Intelligente Weiterleitung

So funktioniert es

Wenn Edge eine DNS-Anfrage erhält, ermittelt es die Zone, aus der die entsprechenden DNS-Namespaces ausgewählt werden sollen. Dabei berücksichtigt es die passende Zielzone, die Quell-IP oder das Quellnetzwerk, Sicherheitsrichtlinien sowie die Prioritätsreihenfolge der Weiterleiter.

Nach der Ermittlung der Zone wählt Edge den oder die geeigneten DNS-Namespaces für die Auflösung aus. Sobald Edge eine Reihe potenzieller Forwarder ermittelt hat, die abgefragt werden sollen, durchläuft es die ausgewählten Namespaces der Reihe nach und sucht nach einer gültigen Antwort. Erhält der Resolver eine negative Antwort von einem Namespace, speichert er diese Antwort und fährt mit dem nächsten Namespace fort, wobei er erneut versucht, die Abfrage aufzulösen, bis er eine positive Antwort erhält. Wenn alle Namespaces ohne positive Antwort durchlaufen wurden, wird eine negative Antwort an den Client zurückgegeben.

Um „Intelligent Forwarding“ nutzen zu können, wird ein Namespace mit einem oder mehreren DNS-Forwardern konfiguriert und kann optional Domänenlisten für Übereinstimmungen und Ausnahmen enthalten. Jeder Standort in Edge verfügt über mindestens einen zugehörigen Namensraum, maximal jedoch über 10. DNS-Caches werden über Namensräume hinweg segmentiert, um gemischte Antworten aus unterschiedlichen Auflösungspfaden zu verhindern. Edge kann die Abfrageleistung vollständig optimieren und Zustände zwischen einer Vielzahl von DNS-Autoritäten verwalten, um ein optimales Client-Erlebnis zu gewährleisten.

Namespaces ermöglichen zudem Zonenüberlappungen. Sie können einzelne Einträge in einer Zone auf einem autoritativen Server hinzufügen oder ändern, ohne dass alle Ressourceneinträge in dieser Zone verfügbar sein müssen. Dynamische Umgebungen wie Cloud-Computing erfordern Zonenüberlappungen, da verschiedene Netzwerke zwar dieselbe Zone nutzen, jedoch unterschiedliche Antworten für Teilmengen von Einträgen benötigen. Im Gegensatz zu herkömmlichen bedingten Weiterleitungsregeln oder anderen Resolver-Lösungen bieten die Weiterleitungsrichtlinien von Edge diese Flexibilität bei einfacher Verwaltung und erleichtern die Verwaltung von DNS-Ressourceneinträgen.

Abbildung 1. Eine Netzwerkumgebung mit Ressourcen in AWS und Azure sowie einer Domain namens xyz.com. Wenn keine der Abfragen übereinstimmt, erfolgt eine Weiterleitung an einen externen Resolver.

Neun Arten von Anwendungsfällen

In diesem Abschnitt werden neun praxisnahe Szenarien beschrieben, die die Vorteile der Nutzung von Edge Intelligent Forwarding veranschaulichen, um die herkömmliche DNS-Weiterleitung zu erweitern und eine bessere Kontrolle über die Auflösung in hybriden und verteilten Umgebungen zu erlangen.

Anwendungsfall 1: DNS-Zonen mit geteilter Ansicht

Unternehmen verwenden häufig unterschiedliche Ansichten derselben Zone für privates und öffentliches DNS. Dadurch können dieselben Dienste mit denselben Namen sowohl intern als auch extern aufgelöst werden. Die Split-View-Funktion (oft auch als „Split Brain“ oder „Split Horizon“ bezeichnet) ermöglicht es, jede Ansicht separat zu verwalten, als handele es sich um unterschiedliche Zonen.

Allerdings müssen Ressourceneinträge in der externen Zonenansicht auch in der internen Ansicht gepflegt werden. Dies führt zu Fehlern. Unternehmen haben versucht, dieses Problem durch den Einsatz von Web-Proxys zur Vermittlung von Dienststandorten zu lösen. In einigen Umgebungen überschreibt eine „interne Root-Zone“ die öffentliche Root-Zone, wodurch diese DNS-Namensräume vollständig segmentiert werden. Die Umstellung auf direkten Internetzugang macht dieses Modell unbrauchbar, sodass Unternehmen keine Möglichkeit mehr haben, Einträge mit geteilter Ansicht aufzulösen.

