Wechseln zu:Navigation, Suche
Wiki

UTM/APP/Nameserver: Unterschied zwischen den Versionen

Aus Securepoint Wiki
KKeine Bearbeitungszusammenfassung
K (Textersetzung - „#WEITERLEITUNG (.*)Preview1400\n“ durch „“)
Markierung: Weiterleitung entfernt
 
(4 dazwischenliegende Versionen von 2 Benutzern werden nicht angezeigt)
Zeile 4: Zeile 4:
{{:UTM/APP/Nameserver.lang}}
{{:UTM/APP/Nameserver.lang}}


{{var | neu--mDNS Repeater
{{var | neu--mDNS Repeater verschoben
| Neue Funktion: [[UTM/APP/Nameserver#mDNS-Repeater | mDNS-Repeater]]
| Der [[UTM/APP/mDNS-Repeater|mDNS-Repeater]] wird nicht mehr im Nameserver konfiguriert, sondern hat ein [[UTM/APP/mDNS-Repeater|eigenes Menü]] erhalten
|  }}
|  }}
{{var | neu--Layoutanpassung
{{var | mDNS-Repeater verschoben--Hinweis
| Layoutanpassung
| Der Menüaufruf wurde verschoben {{info|zu {{Menu-UTM|Anwendungen|MDNS-Repeater}} }}    und somit auch der [[UTM/APP/mDNS-Repeater|Wiki Eintrag]].
|  }}
{{var | neu--DoT
| DNS Forwarding mit [[#DNS_Forwarding | DNS over TLS (DoT) möglich]]
|  }}
{{var | neu--DNSSEC-Überprüfung ignorieren
| Einzelene Domains könne von der [[#dnssec | DNSSEC-Überprüfung]] ausgenommen werden
|  }}
{{var | neu--DHCP Domainnamen auflösen
| Clientnamen können aufgelöst werden, wenn der Host in einem [[#dhcp_domain | DHCP-Pool mit Domainnamen]] liegt
|  }}
{{var | DNS-Server des Providers verwenden--desc
| Die Einstellung ''DNS-Server des Providers verwenden'' wird jetzt im [[UTM/APP/Nameserver-DNS_Forwarding#Provider-DNS | DNS-Forwarding]] vorgenommen
|  }}
{{var | no_edns
| Die [[#no_edns |EDNS-Option entfällt]] zu Gunsten der Option Domains bei DNSSEC-Überprüfung ignorieren
|  }}
|  }}


</div><div class="new_design"></div>{{TOC2|limit=1}}{{Select_lang}}
</div><div class="new_design"></div>{{TOC2|limit=2}}{{Select_lang}}
{{Header|12.6.0|
{{Header|14.0.0|
* {{#var:neu--mDNS Repeater}}
* {{#var:neu--DoT}}
* {{#var:neu--Layoutanpassung}}
* {{#var:neu--DNSSEC-Überprüfung ignorieren}}<br>{{#var:no_edns}}
|[[UTM/APP/Nameserver_v12.2.2 | v12.2.2]]
* {{#var:neu--DHCP Domainnamen auflösen}}
* {{#var:neu--mDNS Repeater verschoben}}
* {{#var:DNS-Server des Providers verwenden--desc}}
|[[UTM/APP/Nameserver_v12.6.1 | v12.6.1]]
[[UTM/APP/Nameserver_v12.2.2 | v12.2.2]]
[[UTM/APP/Nameserver_v11.6 | v11.6]]
[[UTM/APP/Nameserver_v11.6 | v11.6]]
|{{Menu-UTM|{{#var:Anwendungen}}|Nameserver}}
}}
}}
----
----
=== {{#var:Einleitung}} ===
<div class="Einrücken">
{{#var:Einleitung--desc}}
<li class="list--element__alert list--element__hint">{{#var:Regeln für DNS auf Interface}}</li>
</div>
<br clear=all>
----
=== {{#var:Voraussetzungen}} ===
==== {{#var:Nameserver der Firewall festlegen}} ====
{{f| eher: § Firewall als Nameserver festlegen ?? }}
<div class="Einrücken">
{{Bild| {{#var:Nameserver der Firewall festlegen--Bild}}|{{#var:Nameserver der Firewall festlegen--cap}}||{{#var:Servereinstellungen}}|{{#var:Netzwerk}}|icon=fa-save|class=Bild-t}}
{{#var:Nameserver der Firewall festlegen--desc}}
<li class="list--element__alert list--element__hint">{{#var:Nameserver--Hinweis}}</li>
</div>
<br clear=all>
----
=== {{#var:Forward-Zone}} ===
<div class="Einrücken">
{{#var:Forward-Zone--desc}}
</div>
==== {{#var:A-RR anlegen}} ====
<div class="Einrücken">
{{Gallery3
| {{#var:Zonenname--Bild}} | {{b|{{#var:Zonenname}} }} {{ic|{{#var:Zonenname--val}} }}<br>{{#var:Zonenname--desc}}
| Abb1={{#var:Zonenname--cap}}
| Abb1-header={{Dialog-header|{{#var:Forward-Zone hinzufügen}}|{{#var:Anwendungen}}|Nameserver|icon=fa-close}}
| {{#var:Nameserver Hostname--Bild}} | {{b|{{#var:Nameserver Hostname}} }} {{ic|{{#var:Nameserver Hostname--val}} }}<br>{{#var:Nameserver Hostname--desc}}
| Abb2={{#var:Nameserver Hostname--cap}}
| Abb2-header={{Dialog-header|{{#var:Forward-Zone hinzufügen}}|{{#var:Anwendungen}}|Nameserver|icon=fa-close}}
| {{#var:IP-Adresse--Bild}} | {{b|{{#var:IP-Adresse}} }} {{ic||class=mw6}}{{#var:IP-Adresse--Hinweis}}{{#var:IP-Adresse--desc}}
| Abb3={{#var:IP-Adresse--cap}}
| Abb3-header={{Dialog-header|{{#var:Forward-Zone hinzufügen}}|{{#var:Anwendungen}}|Nameserver|icon=fa-close}}
|i=3}}
</div>




