolge (z. B. 1.2.0.192.in-addr.arpa für die IP 192.0.2.1), um eine effiziente Auflösung zu ermöglichen.

Reverse-Zone erstellen:
1. In der Navigationsleiste zu Anwendungen → Nameserver navigieren.
2. Im Dropdown-Menü Reverse-Zone hinzufügen auswählen.
3. Im Schritt 1 das Subnetz eingeben (z. B. 192.0.2.0/24).
4. Im Schritt 2 unter Nameserver den Eintrag localhost hinterlegen und auf Fertig klicken.
  (Der Zonenname wird automatisch generiert, z. B. 2.0.192.in-addr.arpa.)
PTR-Eintrag konfigurieren:
1. Die neu angelegte Zone durch Klick auf den Schraubenschlüssel bearbeiten.
2. Im Dialog auf Eintrag hinzufügen klicken.
3. Feld "Name": Die letzte Zahl der IP-Adresse eintragen (z. B. 1 für 192.0.2.1).
4. Typ: PTR auswählen.
5. Feld "Wert": Die Ziel-Domain eintragen (z. B. beispiel.de.).
  (Der Punkt am Ende der Domain ist erforderlich.)
6. Mit Hinzufügen und anschließend Speichern bestätigen.

Hinweis: Bei Verwendung anderer Subnetze (z. B. /16) sind die Ebenen der in-addr.arpa-Domäne entsprechend anzupassen.

Anwendungen Nameserver Bereich Zonen Schaltfläche Reverse-Zone hinzufügen

Schritt 1

Das gewünschte Subnetz, indem sich die IP-Adresse zu der gewünschten Domain befindet

Schritt 2

Nameserver ist der localhost, also die UTM selbst
Abschluss des Assistenten mit der Schaltfläche Fertig

Den neu angelegten Eintrag Bearbeiten und einen Eintrag hinzufügen

Beschriftung Wert Beschreibung Eintrag hinzufügen UTMbenutzer@firewall.name.fqdnAnwendungenNameserverZone bearbeiten PTR-RR Eintrag hinzufügen

Name: 60 Der letzte Zahlblock der Host-IP, die zu der gewünschten Domain gehört (Im Beispiel die 60)

Typ: PTR PTR (Pointer)-Record

Typ	Beschreibung
NS	Ein NS-Record (bzw. NS-RR: Name Server Resource Record) ist ein Datensatz eines DNS Servers und kann zwei unterschiedliche Funktionen erfüllen: Er definiert, welche Nameserver für diese Zone offiziell zuständig sind. Er verkettet Zonen zu einem Zonen-Baum (Delegation). In jedem Zonenfile muss mindestens ein NS-RR vorhanden sein, der angibt, welcher Nameserver für diese Zone autoritativ ist. Ist zum Bsp. die Firewall selbst zuständig muss hier "localhost" ausgewählt/eingegeben werden.
A	Mit einem A-RR (A Resource Record) wird einem DNS-Namen eine IPv4-Adresse zugeordnet.
AAAA	Mit einem AAAA Resource Record („quad-A“) wird einem DNS-Namen eine IPv6-Adresse zugeordnet. Es handelt sich damit um die IPv6-Entsprechung zum A Resource Record.
TXT	Mit einem TXT Resource Record kann ein frei definierbarer Text in einer DNS-Zone abgelegt werden. TXT Records können unter anderem zum Tunneln über DNS eingesetzt werden.
PTR	PTR Resource Records ordnen im Domain Name System einer gegebenen IP-Adresse einen oder mehrere Hostname(n) zu. Sie stellen damit gewissermaßen das Gegenstück zur klassischen Zuordnung einer oder mehrerer IP-Adresse(n) zu einem gegebenen Hostname per A- oder AAAA Resource Record dar. PTR Resource Records sind ein zentrales Element des Reverse DNS. Sie werden üblicherweise ausschließlich verwendet in der in-addr.arpa-Zone (für den Reverse-Lookup von IPv4-Adressen), in der Zone ip6.arpa (für den Reverse-Lookup von IPv6-Adressen)[1] sowie in anderen Zonen für Hostnames, auf die ein CNAME Resource Record aus einer der vorgenannten Zonen zeigt.
MX	Der MX Resource Record (MX-RR) einer Domain ist ein Eintrag im Domain Name System, der sich ausschließlich auf den Dienst E-Mail (SMTP) bezieht. Ein MX-Record sagt aus, unter welchem Fully Qualified Domain Name (FQDN) der Mail-Server zu einer Domäne oder Subdomäne erreichbar ist. Es ist üblich, für eine Domäne mehrere MX-Records zu definieren mit unterschiedlichen Prioritäten, so dass bei Ausfall eines Mail-Servers ein anderer die E-Mails entgegennehmen kann. Dies erhöht die Wahrscheinlichkeit, dass eine Mail trotzdem an die Empfängerdomain zugestellt werden kann.
CNAME	Ein CNAME Resource Record (CNAME RR) ist im Domain Name System dazu vorgesehen, einer Domänen einen weiteren Namen zuzuordnen. Die Abkürzung "CNAME" steht für canonical name (canonical = anerkannt, bezeichnet also den primären, quasi echten Namen). Im einfachsten Fall verweist der Name eines CNAME Resource Records auf den Namen eines A Resource Records und/oder eines AAAA Resource Records. Die Namen dieser Resource Records verweisen auf eine IP-Adresse. Beim Wechsel einer IP-Adresse muss dann für mehrere Namen nur ein einziger Resource Record geändert werden. Ein NS Resource Record, MX Resource Record oder PTR Resource Record darf nicht auf einen CNAME Resource Record verweisen. Umgekehrt darf ein PTR Resource Record aber durchaus nur über einen CNAME Resource Record zugänglich sein. Der Name eines CNAME Resource Records darf nicht als Name anderer Resource Records verwendet werden, da er stellvertretend für alle Resource Records des Ziels steht.

