ביצוע Forward בתוך DNS

תמלול ההרצאה: ביצוע Forward בתוך DNS

הטקסט המלא של הדקות הראשונות בהרצאה «ביצוע Forward בתוך DNS» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:00

   שלום לכולם, ברוכים הבאים לסרט על DNS, על Forward. אנחנו היום נלמד כמה נושאים חשובים. קודם כל נלמד מה זה Forward, כן? שזה בעצם הנושא של השיעור.

2. 00:14

   חוץ מ-Forward, אנחנו גם נלמד מה ההבדל בין תת-דומיין לדיליגיישן בדומיין. אחרי זה אנחנו נלמד מה זה, איך עושים מחיצות באקטיב דירקטורי לטובת DNS.

3. 00:27

   אנחנו ניצור מחיצה חדשה באקטיב דירקטורי לטובת DNS. בקיצור, זה הולך להיות שיעור מתקדם, ודי מעניין, אז מה זה forward? forward זה חריגה מניים רזולושן רגיל. ניים רזולושן זה להפוך שם ל-IP.

4. 00:43

   איך הופכים שם ל-IP? איך DNS עובד? או שהוא אחראי על הזון, או שהוא לא אחראי על הזון. כשהוא אחראי על הזון הוא נותן תשובה, כשהוא לא אחראי על הזון הוא הולך לשרתי נקודה.

5. 00:56

   יפה מאוד, אבל לפעמים יש לי מצבים מיוחדים שאני רוצה שהוא לא ילך לשרתי נקודה. אני רוצה שילך למקום אחר. למה? כי, תכף אנחנו נדבר על למה, אבל בואו תבינו קודם כל מה אני עושה.

6. 01:09

   אני אומר לו, תקשיב, כשאתה מחפש מישהו שלא נמצא כאן, שמישהו שלא נמצא פה, אז תלך ל-IP אחר, אל תחפש בשרתי נקודה. New Condition Forward, וב-Condition Forward אני אומר, כשאתה מחפש נניח חברתבת.co.il כשאתה מחפש חברתבת.co.il, אל תחפש את זה בשרתי הרות.

7. 01:43

   תלך ל-IP שאני אגיד לך. ה-IP שאני אומר לו, נניח זה 192, 168, 1, 3. את ההגדרה הזאתי, הוא מנסה לבדוק אם זה נכון או לא נכון, זה לא נכון, אבל הוא יעשה לי X אדום, אבל זה לא משנה לצורך הדיון.

8. 02:00

   הלאה, את ההגדרה הזאתי שחברת בת-סי-או האל מחפשים לא בשרת תיירות, אלא בשרת הספציפי הזה, תשמור את זה בתוך Active Directory כדי שזה יעבור לכל שרתי ה-DNS.

9. 02:12

   כן, זה אומר לשמור את ההגדרה ב-DC בתוך ה-DNS, בתוך ה-Active Directory, ולעבור ברפליקציה לכולם. למה הדבר הזה חשוב?

10. 02:23

    כי יש שני שימושים ל-DNS. שימוש ראשון ל-DNS זה לפרסם אתרי אינטרנט שזמינים לכולם, כמו וואלאס יורייל.

11. 02:34

    והשימוש השני זה לפרסם את התחנות הפנימיות, כמו יוני PC, SRV-02. זאת אומרת, את המחשבים הפנימיים. אותו DNS משמש פעם אחת למתחם אבטחה, DNS משמש למתחם אבטחה כמו Practical.Local ופעם שנייה לציבורי אם יש לי חברת בת ואני רוצה להגיע לא לציבורי שלה כי ציבורי שלה זה טוב זה נכבד אבל אני רוצה להגיע לשרתים הפנימיים כי יש לי תקשורת מולם יש לי חיבור VPN זה

12. 03:10

    אומר חיבור ישיר בין שתי חברות ואני יכול להיכנס לכל כתובת IP בפנים ואני רוצה שאני אוכל לגשת ל-DNS הפנימי של החברה אז אני אומר כשאתה מחפש חברת בתs.io האלה אל תלך לשם החיצוני תלך לIP מסוים אני אעשה משהו יותר מגניב אני אעשה פה delete ואני אעשה דבר כזה כשאתה תחפש חברת בת.local שימו לב.local תחפש אותה בכתובת 192.168.1.3 למה עשיתי את זה?

