Nebula (Firewall)- Setați serverul DNS pe un site VPN la distanță

Acest articol va arăta cum să configurați un server DNS pe un VPN la distanță în Nebula Cloud Center (NCC). Poate că aveți resurse specifice pe un domeniu local în firewall-ul sediului central și doriți să ajungeți la acestea din locațiile la distanță (sucursale). Atunci trebuie să configurați DNS Domain Zone Forwarder și să testați cu NSLookup.

Disclaimer! Este posibil ca acest lucru să nu funcționeze 100% din timp, totul depinde de tipul de scenariu și de configurația de dincolo de firewall.

Topologie:

1) Configurați "This Gateway" ca server DNS pentru Firewall-ul filialei.

Asigurați-vă că serverul DNS se află în aceeași subrețea de la distanță ca și subrețeaua de la distanță a VPN-ului.

Începeți cu setarea serverului DNS la "această poartă de acces" ca prim server DNS pe LAN.

Navigați la

Site-wide > Configure > Firewall > Interface

Acest lucru se datorează faptului că solicitările DNS vor ajunge la firewall, iar apoi firewall-ul trebuie să se ocupe de această solicitare DNS, iar în pasul următor veți configura unde trebuie să redirecționeze firewall-ul aceste solicitări DNS (Domain Zone Forwarder).

2) Configurați serverul DNS în setările firewall-ului

Navigați la Firewall -> Configure -> Firewall Settings și adăugați un nou Domain Zone Forwarder pentru a redirecționa domeniul către serverul DNS prin VPN prin interfața "auto" deja configurată automat și apăsați "save".

Navigați la:

3) Testați rezultatul

Rulați NSlookup pe un PC conectat la rețeaua locală a sucursalei pentru a vedea dacă puteți rezolva numele de domeniu.

4) Dacă ceva nu merge bine

Dacă nu reușiți să rezolvați serverul DNS cu nslookup, ați putea încerca următoarele.

a) Creați o rută de politică

S-ar putea ca serverul DNS să nu se afle în subrețeaua de la distanță corectă și, prin urmare, trebuie să fie direcționat manual cu ajutorul unei rute de politică.

Creați o rută de politică, care direcționează subrețeaua sursă (lan1) către destinația în care se află serverul DNS și configurați următorul hop ca fiind tunelul VPN.

b) Efectuați un ping la serverul DNS

Puteți încerca să efectuați un ping la serverul DNS de pe un PC client pentru a vedea dacă puteți ajunge la acesta chiar din subrețeaua locală

Dacă nu funcționează, încercați să faceți ping de la firewall pentru a vedea dacă este direcționat prin tunelul VPN. Dacă nu este rutat, încercați soluția"a" pentru a vedea dacă ruta de politică ar putea ajuta aici.

c) Urmărirea pachetelor

Dacă niciuna dintre soluțiile de mai sus nu funcționează, puteți efectua o urmărire a pachetelor pe firewall-ul local, precum și pe firewall-ul de la distanță.
Fie prin capturarea pachetelor ESP pe WAN(dacă nu există trafic în tunel), fie în pachetele ICMP în lanul local și cel la distanță. Uitați-vă la acest articol despre cum ați putea captura pachetele pe firewall(uri):

Nebula Debugging - Port mirroring și capturarea pachetelor