{| class="sptable2 pd5 zh1 Einrücken"
{{:UTM/APP/Nameserver-Zonen}}
|-
! {{#var:cap}} !! {{#var:val}} !! {{#var:desc}}
| class="Bild" rowspan="3" | {{Bild |  {{#var:Nameserver Zone--Bild}}|{{#var:Nameserver Zone--cap}}||Nameserver|{{#var:Anwendungen}}|icon=fa-save}}
|-
| colspan="2" | {{Button| |W}} <span class=Hover>{{#var:Bearbeiten}}</span> || {{#var:Nameserver Zone--desc}}
|- class="Leerzeile"
|
|- class="Leerzeile"
| colspan="3" | {{Kasten| {{#var:Einstellungen}} }}
|-
| {{b|{{#var:Hinzufügen--Typ}} }} || {{Button|Normal|dr}} || {{#var:Einstellungen--Typ--desc}}
| class="Bild" rowspan="10" | {{Bild |  {{#var:Zone bearbeiten--Bild}}|{{#var:Zone bearbeiten}}||{{#var:Zone bearbeiten}}|{{#var:Anwendungen}}|Nameserver|icon=fa-floppy-disk-circle-xmark|icon2=fa-close}}
|-
| {{b|{{#var:Aktualisierung}} }} || {{ic|10000|c|class=mw8}} {{#var:Sekunden}} || {{#var:Aktualisierung--desc}}
|-
| {{b|{{#var:Retry}} }} || {{ic|1800|c|class=mw8}} {{#var:Sekunden}} || {{#var:Retry--desc}}
|-
| {{b|{{#var:Läuft ab}} }} || {{ic|3600000|c|class=mw8}} {{#var:Sekunden}} || {{#var:Läuft ab--desc}}
|-
| {{b|{{#var:Minimum}} }} || {{ic|3600|c|class=mw8}} {{#var:Sekunden}} ||{{#var:Minimum--desc}}
|- class="noborder"
| colspan="3" | {{Kasten| {{#var:Einträge}} | grau }}
|-
| {{ic|{{#var:Typ}}|rechts|icon={{spc|sort|o|-}} | class=bc__default mw6 |iconborder=none}} {{ic|NS|tr-odd}} || {{ic|localhost'''.'''|tr-odd}} || {{#var:Localhost--desc}}
|-
| colspan="2" | {{Button||w}} <span class=Hover>{{#var:Bearbeiten}}</span> || {{#var:Bearbeiten--desc}}
|-
| colspan="2" | {{Button||trash}} <span class=Hover>{{#var:Löschen}}</span> || {{#var:Löschen--desc}}
|- class="Leerzeile"
|
|- class="Leerzeile"
| colspan="2" | {{Button|{{#var:Eintrag hinzufügen}}|+}} || {{#var:Eintrag hinzufügen--desc}}
|-
| {{b|{{#var:Name}} }} || {{ic|{{#var:Name--val}} }} || {{#var:Name--desc}}<li class="list--element__alert list--element__warning">{{#var:Name--Hinweis}}</li>
| class="Bild" rowspan="5" | {{Bild |{{#var:Eintrag hinzufügen--Bild}}|{{#var:Eintrag hinzufügen--cap}}||{{#var:Eintrag hinzufügen}}|{{#var:Anwendungen}}|Nameserver|{{#var:Zone bearbeiten}}|icon=fa-floppy-disk-circle-xmark|icon2=fa-close}}
|-
| {{b|{{#var:Hinzufügen--Typ}} }} || {{Button|A|dr|class=mw6}} || {{#var:Hinzufügen--Typ--desc}}
|-
| colspan="3" | {{Einblenden| {{#var:Record-Typen anzeigen}} | {{#var:hide}} | true | dezent}}{{:UTM/APP/Nameserver-Recordtypen}}</div></span>
|-
| {{b|{{#var:Wert}} }} || {{ic|192.168.222.2}} || {{#var:Wert--desc}}
|- class="Leerzeile"
| colspan="2" | {{Button-dialog||fa-floppy-disk-circle-xmark}} || {{#var:Record--Speichern--desc}}
|- class="Leerzeile"
| colspan="2" | {{Button-dialog||fa-floppy-disk-circle-xmark}} || {{#var:Zone--Speichern--desc}}
|- class="Leerzeile"
|
|- class="Leerzeile"
| colspan="3" |
==== {{#var:A-RR testen}} ====
|- class="noborder"
| colspan="3" | {{#var:A-RR testen--desc}} <br>{{Kasten|{{#var:Einstellungen}} }}
| class="Bild" rowspan="7" | {{Bild |  {{#var:A-RR testen--Bild}}|{{#var:A-RR testen--cap}}||{{#var:Netzwerkwerkzeuge}}|{{#var:Netzwerk}}}}
|-
| {{b|{{#var:Abfragetyp}} }} || {{Button|A|dr|class=mw11}} || {{#var:Abfragetyp--desc}}
|-
| {{b|{{#var:Hostname}} }} || {{ic|webserver.anyideas.de|class=mw11}} || {{#var:Hostname--desc}}
|-
| {{b|{{#var:Nameserver}} }} || {{ic|127.0.0.1|class=mw11}} || {{#var:Nameserver--desc}}
|- class="noborder"
| colspan="3" | <br>{{Kasten|{{#var:Anwort}} }}
|-
| colspan="3" | {{#var:A-RR testen--fertig2}}
|- class="Leerzeile"
|
|- class="Leerzeile"
| colspan=4 |
----
----
=== Reverse-Zone ===
{{#var:Reverse-Zone--desc}}




==== {{#var:PTR-RR anlegen}} ====
{{:UTM/APP/Nameserver-DNS_Forwarding}}
{{Einblenden2| {{#var:PTR-RR anlegen--Hinweise}}|{{#var:hide}}|dezent|true|{{#var:PTR-RR anlegen--desc}} }}
{{Menu-UTM|{{#var:Anwendungen}}|Nameserver|{{#var:Zonen}}|{{#var:Reverse-Zone hinzufügen}}|+}}
|- class="Leerzeile"
| colspan="4" |
{{Gallery3 | {{#var:PTR-RR anlegen Schritt 1--Bild}} | {{#var:PTR-RR anlegen Schritt 1--desc}}
| Abb1={{#var:PTR-RR anlegen Schritt 1--cap}}
| Abb1-header={{Dialog-header|{{#var:Reverse-Zone hinzufügen}}|{{#var:Anwendungen}}|Nameserver}}
| {{#var:PTR-RR anlegen Schritt 2--Bild}} | {{#var:PTR-RR anlegen Schritt 2--desc}}<br>{{#var:Fertig--desc}}
| Abb2={{#var:PTR-RR anlegen Schritt 2--cap}}
| Abb2-header={{Dialog-header|{{#var:Reverse-Zone hinzufügen}}|{{#var:Anwendungen}}|Nameserver}}
|i=3}}
|- class="Leerzeile"
<!-- {{#var:PTR-RR Eintrag hinzufügen--desc}} || class="Bild" rowspan="1" | {{Bild |  {{#var:PTR-RR anlegen Eintrag hinzufügen--Bild}}|{{#var:PTR-RR Eintrag hinzufügen--cap}} }}
-->
| colspan="3" | {{#var:PTR-RR Eintrag hinzufügen--desc}}
|-
! {{#var:cap}} !! {{#var:val}} !! {{#var:desc}}
| class="Bild" rowspan=6 | {{Bild |{{#var:PTR-RR Eintrag hinzufügen--Bild}}|{{#var:PTR-RR Eintrag hinzufügen--cap}}||{{#var:Eintrag hinzufügen}}|{{#var:Anwendungen}}|Nameserver|{{#var:Zone bearbeiten}}|icon=fa-floppy-disk-circle-xmark|icon2=fa-close}}
|-
| {{b|{{#var:Name}} }} || {{ic|{{#var:PTR--Name--val}} }} || {{#var:PTR--Name--desc}}
|-
| {{b|{{#var:Hinzufügen--Typ}} }} || {{Button|PTR|dr|class=mw6}} || {{#var:PTR--Typ--desc}}
|-
| colspan="3" | {{Einblenden| {{#var:Record-Typen anzeigen}} | {{#var:hide}} | true | dezent}}{{:UTM/APP/Nameserver-Recordtypen}}</div></span>
|-
| {{b|{{#var:Wert}} }} || {{ic|mail.anyideas.de'''.'''}} || {{#var:PTR--Wert--desc}}<li class="list--element__alert list--element__warning">{{#var:Name--Hinweis}}</li>
|- class="Leerzeile"
| colspan="2" | {{Button-dialog||fa-floppy-disk-circle-xmark}} || {{#var:Record--Speichern--desc}}
|- class="Leerzeile"
| colspan="2" | {{Button-dialog||fa-floppy-disk-circle-xmark}} || {{#var:Zone--Speichern--desc}}
|- class="Leerzeile"
| colspan="3" | {{#var:PTR-RR anlegen--fertig}}
|- class="Leerzeile"
| colspan=3 |
==== {{#var:PTR-RR testen}} ====
|- class="noborder"
| colspan="3" | {{#var:PTR-RR testen--desc}} <br>{{Kasten|{{#var:Einstellungen}} }}
| class="Bild" rowspan="7" | {{Bild |  {{#var:PTR-RR testen--Bild}}|{{#var:PTR-RR testen--cap}}||{{#var:Netzwerkwerkzeuge}}|{{#var:Netzwerk}}}}
|-
| {{b|{{#var:Abfragetyp}} }} || {{Button|PTR|dr|class=mw11}} || {{#var:Abfragetyp--desc}}
|-
| {{b|{{#var:Hostname}} }} || {{ic|192.168.222.60|class=mw11}} || {{#var:PTR--Hostname--desc}}
|-
| {{b|{{#var:Nameserver}} }} || {{ic|127.0.0.1|class=mw11}} || {{#var:Nameserver--desc}}
|- class="noborder"
| colspan="3" | <br>{{Kasten|{{#var:Antwort}} }}
|-
| colspan="3" class=noborder | {{#var:PTR--Antwort--desc}}
|- class="Leerzeile"
|
|- class="Leerzeile"
| colspan=4 |
----
----


=== {{#var:Relay-Zone}} ===
{{#var:Relay-Zone--desc}}
<li class="list--element__alert list--element__hint">{{#var:Relay-Zone--Hinweis--externe Domains}}</li>


