Was ist ein DNS-Resolver?

Ein DNS-Resolver ist der Mechanismus, der bestimmt, welcher DNS-Server (Domain Name System) die Anfrage eines Clients zur Übersetzung eines Domainnamens in eine IP-Adresse beantwortet. Bei Bereitstellungen von „ Versa “ unterSASE ist ein DNS-Resolver ein Konfigurationsobjekt, das eine Domain einem Nameserver zuordnet und bei der Registrierung an Clients unter SASE weitergegeben wird.

Die wichtigsten Erkenntnisse

• DNS-Resolver wandeln Domainnamen in die IP-Adressen um, die für den Datenverkehr benötigt werden.
• In „ Versa “ (SASE) ordnet ein Resolver-Objekt eine Domain einem Nameserver zu.
• Split-DNS leitet nur die Lookups der konfigurierten Domains über den SASE -Tunnel weiter.
• Resolver werden mit Gateways oder gemeinsamen Gateway-Profilen verknüpft, nicht benutzerspezifisch.
• Bei der Registrierung werden die Resolver-Einstellungen in einer XML-Konfigurationsdatei an den Client übermittelt.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · DNS-Resolver & Versa · Häufig gestellte Fragen

Warum ist ein DNS-Resolver wichtig?

Jede Verbindung – sei es ein Browser-Tab oder ein VPN-Client – beginnt damit, dass ein Name in eine Adresse aufgelöst wird. Daher bestimmt der vom Gerät verwendete Resolver, welche Ziele erreicht werden können und wie schnell diese reagieren. Ein langsamer, nicht erreichbarer oder kompromittierter Resolver führt bereits zum Ausfall der dahinterliegenden Anwendungen, noch bevor überhaupt Datenverkehr stattfindet – DNS-Probleme sind eine der häufigsten Ursachen für Supportanfragen wegen „Netzwerkausfällen“, bei denen sich letztendlich herausstellt, dass es sich um ein Auflösungsproblem handelt.

Die Wahl des Resolvers spielt auch in Fernzugriffsarchitekturen eine wichtige Rolle für die Sicherheit. Das Leiten jeder DNS-Abfrage durch einen verschlüsselten Tunnel schützt die Abfragen für private Domänen, führt jedoch zu einer erhöhten Latenz, wenn dies auch auf den gesamten öffentlichen Datenverkehr angewendet wird. Explizite Resolver-Objekte in Verbindung mit Split-DNS ermöglichen es Administratoren, domänenweise zu entscheiden, welche Abfragen den geschützten Pfad benötigen.

Was ist ein DNS-Resolver?

Auf dem Client leitet ein schlanker Stub-Resolver jede Abfrage an einen konfigurierten DNS-Server weiter. Dieser Server antwortet entweder aus dem Cache oder durchläuft – sofern es sich um einen vollständig rekursiven Resolver handelt – die DNS-Hierarchie – Root, dann Top-Level-Domain, dann autoritativer Server –, bis er die Antwort findet. Welche Einstellung unter „DNS-Resolver“ festlegt, welchen Server der Client für welche Domänen verwendet, wird hier festgelegt.

Im sicheren Zugangsdienst „ Versa “ ist ein DNS-Resolver kein laufender Server, sondern ein Konfigurationsobjekt: Er verfügt über einen Namen, einen Nameserver (die zu verwendende Adresse) und eine Domäne (die der Server auflöst). Administratoren erstellen diese Objekte im Portal für den sicheren Zugriff und verweisen von einem Gateway oder einem Gateway-Profil aus darauf.

Arten von DNS-Resolvern

DNS-Implementierungen stützen sich auf einige wenige bekannte Resolver-Rollen. Rekursive Resolver – die von Internetdienstanbietern (ISPs) oder großen öffentlichen Anbietern betrieben werden – nehmen eine Anfrage entgegen und führen im Auftrag des Clients den vollständigen Hierarchie-Durchlauf durch. Weiterleitungs-Resolver überspringen diesen Durchlauf und leiten die Anfrage an einen anderen Resolver weiter – ein Muster, das in Unternehmensnetzwerken üblich ist, die einen einzigen internen Engpass für das DNS anstreben. Stub-Resolver sind die minimale clientseitige Komponente in einem Betriebssystem oder einer Anwendung; sie lösen selbst nichts auf, sondern leiten die Anfrage lediglich an den konfigurierten Resolver weiter. Split- oder bedingte Resolver leiten verschiedene Domänen gemäß festgelegten Richtlinien an unterschiedliche Resolver weiter – ein Muster, das von den DNS-Resolver-Objekten v Versas und der Split-DNS-Implementierung für „ SASE “-Clients verwendet wird.

