فهم عملية DNS على ASA عند إستخدام كائنات FQDN

المقدمة

يصف هذا المستند عملية نظام اسم المجال (DNS) على جهاز الأمان القابل للتكيف (ASA) من Cisco عند إستخدام كائنات FDQN.

المتطلبات الأساسية

المتطلبات

cisco يوصي أن يتلقى أنت معرفة من cisco ASA.

المكونات المستخدمة

لتوضيح أعمال DNS عند تكوين شبكات FQDN متعددة على ASA في بيئة إنتاج محاكاة، تم إعداد ASAv بواجهة واحدة تواجه الإنترنت وواجهة واحدة متصلة بجهاز كمبيوتر شخصي يستضاف على خادم ESXi. تم إستخدام رمز ASAv المؤقت 9.8.4(10) لهذه المحاكاة.

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

الرسم التخطيطي للشبكة

يتم عرض إعداد المخطط هنا.

معلومات أساسية

عند تكوين العديد من كائنات "اسم المجال المؤهل بالكامل" (FQDN) على ASA، سيقوم المستخدم النهائي الذي يحاول الوصول إلى أي من عناوين URL المحددة في كائنات FQDN بمراقبة استعلامات DNS المتعددة التي تم إرسالها بواسطة ASA. وتهدف هذه الوثيقة إلى توفير فهم أفضل لسبب ملاحظة هذا السلوك.

التكوين

تم تكوين جهاز الكمبيوتر العميل باستخدام IP وقناع الشبكة الفرعية وخوادم الأسماء التالية لحل DNS. 

على ال ASA، شكلت إثنان قارن، 1 داخلي قارن مع أمن مستوى 100 أي ال pc كان ربطت إلى، و 1 خارجي قارن أن يتلقى موصولية إلى الإنترنت.

هنا Gig0/1 قارن خارجي مع قارن IP من 10.197.223.9 و Gig0/3 قارن داخلي مع قارن IP من 10.10.10.1 ومتصل إلى pc على الطرف الآخر.

قم بتكوين إعداد DNS على ASA كما هو موضح هنا:

قم بتكوين 4 كائنات FQDN ل www.facebook.com وwww.google.com وwww.instagram.com وwww.twitter.com.

قم بإعداد التقاط على الواجهة الخارجية ل ASA لالتقاط حركة مرور DNS. ثم حاول الوصول إلى www.google.com من جهاز الكمبيوتر العميل من مستعرض.

ما الذي تلاحظونه؟ ألقي نظرة على التقاط الحزمة. 

 هنا نرى أنه على الرغم من أننا حاولنا حل www.google.comفقط، هناك استعلامات DNS مرسلة لكافة عناصر FQDN.

والآن، ألق نظرة على كيفية عمل التخزين المؤقت ل DNS ل IPs على ASA لفهم سبب حدوث هذا.

• عند كتابة www.google.com في مستعرض ويب لأجهزة الكمبيوتر العميلة، يرسل الكمبيوتر الشخصي استعلام DNS للحصول على URL الذي تم حله إلى عنوان IP.

• بعد ذلك يقوم خادم DNS بحل طلب أجهزة الكمبيوتر وإرجاع IP الذي يشير إلى وجود google.com في الموقع المحدد.

• بعد ذلك يقوم الكمبيوتر الشخصي ببدء اتصال TCP بعنوان IP الذي تم حله بواسطة موقع google.com. ومع ذلك، عند وصول الحزمة إلى ASA، فإنها لا تحتوي على قاعدة ACL تنص على السماح ب IP المحدد أو رفضه.

• ومع ذلك، يعرف ASA أن لديه 4 كائنات FQDN وأنه من الممكن حل أي من كائنات FQDN إلى IP المعنية.

• وبالتالي، يرسل ASA استعلامات DNS لجميع كائنات FQDN لأنه لا يعرف أي كائن FQDN يمكن أن يحل إلى IP المعني. (هذا هو السبب في وجود استعلامات DNS متعددة تمت ملاحظتها).

• يقوم خادم DNS بحل كائنات FQDN باستخدام عناوين IP المطابقة لها. يمكن حل كائن FQDN إلى نفس عنوان IP العام كما تم حله بواسطة العميل. وإلا، سيقوم ASA بإنشاء إدخال قائمة وصول ديناميكية لعنوان IP مختلف عن العنوان الذي يحاول العميل الوصول إليه، وبالتالي ينتهي ASA إلى إسقاط الحزمة. على سبيل المثال، إذا قام المستخدم بحل google.com إلى 203.0.113.1 وإذا قام ASA بحله إلى 203.0.113.2، فإن ASA يقوم بإنشاء إدخال قائمة وصول ديناميكية جديد ل 203.0.113.2 ولا يمكن للمستخدم الوصول إلى موقع الويب.
  
  
• في المرة التالية عند وصول طلب، يتطلب ذلك الحل الخاص ب IP معين، إذا تم تخزين IP هذا الخاص على ASA، فإنه لا يقوم بالاستعلام عن جميع كائنات FQDN مرة أخرى حيث سيكون إدخال قائمة التحكم في الوصول (ACL) الديناميكية موجودا الآن.

• إذا كان أحد العملاء مهتما بالعدد الكبير من استعلامات DNS التي تم إرسالها بواسطة ASA، فقم بزيادة انتهاء صلاحية مؤقت DNS، وحاول المضيفون النهائيون الموفرون الوصول إلى عناوين IP للوجهة الموجودة في ذاكرة التخزين المؤقت ل DNS. إذا طلب الكمبيوتر الشخصي وجود IP، غير مخزن على ذاكرة التخزين المؤقت ASA DNS، يتم إرسال استعلامات DNS لحل جميع كائنات FQDN.

• قد يكون أحد الحلول البديلة الممكنة لهذا، إذا كنت لا تزال تريد تقليل عدد استعلامات DNS، إما لتقليل عدد كائنات FQDN أو تحديد النطاق الكامل لبروتوكولات IP العامة التي ستقوم بحلها FQDN إلى، والتي على أي حال تهزم الغرض من كائن FQDN في المقام الأول. يعد برنامج الدفاع عن تهديد الطاقة النارية (FTD) من Cisco حلا أفضل لمعالجة حالة الاستخدام هذه.

التحقق من الصحة

للتحقق من عناوين IP الموجودة في ذاكرة التخزين المؤقت ل ASAs DNS التي يتم حل كل كائن من كائنات FQDN إليها، يمكن إستخدام الأمر ASA# sh dns.

معلومات ذات صلة

الدعم التقني والتنزيلات من Cisco