==== {{#var:Relay anlegen}} ====
{{:UTM/APP/Nameserver-DNS_Rebinding_Prevention}}
|-
| colspan=3 class=noborder | {{Menu-UTM|{{#var:Anwendungen}}|Nameserver|{{#var:Zonen}}|{{#var:Relay-Zone hinzufügen}}|+}}
|-
! {{#var:cap}} !! {{#var:val}} !! {{#var:desc}}
| class="Bild" rowspan="4" | {{Bild |  {{#var:Relay anlegen--Bild}}|{{#var:Relay anlegen--cap}}||{{#var:Relay-Zone hinzufügen}}|{{#var:Anwendungen}}|Nameserver|icon=fa-floppy-disk-circle-xmark|icon2=fa-close}}
|-
| {{b|{{#var:Zonenname}} }} || {{ic|anyideas.local}} || {{#var:Zonenname--desc}}
|-
| {{b|{{#var:Typ}} }} || {{Button|Relay|dr|class=mw6}} || {{#var:Relay--Typ--desc}}
|- class="Leerzeile"
|
|- class="Leerzeile"
| colspan="3" | {{Kasten|{{#var:Server}}|grau }} <br>{{Button|{{#var:Server hinzufügen}}|+}}
|-
| {{b|{{#var:IP-Adresse}} }} || {{ic| 192.168.222.5}} || {{#var:Server hinzufügen--IP-Adresse--desc}}<br>{{Hinweis| {{#var:ab v12.2.2}}|12.3}}
| class="Bild" rowspan="4" | {{Bild |  {{#var:Server hinzufügen--Bild}}|{{#var:Server hinzufügen--cap}}||{{#var:Server hinzufügen}}|{{#var:Anwendungen}}|Nameserver|{{#var:Relay-Zone hinzufügen}}|icon=fa-floppy-disk-circle-xmark|icon2=fa-close}}
|-
| {{b|{{#var:Port}} }} || {{ic|53|c|class=mw6}} || {{#var:Server hinzufügen--Port--desc}}
|- class="Leerzeile"
| colspan="2" | {{Button-dialog||fa-floppy-disk-circle-xmark}} || {{#var:Server hinzufügen--Speichern--desc}}
|- class="Leerzeile"
|
|- class="Leerzeile"
| colspan="3" | {{#var:Relay anlegen--fertig}}
| class="Bild" rowspan="2" | {{Bild |  {{#var:Relay-Zone--Bild}}|{{#var:Relay-Zone--cap}}||Nameserver|{{#var:Anwendungen}}|icon=fa-save}}
|- class="Leerzeile"
|
|- class="Leerzeile"
| colspan=4 |
----
----
=== {{#var:DNS Forwarding}} ===
{{#var:DNS Forwarding--desc}}


==== {{#var:Forwarding anlegen}} ====
{{Hinweis-box||gr|12.8.0|unbordered={{h3|mDNS-Repeater|mDNS-Repeater}}|icon=none}}
|- class="noborder"
<div class="einrücken">
| colspan="3" | {{#var:Forwarding anlegen--Menu}}
{{Hinweis-box|{{#var:mDNS-Repeater verschoben--Hinweis}}|gr|12.8.0}}
|-
<br clear=all></div>
| {{b|{{#var:IP-Adresse}} }} || {{ic|192.168.222.5}} || {{#var:Forwarding anlegen--desc}}
| class="Bild" rowspan=2 | {{Bild | {{#var:Forwarding anlegen--Bild}}|{{#var:Forwarding anlegen--cap}}||{{#var:DNS Forwarding hinzufügen}}|{{#var:Anwendungen}}|Nameserver|icon=fa-floppy-disk-circle-xmark|icon2=fa-close}}
|- class="Leerzeile"
| colspan="2" | {{Button-dialog||fa-floppy-disk-circle-xmark}} || {{#var:Server hinzufügen--Speichern--desc}}
|- class="Leerzeile"
| colspan="3" | {{#var:Forwarding anlegen--fertig}}
| class="Bild" rowspan="2" | {{Bild |  {{#var:Forwarding anlegen--fertig--Bild}}|{{#var:Forwarding anlegen--fertig--cap}}||Nameserver|{{#var:Anwendungen}}|icon=fa-save}}
|- class="Leerzeile"
|
|- class="Leerzeile"
| colspan=4 |
----
----
=== {{#var:DNS-Server hinter IPSec-Tunnel}} ===
{{#var:DNS-Server hinter IPSec-Tunnel--desc}}
<li class="list--element__alert list--element__warning">{{#var:DNS-Server hinter IPSec-Tunnel--Hinweis}}</li>
<li class="list--element__alert list--element__hint">{{#var:DNS-Server hinter SSL-Tunnel--Hinweis}}</li>
<li class="list--element__alert list--element__positiv">{{#var:Relay-Forwarding gleichermaßen}}</li>


{{#var:DNS-Server hinter IPSec-Tunnel--Kurzfassung}}


|- class="Leerzeile"
{{:UTM/APP/Nameserver-Allgemein}}
| colspan="3" |
==== {{#var:Netzwerkobjekt hinzufügen}} ====
{{#var:Netzwerkobjekt hinzufügen--Menu}}
|-
| {{b|{{#var:Name}}: }} || {{ic| {{#var:Netzwerkobjekt Name--val}} }} || {{#var:Netzwerkobjekt Name--desc}}
| class="Bild" rowspan="5" | {{Bild |  {{#var:Netzwerkobjekt hinzufügen--Bild}}|{{#var:Netzwerkobjekt hinzufügen--cap}}||{{#var:Netzwerkobjekt hinzufügen}}|Firewall|{{#var:Netzwerkobjekte}}|icon=fa-save|icon2=fa-floppy-disk-circle-xmark|icon3=fa-close}}
|-
| {{b|{{#var:Typ}}: }} || {{Button| {{#var:Netzwerkobjekt Typ--val}}|dr|class=mw100}} || <li class="list--element__alert list--element__warning">{{#var:Netzwerkobjekt Typ--desc}}</li>
|-
| {{b|{{#var:Adresse}}: }} || {{ic|10.10.10.0/24 |class=mw100 end}} || {{#var:Adresse--desc}}
|-
| {{b|{{#var:Zone}} }} || {{Button|external|dr|class=mw100}} || {{#var:Zone--desc}}
|- class="Leerzeile"
|
|- class="Leerzeile"
| colspan="3" |
==== {{#var:Paketfilter Regel anlegen}} ====
{{#var:Paketfilter Regel anlegen--desc}}
| class="Bild" rowspan="7" | {{Bild |  {{#var:Paketfilter Regel anlegen--Bild}}|{{#var:Paketfilter Regel anlegen--cap}}||{{#var:Regel hinzufügen}}|Firewall|{{#var:Paketfilter}}|icon=fa-save|icon2=fa-floppy-disk-circle-xmark|icon3=fa-close}}
|-
| {{b| {{#var:Quelle}}: }} || {{ic|{{spc|interface|o|-}} external-interface|dr|class=available}} || {{#var:Quelle--desc}}
|-
| {{b| {{#var:Ziel}}: }} || {{ic|{{spc|net|o|-}} vpn-Netzwerk-DNS-Server|dr|class=available}} || {{#var:Ziel--desc}}
|-
| {{b| {{#var:Dienst}}: }} || {{ic|{{spc|dienste|o|-}} dns|dr|class=available}} || {{#var:Dienst--desc}} <li class="list--element__alert list--element__hint">{{#var:Dienst--Hinweis AD}}</li>
|-
| {{Kasten|[-] NAT}} {{b|{{#var:Typ}}: }}|| {{Button|Hidenat|dr|class=available}} || {{#var:Hidenat--desc}}
|-
| {{Kasten|[-] NAT}} {{b|{{#var:Netzwerkobjekt}}: }}|| {{ic|external-interface|dr|class=available}} || {{#var:Netzwerkobjekt--desc}}
|- class="Leerzeile"
|
|-
| colspan="2" class="noborder" |
| colspan="2" class="borderless end" |
{| class="sptable2 spezial pd5 tr--bc__white zh1"
|- class="bold small no1cell"
| class="Leerzeile bc__default" | || || <nowiki>#</nowiki> || style="min-width:12em;"| {{#var:Quelle}} || style="min-width:12em;"| {{#var:Ziel}} || style="min-width:12em;"| {{#var:Dienst}} || style="min-width:6em;"| NAT || {{#var:Aktion}} || {{#var:Aktiv}} ||style="min-width:5em;"|
 
|-
| class="bc__default" | {{#var:IPSec-Regel-external-interface--desc}} || {{spc|drag|o|-}} || || {{spc|interface|o|external-interface}}  || {{spc|net|o|vpn-Netzwerk-DNS-Server}} || {{spc|dienste|o|-}} dns || {{Kasten|HN|blau}} || {{Kasten|Accept|grün}} || {{ButtonAn|{{#var:ein}} }} || {{Button||w|fs=14}}{{Button||trash|fs=14}}
 
