Nebula (Firewall) - Ustawianie serwera DNS w zdalnej lokalizacji VPN

W tym artykule pokazano, jak skonfigurować serwer DNS w zdalnej sieci VPN w Nebula Cloud Center (NCC). Być może masz określone zasoby w domenie lokalnej w zaporze sieciowej w centrali i chcesz uzyskać do nich dostęp ze zdalnych lokalizacji (oddziałów). Następnie należy skonfigurować DNS Domain Zone Forwarder i przetestować za pomocą NSLookup.

Zastrzeżenie! To może nie działać w 100% przypadków, wszystko zależy od rodzaju scenariusza i konfiguracji poza firewallem.

Topologia:

1) Skonfiguruj "This Gateway" jako serwer DNS dla Branch Firewall.

Upewnij się, że serwer DNS znajduje się w tej samej zdalnej podsieci, co zdalna podsieć VPN.

Zacznij od ustawienia serwera DNS na "tę bramę" jako pierwszy serwer DNS w sieci LAN.

Przejdź do

Wynika to z faktu, że żądania DNS będą kierowane do zapory, a następnie zapora musi zająć się tym żądaniem DNS, aw następnym kroku skonfigurujesz, gdzie zapora powinna przekazywać takie żądania DNS (Domain Zone Forwarder).

2) Konfiguracja serwera DNS w ustawieniach zapory sieciowej

Przejdź do Firewall -> Configure -> Firewall Settings i dodaj nowy Domain Zone Forwarder, aby przekazać domenę do serwera DNS przez VPN za pośrednictwem już automatycznie skonfigurowanego interfejsu "auto" i naciśnij "zapisz".

Przejdź do:

3) Przetestuj wynik

Uruchom NSlookup na komputerze podłączonym do sieci LAN oddziału, aby sprawdzić, czy można rozwiązać nazwę domeny.

4) Jeśli coś pójdzie nie tak

Jeśli nie można rozwiązać serwera DNS za pomocą nslookup, można spróbować wykonać poniższe czynności.

a) Utwórz trasę polityki

Może się zdarzyć, że serwer DNS nie znajduje się we właściwej podsieci zdalnej i dlatego musi zostać ręcznie przekierowany za pomocą trasy zasad.

Utwórz trasę zasad, która kieruje podsieć źródłową (lan1) do miejsca docelowego, w którym znajduje się serwer DNS i skonfiguruj następny punkt końcowy jako tunel VPN.

b) Ping DNS Server

Możesz spróbować pingować serwer DNS z komputera klienckiego, aby sprawdzić, czy możesz nawet dotrzeć do niego z lokalnej podsieci

ping 172.10.10.12

Jeśli to nie zadziała, spróbuj pingować go z zapory sieciowej, aby sprawdzić, czy jest kierowany przez tunel VPN. Jeśli nie jest kierowany, wypróbuj rozwiązanie"a", aby sprawdzić, czy trasa polityki może tu pomóc.

c) Śledzenie pakietów

Jeśli żadne z powyższych rozwiązań nie zadziała, możesz wykonać śledzenie pakietów na lokalnej zaporze sieciowej, a także na zdalnej zaporze sieciowej.
Albo poprzez przechwytywanie pakietów ESP w sieci WAN(jeśli nie ma ruchu w tunelu), albo w pakietach ICMP w sieci lokalnej i zdalnej. Zapoznaj się z tym artykułem na temat przechwytywania pakietów na zaporach sieciowych:

Debugowanie Nebula - mirroring portów i przechwytywanie pakietów