Vigtig meddelelse: |
Denne artikel viser, hvordan man konfigurerer en DNS-server på en ekstern VPN i Nebula Cloud Center (NCC). Måske har du specifikke ressourcer på et lokalt domæne i dit hovedkvarters firewall og ønsker at nå dem fra de eksterne sites (filialer). Så skal du konfigurere DNS Domain Zone Forwarder og teste med NSLookup.
Ansvarsfraskrivelse! Dette virker måske ikke 100% af tiden, alt afhænger af typen af scenarie og konfiguration uden for firewallen.
Topologi:
1) Konfigurer "Denne gateway" som DNS-server for filialens firewall.
Sørg for, at DNS-serveren er placeret på det samme eksterne subnet som det eksterne VPN-subnet.
Start med at indstille DNS-serveren til "denne gateway" som den første DNS-server på LAN.
Naviger til
dyn_repppp_0Det skyldes, at DNS-anmodningerne vil gå til firewallen, og så skal firewallen tage sig af den DNS-anmodning, og i næste trin vil du konfigurere, hvor firewallen skal videresende sådanne DNS-anmodninger (Domain Zone Forwarder).
2) Konfigurer DNS-serveren i firewallindstillingerne
Naviger til Firewall -> Configure -> Firewall Settings, og tilføj en ny Domain Zone Forwarder for at videresende domænet til DNS-serveren gennem VPN'en via den allerede automatisk konfigurerede "auto"-grænseflade, og tryk på "gem".
Naviger til:
Site-wide > Configure > Firewall > Firewall Settings
3) Test resultatet
Kør NSlookup på en pc, der er forbundet til filialens LAN, for at se, om du kan løse domænenavnet.
nslookup example.local
4) Hvis noget går galt
Hvis du ikke kan løse din DNS-server med nslookup, kan du prøve dette nedenfor.
a) Opret en policy-rute
Det kan være, at DNS-serveren ikke er i det korrekte fjernundernet og derfor skal dirigeres manuelt med en politikrute.
Opret en policy route, der router kildesubnettet (lan1) til den destination, hvor DNS-serveren er placeret, og konfigurer next-hop til at være VPN-tunnelen.
b) Ping DNS-server
Du kan prøve at pinge DNS-serveren fra en klient-pc for at se, om du overhovedet kan nå den fra det lokale subnet
ping 172.10.10.12
Hvis det ikke virker, kan du prøve at pinge den fra firewallen for at se, om den er routet gennem VPN-tunnelen. Hvis den ikke er routet, kan du prøve løsning"a" for at se, om policy-ruten kan hjælpe her.
c) Pakkesporing
Hvis intet af ovenstående virker, kan du lave en pakkesporing på både den lokale firewall og den eksterne firewall.
Enten ved at fange ESP-pakker på WAN(hvis der ikke er nogen trafik i tunnelen) eller i ICMP-pakker i det lokale og eksterne lan. Se denne artikel om, hvordan du kan fange pakker på din(e) firewall(s):