Kurumlar DNS güvenliğini ve yönetimini tek platformda toplamak istediğinde ilk soru şudur: Active Directory ne olacak? Etki alanı denetleyicileri ve binlerce istemci kendi kayıtlarını DNS'e otomatik yazar. Bu mekanizma bozulursa oturum açma, grup ilkesi ve Kerberos çalışmaz.
Dinamik güncelleme nasıl işler?
Bir Windows bilgisayar ağa katıldığında ya da IP adresi değiştiğinde, kendi A ve PTR kaydını DNS sunucusuna yazar. Etki alanı denetleyicileri de _ldap._tcp, _kerberos._tcp gibi SRV kayıtlarını yayınlar. Güvenli ortamda bu yazma işlemi kimlik doğrulamalı yapılmalıdır; yoksa ağdaki herkes başkasının adını kendi IP'sine yönlendirebilir.
Windows bunun için GSS-TSIG kullanır: istemci Kerberos bileti ile kimliğini kanıtlar, güncelleme bu kimlikle imzalanır.
NameDefence'te güvenli dinamik güncelleme
Her zone için güncelleme modu ayrı seçilir:
- Kapalı: kayıtlar yalnızca yönetim arayüzünden değişir.
- TSIG anahtarı ile: Linux sunucular, DHCP sunucuları ve otomasyon araçları için.
- Adres listesi ile: güvenilir belirli sunuculardan gelen güncellemeler için.
- GSS-TSIG (Kerberos): Active Directory'ye katılmış Windows istemcileri için.
GSS-TSIG modunda her bilgisayar yalnızca kendi adını yazabilir; başka bir bilgisayarın kaydını değiştiremez. Etki alanı denetleyicileri ise zone başına tanımlanan ayrıcalıklı yazıcılar listesiyle apex ve ortak SRV kayıtlarını güncelleyebilir. Dinamik güncelleme hiçbir koşulda zone'un NS ve SOA kayıtlarını silemez.
Zone transferi ve NOTIFY
Taşıma süreci genellikle kademelidir. NameDefence birincil ya da ikincil rolde çalışabilir:
- Mevcut Windows DNS ya da BIND sunucusundan AXFR ile zone içe aktarılır.
- Geçiş süresince NameDefence ikincil olur; SOA yenileme zamanlarına göre değişiklikleri kendiliğinden çeker.
- Hazır olduğunuzda roller değişir; NameDefence birincil olur, değişiklikleri NOTIFY ile ikincillere bildirir, onlar da AXFR/IXFR ile çeker.
- Transferler isterseniz TSIG ile imzalanır ve yalnızca izin verdiğiniz adreslere yapılır.
BIND zone dosyaları da doğrudan içe aktarılabilir.
DHCP'yi de birlikte taşıyın
DNS ile DHCP aynı platformda olduğunda adresler, kiralar ve cihazlar IPAM ekranında tek yerde görünür. ISC DHCPD, Windows DHCP ve MikroTik yapılandırmaları içe aktarılabilir.
Kısacası
Active Directory DNS'i taşınamaz bir parça değildir. Kerberos ile güvenli dinamik güncelleme ve kademeli zone transferiyle, kullanıcılar hiçbir şey fark etmeden geçiş yapılabilir.