À retenir
- Le DNS direct et le DNS inverse sont deux systèmes distincts : ajouter un nom DNS ne crée pas l’entrée inverse correspondante, il faut donc gérer les deux séparément.
- L’absence de DNS inverse entraîne des problèmes discrets mais sérieux : la plupart des systèmes se connectent malgré tout, mais la délivrabilité des e-mails, les outils de sécurité et les journaux deviennent peu fiables ou difficiles à exploiter.
- Le DNS exige un nettoyage continu pour rester exact : les changements DHCP, le vieillissement et le nettoyage sont nécessaires pour éviter que des enregistrements anciens ou erronés ne s’accumulent et n’encombrent le système.
- Le DNS inverse compte là où l’identité et la confiance sont en jeu : les serveurs de messagerie, la surveillance de sécurité et les outils d’administration en dépendent bien plus que les sous-réseaux utilisateurs classiques.
- Des responsabilités claires et des contrôles réguliers évitent les défaillances silencieuses : limiter les accès, journaliser les modifications et valider les résolutions côté client rendent le DNS fiable et auditable.
Les erreurs de paramétrage et de configuration du DNS direct et inverse peuvent gravement nuire à la connectivité et à la sécurité de votre réseau d’entreprise. Ce guide présente les bonnes pratiques à suivre pour configurer les résolutions DNS directes et inverses, notamment la gestion des enregistrements PTR, du vieillissement (aging) et du nettoyage (scavenging) des enregistrements DNS.
Qu’est-ce que le DNS ?
Le DNS (Domain Name System) est le système client-serveur distribué qui associe les noms de domaine (comme www.example.com) aux adresses IP des serveurs. Il existe pour que vous puissiez utiliser des noms afin de naviguer vers des sites web, envoyer des e-mails et accéder à d’autres services, plutôt que de devoir retenir des adresses IP difficiles à mémoriser. Les serveurs DNS stockent des enregistrements DNS qui associent des noms à des adresses IP, que vos appareils consultent ensuite via un résolveur DNS. Pour faciliter leur gestion, les enregistrements DNS sont répartis en zones par domaine ou sous-domaine, chaque zone disposant de son propre fichier de zone dans lequel les enregistrements sont consignés.
Quelle différence entre une résolution DNS directe et inverse ?
Une résolution DNS directe intervient lorsqu’un nom de domaine est saisi et qu’une adresse IP (IPv4 ou IPv6) est renvoyée. La résolution DNS inverse fait l’opération contraire : une adresse IP est saisie et le nom de domaine associé est renvoyé.
Cela nécessite un enregistrement PTR (pointer record) qui utilise un nom de domaine spécial in-addr.arpa (.ip6.arpa pour IPv6) pour stocker les adresses IP avec leurs segments inversés. Par exemple, 192.168.0.1 devient 1.0.168.192.in-addr.arpa. Ces enregistrements sont stockés dans leur propre zone. Sans enregistrement PTR, le DNS inverse ne fonctionne pas, car il n’a aucun moyen de déterminer quel nom de domaine est associé à une adresse IP.
Pourquoi le DNS direct et le DNS inverse sont tous deux nécessaires
Les zones de résolution DNS directe et inverse ne sont pas synchronisées automatiquement, et la création d’un enregistrement DNS direct ne crée pas son inverse : vous devez donc maintenir les deux. Le DNS inverse et les enregistrements PTR ne sont pas obligatoires lors de la configuration du DNS (contrairement aux résolutions directes, sans lesquelles tout le système DNS n’aurait aucun sens) et restent souvent non configurés. Ils sont pourtant essentiels dans certains cas d’usage, en particulier pour la messagerie.
Les outils de détection de spam s’appuient sur le DNS inverse pour vérifier si un e-mail provient réellement du serveur dont il se réclame, ce qui contribue à prévenir le spam et les attaques par usurpation d’e-mail. La plupart des systèmes de messagerie rejettent les messages provenant d’un domaine sans DNS inverse configuré.
Le DNS inverse est également utile aux administrateurs informatiques et aux développeurs qui souhaitent voir apparaître des noms de domaine lisibles dans les requêtes et les fichiers journaux.
Ce qu’il vous faut pour créer des zones de résolution DNS directe et inverse
Il existe des bonnes pratiques établies à suivre lors de la création des zones de résolution DNS directe et inverse, afin d’éviter les problèmes réseau et de renforcer la sécurité.
| Bonne pratique DNS | Résultat | Valeur réellement apportée |
| Parité entre les enregistrements DNS directs et inverses | Correspondance exacte des enregistrements | Des journaux et des analyses de sécurité plus précis et plus compréhensibles |
| Mises à jour DHCP sécurisées | Données DNS régulièrement actualisées | Moins d’enregistrements obsolètes ou manquants |
| Vieillissement et nettoyage des enregistrements DNS | Meilleure hygiène DNS | Des enregistrements de zone plus propres dans la durée |
| Validation depuis les clients DNS | Garantie du bon fonctionnement du DNS | Confiance dans le fonctionnement et la posture de sécurité |
| Contrôle des accès et journalisation | Gouvernance et supervision | Des opérations DNS fiables et auditables |
Pour y parvenir, vous aurez besoin des éléments suivants :
- Une liste des zones DNS faisant autorité et des sous-réseaux IP nécessitant des zones de résolution inverse
- Un accès aux outils d’administration DNS et DHCP
- Des fenêtres de changement définies pour la configuration, les tests et le déploiement
- Des hôtes de test sur chaque site ou sous-réseau pour la validation côté client
- Un accès en ligne de commande ou PowerShell pour les résolutions DNS et les vérifications de cache
Bonne pratique n° 1 : planifier les zones et les enregistrements DNS, et attribuer les responsabilités
La planification est déterminante pour l’efficacité à long terme de tout système informatique. Lors de la conception de votre implémentation DNS, cartographiez soigneusement vos zones directes et vos sous-domaines, puis vos zones inverses, en veillant à leur parité. Même si le DNS inverse n’est pas obligatoire, assurez-vous qu’il est configuré pour les zones qui gèrent les e-mails sortants. Une attribution claire des responsabilités contribue également à maintenir la fiabilité et la sécurité de votre système DNS, tout en optimisant le travail de votre équipe informatique.