DNS-Resolver & Versa

Im Rahmen des sicheren Zugriffsdienstes „Versa “ konfigurieren Administratoren DNS-Resolver-Objekte unter „Services > Secure Access > Portal > DNS Resolvers“ und ordnen sie anschließend einem Gateway oder einem gemeinsam genutzten Gateway-Profil zu, damit Gateways mit identischen DNS-Anforderungen nicht jeweils eine eigene Kopie benötigen.

Split-DNS, das ab Release 22.1.3 standardmäßig aktiviert ist, arbeitet mit diesen Funktionen zusammen: Anfragen für Domains, die von konfigurierten Resolvern abgedeckt werden, werden über den „ SASE “-Tunnel geleitet, während der übrige DNS-Datenverkehr des Clients lokal aufgelöst wird. Wenn ein Benutzer seinen „Versa “-SASE -Client registriert, bündelt das Portal die zugewiesenen Routen, Gateways und Resolver-Objekte in einer XML-Konfigurationsdatei und überträgt diese auf das Gerät – derselbe Ablauf wird bei allen Secure SD-WAN als auch bei den NGFW -Varianten des Dienstes verwendet wird.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einem DNS-Resolver und einem DNS-Server?

Ein DNS-Server (oder Nameserver) verwaltet DNS-Einträge für eine Domain und liefert Antworten darauf. Ein DNS-Resolver ist die dem Client zugewandte Komponente, die die Anfrage stellt – entweder ein Stub-Resolver, der diese weiterleitet, oder ein rekursiver Resolver, der die DNS-Hierarchie durchläuft, um eine endgültige Antwort zu liefern.

Was ist Split-DNS?

Split-DNS-Routen werden je nach abgefragter Domain unterschiedlich abgefragt. Unter Versa SASE werden Anfragen für die Domains, die von konfigurierten Resolvern abgedeckt werden, über den Tunnel SASE an den ihnen zugewiesenen Resolver gesendet, während alle anderen Anfragen stattdessen über die lokale Internetverbindung des Benutzers aufgelöst werden.

Warum sollte eine Organisation einen eigenen DNS-Resolver statt eines öffentlichen betreiben?

Ein privater Resolver kann Anfragen zu rein internen Domänen beantworten, die öffentliche Resolver niemals zu Gesicht bekommen, unternehmensspezifische Filterrichtlinien anwenden und sensible Abfragen über einen verschlüsselten Pfad abwickeln – Funktionen, die weit verbreitete öffentliche rekursive Resolver, die für das offene Internet betrieben werden, nicht bieten.

Wie erkennt ein Client mit „ Versa “SASE , welchen DNS-Resolver er verwenden soll?

Bei der Registrierung sendet das sichere Zugangsportal dem Client eine XML-Konfigurationsdatei, die die Routen, die Gateway-Details sowie alle DNS-Resolver-Objekte enthält, die mit dem zugewiesenen Gateway oder Gateway-Profil verknüpft sind, sodass die Einstellungen automatisch übernommen werden, ohne dass eine manuelle Konfiguration auf dem Gerät erforderlich ist.

Kann ein Gateway mehr als einen DNS-Resolver verwenden?

Ja. Administratoren können mehrere DNS-Resolver-Objekte konfigurieren, wobei jedes Objekt eine Domain mit einem Nameserver verknüpft, und alle diese Objekte einem einzelnen Gateway oder einem gemeinsamen Gateway-Profil zuordnen, sodass mehrere Gateways denselben Satz von Resolvern gemeinsam nutzen können.

Mehr zum DNS-Resolver

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade mit DNS-Resolvern beschäftigen, sollten Sie sich als Nächstes diese Artikel ansehen.