Wert: mail.anyideas.de. Die Domain, auf die die IP-Adresse zeigen soll
An die Domain wird ein Punkt "." gehängt (=Top-Level)

Schließt den Dialog für den DNS-Record

Schließt den Dialog zum Bearbeiten der Zone

Das Anlegen des PTR-RR ist damit abgeschlossen und die Firewall setzt auf Anfrage die IP auf die gewünschte Domain um!

PTR-RR testen

Testen des angelegten PTR-RR über die Tool-Leiste mit Netzwerkwerkzeuge Bereich Host

Einstellungen

Abfragetyp PTR Abfragetyp des Angelegten DNS-Records

Hostname: 192.168.222.60 IP-Adresse des gewünschten Servers

Nameserver: 127.0.0.1 Localhost-Adresse der UTM

Antwort

Im unteren Fenster wird, wenn alles richtig eingerichtet wurde, die IP-Adresse auf die korrekte Domain aufgelöst.

Alternativ durch ein nslookup 192.168.222.60 von einem Rechner aus dem Netzwerk der UTM

Relay-Zone

Eine Relay-Zone ist für das Weiterleiten von Anfragen, die zu einer bestimmten Domain gehören zuständig.
Anwendungsbeispiel:

Die Firewall wird im internen Netz von allen Clients als Nameserver verwendet
Zusätzlich ist im internen Netz ein Nameserver integriert der für die interne Domänenverwaltung (anyideas.local)zuständig ist
Möchte nun ein Client einen internen Namen auflösen (z.B.: uma.anyideas.local) wird diese DNS-Anfrage an die Firewall gestellt
Durch eine Weiterleitung aller Anfragen auf anyideas.local an den internen Nameserver können diese ohne Probleme von selbigem aufgelöst werden

Anfragen die nicht zur internen Domain gehören, löst die Firewall weiterhin selbst auf

Relay anlegen

Bereich Zonen Schaltfläche Relay-Zone hinzufügen

Beschriftung Wert Beschreibung Relay-Zone hinzufügen UTMbenutzer@firewall.name.fqdnAnwendungenNameserver

Zonenname: anyideas.local Domain, die von einem internen DNS-Server verwaltet wird

Typ Relay Zonentyp ist Relay

Server
Server hinzufügen

IP-Adresse: 192.168.222.5 IP-Adresse (IPv4 oder IPv6) des internen DNS-Servers Server hinzufügen UTMbenutzer@firewall.name.fqdnAnwendungenNameserverRelay-Zone hinzufügen

Port: 53 Default: 53 für DNS-Anfragen

Speichert die Angaben und schließt den Dialog

Nameserver UTMbenutzer@firewall.name.fqdnAnwendungen Nameserver mit Relay-Zonen für IPv4 und IPv6