Edge greift auf DNS-Ebene ein, um geteilte Ansichten von DNS-Zonen zu beheben. Clients können mehrere Ansichten auflösen und den direkten Internetzugang für Zonen außerhalb der unternehmensinternen DNS-Infrastruktur nutzen.

So hilft Edge: Mit „Intelligent Forwarding“ können Sie zwei Namespaces für xyz.com erstellen – einen internen und einen externen. Edge versucht nach einer negativen Antwort weiterhin, die Auflösung durchzuführen, um eine erfolgreiche Auflösung sicherzustellen. Eine für xzy.com bestimmte Abfrage würde über eine entsprechende Zone verfügen, die angibt, dass sie sowohl im internen als auch im externen xyz.com-Namensraum abgefragt werden soll, wobei die externe Antwort nur dann zurückgegeben wird, wenn keine interne Antwort gefunden wird. Dadurch entfällt die Notwendigkeit, Split-View-DNS zu verwalten.

Abbildung 2: Wenn eine Umgebung über identische interne und externe Domänennamen verfügt, besteht die größte Herausforderung oft darin, sicherzustellen, dass der richtige Auflösungspfad verwendet wird.

Anwendungsfall 2: Minderung von Ausfallrisiken während der Migration

Bei den meisten DNS-Migrationen werden geplante Umstellungsphasen zur Datenmigration genutzt. Ein großes Problem für Unternehmen ist das Risiko von Ausfällen während der Migration. Jeder Migrationsvorgang (manche Migrationen umfassen mehr als 50 Vorgänge über mehrere Jahre hinweg) birgt das Risiko, dass fehlende oder falsch konfigurierte DNS-Daten in der neuen Umgebung einen Ausfall verursachen könnten. Die Minderung dieses Risikos ist von entscheidender Bedeutung.

So hilft Edge: Während der Migration zu Integrity können Sie Intelligent Forwarding nutzen, um eine ausfallsichere DNS-Infrastruktur aufzubauen. Dadurch werden Ausfälle vermieden, die durch fehlende oder falsch konfigurierte DNS-Einträge verursacht werden. Edge fragt zunächst die neue BlueCat-Infrastruktur ab. Bei einer negativen Antwort wird anschließend der alte DNS-Server abgefragt.

Abbildung 3: Ein typischer Ausgangszustand bei der Verwendung von Edge im Rahmen einer Migration von einem herkömmlichen DNS-System.

Anwendungsfall 3: „Stealth“-Migration für eine schnellere Umsetzung und ein geringeres Ausfallrisiko

Eine DNS-Migration ohne Ausfallzeiten ist möglich. Je nach Ihrer Infrastruktur und Ihrer Toleranz gegenüber Dienstunterbrechungen kann sie jedoch langsam, arbeitsintensiv, risikobehaftet und kostspielig sein. Vor den meisten Migrationen müssen Sie erheblichen Aufwand betreiben, um vorhandene DNS-Daten zu bereinigen und sicherzustellen, dass nur korrekte, relevante Einträge in die neue Umgebung übertragen werden.

Mit Edge können Unternehmen programmgesteuert, passiv und effizient von älteren DNS-Umgebungen auf die DNS-Infrastruktur von Integrity migrieren.

In der Anfangsphase des „Stealth“-Migrationsprozesses von BlueCat wird Edge so konfiguriert, dass DNS-Anfragen an die bestehende DNS-Umgebung weitergeleitet werden. Die von der bestehenden Infrastruktur zurückgegebenen Einträge werden neu erstellt und in die neue BlueCat-DNS-Infrastruktur kopiert. Anfragen, die eine negative Antwort erhalten, werden an die neue BlueCat-DNS-Infrastruktur weitergeleitet.