|}
|- class="Leerzeile"
| colspan="3" | {{#var:Regel erstellen--fertig}}
|- class="Leerzeile"
|
|- class="Leerzeile"
| colspan=4 | <hr>
----
----
=== {{#var:DNS-Server hinter SSL-VPN-Tunnel}} ===
{{#var:DNS-Server hinter SSL-VPN-Tunnel--desc}}
<li class="list--element__alert list--element__hint">{{#var:DNS-Server hinter SSL-VPN-Tunnel--Hinweis--mehrere Netze}}</li>
|- class="Leerzeile"
| colspan="3" | {{h4| 1={{#var:Netzwerkobjekt Gegenstelle hinzufügen}} | 2=<i class="host utm">UTM {{#var:Gegenstelle}}</i> {{#var:Netzwerkobjekt Gegenstelle hinzufügen}} }}
{{#var:Netzwerkobjekt hinzufügen--Menu}}
|-
| {{b|{{#var:Name}} }} || {{ic| {{#var:Netzwerkobjekt Gegenstelle Name--val}} }} || {{#var:Netzwerkobjekt Gegenstelle Name--desc}}
| class="Bild" rowspan="9" | {{Bild |  {{#var:Netzwerkobjekt Gegenstelle hinzufügen--Bild}}|{{#var:Netzwerkobjekt Gegenstelle hinzufügen--cap}}||{{#var:Netzwerkobjekt hinzufügen}}|Firewall|{{#var:Netzwerkobjekte}}|icon=fa-save|icon2=fa-floppy-disk-circle-xmark|icon3=fa-close}}
|-
| {{b|{{#var:Typ}}: }} || {{Button| {{#var:Netzwerkobjekt Gegenstelle Typ--val}}|dr|class=mw100}} ||  {{#var:Netzwerkobjekt Gegenstelle Typ--desc}}
|-
| {{b|{{#var:Adresse}} }} || {{ic|10.2.10.0/24 |class=mw100 end}} || {{#var:Adresse Gegenstelle--desc}} {{info|{{#var:Adresse Gegenstelle--info}} }}
|-
| {{b|{{#var:Zone}} }} || {{Button|ssl-vpn|dr|class=mw100}} || {{#var:Zone Gegenstelle--desc}}
|- class="Leerzeile"
|
|- class="Leerzeile"
| colspan="3" | {{h4| 1={{#var:Portfilter Regel anlegen Gegenstelle}} | 2=<i class="host utm">UTM {{#var:Gegenstelle}}</i> {{#var:Portfilter Regel anlegen Gegenstelle}} }}
|-
<!--
| class="Bild" rowspan="7" | {{Bild |  {{#var:Portfilter Regel anlegen--Bild}}|{{#var:Portfilter Regel anlegen--cap}} }}
|-
-->
| {{Kasten| {{#var:Quelle}} }} ||  {{ic|{{spc|vpn-network|o|-}} vpn-network|dr|class=available}} || {{#var:SSL-VPN-Quelle--desc}}
|-
| {{Kasten| {{#var:Ziel}} }} ||  {{ic|{{spc|host|o|-}} DNS-Server|dr|class=available}} || {{#var:SSL-VPN-Ziel--desc}}
|-
| {{Kasten| {{#var:Dienst}} }} ||  {{ic|{{spc|dienste|o|-}} dns|dr|class=available}} || {{#var:Dienst--desc}}
|-
| {{Kasten|[+] NAT}} {{Kasten|{{#var:Typ}}: }}|| {{Button|None|dr}} || {{#var:SSL-VPN-NAT--desc}}
|- class="Leerzeile"
|
|-
| colspan="2" class="noborder" |
| colspan="2" class="borderless end" |
{| class="sptable2 spezial pd5 tr--bc__white zh1"
|- class="bold small no1cell"
| class="Leerzeile bc__default" | || || <nowiki>#</nowiki> || style="min-width:12em;"| {{#var:Quelle}} || style="min-width:12em;"| {{#var:Ziel}} || style="min-width:12em;"| {{#var:Dienst}} || style="min-width:6em;"| NAT || {{#var:Aktion}} || {{#var:Aktiv}} ||style="min-width:5em;"|
|-
| class="bc__default" | {{#var:IPSec-Regel-external-interface--desc}} || {{spc|drag|o|-}} || 5 || {{spc|vpn-network|o|vpn-network}}  || {{spc|host|o|DNS-Server}} || {{spc|dienste|o|-}} dns ||  || {{Kasten|Accept|grün}} || {{ButtonAn|{{#var:ein}} }} || {{Button||w|fs=14}}{{Button||trash|fs=14}}
|} {{#var:Portfilter Regel im Netz des DNS-Servers--cap}}
|- class="Leerzeile"
| colspan="3" | {{#var:Regel SSL-VPN-Ziel--fertig}}
|- class="Leerzeile"
|
|- class="Leerzeile"
| colspan=4 | <hr>
==={{#var:mDNS-Repeater}}===
{{Menu-UTM|{{#var:Anwendungen}}|Nameserver|mDns-Repeater}}<br>
{{#var:mDNS-Repeater--desc}}<br>
{{Hinweis-box|{{#var:mDNS-Repeater--Hinweis}} }}
|-
! {{#var:cap}} !! {{#var:val}} !! {{#var:desc}}
| class="Bild" rowspan=7 |{{Bild| {{#var:mDNS-Repeater--Bild}}|{{#var:mDNS-Repeater--cap}}||Nameserver|{{#var:Anwendungen}}|icon=fa-save}}
|-
| {{b|{{#var:MDNS-Repeater aktivieren}}:}} || {{ButtonAn|{{#var:ein}} }}|| {{#var:MDNS-Repeater aktivieren--desc}}
|-
| {{b|{{#var:Schnittstellen}}:}} || {{ic|{{cb|LAN1|-}} {{cb|LAN2|-}} |cb|class=available}} || {{#var:Schnittstellen--desc}}
|-
| {{b|{{#var:Standardverhalten für Netzwerke}}:}} || {{ButtonAn|{{#var:ein}} }} <small>'''default'''</small>  || {{#var:Standardverhalten für Netzwerke--desc}}
|-
| {{b|{{#var:Blockierte Netzwerk-Ausnahmen}}:}} || {{ic||cb|class=available}} || {{#var:Blockierte Netzwerk-Ausnahmen--desc}}
|-
| {{b|{{#var:Erlaubte Netzwerk-Ausnahmen}} }}  || {{ic||cb|class=available}} || <small>{{#var:Erlaubte Netzwerk-Ausnahmen--Hinweis}}</small><br>{{#var:Erlaubte Netzwerk-Ausnahmen--desc}}
|- class="Leerzeile"
|
|}

Aktuelle Version vom 25. November 2024, 16:28 Uhr





































De.png
En.png
Fr.png








Nameserver Konfiguration auf der UTM
Letzte Anpassung zur Version: 14.0.0
Neu:
notempty
Dieser Artikel bezieht sich auf eine Resellerpreview

v12.6.1 v12.2.2 v11.6

Aufruf: UTM-IP:Port oder UTM-URL:Port
Port wie unter Netzwerk / Servereinstellungen / Webserver konfiguriert
Default-Port: 11115
z.B.: https://utm.ttt-point.de:11115
Default: https://192.168.175.1:11115 Anwendungen Nameserver





















| Expiry period of the entry (starts again after successful update}} }}






































Einleitung

Der Nameserver der UTM bietet:

  • Forward-Zonen: Namensauflösung (FQDN) in IP-Adressen
  • Reverse-Zonen: IP-Adressen in FQDN)
  • Relay-Zonen: Weiterleiten von Anfragen, die zu einer bestimmten Domain gehören
  • DNS Forwarding: Weiterleiten sämtlicher DNS Anfragen

 Um den Nameserver der UTM nutzen zu können, muss im Paketfilter eine Regel mit dem jeweiligen Netz als Quelle und dem Ziel Interface.svg xy-Interface existieren.
Als Dienst muss mindestens Service-group.svg dns erlaubt werden (Port 53 für TCP und UDP).
Es empfiehlt sich in der Regel jedoch die Dienstgruppe Service-group.svg proxy zu verwenden. Dies gibt weitere Ports für Dienste wie z.B. den transparenten Proxy, webcache oder einen Ping frei.


Voraussetzungen







Firewall als Nameserver festlegen

Servereinstellungen UTMbenutzer@firewall.name.fqdnNetzwerk UTM v12.6 Nameserver Servereinstellungen.pngNameserver IP Im ersten Schritt muss die UTM selbst als Nameserver der Firewall festgelegt werden.

  1. Konfiguration unter Netzwerk Servereinstellungen  Bereich Servereinstellungen Abschnitt
    DNS-Server
  2. Feld Primärer Nameserver als IP die 127.0.0.1 (localhost) setzen.
  3. Speichern mit
  • Wird kein Nameserver hinterlegt, werden DNS-Anfragen über die root-DNS-Server und die dort hinterlegten DNS-Server für die Top-Level-Domains aufgelöst



    • Forward-Zone

    Eine Forward-Zone wird zur Umsetzung von Domainnamen in IP-Adressen verwendet.
    Diese Umsetzung ist sowohl in IPv4 (A) als auch in IPv6 (AAAA) möglich. In dem folgenden Einrichtungsbeispiel wird das Anlegen eines A-RR, für eine öffentliche Domain gezeigt.
    Wird der DNS der Firewall zur Auflösung verwendet, soll eine private IP aus dem internen Netz zurückgegeben werden.