13. 03:45

    חבר'ה.local לא קיים באינטרנט אם לא הייתי עושה דבר כזה מה היה הוא עושה עם.local הוא היה הולך לחפש בשירותי נקודה סיומת.local היה אומר זה לא קיים גם מצטער, אני אומר לו חמוד שלי חברת בת נקודה לוקאל אל תלך לחפש בשרתי נקודה, לך לחפש בIP הזה.

14. 04:04

    ומה יש בIP הזה כמו שרת פה שנקרא פרקטיקיו דוט לוקאל אצלהם ועם כל פרקטיקיו דוט לוקאל ויש בפנים את כל התחנות העבודה שלי יש להם חברת בת דוט לוקאל בשרת שלהם ואני רוצה משרת שלי להפוך שם לIP זאת אומרת הם יעשו בדיוק אותו דבר הם יעשו אצלהם פרקטיקיו דוט לוקאל לבוא לIP שלי ואז מה יוכלו המשתמשים שלהם לעשות?

15. 04:34

    המשתמשים שלהם יוכלו לכתוב srv082.practice.local. זאת אומרת, נוכל לעבוד בשמות הפנימיים בינינו חלק, וזה בעצם הרעיון של forward.

16. 04:51

    הרעיון של forward זה לחבר שתי חברות לא קשורות, ולהגיד אם אתה מחפש את החברה השנייה לך ל-IP מסוים, ואם לא עושים forward אז יש לנו בעיה חמורה, כי אנחנו נחפש את זה בלוקל, ובלוקל לא נמצא את זה.

17. 05:08

    טוב מאוד, בגלל זה פורורד משתמשים בו הרבה בחברה שיש לה כמה דומיינים או כמה סניפים. זאת אופציה שהיא די חובה לחברה שיש לה כמה דומיינים.

18. 05:22

    אחרי שהבנו את הדבר הזה, אנחנו גם חייבים להבין שהשמות בפנימיים, השמות של מתחם האבטחה, הם שונים משמות של אינטרנט, למרות שהם נראים אותו דבר, ולפעמים הם אפילו אותו דבר, השימוש שלהם נורא שונה.

19. 05:38

    השימוש של מתחם אבטחה זה לצורך פנימי ולא מפרסמים בחוץ כמה מחשבים יש לי וכמה שרתים יש לי ומה הכתובות טייפי שלהם. לעומת זאת השמות החיצוניים זה לאן לשלוח דואר מי זה www וכו'.

20. 05:52

    זה יוצר הרבה מאוד בעיות שאותה מערכת היא גם בפנים וגם בחוץ אבל על זה אנחנו לא נדבר כרגע. אז ראינו פורוורד לשמות ספציפיים אם אנחנו רוצים לעשות פורוורד כללי להגיד כל השמות אף פעם אל תשתמש ב...

21. 06:10

    אני יכול למחוק את זה אף פעם אל תשתמש בשרתי נקודה כל מה שאתה לא יודע, תעביר ל-forward. זה forward ברמת שרת כולו, וזה נקרא forwarders ברמת שרת כולו.

22. 06:22

    אני יכול להגיד לו, ברמת שרת כולו, כל מה שאתה לא יודע, תעביר ל-888, אוקיי? אני יכול לעשות פה remove ולמחוק את זה, אוקיי?

23. 06:33

    זה אומר שאני אומר לשרת שלי, כל מה שאתה לא אחראי עליו, כל מה שאתה לא יודע כי אתה לא אחראי עליו, תעביר לאיזה IP מסוים. למה שאני אעשה את זה? לדוגמה, אני לא רוצה שתהיה לי תקשורת, מרשת פנימית למישהו בחוץ.

24. 06:52

    יש חברות שיש להם כלל, יש כזה כלל באבטחת מידע שאומר אין תקשורת ישירה מבפנים החוצה. רוצים שזה הכל יעבור דרך מישהו אחר. אז אני שם שרת ברשת נפרדת שהיא חצי, כאילו יש רשת פנימית, יש רשת שלך אבל מחוץ לפיירוול.