Nach einem festgelegten Zeitraum wird die Reihenfolge der Namespaces vertauscht. Dadurch wird die neue BlueCat-Infrastruktur zur primären Infrastruktur für DNS-Abfragen. Jede Abfrage, die von BlueCat eine negative Antwort erhält, wird dann an die bestehende DNS-Infrastruktur weitergeleitet. Der Eintrag für jede Abfrage, die von der bestehenden DNS-Infrastruktur aufgelöst wurde, wird anschließend in der neuen BlueCat-DNS-Infrastruktur neu angelegt.

So hilft Edge: Bei einer „Stealth-Migration“ wird das Abfrageprotokoll von Edge genutzt, um Daten während der Abfrage von Einträgen zu migrieren. Durch die Nutzung von Namespaces können Sie Einträge im laufenden Betrieb migrieren, sodass die Auflösung weiterhin funktioniert und ein herkömmlicher Cutover entfällt.

Abbildung 4: Ein typischer Ausgangszustand bei der Verwendung von Edge im Rahmen einer DNS-Stealth-Migration.

Abbildung 5: Ein typischer Endzustand bei der Verwendung von Edge im Rahmen einer DNS-Stealth-Migration.

Anwendungsfall 4: Netzwerkintegration über DNS bei Fusionen und Übernahmen

Die Integration einer Fusion oder Übernahme in Ihre Infrastruktur ist eine Herausforderung. Ausfälle oder andere Probleme, die durch Namenskonflikte, überlappende IP-Adressbereiche oder komplexe Weiterleitungsregeln verursacht werden, erfordern oft manuelle Eingriffe.

Edge ermöglicht es, dass Abfragen aus Altsystemen und übernommenen Netzwerken Auflösungsfehler vermeiden, indem autoritative DNS-Server direkt abgefragt werden. Dies hilft Netzwerkteams dabei, DNS-Daten zu identifizieren und Probleme zu beheben. In Verbindung mit dem zuvor beschriebenen „Stealth-Migrationsprozess“ ermöglicht dies eine schnelle Zusammenführung von DNS-Daten unter Beibehaltung eines passiven, risikoarmen Ansatzes.

So hilft Edge: Administratoren können Edge mithilfe von Domänenlisten so konfigurieren, dass Client-Anfragen an den richtigen DNS-Server weitergeleitet werden. Edge nutzt dann die „Stealth-DNS-Migration“, um nur relevante, korrekte Daten zwischen Unternehmen zu übertragen. Nach der Migration wird die Reihenfolge der Namespaces aktualisiert, um optimale Auflösungspfade zu gewährleisten.

Anwendungsfall 5: Optimierung der DNS-Abfrage-Route

In herkömmlichen Hub-and-Spoke-Netzwerken wird der gesamte nicht-lokale Datenverkehr zu einem zentralen Rechenzentrum zurückgeleitet. Dies führt häufig zu Problemen bei der Lokalisierung von DNS-Abfrageantworten und kann bereits stark ausgelastete, teure WAN-Verbindungen überlasten.

Edge optimiert Ihren DNS-Abfragepfad. Dadurch können Sie kleinere Router anschaffen, als Sie bei zusätzlichem Datenverkehr benötigen würden, was die Infrastrukturanforderungen an Zweigstellen und die Gesamtkosten für das WAN senkt. Ein optimierter Abfragepfad bietet zudem versteckte Vorteile, wie beispielsweise geringere Latenzzeiten und ungehinderten Zugriff der Endbenutzer auf stärker lokalisierte Dienste.

Beispielsweise senden Server Abfragen lokal an die Zone „store301.xyz.com“ und vermeiden so den Rücktransport des Datenverkehrs zum zentralen Rechenzentrum. Der Datenverkehr zu vordefinierten, vertrauenswürdigen externen Diensten wie Office 365 wird über die ISP-Verbindung der Zweigstelle direkt an einen lokalen externen Resolver weitergeleitet. Dies verbessert die Leistung, senkt die WAN-Kosten und liefert stärker lokalisierte DNS-Antworten.