    Diese Einstellung wird unter anderem dann benötigt, wenn aus dem internen Netz eine Domain aufgerufen wird, dessen öffentliche IP die der Firewall ist.
    Ohne diesen Eintrag würde man eine komplizierte Portweiterleitung benötigen, so allerdings kann die Anfrage ohne Umwege direkt an den Server gestellt werden.
    Einrichtung unter Anwendungen Nameserver  Bereich Zonen Schaltfläche Forward-Zone hinzufügen.

    notempty
    Wenn ein NAT-Router vorhanden ist, muss eine Forward-Zone eingerichtet werden.


    A-RR anlegen

    Forward-Zone hinzufügen UTMbenutzer@firewall.name.fqdnAnwendungenNameserver UTM v12.6 Nameserver Forwardzone Schritt 1.png
    Schritt 1
    Zonenname: webserver.anyideas.de
    Domain, die von einem internen DNS-Server verwaltet wird
    Forward-Zone hinzufügen UTMbenutzer@firewall.name.fqdnAnwendungenNameserver UTM v12.6 Nameserver Forwardzone Schritt 2.png
    Schritt 2
    Nameserver Hostname: localhost
    Als Nameserver dient die UTM selbst
    Forward-Zone hinzufügen UTMbenutzer@firewall.name.fqdnAnwendungenNameserver UTM v12.6 Nameserver Forwardzone Schritt 3.png
    Schritt 3
    IP-Adresse:    
  • Die IP-Adresse ist nur dann erforderlich, wenn der Nameserver in der Zone liegt, die gerade erstellt wird und nicht der localhost, also die UTM selbst ist
    • Abschluss des Assistenten mit der Schaltfläche Fertig














    Beschriftung Wert Beschreibung Nameserver UTMbenutzer@firewall.name.fqdnAnwendungen UTM v12.6 Nameserver Zone bearbeiten.pngZonen Übersicht
    Bearbeiten Die Zone kann durch einen Klick auf den Schraubenschlüssel bearbeitet werden
    Einstellungen
    Typ: Normal Einstellungen für Forward Zonen Zone bearbeiten UTMbenutzer@firewall.name.fqdnAnwendungenNameserver UTM v12.6 Nameserver Forwardzone.pngZone bearbeiten
    Aktualisierung: 10000Link= Sekunden Frequenz, mit der der Eintrag aktualisiert wird
    Retry: 1800Link= Sekunden Wiederholung der Aktualisierung bei Fehlschlag
    Läuft ab: 3600000Link= Sekunden Ablauffrist des Eintrags (beginnt nach erfolgreicher Aktualisierung erneut
    Minimum: 3600Link= Sekunden
    Einträge
    Typ NS localhost. Es existiert bereits ein NS-Eintrag (mit Punkt am Ende!)
    Bearbeiten Öffnet den Record-Eintrag zum Bearbeiten
    Löschen Löscht den Record-Eintrag
    Eintrag hinzufügen Weiteren Record Eintrag hinzufügen
    Name: webserver.anyideas.de. Gewünschter Domain Name
  • An die Domain wird ein Punkt "." gehängt (=Top-Level)
    		•  Eintrag hinzufügen UTMbenutzer@firewall.name.fqdnAnwendungenNameserver UTM v12.6 Nameserver Record hinzufügen.pngEintrag hinzufügen
    Typ: A A-Record Eintrag wählen

































    Typ Beschreibung
    NS Ein NS-Record (bzw. NS-RR: Name Server Resource Record) ist ein Datensatz eines DNS Servers und kann zwei unterschiedliche Funktionen erfüllen:
    • Er definiert, welche Nameserver für diese Zone offiziell zuständig sind.
    • Er verkettet Zonen zu einem Zonen-Baum (Delegation).

    In jedem Zonenfile muss mindestens ein NS-RR vorhanden sein, der angibt, welcher Nameserver für diese Zone autoritativ ist.
    Ist zum Bsp. die Firewall selbst zuständig muss hier "localhost" ausgewählt/eingegeben werden.

    A Mit einem A-RR (A Resource Record) wird einem DNS-Namen eine IPv4-Adresse zugeordnet.
    AAAA Mit einem AAAA Resource Record („quad-A“) wird einem DNS-Namen eine IPv6-Adresse zugeordnet.
    Es handelt sich damit um die IPv6-Entsprechung zum A Resource Record.
    TXT Mit einem TXT Resource Record kann ein frei definierbarer Text in einer DNS-Zone abgelegt werden.
    TXT Records können unter anderem zum Tunneln über DNS eingesetzt werden.
    PTR PTR Resource Records ordnen im Domain Name System einer gegebenen IP-Adresse einen oder mehrere Hostname(n) zu. Sie stellen damit gewissermaßen das Gegenstück zur klassischen Zuordnung einer oder mehrerer IP-Adresse(n) zu einem gegebenen Hostname per A- oder AAAA Resource Record dar.

    PTR Resource Records sind ein zentrales Element des Reverse DNS. Sie werden üblicherweise ausschließlich verwendet

    • in der in-addr.arpa-Zone (für den Reverse-Lookup von IPv4-Adressen),
    • in der Zone ip6.arpa (für den Reverse-Lookup von IPv6-Adressen)[1] sowie
    • in anderen Zonen für Hostnames, auf die ein CNAME Resource Record aus einer der vorgenannten Zonen zeigt.
    MX Der MX Resource Record (MX-RR) einer Domain ist ein Eintrag im Domain Name System, der sich ausschließlich auf den Dienst E-Mail (SMTP) bezieht.

    Ein MX-Record sagt aus, unter welchem Fully Qualified Domain Name (FQDN) der Mail-Server zu einer Domäne oder Subdomäne erreichbar ist. Es ist üblich, für eine Domäne mehrere MX-Records zu definieren mit unterschiedlichen Prioritäten, so dass bei Ausfall eines Mail-Servers ein anderer die E-Mails entgegennehmen kann. Dies erhöht die Wahrscheinlichkeit, dass eine Mail trotzdem an die Empfängerdomain zugestellt werden kann.

    CNAME Ein CNAME Resource Record (CNAME RR) ist im Domain Name System dazu vorgesehen, einer Domänen einen weiteren Namen zuzuordnen. Die Abkürzung "CNAME" steht für canonical name (canonical = anerkannt, bezeichnet also den primären, quasi echten Namen).

    Im einfachsten Fall verweist der Name eines CNAME Resource Records auf den Namen eines A Resource Records und/oder eines AAAA Resource Records. Die Namen dieser Resource Records verweisen auf eine IP-Adresse. Beim Wechsel einer IP-Adresse muss dann für mehrere Namen nur ein einziger Resource Record geändert werden. Ein NS Resource Record, MX Resource Record oder PTR Resource Record darf nicht auf einen CNAME Resource Record verweisen. Umgekehrt darf ein PTR Resource Record aber durchaus nur über einen CNAME Resource Record zugänglich sein. Der Name eines CNAME Resource Records darf nicht als Name anderer Resource Records verwendet werden, da er stellvertretend für alle Resource Records des Ziels steht.

    Wert: 192.168.222.2 IP des Servers, auf den die Domain verweisen soll
    		Schließt den Dialog für den DNS-Record
    		Schließt den Dialog zum Bearbeiten der Zone

    A-RR testen

    Testen des angelegten A-RR unter: Netzwerk Netzwerkwerkzeuge  Bereich Host
    Einstellungen
    		Netzwerkwerkzeuge UTMbenutzer@firewall.name.fqdnNetzwerk UTM v12.6 Nameserver A-RR testen.png
    Abfragetyp A Abfragetyp des Angelegten DNS-Records
    Hostname: webserver.anyideas.de Webserver-Adresse wie im Record-Eintrag unter Name eingetragen (mit oder ohne den abschließenden Punkt)
    Nameserver: 127.0.0.1 Localhost-Adresse der UTM

    Antwort

    Im unteren Fenster wird, wenn alles richtig eingerichtet wurde, die Domain auf die korrekte IP-Adresse aufgelöst.

