Viktig merknad: |
Denne artikkelen viser hvordan du konfigurerer en DNS-server på et eksternt VPN i Nebula Cloud Center (NCC). Kanskje du har spesifikke ressurser på et lokalt domene i brannmuren på hovedkontoret og ønsker å nå dem fra eksterne nettsteder (filialer). Da må du konfigurere DNS Domain Zone Forwarder og teste med NSLookup.
Ansvarsfraskrivelse! Det er ikke sikkert at dette fungerer 100 % av tiden, alt avhenger av type scenario og konfigurasjon utenfor brannmuren.
Topologi:
1) Konfigurer "This Gateway" som DNS-server for filialbrannmuren.
Forsikre deg om at DNS-serveren er plassert på samme eksterne delnett som det eksterne VPN-delnettet.
Begynn med å sette DNS-serveren til "denne gatewayen" som den første DNS-serveren på LAN.
Naviger til
Site-wide > Configure > Firewall > Interface
Dette er fordi DNS-forespørslene vil gå til brannmuren, og da må brannmuren ta seg av DNS-forespørselen, og i neste trinn skal du konfigurere hvor brannmuren skal videresende slike DNS-forespørsler (Domain Zone Forwarder).
2) Konfigurer DNS-serveren i brannmurinnstillingene
Naviger til Brannmur -> Konfigurer -> Brannmurinnstillinger og legg til en ny Domain Zone Forwarder for å videresende domenet til DNS-serveren gjennom VPN via det allerede automatisk konfigurerte "auto"-grensesnittet, og trykk på "lagre".
Naviger til:
Site-wide > Configure > Firewall > Firewall Settings
3) Test resultatet
Kjør NSlookup på en PC som er koblet til filialens LAN for å se om du kan løse domenenavnet.
nslookup example.local
4) Hvis noe går galt
Hvis du ikke kan løse DNS-serveren din med nslookup, kan du prøve dette nedenfor.
a) Opprett en policy-rute
Det kan være at DNS-serveren ikke befinner seg i riktig eksternt undernett og derfor må rutes manuelt med en policyrute.
Opprett en policyrute som ruter kildedelenettet (lan1) til destinasjonen der DNS-serveren befinner seg, og konfigurer neste hopp til å være VPN-tunnelen.
b) Ping DNS-server
Du kan prøve å pinge DNS-serveren fra en klient-PC for å se om du i det hele tatt kan nå den fra det lokale subnettet.
ping 172.10.10.12
Hvis det ikke fungerer, kan du prøve å pinge den fra brannmuren for å se om den rutes gjennom VPN-tunnelen. Hvis den ikke rutes, kan du prøve løsning"a" for å se om policyruten kan hjelpe her.
c) Pakkesporing
Hvis ingen av de ovennevnte løsningene fungerer, kan du foreta en pakkesporing på både den lokale brannmuren og den eksterne brannmuren.
Enten ved å fange opp ESP-pakker på WAN(hvis det ikke er trafikk i tunnelen), eller i ICMP-pakker i lokal og ekstern lan. Se denne artikkelen om hvordan du kan fange opp pakker på brannmuren(e):