So hilft Edge: Die Konfiguration von Edge mit Domänen- oder Zonenabgleichslisten für einen Namensraum optimiert das Abfrage-Routing. Dies verhindert Lokalisierungsprobleme und reduziert übermäßigen DNS-Verkehr auf WAN-Verbindungen.

Abbildung 6: Nutzung von Edge, um einen lokalen Breakout zu vertrauenswürdigen Diensten zu ermöglichen und gleichzeitig sicherzustellen, dass die lokale Auflösung ordnungsgemäß erfolgt.

Anwendungsfall 6: Schaffung einer einzigen zuverlässigen Informationsquelle für die Cloud-DNS-Integration

Cloud-natives DNS wird in der Regel als isolierte Komponente verwaltet. Dies verhindert, dass eine einzelne DNS-Lösung als einzige Quelle für die Netzwerkwahrheit dient. Um sicherzustellen, dass die DNS-Auflösung weiterhin funktioniert, führen Hybrid-Cloud-Umgebungen

komplexe Weiterleitungsregeln, die zu einer ineffizienten Weiterleitung des Netzwerkverkehrs über VPN oder dedizierte Netzwerkverbindungen führen. Kunden, die auf eine Multicloud-Lösung umsteigen, werden zudem mit komplexen cloudübergreifenden Weiterleitungsregeln zu kämpfen haben. Darüber hinaus können Cloud-Migrationen und -Bereitstellungen zu Problemen bei der DNS-Auflösung und der Leistung führen, die ohne vollständige Transparenz nur schwer zu beheben sind.

Mit Edge wird der gesamte cloudorientierte DNS-Datenverkehr an einen lokalen DNS-Resolver weitergeleitet, der den am besten geeigneten Resolver für die Weiterleitung ermittelt. Netzwerkteams können sowohl Cloud- als auch On-Premises-DNS über eine zentrale Oberfläche verwalten.

Private-Link-Dienste in den wichtigsten Clouds nutzen häufig Zonen, die sich über virtuelle private Clouds (VPCs) oder virtuelle Netzwerke (VNets) erstrecken. Da Edge jedoch über sich überschneidende Zonen hinweg auflösen kann, werden bestimmte Private-Link-Einträge korrekt aufgelöst.

Alle Auflösungsdaten stehen für Audits und die Fehlerbehebung zur Verfügung. Die Quelle jeder Abfrage wird nachverfolgt, und Sie haben vollständigen Einblick in Latenzzeiten und andere Leistungsdaten.

Cloud-Computing wird in der Regel in segmentierte Dienste mit vorhersehbarer DNS-Nutzung unterteilt. Dies bietet reichlich Gelegenheit, das DNS mithilfe von Richtlinien für den Zugriff auf Remote-Dienste zu segmentieren oder das Risiko zu verringern, dass Systeme ausgenutzt werden, um DNS für Command-and-Control-Zwecke zu nutzen.

So hilft Edge: Mit Edge können Sie Namespaces auf zwei Arten konfigurieren. Erstens können Sie eine Domänenliste verwenden, die den entsprechenden Domänennamen Ihres Cloud-Anbieters enthält. Die zweite Methode besteht darin, Namespaces in einer Prioritätsreihenfolge zu konfigurieren, bei der zunächst nach Datenverkehr innerhalb der VPC oder des VNet gesucht wird, dann nach VPCs oder VNets für gemeinsam genutzte Dienste und schließlich nach lokalem DNS.

Abbildung 7: Eine typische Konfiguration für die Cloud-Integration. Abfragen gelangen in die VPC oder das VNet, dann in eine VPC oder ein VNet für Shared Services und anschließend zum lokalen DNS.

Anwendungsfall 7: Proxy-Umgehung und direkter Internetzugang

Proxy-Server werden in der Regel zur Kostenoptimierung zentral in Kernrechenzentren untergebracht. Dadurch wird der Internetverkehr zwangsläufig über zentrale Standorte geleitet, was häufig zu einer ungenauen Lokalisierung von Diensten, hohen Latenzzeiten und einer schlechten Benutzererfahrung führen kann. Die Zentralisierung von Proxy-Servern erschwert zudem den lokalen Internetzugang in Außenstellen und Zweigstellen.

