多地办公环境下DNS部署

2016-11-26

网络安全和信息化 2016年10期

引言：为方便用户访问业务系统，不少企业会创建DNS系统供内部域名解析使用，但是对于采取多地办公模式的企业来说，DNS域名解析与集中办公模式有很大的不同，如何合理部署DNS系统，从而保证各地的分支机构都能准确、高效地获得域名的解析是亟需解决的问题。本文结合实际案例介绍了一套多地办公环境下DNS部署的解决方案。

背景

某公司属于四地办公模式，包括 A、B、C、D四个不同的办公地点，为节约办公成本以及提高工作效率，公司采取了“统一数据中心+分支机构”的IT架构；其中A属于公司总部兼数据中心，所有的业务系统均部署在A地；其余三地属于分支机构，分别通过租用的运营商专线与数据中心通信，访问相应的业务系统，这样就形成了一套星型结构的内部业务办公网络。四地分别有独立的Internet线路供用户上网，同时部署有DHCP服务器，供本地用户分配IP配置，DHCP服务器均采用Windows server 2008下自带的DHCP服务；四地进行了统一的IP地址规划，各地网络的相关信息如下表1所示。

表1 公司四地网络信息表

除A地用户外，其余三地的分支机构所有用户流量有两种类型，一种是通过本地Internet线路访问互联网的流量，另外一种是通过专线访问A地数据中心的业务流量，这两类流量通过路由指向来进行区分，达到B、C和D三地与A地之间的内部网络互通，使所有用户均可以利用IP地址来访问A地的业务系统。由于不涉及到内部域名的解析，所以四地均不用部署DNS服务器，直接利用DHCP为用户下发本地运营商的DNS服务器IP即可。

近期，公司数据中心上线了一台负载均衡设备，是要对重要业务系统做负载均衡，同时达到双机冗余、消除单点故障的效果；要做到发生故障时，主备服务器能够实时切换，最基本的就是用户需要采用域名来访问业务系统。这样就需要为各业务系统设置域名，并保证用户能够对这些域名进行正确解析，如何满足四地用户域名解析需求，并最大限度保证稳定性以及后期维护的便利性是要重点考虑的问题。

实施思路

由于涉及到多地办公，域名解析必须保持一致性，而且不能影响用户正常访问Internet资源。经过分析，主要有三种解决方案：

一、采用集中式部署DNS服务器的方式，在A地部署一台DNS服务器用于解析所有业务系统的域名，同时设置相应的转发器，将访问Internet的解析请求转发到A地运营商的DNS服务器上，同时将四地的DHCP服务器的DNS选项修改为该DNS服务器，这样就能保证四地所有的用户均使用该DNS服务器进行域名解析。这种集中部署的方式显然最方便管理，但是B、C、D三地的用户访问Internet会存在一些问题，因为这三地的Internet运营商与A地的并不一致。由于B、C、D三地的用户访问Internet使用的均是A地运营商的DNS服务器，很多网站针对不同运营商会发布不同的解析记录，这样就会导致这三地的用户获取不了正确的解析记录，导致访问部分网站异常。即使四地的Internet运营商一致，但是同一运营商的不同地区的DNS也不一致，这种“舍近求远”的域名解析方式会影响用户的上网体验。

二、采用写hosts文件的方式进行解析。众所周知，Windows操作系统中存在一个hosts文件可以用于域名解析，而且hosts文件的解析优先级要高于指定的DNS服务器，hosts文件是一个可编辑的文本文件，位于C：windowssystem32driversetc目录下，只要在用户主机上将业务系统的域名解析记录写入hosts文件中，即可完成内部域名解析功能。这种方式下hosts文件负责内部域名解析，本地运营商DNS负责Internet域名解析，不需要单独搭建DNS服务器，但是由于需要解析的域名众多，所有用户主机均需要重新编辑hosts文件，工作量太大，如果后期域名解析记录发生变更的话，工作量更加难以想象，所以这种方式并不适合大规模推广。

表2 四地域名解析情况表

三、采用分布式部署DNS服务器的方式，四地均单独部署一台DNS服务器，其中A地的DNS服务器负责所有业务系统域名的集中解析，并负责将A地用户的Internet域名解析请求转发到A地运营商DNS服务器上；B、C、D三地的DNS服务器仅仅需要设置两个转发功能，一个是将业务系统域名解析请求转发到A地DNS服务器上，另一个是将访问Internet的域名解析请求转发到本地运营商的DNS服务器上；四地的DHCP服务器上的DNS选项需要修改为各自本地的DNS服务器。这种方式可以保证不同的域名解析请求转发到对应的DNS服务器进行解析；各地域名解析情况如下表2所示。

从上述三种方案可以看出，唯有方案三最符合实际需求，尽管方案三需要在各地单独部署DNS服务器，但是B、C、D三地的DNS服务器实质上只起到了转发器的功能，配置和维护非常简单；如果后期DNS解析记录发生变更，只需要在A地DNS服务器上进行修改即可，维护工作量很小。由于DHCP服务和DNS服务占用系统资源并不多，可以在各自原有的本地DHCP服务器上开启DNS服务，不再单独配备DNS服务器，这样可以有效节约服务器资源。

实施步骤

根据方案三的实施思路，A地DNS服务器配置方法与其余三地不一样，下面将分别对A地DNS配置和其余分支机构的DNS配置步骤进行说明：

一、A地DNS服务器的配置过程：首先在A地DHCP服务器中的服务器管理器中添加“DNS服务器”角色，按照提示步骤安装完毕，然后新建一个转发器，转发器的IP为A地运营商DNS服务器的IP，用于转发A地用户访问Internet的DNS解析请求；然后新建相关的正向查找区域和反向查找区域，用于内部业务系统域名的解析；这两步完成之后，A地的DNS服务器就搭建完毕，然后将DHCP服务器上各个作用域的DNS选项全部修改为192.168.0.253，这样就完成了A地DNS服务器的所有配置工作。

二、B、C、D 三地 DNS服务器的配置过程：三地的DNS服务器配置方法类似，首先在本地DHCP服务器上添加“DNS服务器”角色，启用DNS服务，然后新建一个条件转发器，“DNS域”设置为“domain.com”（内部域名），“主服务器的IP地址”设置为A地的DNS服务器 IP（192.168.0.253），这样就保证了本地用户访问“domain.com” 域的域名解析请求均转发到 192.168.0.253；接着再创建一个转发器，转发器的IP设置为本地运营商的DNS服务器IP，用于转发本地用户访问Internet的DNS解析请求。最后再将本地DHCP服务器上的各个作用域的DNS选项全部变更为本地DNS的IP，其中B地作用域的DNS选项设为192.168.2.253，C地作用域的DNS选项设为 192.168.3.253，D 地作用域的DNS选项设为192.168.4.253。

完成上述配置步骤后，四地用户通过各自的DHCP服务器获取到相应的IP配置，域名解析的请求也会转发到正确的DNS服务器上，这种多地办公域名解析的问题即可迎刃而解。