ต้องการคำแนะนำเกี่ยวกับสถาปัตยกรรม Bind9

ฉันต้องการคำแนะนำของคุณสำหรับสถาปัตยกรรม DNS

สคีมานี้อธิบายถึงสถาปัตยกรรม DNS ตามที่ฉันคิดว่าจะสร้าง:

สถาปัตยกรรม DNS

ในบริษัทของฉัน เดสก์ท็อป/แล็ปท็อปทุกเครื่องได้รับการกำหนดค่าด้วย DNS ของ LAN (10.1.1.1) ซึ่งเป็น Microsoft AD/DNS และฉันไม่มีอุปกรณ์ดังกล่าว DNS อื่น ๆ คือ Bind9 ที่ฉันเป็นผู้ดูแลระบบจุดประสงค์ของฉันคือการเพิ่มเซิร์ฟเวอร์ DNS อื่นสำหรับโครงการใหม่ (ในเครือข่ายที่แยกจากกัน) โดยไม่ต้องเปลี่ยนแปลงอะไรบนแล็ปท็อปและบน LAN DNS และแน่นอน ฉันต้องการให้แล็ปท็อปสำหรับนักพัฒนา (ใน LAN) สามารถสอบถามและรับคำตอบสำหรับ fqdn ของโครงการใหม่เหล่านั้น .

จากจุด DNS (fqdn) ของ vue จะมีหนึ่งโดเมน (project.com) และโดเมนย่อยอีกมากมาย (subX.project.com) และแต่ละโดเมนย่อยอยู่ในเครือข่ายที่แยกจากกัน

ตัวอย่าง: ในแต่ละ vlan ฉันจะมีเว็บเซิร์ฟเวอร์และฉันต้องการให้มันตอบโดเมนย่อย DNS ของมัน:

web.project.com --> สำหรับเว็บเซิร์ฟเวอร์ของโซนโครงการ
web.sub1.project.com --> สำหรับเว็บเซิร์ฟเวอร์ของโซนโครงการย่อย
web.sub2.project.com....

ดังนั้น ความเข้าใจของฉันเกี่ยวกับ Bind9 ทำให้ฉันคิดว่าเซิร์ฟเวอร์ LAN DNS (10.1.1.1) สามารถส่งต่อคำขอไปยังเซิร์ฟเวอร์ DNS ของโครงการ (10.100.1.1) และ DNS ของโครงการสามารถส่งต่อคำขอไปยังเซิร์ฟเวอร์ DNS ของโครงการย่อย (10.200.1.1 / 10.250.1.1)

ท้ายที่สุด VM ทั้งหมดของเครือข่ายสามารถแก้ไข fqdn สาธารณะได้หาก DNS ของโซนส่งต่อคำขอไปยัง DNS ระดับบน ฉันแค่อยากจะบอกอีกครั้งว่าฉันไม่มี DNS หลัก (ใน LAN)

ร้องคุณจะพบกับ ชื่อ.conf.options ไฟล์ซึ่งแสดงถึงสถาปัตยกรรมที่อธิบายไว้ในสคีมา:

• โครงการ DNS.com (10.100.1.1/10.100.1.2)

{
    อนุญาตแบบสอบถาม { 127.0.0.1; 10.1.1.1; 10.1.1.2; 10.200.1.1; 10.200.1.2; 10.250.1.1; 10.250.1.2; 10.100.1.0/24; };
    การเรียกซ้ำ ใช่;
    แจ้งว่าใช่;
    อนุญาตให้โอน { 10.100.1.2; }; #ทาส
    ผู้ส่งต่อ {
        10.1.1.1;
        10.1.1.2;
    };
}

• DNS sub1.project.com (10.200.1.1/10.200.1.2)

{
    อนุญาตแบบสอบถาม { 127.0.0.1; 10.100.1.1; 10.100.1.2; 10.200.1.0/24; }; ข้อความค้นหาจาก VM ในเครือข่ายนี้และ DNS จากโซนบน
    การเรียกซ้ำ ใช่;
    แจ้งว่าใช่;
    อนุญาตให้โอน { 10.200.1.2; };
    ผู้ส่งต่อ {
        10.100.1.1;
        10.100.1.2;
    };
}

• DNS sub2.project.com (10.250.1.1/10.250.1.2)

{
    อนุญาตแบบสอบถาม { 127.0.0.1; 10.100.1.1; 10.100.1.2; 10.250.1.0/24; }; ข้อความค้นหาจาก VM ในเครือข่ายนี้และ DNS จากโซนบน
    การเรียกซ้ำ ใช่;
    แจ้งว่าใช่;
    อนุญาตให้โอน { 10.250.1.2; };
    ผู้ส่งต่อ {
        10.100.1.1;
        10.100.1.2;
    };
}

คุณคิดอย่างไรเกี่ยวกับสถาปัตยกรรมนี้ ? คุณเห็นข้อบกพร่องหรือข้อผิดพลาดหรือความเข้าใจที่ผิดหรือไม่ ?

ความนับถือ.

จุดประสงค์ของฉันคือเพิ่มเซิร์ฟเวอร์ DNS อื่นสำหรับโครงการใหม่ (ในเครือข่ายที่แยกจากกัน) โดยไม่ต้องเปลี่ยนแปลงอะไรบนแล็ปท็อปและบน LAN DNS และแน่นอน ฉันต้องการให้แล็ปท็อปสำหรับนักพัฒนา (ใน LAN) สามารถสอบถามและรับคำตอบสำหรับ fqdn ของโครงการใหม่เหล่านั้น .

เพียงกำหนดให้เซิร์ฟเวอร์ DNS หลักของคุณมอบสิทธิ์ผ่าน สวพ.FM91 บันทึก, โดเมนย่อยเช่น project1.example.com ไปยังเนมเซิร์ฟเวอร์ของคุณ หลังจากนั้นคุณควบคุมโซนนี้ (ดังนั้นทุกอย่างด้านล่าง) และพฤติกรรมการเรียกซ้ำตามปกติระหว่างการจำแนกชื่อจะเริ่มทำงานโดยไม่มีการกำหนดค่าเฉพาะใดๆ

ดูเหมือนว่าคุณจะสับสนกับบทบาทแบบเรียกซ้ำและมีสิทธิ์ของเนมเซิร์ฟเวอร์ เหล่านี้ไม่ผสม คุณควรหลีกเลี่ยง (ในขณะที่ทำได้ในทางเทคนิคด้วยซอฟต์แวร์เช่น dnsmasq หรือแม้กระทั่ง หลุด) เซิร์ฟเวอร์ที่ทำหน้าที่เป็น recursive โดยทั่วไป แต่มีสิทธิ์สำหรับบางชื่อ ทำการมอบหมายที่เหมาะสมและมีแผนผังที่มีความหมาย แล้วคุณจะไม่มีปัญหาแปลกๆ คุณควรหลีกเลี่ยงคำถาม "ส่งต่อ" ให้มากที่สุด

ชุดตัวอย่างการกำหนดค่าของคุณสร้างเครือข่ายของเนมเซิร์ฟเวอร์แบบเรียกซ้ำ ซึ่งไม่ได้มีสิทธิ์ในสิ่งใด ดังนั้นจึงไม่ใช่วิธีที่จะไป ทำการมอบหมาย