25. 07:12

    אנחנו נדבר בתקשורת על כל הכללים האלו. לרוב בחברה יש כמה רשתות, רשת פנימית שהיא מאוד מוגנת ואף אחד לא ניגש אליה, חוץ מהעובדים כי כל המידע נמצא שם ויש רשת שאפשר לגשת אליה מהאינטרנט רשת שנקראת dmz אני לא רוצה להיכנס לזה עכשיו זה קצת מוקדם לנו אבל מסיבות של אבטחה מחלקים רשת לתתי רשתות כשמחלקים רשת לתתי רשתות אני יכול להגיד תקשיב

26. 07:38

    כל מה שאתה לא יודע תעביר לשרת 10.0.0 לא יודע מה 6 והשרת 10.0.6 יחפש בשבילך דברים באינטרנט אוקיי אז אנחנו לא צריכים את הפורוד הכללי הזה זה פורוד כללי לכל דבר וזה בעצם ה-forward.

27. 07:58

    יש לנו שני סוגי forward, אחד ברמת שרת לכולם, שתיים ברמת זון מסוים ב-conditioning forward, conditional forward, זה זון מסוים, אני אומר איזה זון, לדוגמה סתם סניף 2, סניף 2 נקודה לוקאל, ואז סניף 2 נקודה לוקאל הוא לא יחפש בשרתי נקודה, אלא ב-IP שאני אגיד לו.

28. 08:23

    טוב מאוד, אני עושה אוקיי, וסיימתי את ההגדרות בעצם. אני יכול, דרך אגב, ואם יש להם כמה שרתי DNS, בפרופרטיז, לתת להם עוד כמה, להגיד גם 5 וגם 192, 168, 5, 6.

29. 08:37

    זאת אומרת, תלך או לזה או לזה. אני מפנה הלאה את כל הלקוחות שלי. כל מי שישאל אותי איפה זה סניף 2.0, אני אפנה לשם.

30. 08:48

    אני מקווה שהבנתם מה זה forward, כי זה לא פשוט בכלל להבין את זה. אז forward זה חריגה ל-Name Resolution רגיל, ש-Name Resolution רגיל אומר ללכת לשרתי נקודה.

31. 09:02

    עושים זאת מסיבות של אבטחה, זאת אומרת שאם אני לא רוצה קונקשן ישיר מבפנים החוצה אלא לעבור דרך איזה forward דרך כללי או אם יש לי סניף מרוחק עם דומיין נפרד שאני מחובר אליו בvpn אין בעיה תקשורת שימו לב dns לא מתעסק בתקשורת בכלל dns מבחינתו יש פינגים יש תקשורת זאת אפליקציה זאת תוכנה

32. 09:25

    איך עושים vpn איך עושים פינגים כל זה בפרק של תקשורת מבחינתי יש לי פינג ויש לי תקשורת לסניף אחר ולא אכפת לי איך עשו את זה ואנחנו רוצים לאפשר Name Resolving דרך שרתי DNS הפנימיים של Active Directory.

33. 09:45

    זאת אומרת, אנחנו רוצים לפנות לשמות הפנימיים של סניף מרוחק, ולא דרך ה-DNS האינטרנטי הציבורי, כי שם אין לנו שמות מחשב ולא כתובות IP פנימיות.

34. 09:58

    אם אנחנו נפנה לאינטרנט ונשאל מי זה XP 84 או מי זה פייל סרבר 1 נקודה משהו, הם לא יודעים כי זה שמות פנימיים, זה שמות לשימוש הפנימי, אז אנחנו צריכים למנוע ממנו ללכת לשרתי הנקודה.

35. 10:13

    וזאת המטרה של פורוורד. אני מקווה מאוד שהבנתם את זה. מי שלא יבין שיקשיב לזה שוב, זה לא פשוט למי שאין לו רקע. אז דיברנו על זה שאפשר לעשות פורוורד בשתי דרכים, ועכשיו אנחנו נראה את הדרך השלישית לעשות פורוורד.

36. 10:31

    דיברנו שיש פורוורד ברמת שרת, יש פורוורד ברמת הזון, ויש גם סטאפ זון. סטאפ זון זה פורוורד חכם מאוד, ושימו לב איך הוא עובד. סטאפ זון אומר בשביל מה אתה הולך לסניף 2 נקודה לוקל, תעשה משהו אחר תראה בכל זון לדוגמה practice.local בכל זון כתוב מהם שירותי dns שמטפלים בו נכון בכל

37. 10:59

    זון כתוב מהם שירותי dns שמטפלים בו אז מה הבעיה תפנה לשרת שאחראי על practice.local שאני אתן לך אותו זה מה שעושה החברה השנייה החברה השנייה שעושה stop zone היא בעצם פונה לip שלי שולפת ממני את ה-practice.local את שתי הרשומות האלו ואז אם יום אחד אני אוסיף שירותי dns חדשים הם לבד יתעדכנו פה, נכון? הם לבד מתעדכנים פה.

