Nebula (brána firewall) - nastavení serveru DNS na vzdáleném webu VPN

V tomto článku se dozvíte, jak nakonfigurovat server DNS ve vzdálené síti VPN v Nebula Cloud Center (NCC). Možná máte na místní doméně ve firewallu centrály určité prostředky a chcete na ně dosáhnout ze vzdálených lokalit (poboček). Pak je třeba nakonfigurovat DNS Domain Zone Forwarder a otestovat pomocí NSLookup.

Upozornění! Tento postup nemusí fungovat ve 100 % případů, vše závisí na typu scénáře a konfiguraci mimo firewall.

Topologie:

1) Nakonfigurujte "Tuto bránu" jako server DNS pro pobočkovou bránu firewall.

Ujistěte se, že se server DNS nachází ve stejné vzdálené podsíti jako vzdálená podsíť VPN.

Začněte nastavením serveru DNS na "tuto bránu" jako prvního serveru DNS v síti LAN.

Přejděte na

Site-wide > Configure > Firewall > Interface

Je to proto, že požadavky DNS budou směřovat na bránu firewall a ta se pak musí o tyto požadavky DNS postarat a v dalším kroku nastavíte, kam má brána firewall tyto požadavky DNS předávat (Domain Zone Forwarder).

2) Konfigurace serveru DNS v nastavení brány firewall

Přejděte do Firewall -> Configure -> Firewall Settings a přidejte nový Domain Zone Forwarder, který bude přesměrovávat doménu na DNS server přes VPN přes již automaticky nakonfigurované rozhraní "auto", a stiskněte tlačítko "save".

Přejděte na stránku:

Site-wide > Configure > Firewall > Firewall Settings

3) Otestujte výsledek

Spusťte nástroj NSlookup na počítači připojeném k pobočkové síti LAN a zkontrolujte, zda lze název domény přeložit.

4) Pokud se něco pokazí

Pokud nemůžete server DNS přeložit pomocí nástroje nslookup, můžete zkusit následující postup.

a) Vytvořte trasu zásad

Může se stát, že server DNS není ve správné vzdálené podsíti, a proto je třeba jej ručně směrovat pomocí trasy zásad.

Vytvořte trasu zásad, která bude směrovat zdrojovou podsíť (lan1) do cíle, kde se nachází server DNS, a nakonfigurujte, aby dalším cílem byl tunel VPN.

b) Ping serveru DNS

Můžete zkusit pingnout server DNS z klientského počítače, abyste zjistili, zda se k němu vůbec dostanete z místní podsítě.

ping 172.10.10.12

Pokud to nepomůže, zkuste pingnout server z brány firewall a zjistit, zda je směrován přes tunel VPN. Pokud není směrován, zkuste řešení"a" a zjistěte, zda by zde nepomohlo směrování pomocí zásad.

c) Sledování paketů

Pokud nic z výše uvedeného nepomůže, můžete provést sledování paketů na místní bráně firewall i na vzdálené bráně firewall.
Buď zachycením paketů ESP v síti WAN(pokud v tunelu neprobíhá žádný provoz), nebo v paketech ICMP v místní a vzdálené LAN. Podívejte se na tento článek, jak můžete zachytávat pakety na firewallu (firewallech):

Nebula Debugging - Port mirroring & Packet Capturing (Zrcadlení portů a zachytávání paketů).