DNS-Konfiguration für Intelligent Cloud Shield (ICS)
- Neu:
Letzte Anpassung: 11.2020
Netzwerke ohne lokale DNS-Zonen
Vorhandene Umgebung
DNS Server
Im heimischen Bereich und in kleinen Unternehmen findet man heute eher selten einen dedizierten DNS-Server. Die Funktion des DNS-Servers übernimmt der Router vor Ort und leitet die DNS-Anfragen an die DNS-Server des Providers weiter.
Client
In der Regel verwenden die lokalen Clients den Router als DNS-Server. Die Konfiguration erfolgt überwiegend per DHCP. In Ausnahmefällen kann die Konfiguration auch manuell erfolgen und ist entsprechend manuell anzupassen.
Funktionsweise
In diesem Szenario ist es zu empfehlen die Weiterleitung auf den Router vorzunehmen. Der Router leitet die Anfragen stellvertretend für den Client an die ICS Nameserver weiter.
Die ICS Nameserver identifizieren die DNS-Anfragen dabei an der öffentlichen Quell-IP und wenden das konfigurierte Ruleset an. Über die Kopplung des SPDyn-DNS-Hostnamens zu dem Ruleset ist so auch bei dynamischen IP-Adressen die korrekte Verarbeitung sichergestellt.
Konfiguration
Es ist sicherzustellen das alle DNS-Anfragen der zu schützenden Umgebung über die korrekte und eindeutige öffentliche IP-Adresse erfolgen.
Öffentliche IPv4-Adresse und keine IPv6 Anbindung
Verfügt der Internetanschluss über eine öffentliche und eindeutig identifizierbare IPv4-Adresse, sind diese IPv4-Adressen als Forwarder auf dem DNS-Server einzutragen:
- 85.209.185.50
- 85.209.185.51
Öffentliche IPv4-Adresse und öffentliche IPv6-Adresse
Verfügt der Internetanschluss sowohl über eine öffentliche und identifizierbare IPv4- als auch eine IPv6-Adresse können die sowohl die IPv4 als auch IPv6 Nameserver verwendet werden.
Aktuell bedingt diese Konfiguration, daß jedes Ruleset für v4 und v6 seperat gepflegt werden muss.
In diesem Falle werden (z.Zt.) 2 Lizenzen (=doppelte Kosten) verbraucht!
Wir empfehlen der Einfachheit halber nur die IPv4 oder IPv6 Nameserver zu verwenden.
- 85.209.185.50
- 85.209.185.51
- 2a09:9c40:1:53::1
- 2a09:9c40:1:53::2
Keine Öffentliche IPv4-Adresse und eine öffentliche IPv6-Adresse
Verfügt der Internetanschluss über keine öffentliche IPv4-Adresse aber über eine IPv6-Adresse sind die IPv6 Nameserver zu verwenden.
- 2a09:9c40:1:53::1
- 2a09:9c40:1:53::2
Keine öffentliche IPv4-Adresse und keine öffentliche IPv6-Adresse
Werden durch den Internetzugangs Provider keine für den Internetanschluss öffentlichen IP-Adressen zur Verfügung gestellt, kann der ICS Dienst nicht über das DNS Protokoll verwendet werden.
Netzwerke mit lokalen DNS-Zonen
Vorhandene Umgebung
DNS Server
In Unternehmen sind häufig AD Strukturen vorhanden und dadurch bedingt auch nicht öffentlich auflösbare DNS-Zonen. Häufig werden die AD-Server in diesen Fällen direkt auch als DNS Server verwendet. So können die Clients die lokalen DNS-Zonen auflösen und alle externen Ressourcen werden von den DNS Servern durch externe Ressourcen aufgelöst.
In einigen Fällen werden bestimmte Zonen auch über VPN-Verbindungen bereitgestellt. Ein Beispiel ist hier KV-Safenet.
Client
In der Regel verwenden die lokalen Clients die Domain Controller als DNS-Server. Die Konfiguration erfolgt überwiegend per DHCP. In Ausnahmefällen kann die Konfiguration auch manuell erfolgen und ist entsprechend manuell anzupassen.
Konfiguration
In diesem Szenario ist es zu empfehlen die Weiterleitung auf den Domain Controller und Router vorzunehmen. In der Regel werden zwar die Domain Controller als DNS verwendet aber für die optimale Konfiguration es zu empfehlen auch den Router entsprechend abzusichern.
Die ICS Nameserver identifizieren die DNS-Anfragen dabei an der öffentlichen Quell-IP und wenden das konfigurierte Ruleset an. Über die Kopplung des SPDyn-DNS-Hostnamen zu dem Ruleset ist so auch bei dynamischen IP-Adressen die korrekte Verarbeitung sichergestellt.
Es ist sicherzustellen das alle DNS-Anfragen der zu schützenden Umgebung über die korrekte und eindeutige öffentliche IP-Adresse erfolgen.
Öffentliche IPv4-Adresse und keine IPv6 Anbindung
Verfügt der Internetanschluss über eine öffentliche und eindeutig identifizierbare IPv4-Adresse, sind diese IPv4-Adressen als Forwarder auf dem DNS-Server einzutragen:
- 85.209.185.50
- 85.209.185.51
Öffentliche IPv4-Adresse und öffentliche IPv6-Adresse
Verfügt der Internetanschluss sowohl über eine öffentliche und identifizierbare IPv4- als auch eine IPv6-Adresse können die sowohl die IPv4 als auch IPv6 Nameserver verwendet werden
Aktuell bedingt diese Konfiguration, daß jedes Ruleset für v4 und v6 seperat gepflegt werden muss.
In diesem Falle werden (z.Zt.) 2 Lizenzen (=doppelte Kosten) verbraucht!
Wir empfehlen der Einfachheit halber nur die IPv4 oder IPv6 Nameserver zu verwenden.
- 85.209.185.50
- 85.209.185.51
- 2a09:9c40:1:53::1
- 2a09:9c40:1:53::2
Keine Öffentliche IPv4-Adresse und eine öffentliche IPv6-Adresse
Verfügt der Internetanschluss sowohl über keine öffentliche IPv4-Adresse aber über eine IPv6-Adresse sind die IPv6 Nameserver zu verwenden.
- 2a09:9c40:1:53::1
- 2a09:9c40:1:53::2
Keine öffentliche IPv4-Adresse und keine öffentliche IPv6-Adresse
Werden durch den Internetzugangs Provider keine für den Internetanschluss öffentlichen IP-Adressen zur Verfügung gestellt, kann der ICS Dienst nicht über das DNS Protokoll verwendet werden.