    Alternatives Testen durch ein nslookup webserver.anyideas.de von einem Rechner aus dem Netzwerk der UTM

    Reverse-Zone

    • Reverse DNS lookup (rDNS) bezeichnet eine DNS-Anfrage, bei der zu einer IP-Adresse der Name ermittelt werden soll
  • Als RR-Typen sind nur PTR Resource Records zulässig
    Bei einem PTR-RR steht eine IP-Adresse als Anfragebasis und ein Name als Ergebnis – im Gegensatz zum A Resource Record, wo ein Name die Anfrage und eine IP-Adresse das Ergebnis darstellt.
    • Genutzt wird ein rDNS lookup häufig im Zusammenhang mit Spamfiltern.
      Viele Spam-Mails werden von Fake-Domänen versendet.
      Der Empfänger kann anhand einer Rückauflösung der IP festzustellen ob die Domain auch wirklich zu der ankommenden IP gehört, ist dies nicht der Fall wird die Mail abgewiesen.

    PTR-RR anlegen

    Im nächsten Schritt wird der PTR-RR angelegt.

    Zum Verständnis hier eine kurze Beschreibung:

    Da es extrem zeitaufwändig wäre, bei einer inversen Anfrage den gesamten Domänen-Baum nach der gewünschten IPv4-Adresse zu durchsuchen wurde eine eigenständige Domäne für inverse Zugriffe gebildet, die in-addr.arpa-Domäne. Unterhalb dieser Domäne existieren lediglich drei Subdomänen-Ebenen, so dass maximal drei Schritte zur Auflösung einer IPv4-Adresse erforderlich sind.
    Die unmittelbaren Subdomänen von in-addr.arpa haben als Label eine Zahl zwischen 0 und 255 und repräsentieren die erste Komponente einer IPv4-Adresse. (Beispiel: 64.in-addr.arpa oder 192.in-addr.arpa).

    Die nächste Ebene im Baum repräsentiert die zweite Komponente einer IPv4-Adresse (Beispiel: 27.64.in-addr.arpa. enthält die IPv4-Adressen 64.27.x.y) und die unterste Ebene schließlich die dritte Komponente (Beispiel: 125.27.64.in-addr.arpa enthält alle bekannten IPv4-Adressen des Netzes 64.27.125.0/24 – also z. B. 64.27.125.60).

    Wie aus den Beispielen ersichtlich ist, enthält ein reverser Name die IP-Adresskomponenten in umgekehrter Reihenfolge. Diese Struktur ermöglicht ein Verfeinern des reversen Adressraums in mehreren Schritten. In unserem folgenden Einrichtungsbeispiel werden wir mit dem letzten Adressraum (/24) arbeiten.

    1. Gehen Sie in der Navigationsleiste auf den Punkt Anwendungen und klicken sie im Dropdown-Menü auf Nameserver.
    2. Klicken Sie im erscheinenden Dialog auf den Button Reverse-Zone hinzufügen.
    3. Tragen Sie im Step 1 das gewünschte Subnetz ein, indem sich die IP-Adresse zu der gewünschten Domain befindet.
    4. Tragen Sie im Step 2 unter Nameserver "localhost" ein und klicken sie auf Fertig.


    Der Zonenname bildet sich automatisch wie im oberen Beispiel beschrieben.

    1. Bearbeiten Sie durch einen Klick auf den Schraubenschlüssel die angelegte Zone.
    2. Klicken Sie im erscheinenden Dialog auf den Button Eintrag hinzufügen.
    3. Tragen Sie in das Feld "Name", die letzte Zahl der Host-IP ein, die zu der gewünschten Domain gehört (In unserem Beispiel die "60".)
    4. Als Typ wählen Sie "PTR".
    5. In das Feld Wert tragen Sie die Domain ein auf die die IP-Adresse zeigen soll. An die Domain wird ein Punkt "." angehängt!
    6. Klicken Sie auf Hinzufügen.
    7. Klicken Sie auf Speichern.

    Anwendungen Nameserver  Bereich Zonen Schaltfläche Reverse-Zone hinzufügen

    Reverse-Zone hinzufügen UTMbenutzer@firewall.name.fqdnAnwendungenNameserver UTM v12.6 Nameserver Reverszone Schritt 1.png
    Schritt 1
    Das gewünschte Subnetz, indem sich die IP-Adresse zu der gewünschten Domain befindet
    Reverse-Zone hinzufügen UTMbenutzer@firewall.name.fqdnAnwendungenNameserver UTM v12.6 Nameserver Reverszone Schritt 2.png
    Schritt 2
    Nameserver ist der localhost, also die UTM selbst
    Abschluss des Assistenten mit der Schaltfläche Fertig













    Den neu angelegten Eintrag Bearbeiten und einen Eintrag hinzufügen
    Beschriftung Wert Beschreibung Eintrag hinzufügen UTMbenutzer@firewall.name.fqdnAnwendungenNameserver UTM v12.6 Nameserver PTR anlegen.pngPTR-RR Eintrag hinzufügen
    Name: 60 Der letzte Zahlblock der Host-IP, die zu der gewünschten Domain gehört (Im Beispiel die 60)
    Typ: PTR PTR (Pointer)-Record

































    Typ Beschreibung
    NS Ein NS-Record (bzw. NS-RR: Name Server Resource Record) ist ein Datensatz eines DNS Servers und kann zwei unterschiedliche Funktionen erfüllen:
    • Er definiert, welche Nameserver für diese Zone offiziell zuständig sind.
    • Er verkettet Zonen zu einem Zonen-Baum (Delegation).

    In jedem Zonenfile muss mindestens ein NS-RR vorhanden sein, der angibt, welcher Nameserver für diese Zone autoritativ ist.
    Ist zum Bsp. die Firewall selbst zuständig muss hier "localhost" ausgewählt/eingegeben werden.

    A Mit einem A-RR (A Resource Record) wird einem DNS-Namen eine IPv4-Adresse zugeordnet.
    AAAA Mit einem AAAA Resource Record („quad-A“) wird einem DNS-Namen eine IPv6-Adresse zugeordnet.
    Es handelt sich damit um die IPv6-Entsprechung zum A Resource Record.
    TXT Mit einem TXT Resource Record kann ein frei definierbarer Text in einer DNS-Zone abgelegt werden.
    TXT Records können unter anderem zum Tunneln über DNS eingesetzt werden.
    PTR PTR Resource Records ordnen im Domain Name System einer gegebenen IP-Adresse einen oder mehrere Hostname(n) zu. Sie stellen damit gewissermaßen das Gegenstück zur klassischen Zuordnung einer oder mehrerer IP-Adresse(n) zu einem gegebenen Hostname per A- oder AAAA Resource Record dar.

    PTR Resource Records sind ein zentrales Element des Reverse DNS. Sie werden üblicherweise ausschließlich verwendet

    • in der in-addr.arpa-Zone (für den Reverse-Lookup von IPv4-Adressen),
    • in der Zone ip6.arpa (für den Reverse-Lookup von IPv6-Adressen)[1] sowie
    • in anderen Zonen für Hostnames, auf die ein CNAME Resource Record aus einer der vorgenannten Zonen zeigt.
    MX Der MX Resource Record (MX-RR) einer Domain ist ein Eintrag im Domain Name System, der sich ausschließlich auf den Dienst E-Mail (SMTP) bezieht.

    Ein MX-Record sagt aus, unter welchem Fully Qualified Domain Name (FQDN) der Mail-Server zu einer Domäne oder Subdomäne erreichbar ist. Es ist üblich, für eine Domäne mehrere MX-Records zu definieren mit unterschiedlichen Prioritäten, so dass bei Ausfall eines Mail-Servers ein anderer die E-Mails entgegennehmen kann. Dies erhöht die Wahrscheinlichkeit, dass eine Mail trotzdem an die Empfängerdomain zugestellt werden kann.

    CNAME Ein CNAME Resource Record (CNAME RR) ist im Domain Name System dazu vorgesehen, einer Domänen einen weiteren Namen zuzuordnen. Die Abkürzung "CNAME" steht für canonical name (canonical = anerkannt, bezeichnet also den primären, quasi echten Namen).

    Im einfachsten Fall verweist der Name eines CNAME Resource Records auf den Namen eines A Resource Records und/oder eines AAAA Resource Records. Die Namen dieser Resource Records verweisen auf eine IP-Adresse. Beim Wechsel einer IP-Adresse muss dann für mehrere Namen nur ein einziger Resource Record geändert werden. Ein NS Resource Record, MX Resource Record oder PTR Resource Record darf nicht auf einen CNAME Resource Record verweisen. Umgekehrt darf ein PTR Resource Record aber durchaus nur über einen CNAME Resource Record zugänglich sein. Der Name eines CNAME Resource Records darf nicht als Name anderer Resource Records verwendet werden, da er stellvertretend für alle Resource Records des Ziels steht.

    Wert: mail.anyideas.de. Die Domain, auf die die IP-Adresse zeigen soll
  • An die Domain wird ein Punkt "." gehängt (=Top-Level)
    		•  Schließt den Dialog für den DNS-Record
    		Schließt den Dialog zum Bearbeiten der Zone
    Das Anlegen des PTR-RR ist damit abgeschlossen und die Firewall setzt auf Anfrage die IP auf die gewünschte Domain um!

