Windows DNS Policy ve Zone Scope Kullanarak Client Subnet’e Göre Farklı DNS Kayıtları Döndürme

Ağ altyapıları büyüdükçe aynı servise farklı ağlardan erişen kullanıcıların farklı IP adreslerine yönlendirilmesi lüzumen durumlar oldukça sık ortaya çıkar. Örneğin iç ağdaki kullanıcıların tek uygulamaya doğrudan içsel sunucu IP’si üzerinden, farklı tek subnet’te bulunan kullanıcıların ise başka tek sunucuya ya da farklı tek erişim noktasına yönlendirilmesi lüzumebilir. Geleneksel DNS yapısında aynı FQDN için tekbaşına tek kayıt döndürülür; bununla birlikte Windows Server DNS üzerinde bulunan DNS Policy ve Zone Scope özellikleri sayesinde istemcinin bulunduğu ağa göre farklı DNS yanıtları üretmek mümkündür.

Bu yöntem özellikle segmentasyon, yük dağıtımı, coğrafi yönlendirme, testleri ortamları ya da farklı güvenlik bölgeleri için oldukça kullanışlıdır. DNS sunucusu, sorguyu yapan istemcinin IP adresini çözümleme ederek hangi subnet’ten geldiğini belirler ve tanımlanan siyaset doğrultusunda doğru Zone Scope içindeki kaydı döndürür. Böylece aynı domain adı farklı ağlar için farklı IP adreslerine çözümlenebilir.

Bu makalede Windows Server DNS üzerinde Client Subnet oluşturma, Zone Scope tanımlama, DNS Query Resolution Policy yapılandırma ve aynı DNS kaydı için farklı IP adreslerinin nasıl döndürüleceği adım adım ele alınacaktır. Ayrıca yapılandırmanın doğrulanması, testleri edilmesi ve en sık karşılaşılan yapılandırma yanlışlarının nasıl giderileceği da uygulamalı örneklerle açıklanacaktır.

İlk adım olarak DNS sunucusuna hangi ağlardan sorgu geleceğini tanımlamak lüzumir. Bunun için Client Subnet tanımları yapılır. Bu tanımlar DNS sunucusuna hangi IP aralığının hangi istemci grubuna ait olduğunu bildirir.

Add-DnsServerClientSubnet -Name "Client1_Subnet" -IPv4Subnet "192.168.1.0/24" -PassThru Add-DnsServerClientSubnet -Name "Client2_Subnet" -IPv4Subnet "10.10.2.0/24" -PassThru

Bu komutlar DNS sunucusuna ikisi farklı istemci ağı tanımlar. Birinci subnet 192.168.1.0/24, sonuncu subnet ise 10.10.2.0/24 ağıdır.

Bir sonrakiler adımda aynı DNS zone içerisinde farklı yanıtlar üretmek için Zone Scope oluşturulur. Zone Scope, aynı zone içinde seçenek tek kayıt seti oluşturmayı sağlar. Bu sayede aynı ev sahipleri adı farklı IP adreslerine çözümlenebilir.

Add-DnsServerZoneScope -ZoneName "fabrikam.com" -Name "Client1_ZoneScope" Add-DnsServerZoneScope -ZoneName "fabrikam.com" -Name "Client2_ZoneScope"

Bu işlem sonucunda fabrikam.com zone’u içinde ikisi farklı kayıt alanı oluşturulmuş olur. Daha sonraları istemcinin geldiği subnet’e göre hangi Zone Scope’un kullanılacağını belirleyen DNS Query Resolution Policy oluşturulur. Bu siyaset DNS sunucusuna, kesin tek subnet’ten gelen sorgulara hangi kapsamlar içindeki kayıtların döndürülmesi lüzumtiğini söyler.

Add-DnsServerQueryResolutionPolicy -Name "Client1_Policy" -Action ALLOW -ClientSubnet "eq,Client1_Subnet" -ZoneName "fabrikam.com" -ZoneScope "Client1_ZoneScope,1" Add-DnsServerQueryResolutionPolicy -Name "Client2_Policy" -Action ALLOW -ClientSubnet "eq,Client2_Subnet" -ZoneName "fabrikam.com" -ZoneScope "Client2_ZoneScope,1"

Buradaki önemli husus ZoneScope parametresinin “ScopeName,Weight” formatında verilmesidir. Weight değeri aynı kapsamlar içinde birden fazla kayıt olduğunda ağırlıklandırma için kullanılır.

Son adımda ise her arasında biri Zone Scope içinde aynı ev sahipleri adı için farklı IP adresleri tanımlanır.

Add-DnsServerResourceRecord -ZoneName "fabrikam.com" -ZoneScope "Client1_ZoneScope" -A -Name "login" -IPv4Address "192.168.1.200" -PassThru Add-DnsServerResourceRecord -ZoneName "fabrikam.com" -ZoneScope "Client2_ZoneScope" -A -Name "login" -IPv4Address "192.168.1.100" -PassThru

Bu yapılandırma tamamlandığında DNS sunucusu aşağıdaki şekilde davranacaktır:

192.168.1.0/24 ağından gelen istemciler login.fabrikam.com sorgusu yaptığında 192.168.1.200 adresini alacaktır.

10.10.2.0/24 ağından gelen istemciler aynı sorguyu yaptığında 192.168.1.100 adresini alacaktır.

Yapılandırmanın doğru çalıştığını testleri etmek için farklı subnet’lerdeki istemcilerden DNS sorgusu yapılabilir.

nslookup login.fabrikam.com

DNS sunucusu istemcinin IP adresine bakarak elverişli politikayı uygular ve doğru Zone Scope içindeki kaydı döndürür.

Bu yöntem sayesinde Windows DNS üzerinde ilave tek yükleyen balancer ya da ilave DNS sunucusu kullanmadan akıllı DNS yönlendirmesi yapılabilir. Özellikle çok subnet’li firma ağlarda, farklı bilgi merkezlerinde çalışan uygulamalarda ya da segmentler bazlı erişim politikalarında oldukça esnek tek çözüm sunar.