38. 11:28

    והשרת השני ידע שיש לי שרתי DNS חדשים. אני יודע שזה נשמע ממש לא ברור, אז אני אעשה לכם אולי איזושהי דוגמה. אני אעשה סטאפ זון, סטאפ זון, ואני אקריא לכם אולי מהמסך.

39. 11:45

    קריאייטס קופי, מעתיק, אוף זון, כאילו מעתיק את הזון האחר, אבל רק את הרשומות ה-NS שלו, רק את הרשומות ה-DNS שלו. הוא לא מעתיק את הכל, רק את הרשומות ה-DNS.

40. 11:57

    ואז כשבאים לשאול אותו, תגיד לי, מי זה חברה מסוימת? הוא אומר, אין בעיה, אני מכיר את ה-DNSים שלה. מה ההבדל בין פורורד לסטאבזון?

41. 12:06

    שבפורורד אתה צריך לבד להכניס את כל שרתי ה-DNS שלהם, לבד, ידנית. בסטאבזון אתה נותן רק אחד מהם, והוא כבר מעתיק מתוך הזון את כל ה-DNSים שלו.

42. 12:18

    בואו נראה איך זה עובד, זה לא משנה אם זה באקטיב דירקטורי או לא. אני אומר לו, תעשה לדוגמה גוגל co.il. גוגל co.il הוא שואל אותי סבבה מאיפה להעתיק את זה צריכים איזה שרת של גוגל משהו בוא נעשה ns lookup מינוס טייפ ns מי אחראי מי name server של גוגל co.il ונשאל את ה-888 שלנו הנה הוא

43. 12:39

    אומר תקשיב גוגל co.il מי שאחראי עליו זה ns.google.co.il הוא אומר מצוין ns lookup מי זה ns1.google.com עכשיו הוא חושב חושב נתן לי את הIP שלו שימו שימו לב שאלתי אותו מי זה ה-DNS של גוגל COI-L קיבלתי תשובה מי זה ה-DNS של גוגל שאלתי מה ה-IP שלו קיבלתי תשובה ועכשיו אני עשיתי לו

44. 13:17

    סטאפ זון סטאפ זון אוקיי עשיתי לו סטאפ זון עושה לי V נקסט שימו לב מה הוא עשה הוא הלך לגוגל והעתיק ממנו רק שרתי ה-DNS יכלתי לעשות בדיוק אותו דבר בפורורד כן זאת אומרת כל מי שיבוא לשרת שלי וישאל מי זה גוגל COI-L הוא יותן לו את השרתים האלו עכשיו במקרה במקרה שלנו השרתים האלו הם בדיוק השרתים שמפרסמים בשרתי הנקודה

45. 13:47

    אז זה לא, אין הבדל, אין תוצאה אותו דבר אבל תחשבו שיכלתי להפנות אותו לשרת אחר, ל-IP אחר, לשמות הפנימיים אז סטאפ זון, חבר'ה, סטאפ זון, אני יודע שזה מאוד מאוד קשה אני ממש קשה להבין את זה ואני מבין את זה כי זה לא נושא פשוט, אתם רואים סוג של סטאפ זון אתם אומרים לו כתובת IP אחד בלבד

46. 14:11

    והוא ממנה שולף את כל שאר ה-DNSים, הבנתם? אם היינו עושים אותו דבר בפורורד, היינו עושים פורורד לגוגל co.il, היינו צריכים לכתוב את כולם ידנית.

47. 14:25

    ואם מחר בבוקר גוגל יוסיף עוד שרת dns, אז הוא לבד ייקח את זה, כי הוא לבד יעדכן את זה. אז אתם אומרים לו מאסטר אחד והוא שולף את כולם.

48. 14:38

    הבנתם? בקונדישנינג פורורד אותו דבר אפשר לעשות, בואו נעשה אותו דבר. אבל בקונדישנינג פורורד, כשאתם עושים, אתם כותבים לו גוגל co.il, אבל פה אתם צריכים לתת לו איי-פי ראשון, איי-פי שני, איי-פי שלישי, איי-פי רביעי, אם אתם רוצים שהוא יכיר את כולם.