    PTR-RR testen

    Testen des angelegten PTR-RR unter: Netzwerk Netzwerkwerkzeuge  Bereich Host
    Einstellungen
    		Netzwerkwerkzeuge UTMbenutzer@firewall.name.fqdnNetzwerk UTM v12.6 Nameserver PTR testen.png
    Abfragetyp PTR Abfragetyp des Angelegten DNS-Records
    Hostname: 192.168.222.60 IP-Adresse des gewünschten Servers
    Nameserver: 127.0.0.1 Localhost-Adresse der UTM

    Antwort
    Im unteren Fenster wird, wenn alles richtig eingerichtet wurde, die IP-Adresse auf die korrekte Domain aufgelöst.

    Alternativ durch ein nslookup 192.168.222.60 von einem Rechner aus dem Netzwerk der UTM


    Relay-Zone

    Eine Relay-Zone ist für das Weiterleiten von Anfragen, die zu einer bestimmten Domain gehören zuständig.
    Anwendungsbeispiel:

    • Die Firewall wird im internen Netz von allen Clients als Nameserver verwendet
    • Zusätzlich ist im internen Netz ein Nameserver integriert der für die interne Domänenverwaltung (anyideas.local)zuständig ist
    • Möchte nun ein Client einen internen Namen auflösen (z.B.: uma.anyideas.local) wird diese DNS-Anfrage an die Firewall gestellt
    • Durch eine Weiterleitung aller Anfragen auf anyideas.local an den internen Nameserver können diese ohne Probleme von selbigem aufgelöst werden
  • Anfragen die nicht zur internen Domain gehören, löst die Firewall weiterhin selbst auf


    • Relay anlegen

    Anwendungen Nameserver  Bereich Zonen Schaltfläche Relay-Zone hinzufügen
    Beschriftung Wert Beschreibung Relay-Zone hinzufügen UTMbenutzer@firewall.name.fqdnAnwendungenNameserver UTM v12.6 Nameserver Relayzone hinzufuegen.png
    Zonenname: anyideas.local Domain, die von einem internen DNS-Server verwaltet wird
    Typ Relay Zonentyp ist Relay
    Server
    Server hinzufügen
    IP-Adresse: 192.168.222.5 IP-Adresse (IPv4 oder IPv6) des internen DNS-Servers Server hinzufügen UTMbenutzer@firewall.name.fqdnAnwendungenNameserver UTM v12.6 Nameserver Relayzone Server hinzufuegen.png
    Port: 53Link= Default: 53 für DNS-Anfragen
    		Speichert die Angaben und schließt den Dialog
    Nameserver UTMbenutzer@firewall.name.fqdnAnwendungen UTM v12.6 Nameserver Relayzone.pngNameserver mit Relay-Zonen für IPv4 und IPv6






































    {{var | Nameserver der Firewall festlegen--desc

    | Menü Netzwerk Servereinstellungen  Bereich Servereinstellungen Abschnitt {{b|
    DNS-Server
    . | Menu Network Server Settings  Bereich Server Settings section
    DNS-Server
    .







































    DNS Forwarding

    DNS Forwarding

    Ein DNS Forwarding wird dazu verwendet, um alle DNS Anfragen, die an den Nameserver der Firewall gestellt werden, an eine andere IP weiterzuleiten.


    DNS Forwarding hinzufügen

    DNS Forwarding hinzufügen

    Menü Anwendungen Nameserver  Bereich DNS Forwarding Schaltfläche + DNS Forwarding hinzufügen

    Beschriftung Wert Beschreibung DNS Forwarding hinzufügen UTMbenutzer@firewall.name.fqdnAnwendungenNameserver UTM v14.0 Anwendungen Nameserver DNS Forwarding hinzufügen DNS.pngAnlegen eines DNS Forwarding
    Typ: DNSDoT DNS: Klassische unverschlüsselte DNS-Auflösung
    IP-Adresse: 203.0.113.113 IP-Adresse eines DNS-Servers, an den die DNS Anfragen weitergeleitet werden sollen
    notempty
    Neu ab v14.0
    Typ: DNSDoT DoT: DNS over TLS DNS Anfragen werden mit TLS verschlüsselt DNS Forwarding hinzufügen UTMbenutzer@firewall.name.fqdnAnwendungenNameserver UTM v14.0 Anwendungen Nameserver DNS Forwarding hinzufügen DoT.png DNS over TLS notempty
    Neu ab v14.0
    IP-Adresse: 1.1.1.1
    Beispielwert    		 IP-Adresse eines DNS-Servers, an den die DNS Anfragen weitergeleitet werden sollen
    Hostname cloudflare-dns.com
    Beispielwert    		 Der Hostname ist für die Verifizierung des TLS Zertifikats erforderlich
    		Speichert den Eintrag

    Provider-DNS

    Provider-DNS
    DNS-Server des Providers verwenden: Aus Bei Aktivierung Ein wird der DNS-Server des Internetproviders verwendet Nameserver UTMbenutzer@firewall.name.fqdnAnwendungen UTM v14.0 Nameserver DNS Forwarding Provider-DNS.png

    In vorhergehenden Versionen befand sich diese Option in den Allgemeinen Einstellungen

  • Ist ein TLS-Forwarder (DoT) konfiguriert, werden DNS Forwarder nicht genutzt

    • Domain Forwarding durch einen VPN-Tunnel

    Teilweise ist es nötig, interne Domainanfragen an einen entfernten Nameserver weiter zu leiten, der sich in einem VPN befindet.

    Hier ist zu beachten, daß standardmäßig alle direkten Anfragen, die sich an externe Nameserver richten, von der Firewall mit der externen IP aus geschickt werden. Eine öffentliche IP wird jedoch nicht in einen VPN-Tunnel geroutet.


    Nameserver der Firewall festlegen

    Beschriftung Wert Beschreibung Servereinstellungen UTMbenutzer@firewall.name.fqdnNetzwerk UTM v12.6.0 Netzwerk Servereinstellungen DNS Server.pngNameserver IP
    Nameserver vor lokalem Cache prüfen: Ja Sollte aktiviert sein
    Primärer Nameserver: 127.0.0.1 Die IP der UTM selbst (localhost=127.0.0.1)
    Sekundärer Nameserver:     Kann leer bleiben oder einen weiteren DNS im VPN bezeichnen
    		Speichert den Eintrag


    Relay anlegen

    notempty
    Für dieses Beispiel wurde eine IPSec-Verbindung genutzt. Für SSL-VPN erfolgt die Einrichtung auf die gleiche Art und Weise.

    Menü Menü Anwendungen Nameserver  Bereich Zonen Schaltfläche + Relay-Zone hinzufügen.

    Beschriftung Wert Beschreibung Relay-Zone hinzufügen UTMbenutzer@firewall.name.fqdnAnwendungenNameserver UTM v12.6.0 Anwendungen Nameserver Relay Zone hinzufügen.pngAnlegen der Relay-Zone
    Zonenname: relay.test.local Zonenname der gewünschten Domain
    Typ:: Relay Diesen Typ auswählen
    IP-Adresse: 192.168.8.5 Klick auf Server hinzufügen und im Feld IP-Adresse wird die Adresse des entfernten Nameservers eingetragen
    Den Eintrag bearbeiten
    Den Eintrag löschen
    		Speichert den Eintrag


    Netzwerkobjekt anlegen

    Menü Firewall Netzwerkobjekte  Schaltfläche + Objekt hinzufügen. Für das IPSec Netzwerk muss ein Netzwerkobjekt angelegt werden.

    Beschriftung Wert Beschreibung Netzwerkobjekt hinzufügen UTMbenutzer@firewall.name.fqdnFirewallNetzwerkobjekt UTM v12.6.0 Netzwerkobjekt DNS Forwarding.pngNetzwerkobjekt
    Name: IPSec-Netzwerk Eindeutigen Namen wählen
    Typ:: VPN-Netzwerk Diesen Typ auswählen
    Adresse: 192.168.8.0/24 Die IP-Adresse entspricht der des IPSec Netzwerkes
    Zone: vpn-ipsec Passende Zone muss ausgewählt werden
    		Speichert den Eintrag


    Regeln hinzufügen

    Im letzten Schritt muss eine Firewall-regel, mit einem Hide-NAT angelegt werden. Diese bewirkt, dass die DNS-Weiterleitung auch in den Tunnel und nicht direkt in das Internet geht.
    Menü Firewall Paketfilter  Schaltfläche + Regel hinzufügen.

