Punti chiave
- Il DNS diretto e quello inverso sono sistemi distinti: L’aggiunta di un nome DNS non comporta la creazione della corrispondente voce inversa, pertanto entrambe le parti devono essere gestite separatamente.
- La mancanza del DNS inverso causa problemi impercettibili ma gravi: La maggior parte dei sistemi riuscirà comunque a connettersi. Tuttavia, la consegna delle e-mail, gli strumenti di sicurezza e i log diventeranno inaffidabili o più difficili da considerare attendibili.
- Il DNS richiede una pulizia costante per garantire la precisione: Le modifiche DHCP, l’aging e lo scavenging sono necessari per evitare che, con il passare del tempo, i record obsoleti o errati si accumulino e intasino il sistema.
- Il DNS inverso è fondamentale quando sono richieste identità e fiducia: I server di posta elettronica, il monitoraggio della sicurezza e gli strumenti di amministrazione dipendono da esso in misura maggiore rispetto alle sottoreti degli utenti generici.
- Una chiara attribuzione delle responsabilità e controlli regolari prevengono i guasti silenziosi: La limitazione dell’accesso, il logging delle modifiche e la convalida delle ricerche effettuate dai client garantiscono l’affidabilità e la tracciabilità del DNS.
Errori nell’impostazione e nella configurazione del DNS diretto e inverso possono compromettere gravemente la connettività e la sicurezza della rete aziendale. Questa guida illustra le best practice da seguire quando configuri le ricerche DNS dirette e inverse, inclusi i record PTR, la durata dei record DNS e lo scavenging.
Che cos’è il DNS?
Il DNS (Domain Name System) è il sistema client-server distribuito che associa i nomi di dominio (come www.example.com) agli indirizzi IP dei server. Esiste per consentirti di utilizzare i nomi per navigare sui siti web, inviare e-mail e accedere ad altri servizi, invece di dover ricorrere a indirizzi IP difficili da ricordare. I server DNS memorizzano i record DNS che associano i nomi agli indirizzi IP, che i tuoi dispositivi recuperano poi tramite un resolver DNS. I record DNS sono suddivisi in zone per dominio o sottodominio per facilitarne la gestione; ogni zona dispone di un proprio file di zona in cui sono registrati i record.
Qual è la differenza tra la ricerca DNS diretta e quella inversa?
Quando viene digitato un nome di dominio, viene eseguita una ricerca DNS diretta e viene restituito un indirizzo IP (IPv4 oppure per IPv6). Una ricerca DNS inversa è l’operazione opposta: quando si inserisce un indirizzo IP, viene restituito il nome di dominio associato.
Ciò richiede un record PTR (pointer record) che utilizzi uno speciale nome di dominio in-addr.arpa (. ip6.arpa per IPv6) per memorizzare gli indirizzi IP con i segmenti invertiti. Per esempio, 192.168.0.1 diventa 1.0.168.192.in-addr.arpa. Questi sono memorizzati in una zona dedicata e, in assenza di un record PTR, il DNS inverso non funziona poiché non ha modo di determinare quale nome di dominio sia associato a un indirizzo IP.
Perché sono necessari sia il DNS diretto che quello inverso
Le zone di ricerca DNS diretta e inversa non vengono sincronizzate automaticamente e la creazione di un record DNS diretto non comporta la creazione del record inverso; è quindi necessario gestirle entrambe. I record DNS inversi e PTR non sono obbligatori durante la configurazione del DNS (a differenza delle ricerche dirette, senza le quali l’intero sistema DNS sarebbe inutile) e spesso vengono lasciati non configurati. Tuttavia, sono fondamentali per alcuni casi d’uso, in particolare per la posta elettronica.
Gli strumenti di rilevamento dello spam via e-mail utilizzano il DNS inverso per verificare se l’e-mail provenga effettivamente dal server da cui dichiara di provenire, contribuendo così a prevenire lo spam e gli attacchi di spoofing e-mail . La maggior parte dei sistemi di posta elettronica rifiuta qualsiasi messaggio proveniente da un dominio che non disponga di una configurazione DNS inversa.
Il DNS inverso è utile anche per gli amministratori IT e gli sviluppatori che desiderano che nelle query e nei file di log compaiano nomi di dominio leggibili dall’utente.
Cosa serve per configurare le zone di ricerca DNS dirette e inverse
Esistono procedure consolidate che è opportuno seguire quando si creano zone di ricerca DNS dirette e inverse, al fine di prevenire problemi di rete e contribuire a garantire la sicurezza.
| Best practice relative al DNS | Risultato | Valore effettivo |
| Parità dei record DNS diretti e inversi | Mappatura accurata dei record | I log e le analisi di sicurezza sono più precisi e comprensibili |
| Aggiornamenti DHCP sicuri | Dati DNS aggiornati regolarmente | Meno record obsoleti o mancanti |
| Aging and scavenging dei record DNS | Migliore gestione del DNS | Record relativi alle zone più puliti nel corso del tempo |
| Convalida da parte dei client DNS | Verifica del corretto funzionamento dei DNS | Fiducia nella funzionalità e nel livello di sicurezza |
| Controllo degli accessi e logging delle attività | Governance e controllo | Operazioni DNS affidabili e verificabili |
Per raggiungere questi obiettivi, ti serviranno i seguenti elementi:
- Un elenco delle zone DNS autorevoli e delle sottoreti IP che richiedono zone di ricerca inversa
- Accesso agli strumenti di amministrazione DNS e DHCP
- Finestre di cambiamento definite per la configurazione, il test e la distribuzione
- Verificare gli host in ogni sito o sottorete ai fini della convalida dei client
- Accesso tramite riga di comando o PowerShell per la ricerca DNS e il controllo della cache
Best practice n. 1: Pianificare le zone e i record DNS e assegnare la titolarità
La pianificazione è fondamentale per l’efficacia a lungo termine di qualsiasi sistema IT. Quando stai progettando l’implementazione dei DNS, è necessario definire con cura le zone dirette e i sottodomini, quindi le zone inverse, assicurandoti che siano allineate. Sebbene il DNS inverso non sia obbligatorio, assicurati che sia configurato per le zone che gestiscono la posta elettronica in uscita. La gestione in proprio contribuisce inoltre a garantire l’affidabilità e la sicurezza del sistema DNS, aiutando al tempo stesso a mantenere ottimizzate le prestazioni del tuo team IT.
