DNS pfusch vorübergehend lauffähig halten

Hallo,

das mit der internen .de-Domäne ist doch nicht falsch. Wenn die interne domäne gummiebaerchen.lokal heißt und die externe Domäne gummiebaerchen.de, , gibt es Probleme mit den Maildiensten, den Zertifikaten (auf nicht-offizielle Domänen werden keine Zertifikate ausgestellt!) usw.

"Split Domane" ist da nur bedingt eine Lösung.

Ich habe das Problem dadurch gelöst, dass ich die interne Domäne einfach lokal.gummiebaerchen.de genannt habe. Alle extern erreichbaren Dienste sind unter der Domäne gummiebaerchen.de registriert. Damit habe ich allen Anforerungen genüge getan. Intern bleibt intern (die Domäne/Zone lokal.gummiebaerchen.de wird nur von internen DNS-Servern verwaltet) und von außen ist alles sauber unter gummiebaerchen.de erreichbar.

Jürgen

Aber warum willst Du Dir die Arbeit ans Bein binden, eine neue AD Gesamtstruktur anzufangen, mit dem ganzen Migrationsaufwand, wenn Du es doch ganz einfach mit Split Brain in den Griff bekommen kannst?

Hallo,

im Prinzip geht das alles.

ABER: Alle bekannten IT-Größen (MS, Cisco usw.) raten von einem Szenario mit einen offiziellen .de, .eu, .com usw. und einer .lokal, .intern oä. Domäne ab! Das war früher anders. ZB. wurde in den MS- oder Novel- Netzwerkschulungen ausdrücklich eine solche Trennung empfohlen. Heute findet sich das genaue Gegenteil in den Schulungsunterlagen.

Auch in Hinblick auf die IP6-Adressierung, bei der es ja keine strickte Trennung zw. offiziellen und privaten IP-Adressen gibt, macht eine eine Trennung der Domänen in .de und .lokal keinen Sinn mehr. (Und irgendwann müssen wir alle auf IP6 umsteigen. )

Jürgen

PS. Ich habe vor einem Jahr die Umstellung der alten DNS-Struktur (.de und .lokal) auf die neue einheitliche Struktur wie oben beschrieben hinter mir. Genau wegen der oben beschriebenen Probleme. Natürlich kannst Du dir selber Zertifikate ausstellen, die akzeptiert bloß niemand (extern).

Das empfangen von Mails ist nicht das Problem. Es geht um das Versenden. Wenn die Sende-Domäne nicht mit der Empfangsdomäne übereinstimmt, verweigern einige Mail-Server die Annahme und Weiterleitung von Mails.

Warum? Kannst du das technisch begründen?


Da hast du sicher einen Link dazu


Sorry, da verwechselt du einfach Kraut und Rüben. Mit deinen Einwürfen bringst du den TO nur durcheinander.


Genauso ist es. Und das wäre meiner Meinung nach auch der sinnvollste Weg.

LG Günther

Hallo,

zeig mir mal einen Provider, der einen MX-Record auf gumiebaerchen.local einträgt und die Mails an gumiebaerchen.de korrekt ankommen.

Die technischen Probleme bei der Namensauflösung und der Mailzustellung kannst du dir sicher selber erklären.




Wenn deine Postfächer bei einem Maildiestleister gehostet werden, kannst du in der Regel die Mails problemlos über POP3 oder IMAP abholen. Das Versenden von Mails muß aber nicht zwingend über den SMTP-Server des Maildienstleisters erfolgen. Man kann auch Mails ohne Qutlook versenden.

Viele Provider überprüfen aber aus Sicherheitsgründen (zB. Eindämmung von Spam), ob der SMTP-Server mit dem MX-Record der Domäne übereinstimmt. Wenn das nicht der Fall ist, wird die Annahme der Mail und ihre Weiterleitung verhindert.

Solange du alles (POP3, IMAP, SMTP) über den Maildienstleister abwickelst, gibt es keine Probleme. Aber wenn du irgend wann einmal mehr willst, wird es kompliziert.

Und genau so war es bei mir: Erst hat der interne Mailserver die Mails per POP3 abgeholt, dann wurden die Mails per SMTP direkt zugestell (MX-Record), Dann wurde der extern gehostete Web-Server durch einen internen ergänzt, der einen speziellen geschlossenen Teil hostet. Der FTP-Dienst wird intern gehostet.

Diesen ganzen "Kram" mit einer Split-Domane abzubilden, ist gelinde gesagt, ein Krampf.

Aber bitte, es kann jeder so machen wie er will.