    Beschriftung Wert Regeln hinzufügen UTMbenutzer@firewall.name.fqdnFirewallPaketfilter UTM v12.6.0 Paketfilterregel DNS Forwarding.png
    Aktiv: Ein
    Quelle: Interface.svg external-interface
    Ziel: Vpn-network.svg IPSec-Netzwerk
    Dienst: Udp.svg domain-udp

    [-] NAT
    Typ:: HIDENAT
    Netzwerkobjekt: Interface.svg internal-interface
    		Speichert die Regel und schließt den Dialog. Anschließend müssen die Regeln noch aktualisiert werden.


    Safe Search bei externem DHCP Server

    Wenn ein externer DHCP-Server verwendet wird, funktioniert der aktive Webfilter Safe Search bei Suchmaschinen, speziell bei Google, bei der Bildersuche oft nicht.
    Damit dieser Webfilter auch da greift, müssen folgende Forward-Zonen für alle ccTLDs (siehe https://www.google.com/supported_domains : www.google.de, www.google.ch, ...) eingerichtet werden.
    Menü Anwendungen Nameserver  Schaltfläche + Forward-Zone hinzufügen.

    Beschriftung Wert Zone bearbeiten UTMbenutzer@firewall.name.fqdnAnwendungenNameserver UTM v12.6.0 Anwendungen Nameserver Zone bearbeiten.pngDie eingerichtete Forward-Zone für www.google.com
    Zonenname: www.google.com
    Nameserver Hostname: localhost
    Nameserver IP-Adresse:    
    Im Fenster Nameserver in der Zone www.google.de auf klicken.
    Im Fenster Zone bearbeiten auf Eintrag hinzufügen klicken.
    Name: www.google.com
    Typ:: A
    Wert: 216.239.38.120
    Speichern und nochmal auf Eintrag hinzufügen klicken.
    Name: www.google.com
    Typ:: AAAA
    Wert: 2001:4860:4802:32::78
    		Speichert den Eintrag















    Thumbnail for

    Video laden
    YouTube


    DNS Rebinding Attacke und Prevention

    Bei der Art von Angriff wird versucht, durch gefälschte DNS Antworten Zugriff auf interne Ressourcen zu erlangen.

    Der Angreifer benötigt dazu nicht mehr als eine Domain mit Schadcode und einen Nameserver, der sämtliche DNS Anfragen für die Angreiferseite beantwortet.

    Der Angriff erfolgt in mehreren Schritten:
    1. Das Opfer wird auf eine präparierte Website gelockt, deren IP-Adresse nur für wenige Sekunden als gültig markiert ist.
    2. Auf der Website wird Schadcode geladen, der nach Ablauf der Gültigkeit der IP-Adresse einen erneuten Aufruf startet,
    3. der nun aber durch einen modifizierten, eigenen DNS-Server eine Adresse aus dem lokalen Netzwerk des Opfers als Ziel ausgibt
    4. Der Angreifer hat nun durch seinen Schadcode (z.B. Java-Script) Zugriff auf den Host mit der internen IP

    DNS Rebinding Prevention verhindert, daß interne IP-Adressen aus dem lokalen Netzwerk als Antwort auf eine DNS-Anfrage ausgegeben werden.



    Konfiguration

    DNS Rebinding Prevention wird unter Anwendungen Nameserver  Bereich DNS Rebinding Prevention konfiguriert.

    Beschriftung Wert Beschreibung Nameserver UTMbenutzer@firewall.name.fqdnAnwendungen UTM v12.6.0 Anwendungen Nameserver DNS Rebinding Prevention.pngReiter DNS Rebinding Prevention
    DNS Rebinding Prevention: Ein
    default    		 Aktiviert die DNS Rebinding Prevention
    Modus: Automatisch In den Werkseinstellungen werden alle private IP-Adressen (Klasse A,B und C) geblockt.
    Auch die entsprechenden privaten IPv6-Adressen und die Unique Local Unicast-Adresse wird im automatischen Modus geschützt.
    Benutzerdefiniert Die Adressen können manuell eingestellt werden.
    Geschützte Adressen:     Hier werden alle Adressen angezeigt, die durch die Prevention geschützt werden.
    		Speichert die Einstellungen
    '

    mDNS-Repeater

    mDNS-Repeater
    notempty
    Der Menüaufruf wurde verschoben
    zu Anwendungen MDNS-Repeater
       und somit auch der Wiki Eintrag.




















    Allgemeine Einstellungen

    Allgemeine Einstellungen werden unter Anwendungen Nameserver  Bereich Allgemein vorgenommen.
    Beschriftung Wert Beschreibung Nameserver UTMbenutzer@firewall.name.fqdnAnwendungen UTM v14.0 Anwendungen Nameserver Einstellungen.pngReiter Allgemein
    DNSSEC Überprüfung im Resolver: Aus notempty
    Achtung!
    Wird die DNSSEC Überprüfung in Verbindung mit Foward-Zonen verwendet, müssen die Domains zu den Zonen im globalen DNS validierbar sein oder sie müssen unten zur Liste der ignorierten Domains hinzugefügt werden. Antworten zu nicht global registrierten Domains werden zurückgewiesen. Dies führt dazu, dass Anfragen zu dieser Domain mit SERVFAIL beantwortet werden.

    Bei Aktivierung dieser Funktion werden ausnahmslos alle DNS-Einträge mit DNSSEC aufgelöst. Damit würde auch bei lediglich lokalen Adressen eine Validierung in der DNS-Hierarchie versucht. Aufgrund der fehlenden Eindeutigkeit der lokalen Adresse kann diese aber nicht bei übergeordneten DNS-Servern registriert werden. Es kommt zu einer Fehlermeldung, die Adresse wird nicht aufgelöst und die Zone ist damit (unter Verwendung von DNS) nicht erreichbar.
    Dies betrifft zum Beispiel .local - Domänen!
    Weitere Hinweise zur Umsetzung von DNSSEC finden sich hier.
    DNS Anfragen nur aus gerouteten und VPN-Netzwerken erlauben: Ein
    Default    		 Per Default werden nur DNS-Anfragen aus folgenden Quellen beantwortet:
    • localhost
    • lokale Netze
    • Netze die über ein anderes Gateway geroutet werden, aber keine default Route (oder geteilte default Route) enthalten
    • VPN Transfernetze bzw. Roadwarrior Adress-Pools
    Aus Sollen auch von anderen externen Netzen DNS-Anfragen beantwortet werden, muss diese Option deaktiviert werden
    Domains bei DNSSEC-Überprüfung ignorierennotempty
    Neu ab v14.0
    		     Domains, die nicht mit DNSSEC validiert werden sollen
    DHCP Domainnamen auflösen: notempty
    Neu ab v14.0
    		 anyideas.local (Pool: Local-Pool1 Wird in den DHCP-Pool Konfigurationen ein Domainname angegeben, sind diese Domains hier auswählbar. Wird eine Domain ausgewählt, sind die DHCP-Hosts entweder über den vergebenen Namen des statischen Leases, oder, wenn keines definiert ist, über den Clientnamen mit dem sich der Client beim DHCP Server meldet, auflösbar.
  • Die Domain wird immer umgelenkt. konfiguriert man bspw. für seinen DHCP-Pool die Domain .de, wird man keine .de Domains mehr im Internet auflösen können
    • EDNS für folgende Server deaktivieren Die EDNS-Option entfällt zu Gunsten der Option Domains bei DNSSEC-Überprüfung ignorieren
    • Sollte EDNS in einer vorhergehenden Version konfiguriert worden sein, wird nach dem Login eine Warnung angezeigt.
      Inhalte in der extc-Variablen EDNS_SERVERS_OFF
    • Mit Klick auf die Schaltfläche Ja wird der Nameserverdialog geöffnet und es lassen sich Werte für Domains bei DNSSEC-Überprüfung ignorieren setzen.
      Inhalte in der extc-Variablen EDNS_SKIP_DOMAINS

      Speichern nicht vergessen!
    • Lehnt man die Warnung ab (Schaltfläche Nein), wird diese fürs erste ignoriert.

    Beim nächsten Login taucht auch die Nachricht allerdings erneut auf

  • Die Werte können nicht wieder angezeigt werden, sobald man auf Ja klickt.
    Mit Verlassen des anschließenden Dialoges (ob mit speichern oder ohne) werden die Werte gelöscht!
    		•  UTM v14.0 Login EDNS Warnung.png
    Dialog beim Login nach einem Update

    DNS-Server des Providers verwenden: Diese Einstellung wird im Abschnitt DNS-Forwarding vorgenommen

    Abgerufen von „https://wiki.securepoint.de/index.php?title=UTM/APP/Nameserver&oldid=93827“