Best practice n. 2: Creare i tipi di record adeguati per le ricerche dirette
Assicurati di creare i record DNS corretti durante la configurazione del tuo sistema DNS. Utilizza i record A e AAAA per gli host statici e i servizi chiave, mentre i record CNAME (nome canonico) per i nomi visibili ai clienti che potrebbero essere soggetti a modifiche. In questo modo, non dovrai aggiornare le configurazioni dei clienti che fanno riferimento a record CNAME qualora il nome di dominio a cui fanno riferimento dovesse cambiare.
Best practice n. 3: Creare zone di ricerca inversa e record PTR corrispondenti ai record DNS diretti
Quando crei i record PTR per le tue zone di ricerca inversa, assicurati che corrispondano ai tuoi record A e AAAA esistenti. Per le sottoreti che non gestisci, assicurati che l’autorità di livello superiore sia corretta per le reti pubbliche oppure coordina la delega con la parte responsabile.
Best practice n. 4: Abilitare gli aggiornamenti dinamici sicuri con DHCP
Puoi utilizzare la registrazione automatica del DNS tramite DHCP qualora sia supportata dal tuo server DHCP (in Windows Server questa funzionalità è nota come “aggiornamenti dinamici del DNS”). Ciò consente ai dispositivi client di aggiornare i propri record presso il server DNS quando il loro indirizzo IP cambia, riducendo la necessità di interventi amministrativi manuali. Utilizza aggiornamenti sicuri e configura i tempi di scadenza e di pulizia in modo appropriato (in base al comportamento dei dispositivi sulla tua rete) per migliorare ulteriormente l’igiene e la sicurezza complessive della rete.
Best practice n. 5: Verifica la risoluzione e la memorizzazione nella cache end-to-end
Sui dispositivi client (per esempio, le workstation Windows), utilizza strumenti di test DNS locali per verificare le ricerche dirette e inverse e assicurarti che siano configurate correttamente e che vengano applicate. Utilizza i comandi nslookup o ipconfig commands dal Prompt dei comandi di Windows, oppure Resolve-DnsName da PowerShell. Su Linux o macOS, utilizza l’utility di ricerca DNS dig .
Puoi automatizzare l’esecuzione e raccogliere i risultati dei comandi sopra indicati sui dispositivi client utilizzando una piattaforma RMM. Dovresti anche monitorare i log dei server DNS dopo aver apportato le modifiche, per verificare che le registrazioni siano andate a buon fine.
Best practice n. 6: Risoluzione dei problemi più comuni
Dopo aver apportato modifiche alle zone DNS dirette e inverse, è necessario prestare attenzione a diversi problemi comuni:
- Le ricerche dirette funzionano, ma quelle inverse falliscono quando non sono stati creati record PTR corrispondenti.
- Le ricerche DNS inverse che risolvono un nome errato sono solitamente causate da record PTR non aggiornati o da record A/AAAA duplicati.
- Gli errori NXDOMAIN (dominio inesistente) si verificano quando non è possibile trovare un record relativo al dominio.
- Le impostazioni del file host locale che sovrascrivono quelle sui client potrebbero interferire sia con le ricerche dirette che con quelle inverse.
Esistono inoltre diversi altri motivi per cui un server DNS potrebbe non rispondere, quali timeout, firewall e server irraggiungibili, che possono essere risolti sia a livello di client che di rete.
Best practice n. 7: Governance e sicurezza
Il DNS è una componente fondamentale della rete e configurazioni errate possono essere sfruttate per sferrare attacchi informatici. Limita l’accesso alla gestione dei record e registra e verifica tutte le modifiche. Controlla regolarmente le impostazioni relative alla scadenza e alla pulizia dei record per assicurarti che i record DHCP e DNS siano in ordine e che non vi sia un accumulo di record obsoleti. Presta attenzione a volumi insoliti di nuovi record A o PTR che potrebbero indicare un attacco di spoofing DNS.
NinjaOne automatizza la configurazione e la verifica del DNS diretto e inverso
Anche i sistemi DNS meglio progettati sono comunque soggetti a un deterioramento delle prestazioni dovuto a scostamenti nella configurazione, record obsoleti e requisiti in evoluzione, se non vengono costantemente monitorati e sottoposti a manutenzione.
NinjaOne offre una piattaforma automatizzata di monitoraggio e gestione IT in grado di pianificare operazioni per esportare record e log DNS e DHCP, confrontarli con i lease attivi e l’inventario, e segnalare i record PTR mancanti e quelli obsoleti. Con NinjaOne puoi automatizzare le verifiche tramite script dai client per garantire la funzionalità end-to-end, mentre i report possono essere generati e archiviati nella piattaforma di documentazione IT nativa di NinjaOne.
Quando è necessario intervenire, NinjaOne è in grado di generare automaticamente ticket di assistenza e, se necessario, di inoltrarli ai livelli superiori, garantendo che il sistema DNS sia sempre configurato secondo le best practice e riducendo il rischio che esso costituisca un vettore di minacce alla sicurezza informatica.
