dns problem mit 2 gateway bzw. internezugängen
-
Hallo,
ich habe ein dns problem mit meiner netgate 6100,
ein port (192.168.178.2) hat eine verbindung zur fritzbox (192.168.178.1) fürs internet, der andere port 10.1.11.140 geht ins interne netz, dort ist ein server 2022 (10.1.11.130) als dc, der ist auch dns server. in diesem netz gibt es ein internes gateway (10.1.11.129) zu einem firmennetz (10.1.20.x) ohne internetzugang). jetzt möchte ich das der dc die dns server abfragt die das gateway liefert, und ansonsten 1.0.0.1., die stehen so als weiterleitung im dns-server im DC.
wenn ich das standardgateway auf die 10.1.11.129, dann bekomme ich vollen zugang zum firmennetz, aber alle internetseiten sind nicht erreichbar.
wenn ich das standardgateway auf die 10.1.11.140 setze dann bekomme ich keine dns antworten aus dem firmennetz und auch nur internetzugang wenn ich die 1.0.0.1 ganz oben in der weiterleitung im DC habe.
die 10.1.11.129 kann ich nicht konfigurieren, die hat auch keine weiterleitung auf den 10.1.11.140!
wenn ich in der pfsense die dns-auflösung einrichte und in den allgemeinen einstellungen die 10.1.11.130 und den 1.0.0.1 einstelle kann ich server aus dem firmennetz auflösen, aber keine internetseiten, drehe ich die reihenfolge um: 1.0.0.1 und 10.1.11.130 kann ich internetnamen auflösen, aber keine firmenadressen? die firmeninternen dns-server unter allgemein eintragen und routen hatte ich auch mal probiert... jetz steh ich aufm schlauch, irgenwie bin ich betriebsblind...
sollte er nicht erst den einen und dann den anderen dns abfragen?
eine route ins 10.1.20.x netz setzen? ich habe in der schnittstelle 10.1.11.140 kein upstream gateway gesetzt...
hat jemand ne idee, bin für jede anregung dankbar! -
@pfsense-neuling said in dns problem mit 2 gateway bzw. internezugängen:
ein port (192.168.178.2) hat eine verbindung zur fritzbox (192.168.178.1) fürs internet, der andere port 10.1.11.140 geht ins interne netz, dort ist ein server 2022 (10.1.11.130) als dc, der ist auch dns server. in diesem netz gibt es ein internes gateway (10.1.11.129) zu einem firmennetz (10.1.20.x) ohne internetzugang). jetzt möchte ich das der dc die dns server abfragt die das gateway liefert, und ansonsten 1.0.0.1
Dann solltest du dem DNS Server das beibringen. Wie soll pfSense da helfen?
So wie ich es verstehe, ist der interne DNS für die Namensauflösung im internen Netz zuständig.
Die Einstellungen auf der pfSense in System > General betreffen nur die pfSense selbst, solange du kein DNS Forwarding aktiviert hast.Und das mit mehreren DNS Servern zur Namensauflösung auf einer Maschine funktioniert nicht so wie du dir das denkst. Ein alternativer Server wird nur abgefragt, wenn der erste Server keine Antwort liefert. Ist er aber erreichbar und kennt den Hostnamen nicht, liefert er NXDOMAIN und der Client akzeptiert dies.
Was du möchtest, löst man mit einem Domain Override am DNS Server. Das kann Win 2022 wohl auch und du müsstest es da einrichten.
Falls der Windows DNS seine Abfragen auf die pfSense schickt, könntest du das auch im DNS Resolver setzen, wäre aber ein Schritt mehr bei jeder Abfrage.
-
@viragomann said in dns problem mit 2 gateway bzw. internezugängen:
e
dnake für deine antwort, würde gerne die dns abfragen auf die pfsense schicken, wie wäre das da auf der pfsense einzustellen?
dns resolver an, in allgemein die dns server des internen netzes setzen +- 1.0.0.1
und dann route ins interne netz? muss ich dann für jeden dns ne eigene route obwohl die sich nur im letzten oktett unterscheiden? oder da den domain override setzen? -
@pfsense-neuling said in dns problem mit 2 gateway bzw. internezugängen:
würde gerne die dns abfragen auf die pfsense schicken, wie wäre das da auf der pfsense einzustellen?
Vom internen DNS Server, nehme ich an. Denn der soll, wohl DNS im Netz bleiben.
dns resolver an, in allgemein die dns server des internen netzes setzen +- 1.0.0.1
Du kannst Host Overrides oder Domain Overrides setzen. Um alle Anfragen zu einer bestimmten Domain auf einen bestimmten Server zu leiten, eignen sich Domain Overrides.
Alles andere leitet die pfSense entweder auf die Root-DNS-Server oder auf den in System > General weiter. Letzteres erfordert aber, des "DNS Forwarding" im Resolver aktiviert ist.
und dann route ins interne netz? muss ich dann für jeden dns ne eigene route obwohl die sich nur im letzten oktett unterscheiden?
Verstehe nicht, was du damit meinst.
Ein Domain Override leitet eben alle Anfrage zu einer Domain an einen anderen Server weiter. D.h., du musst im lokalen Netz den FQDN eingeben, um die Server im Firmennetz zu erreichen.
Im DNS Domain Override ist einfach die Domain und der zuständige DNS Serve anzugeben.
Falls der Server private IPs liefert, was ich annehme, muss in den Custom Options nochserver: private-domain: "<DOMAIN>"eingetragen werden. <DOMAIN> durch die jeweilige Firmendomain ersetzen.
-
@viragomann
habe jetzt in der pfsense die internen dns in allgemein eingestellt, routen ins firmennetz, da geht die dns-auflösung jetzt und auch der 1.0.0.1 macht was er soll,
jetzt werde ich dem dc noch beibiegen, das er die pfsense nutzt,
ich gehe mal davon aus, das es reicht wenn ich den in der weiterleitung als einzigen einsetze, muss dann noch das standardgateway auf die pfsense, dann sollte es wohl funktionieren... -
@viragomann
habe jetzt auf dem dc das gateway auf die pfsense, und als weiterleitung die internen dns und 1.0.0.1
internet wird aufgelöst ping auf die firmen dns-ip geht auch aber nicht auf den dns namen des firmen dns? -
@pfsense-neuling
Wie gesagt, du musst den FQDN verwenden, um die Hostnamen des Firmennetzes aufzulösen.Was genau gibt nslookup zurück?
Du kannst mit nslookup zum Testen explizit bestimmte Server abfragen, bspw. mal den Windows Server, dann die pfSense:
nslookup <host>.<domain> <DNS-Server>Das Gateway auf die pfSense zu stellen sollte nicht nötig sein, wenn die pfSense als Uplook-Server im Windows DNS-Server gesetzt ist.
Ich dachte aber, dass sie ohnehin das Standardgateway in deinem internen Netz ist.Wenn das gegeben ist, lässt sich Standard-DNS auch per NAT Port Forwarding auf die pfSense umleiten, so dass sie jede Abfrage bekommt und beantwortet.