فهم عملية DNS على ASA عند إستخدام كائنات FQDN

المقدمة

يصف هذا المستند عملية نظام اسم المجال (DNS) على جهاز الأمان القابل للتكيف (ASA) من Cisco عند إستخدام كائنات FDQN.

المتطلبات الأساسية

المتطلبات

cisco يوصي أن يتلقى أنت معرفة من cisco ASA.

المكونات المستخدمة

لتوضيح إجراءات عمل DNS عند تكوين العديد من أسماء المجالات المؤهلة بالكامل (FQDNs) على ASA في بيئة إنتاج محاكاة، تم إعداد ASAv مع واجهة واحدة تواجه الإنترنت، وقارن واحد متصل بجهاز كمبيوتر شخصي يستضيف على خادم ESXi. تم إستخدام رمز ASAv المؤقت 9.8.4(10) لهذه المحاكاة.

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

الرسم التخطيطي للشبكة

يتم عرض إعداد المخطط هنا.

معلومات أساسية

عند تكوين كائنات متعددة لاسم المجال مؤهلة بالكامل على ASA، سيقوم المستخدم النهائي الذي يحاول الوصول إلى أي من عناوين URL المحددة في كائنات FQDN بمراقبة استعلامات DNS المتعددة المرسلة من قبل ASA. وتهدف هذه الوثيقة إلى توفير فهم أفضل لسبب ملاحظة هذا السلوك.

التكوين

تم تكوين جهاز الكمبيوتر العميل باستخدام IP وقناع الشبكة الفرعية وخوادم الأسماء التالية لحل DNS. 

على ال ASA، شكلت إثنان قارن، 1 داخلي قارن مع أمن مستوى 100 أي ال pc كان ربطت إلى، و 1 خارجي قارن أن يتلقى موصولية إلى الإنترنت.

هنا، Gig0/1 قارن خارجي مع قارن ip من 10.197.223.9، وال Gig0/3 قارن هو القارن داخلي مع قارن ip من 10.10.10.1 ومتصل إلى ال pc على الطرف الآخر.

قم بتكوين إعداد DNS على ASA كما هو موضح هنا:

قم بتكوين 4 كائنات FQDN ل www.facebook.com وwww.google.com وwww.instagram.com وwww.twitter.com.

قم بإعداد التقاط على الواجهة الخارجية ل ASA لالتقاط حركة مرور DNS. ثم حاول الوصول إلى www.google.com من خلال المستعرض، وذلك من جهاز الكمبيوتر العميل.

ما الذي تلاحظونه؟ ألقي نظرة على التقاط الحزمة. 

 هنا ترى أنه على الرغم من أنك حاولت حل www.google.comفقط، هناك استعلامات DNS تم إرسالها لجميع كائنات FQDN.

والآن، ألق نظرة على كيفية عمل التخزين المؤقت ل DNS ل IPs على ASA لفهم سبب حدوث هذا.

• عند كتابة www.google.com في مستعرض ويب لأجهزة الكمبيوتر العميلة، يرسل الكمبيوتر الشخصي استعلام DNS للحصول على URL الذي تم حله إلى عنوان IP.

• بعد ذلك يقوم خادم DNS بحل طلب أجهزة الكمبيوتر وإرجاع IP الذي يشير إلى وجود google.com في الموقع المحدد.

• بعد ذلك يقوم الكمبيوتر الشخصي ببدء اتصال TCP بعنوان IP الذي تم حله بواسطة موقع google.com. ومع ذلك، عند وصول الحزمة إلى ASA، فإنها لا تحتوي على قاعدة ACL تنص على السماح ب IP المحدد أو رفضه.

• ومع ذلك، يعرف ASA أن لديه 4 كائنات FQDN وأنه من الممكن حل أي من كائنات FQDN إلى IP المعنية.

• وبالتالي، يرسل ASA استعلامات DNS لجميع كائنات FQDN لأنه لا يعرف أي كائن FQDN يمكن أن يحل إلى IP المعني. (هذا هو السبب في وجود استعلامات DNS متعددة تمت ملاحظتها).

• يقوم خادم DNS بحل كائنات FQDN باستخدام عناوين IP المطابقة لها. يمكن حل كائن FQDN إلى نفس عنوان IP العام كما تم حله بواسطة العميل. وإلا، سيقوم ASA بإنشاء إدخال قائمة وصول ديناميكية لعنوان IP مختلف عن العنوان الذي يحاول العميل الوصول إليه، وبالتالي ينتهي ASA إلى إسقاط الحزمة. على سبيل المثال، إذا قام المستخدم بحل google.com إلى 10.0.113.1 وإذا قام ASA بحله إلى 10.0.113.2، فإن ASA يقوم بإنشاء إدخال قائمة وصول ديناميكية جديد ل 10.0.113.2 ويكون المستخدم غير قادر على الوصول إلى موقع الويب.
  
  
• في المرة التالية التي يصل فيها طلب يطلب حل IP معين، إذا تم تخزين IP هذا الخاص على ASA، فإنه لا يستعلم عن جميع كائنات FQDN مرة أخرى نظرا لأن إدخال قائمة التحكم في الوصول (ACL) الديناميكية سيكون موجودا الآن.

• إذا كان أحد العملاء مهتما بالعدد الكبير من استعلامات DNS التي تم إرسالها بواسطة ASA، فقم بزيادة انتهاء صلاحية مؤقت DNS، وحاول المضيف الطرفي الموفر الوصول إلى عناوين IP للوجهة الموجودة في ذاكرة التخزين المؤقت ل DNS. إذا لم يتم تخزين طلبات الكمبيوتر لبروتوكول IP على ذاكرة التخزين المؤقت ل ASA DNS، يتم إرسال استعلامات DNS لحل جميع كائنات FQDN.

• قد يكون أحد الحلول البديلة الممكنة لهذا، إذا كنت لا تزال تريد تقليل عدد استعلامات DNS، إما لتقليل عدد كائنات FQDN أو تحديد النطاق الكامل لبروتوكولات IP العامة التي ستقوم بحلها FQDN إلى، والتي، على أي حال، تهزم الغرض من كائن FQDN في المقام الأول. يعد برنامج الدفاع عن تهديد الطاقة النارية (FTD) من Cisco حلا أفضل لمعالجة حالة الاستخدام هذه.

التحقق من الصحة

للتحقق من عناوين IP الموجودة في ذاكرة التخزين المؤقت ل ASAs DNS التي يتم حل كل كائن من كائنات FQDN إليها، يمكن إستخدام الأمر ASA# sh dns.

معلومات ذات صلة

• الدعم الفني والتنزيلات من Cisco