Windows Server configureren om DNS-verzoeken door te sturen naar paraplu

Inleiding

In dit document wordt beschreven hoe u Windows Server configureert om DNS-verzoeken door te sturen naar Umbrella voor verbeterde clientbescherming en logboekregistratie.

Overzicht

Windows Server kan clients beschermen met behulp van een netwerkidentiteit door op te treden als een DNS-doorstuurprogramma. Domeincontrollers of andere servers met de DNS-rol kunnen DNS naar Umbrella verzenden vanaf een geregistreerd netwerk.

Configuratiestappen

1. Open DNS Manager (dnsmgmt.msc).
2. Klik met de rechtermuisknop op de servernaam in de structuur en selecteer Eigenschappen.
3. Selecteer het tabblad Forwarders.
4. Klik op Bewerken... en voer de IP-adressen van de overkoepelende DNS-server in.
5. Klik op OK in het venster Forwarders bewerken. De items worden weergegeven in de lijst met forwarders.
6. Schakel het selectievakje Gebruik root-hints uit als er geen forwarders beschikbaar zijn.
   mceclip0.png

Opmerkingen over beste praktijken

• Zorg ervoor dat root-hints gebruiken als er geen forwarders beschikbaar zijn, niet is aangevinkt. Als deze optie is ingeschakeld, worden de bescherming tegen paraplu's en de registratie inconsistent. Als een domein bijvoorbeeld DNSSEC-validatie mislukt of onderhevig is aan een DDoS-mitigatiegebeurtenis, kan de Windows DNS-server Umbrella als niet-reagerend beschouwen en directe recursie proberen met roothints, waarbij Umbrella wordt omzeild.
  
  

• Gebruik alleen een paraplu als expediteur. Configureer geen externe resolvers. Umbrella kan alleen DNS-query's registreren en beveiligen die het ontvangt.
  
  

• Configureer voor redundantie alle vier de Umbrella anycast IP-adressen als forwarders, zoals weergegeven in de vorige schermafbeelding.
  
  

• Als u overkoepelende sites en virtuele apparaten gebruikt, wijst u een lokaal virtueel apparaat aan als doorstuurprogramma in plaats van overkoepelende anycastadressen.
  
  

  • Vermijd request loops: Als een Virtual Appliance uw server vermeldt als een van de lokale DNS-servers, voeg die Virtual Appliance dan niet toe als een forwarder.
  • Een Virtual Appliance ziet alleen het IP-adres van de DNS-server, niet de adressen van de individuele clients die het dient.
  • Als u Active Directory Integration met het virtuele toestel gebruikt, voegt u de Windows DNS-server IP als uitzondering toe. Navigeer naar Implementaties > Sites en Active Directory > Uitzonderingen voor serviceaccounts in het overkoepelende dashboard en voeg de IP van de DNS-server toe. Dit voorkomt onjuiste toewijzing van gebruikersidentiteiten aan serververkeer.
    
    

• Voeg geen Umbrella-servers toe aan het tabblad Root Hints. Umbrella DNS-servers zijn recursieve resolvers en dienen niet als roots voor iteratieve opzoeken. Het toevoegen van deze als root hints resulteert in ongewenst gedrag en omzeilen paraplu bescherming en logging.