Mit Edge können Sie sicherstellen, dass Clients alle Anfragen – sowohl interne als auch externe – auflösen, lokalen Breakout für den direkten Internetzugang zu vertrauenswürdigen Diensten ermöglichen und die von Sicherheitsteams geforderte Kontrolle und Übersicht aufrechterhalten.

So hilft Edge: Mit Edge-Namespaces können Sie den DNS-Datenverkehr so konfigurieren, dass je nach Ziel-Domainname ein interner, externer oder internetbasierter Resolver abgefragt wird. Edge wird zudem in Remote-Standorten oder Zweigstellen bereitgestellt, um einen lokalen Breakout zu ermöglichen.

Abbildung 8: Eine typische Konfiguration für den Proxy-Bypass mit direktem Internetzugang von einer entfernten Niederlassung aus.

Anwendungsfall 8: Absicherung von IoT-Geräten

Seltene Updates und/oder fehlende Sicherheitspatches für Geräte des Internets der Dinge (IoT) machen diese anfällig für Cyberangriffe. Zwar werden IoT-Geräte weitgehend wie jeder andere Knoten im Netzwerk verwaltet, doch führt ihre Beschaffenheit oft zu einer unzureichenden Überwachung ihrer Aktivitäten. Dies, kombiniert mit der Tatsache, dass viele von ihnen uneingeschränkten Zugriff auf DNS-Daten haben, macht sie zu einem lukrativen Ziel für Angreifer.

Mit Edge können Sie den DNS-Zugriff für IoT-Geräte auf bestimmte vorab genehmigte Einträge beschränken und Sicherheitsrichtlinien auf diese anwenden, selbst wenn herkömmliche Kontrollmechanismen wie Sicherheitsagenten möglicherweise nicht verfügbar sind.

So hilft Edge: Mit Edge können Sie spezifische DNS-Konfigurationen und Sicherheitsrichtlinien implementieren, um IoT-Geräte zentral zu verwalten. DNS-Richtlinien werden angewendet, um den Zugriff ausschließlich auf vordefinierte interne und externe Dienste zuzulassen. Mithilfe von Namespaces können Sie zudem festlegen, welche Server die IoT-Geräte abfragen dürfen.

Abbildung 9: IoT-Geräte dürfen nur bestimmte sichere DNS-Server nutzen. Alle anderen werden blockiert.

Anwendungsfall 9: Erweiterung von Cisco Secure Access durch Transparenz hinsichtlich der Quellen von IP-Abfragen

Cisco Secure Access stellt cloudbasierte Resolver bereit, um Anfragen zu identifizieren und zu blockieren, die mit bestimmten Bedrohungen in Verbindung stehen. Ein Nachteil dieser Lösung besteht darin, dass alle DNS-Anfragen zunächst über interne DNS-Server weitergeleitet werden müssen, bevor sie das externe rekursive System von Cisco Secure Access erreichen. Dadurch verliert Cisco Secure Access die Quell-IP-Adresse des Clients für die Anfragen, was zu blinden Flecken im internen Netzwerk führt.

So hilft Edge: BlueCat arbeitet exklusiv mit Cisco Secure Access zusammen, um DNS-Bedrohungen von außen abzuwehren. Edge leitet externe DNS-Anfragen direkt an Cisco Secure Access zur Filterung weiter und bewahrt dabei die Quell-IP des Clients mithilfe von EDNS Client Subnet. Wenn der Identitätsdienst aktiviert ist, werden die Abfragen mit Benutzeridentitätsinformationen vom Identitätsanbieter des Unternehmens angereichert, sodass Cisco Secure Access-Administratoren bei jeder Abfrage sowohl die Quell-IP-Adresse als auch die Benutzer-ID einsehen und entsprechend reagieren können, was die Transparenz und die Durchsetzung von Richtlinien verbessert.

Abbildung 10: Eine Konfiguration, die verwendet wird, wenn intern und extern dieselbe Domain verwendet wird. Wenn die Anfrage für das Internet bestimmt ist, wird sie an Cisco Secure Access weitergeleitet.