Jürgen

Hi,
Kann man machen, wo ist das Problem? Solange es ein einziger bereich (z. B. /26) und nicht 1000 Verstreute einzelne IPs (nicht aufeinander folgende kleine IP Blöcke) sind...
Das hat auch vorteile. Z. B. Kannst du dir ein VPN Sparen, es muss lediglich die Firewall richtig konfiguriert werden (und IP Sicherheitsrichtlinien für Verschlüsselung).
Ist auch Best Practise von Microsoft wird außerdem betont, dass es mit ".local" probleme geben kann, weil sich das z. B. mit dem mDNS Standard überschneidet. Also mDNS Geräte (aus eigener Erfahrung manche Drucker in Standard Einstellung) haben damit Probleme.
Außerdem sobald du mal ein Zertifikat für etwas brauchst, ist es einfacher z. B. von StartSSL ein DV Zertifikat anzufordern.
Split DNS, oder je nach Server anzahl 2 getrennte DNS Server (z. B. Manuell gepflegter für öffentlich erreichbare). Du könntest aber auch einfach alles auf einen DNS-Server vereinen und diesen öffentlich erreichbar machen (Zone Transfer Einstellung beachten, UDP Port 53 an der Firewall erlauben und TCP Port 53 blocken).
Erst einmal besser informieren. Die Situation mit öffentlichen IP hat auch vorteile, die die Meisten aus Kostengründen nicht nutzen bzw. in erwägung ziehen. Meine lösung wäre, die geteilte DNS-Zone zu konsolidieren und das mit den Öffentlichen IPs so beizubehalten. Möchtest du hingegen unbedingt ein NAT haben, ist meine empfehlung, DNS-Zone konsolidieren und NAT einsetzen. Das mit .local oder .intern würde ich unter keinen Umstenden machen (Nicht zuletzt, weil das meistens ein sehr großer aufwand ist).

Ebenfalls schönes Wochenende

Mit freundlichen Grüßen,
agowa338

P. S. Ich bin aktuell mit der Planung der Umstellung einer "firma.local" auf "firma.de" beschäftigt.
P. P. S. 2 DNS-Server mit der Gleichen Zone einen für Intern und einen für Extern ist auch nicht so schlimm (wenn es Dokumentiert ist!), an den Externen DNS-Server Einträgen ändert sich vermutlich nicht so häufig was. Falls doch würde ich beides zusammenfassen also intern und extern am gleichen Server.
P. P. P. S. Eine .local Domäne ist MURKS und macht lang zeitig nur ärger.

Was hat die Mail Domäne mit der AD-Domäne zu tun. Rein gar nichts.
Wie oben schon von mir geschrieben, verwechselt du Äpfel mit Birnen.

LG Günther

@GuentherH
Stimme Dir zu.

@agowa338
Öffentliche IP-Adressen im internen Netz nutzen, bedeutet nicht zwangsläufig, dass diese extern für mich registriert sind, sprich, dass die Routen zu mir führen. Diese Info haben wir nicht.

Split DNS mit nur einen DNS-Server? Wie soll das gehen?

Ich glaube er meint hiermit, dass - von intern abgefragt - "firma.de" nicht immer auf die internen AD-Server aufgelöst wird, sondern auf die IP-Adresse der externen WWW-Instanz. Ich verstehe das so, dass es nicht darum geht, dass im internen Netz Server mit öffentlichen Adressen stehen, welche auch von extern erreicht werden müssen. Hier geht es einfach darum, dass die internen Clients - öffentliche IP-Adressen hin- oder her - die internen IP-Adressen aufgelöst bekommen müssen, wenn sie nach internen Ressourcen fragen.

Ok, wenn das wirklich so verbastelt sein sollte, den Servern als erstes neue (zusätzliche) statische IPs auf die Interfaces zuweisen. Anschließend bei den Clients die alte IP durch die neue Ersetzen. Für freigaben kannst du z. B. dieses Skript verwenden einfach per GPO bei Benutzeranmeldung ausführen lassen.
Ich habe mich wohl etwas unklar ausgedrückt, ich habe zwei Szenarien beschrieben. 1x Split DNS und 1x Konsolidierung auf einen DNS-Server (bzw. mehrere Synchrone)
Stimmt, das ist ein Problem, wenn es die Adresse doppelt gibt. Da kommt man am Umbenennen nicht vorbei.

Hallo,

wenn du dein IT-System auf dem Mond aufbaust oder in einer einsamen Forschungsstation am Nordpol und niemals mit dem irdischen Internet in Berührung kommst, kannst du natürlich deine Verzeichnisdienst-Domäne nennen wie du willst. Es wird keine Probleme geben. Dummerweise haben aber viel IT-System auf der Erde nun mal eine Verbindung mit dem Internet. Und da kann man sich durch eine Konfiguration das Leben erschweren oder durch eine andere Konfiguration eben erleichtern. Und bei Microsoft mit seinem ad-integrierten DNS ist es eben bedeutend einfacher, die DNS-Domäne identisch mit der AD-Domäne zu halten. Für einen User ist es eben einfacher, wenn seine Mail-Adresse user@gumibaerchen.de lautet und sein Anmeldename nicht user@gummiebaerchen.local.

Natürlich geht es auch anders, die Freiheit hast du. Ob es dir die User danken, ist eine andere Frage.

Jürgen

Hi!

Das mit dem .local am Ende war doch schon beim ersten Wählscheibentelefon verpönt. Wird aber immer noch gerne von "Administratoren" ( bevor sich wieder einer auf den Schlips getreten fühlt: Man beachte bitte die Anführungszeichen! ) gemacht.

mrtux