Bonne pratique n° 2 : créer les bons types d’enregistrements pour les résolutions directes
Veillez à créer le bon type d’enregistrements DNS lors de la configuration de votre système DNS. Utilisez des enregistrements A et AAAA pour les hôtes statiques et les services clés, et des enregistrements CNAME (canonical name) pour les noms exposés aux clients susceptibles d’évoluer. Ainsi, vous n’avez pas à modifier les configurations clientes pointant vers des enregistrements CNAME si le nom de domaine auquel ils renvoient change.
Bonne pratique n° 3 : créer des zones de résolution inverse et des PTR alignés sur les enregistrements DNS directs
Lorsque vous créez les enregistrements PTR de vos zones de résolution inverse, assurez-vous qu’ils correspondent à vos enregistrements A et AAAA existants. Pour les sous-réseaux que vous ne gérez pas, vérifiez que l’autorité en amont est correcte pour les réseaux publics, ou coordonnez la délégation avec la partie qui en a le contrôle.
Bonne pratique n° 4 : activer les mises à jour dynamiques sécurisées avec DHCP
L’enregistrement DNS automatique via DHCP peut être utilisé lorsqu’il est pris en charge par votre serveur DHCP (on parle de « mises à jour dynamiques DNS » sur Windows Server). Les appareils clients peuvent ainsi mettre à jour leurs enregistrements auprès du serveur DNS lorsque leur adresse IP change, ce qui réduit le besoin d’administration manuelle. Utilisez les mises à jour sécurisées et configurez le vieillissement et le nettoyage avec des délais adaptés (en fonction du comportement des appareils sur votre réseau) pour améliorer encore l’hygiène et la sécurité globales du réseau.
Bonne pratique n° 5 : valider la résolution et la mise en cache de bout en bout
Sur les appareils clients (par exemple, les postes de travail Windows), utilisez les outils de test DNS locaux pour vérifier les résolutions directes et inverses et vous assurer qu’elles sont correctement configurées et bien appliquées. Utilisez les commandes nslookup ou ipconfig depuis l’invite de commandes Windows, ou Resolve-DnsName depuis PowerShell. Sur Linux ou macOS, utilisez l’utilitaire de résolution DNS dig.
Vous pouvez automatiser l’exécution de ces commandes sur les appareils clients et en récupérer les résultats grâce aux plateformes de surveillance et gestion à distance (RMM). Pensez également à surveiller les journaux du serveur DNS après chaque modification pour confirmer la réussite des enregistrements.
Bonne pratique n° 6 : résoudre les problèmes les plus courants
Plusieurs problèmes fréquents peuvent survenir après des modifications de vos zones DNS directes et inverses :
- Les résolutions directes fonctionnent, mais les résolutions inverses échouent lorsque les enregistrements PTR correspondants n’ont pas été créés.
- Une résolution DNS inverse qui renvoie un nom erroné est généralement due à des enregistrements PTR obsolètes ou à des enregistrements A/AAAA en double.
- Les erreurs NXDOMAIN (Non-Existent Domain) surviennent lorsqu’aucun enregistrement correspondant au domaine n’est trouvé.
- Les remplacements via le fichier hosts local sur les clients peuvent interférer avec les résolutions directes comme inverses.
Il existe aussi d’autres raisons pour lesquelles un serveur DNS peut ne pas répondre : délais d’attente dépassés, pare-feu ou serveurs inaccessibles, autant de causes que l’on peut diagnostiquer aussi bien au niveau du client qu’au niveau du réseau.
Bonne pratique n° 7 : gouvernance et sécurité
Le DNS est un composant central de votre réseau, et des configurations défaillantes peuvent servir à amplifier des cyberattaques. Limitez les personnes autorisées à gérer les enregistrements, et journalisez et vérifiez toutes les modifications. Revoyez régulièrement vos paramètres de vieillissement et de nettoyage pour garantir la propreté de vos enregistrements DHCP et DNS et éviter l’accumulation d’enregistrements obsolètes. Surveillez les volumes inhabituels de nouveaux enregistrements A ou PTR, qui peuvent signaler une attaque par usurpation DNS.
NinjaOne automatise la configuration et la validation du DNS direct et inverse
Même les systèmes DNS les mieux planifiés se dégradent avec le temps sous l’effet de la dérive de configuration, des enregistrements obsolètes et de l’évolution des besoins, s’ils ne sont pas surveillés et entretenus en continu.
NinjaOne propose une plateforme automatisée de surveillance et de gestion informatique capable de planifier des tâches pour exporter les enregistrements et journaux DNS et DHCP, les comparer aux baux actifs et à l’inventaire, puis signaler les PTR manquants et les enregistrements obsolètes. Les résolutions de validation peuvent être scriptées depuis les clients pour vérifier le fonctionnement de bout en bout, et les rapports peuvent être générés et conservés dans la plateforme de documentation informatique intégrée à NinjaOne.
Lorsqu’une action s’impose, NinjaOne peut générer automatiquement des tickets d’assistance et les escalader si nécessaire, garantissant ainsi que votre système DNS reste toujours configuré selon les bonnes pratiques et réduisant le risque qu’il devienne un vecteur de menace pour votre cybersécurité.
