Мы внедряем IPv6, и я думаю о нашей стратегии DNS. Это не технический вопрос, это скорее вопрос "передовой практики".
У нас есть Active Directory внутри, и контроллеры домена обрабатывают как авторитетный DNS для наших «внутренних» зон (например, domain.local, 16.172.in-addr.arpa), а также рекурсию для всех пользователей. У нас около 1200 пользователей, поэтому 5 контроллеров домена легко обрабатывают рекурсию DNS, просто перенаправляя на Cisco Umbrella DNS для зон, для которых они не являются авторитетными. Мы в значительной степени полагаемся на динамический DNS, как для записей A, так и для PTR для внутренних хостов. Для наших общественных зон мы используем DNS стало проще.
Теперь, когда мы рассматриваем IPv6, мы хотели бы сохранить возможность внутреннего использования динамического DNS как для записей AAAA, так и для PTR. Поскольку в IPv6 нет необходимости в NAT, данный хост будет иметь тот же внутренний адрес, что и внешний. Поддерживает ли две отдельные базы данных для зоны ip6.arpa (внутреннюю и внешнюю), что по-прежнему следует делать? Альтернативой является установка правила в моем брандмауэре, позволяющего публичным DNS-серверам быть вторичными для зоны ip6.arpa. Я не говорю о том, чтобы позволить Интернету в целом запрашивать мои контроллеры домена напрямую - скорее, позвольте агенту передачи DNS Made Easy хранить его копию.
Это "выдает" все мои внутренние записи DNS, но так ли это на самом деле ужасно?
Печатая это, я думаю, что, вероятно, было бы лучше всего поддерживать две базы данных - одну внутреннюю и одну внешнюю, как я всегда делал в прошлом. Что думает сообщество?
Это вопрос о передовой практике, на который нет реальных правильных ответов, но это вопросы, которые я задаю себе, чтобы найти правильный ответ.
Это "выдает" все мои внутренние записи DNS, но так ли это на самом деле ужасно?
Если ваш босс не считает это ужасным, и вы не думаете, что это ужасно, тогда у вас есть ответ. Сканирование IPv6 занимает гораздо больше времени, чем IPv4, но его все же можно просканировать. Если вам все равно, поиск DNS для 2001: db8 :: 1 дает YourFinancialServer.Example.com, и, похоже, никого в вашей цепочке управления это тоже не заботит, вы можете управлять всем своим обратным DNS IPv6 с вашим краем, обращенным к авторитету DNS, и прекратить это.
Поддерживает ли две отдельные базы данных для зоны ip6.arpa (внутреннюю и внешнюю), что по-прежнему следует делать?
Это решает предыдущий вопрос. Если это то, что нужно сделать, следующим шагом будет определение логического разделения ваших сетей с частной маршрутизацией.