Novo no domínio ativo / DNS do Windows, usando resolvedor pfSense para DNS externo e roteamento?

Question

Tenho algumas dúvidas sobre como configurar o Active Domain com o pfSense. Eu sou muito novo nisso e não encontrei nenhum post que lide especificamente com essas questões, e eu tenho vasculhado por horas.

Aqui está um diagrama simples da minha configuração:

máquinas clientes < - > Servidor ADDC / DNS / DHCP para DNS interno < - > encaminhado para o pfSense para o DNS externo (resolvedor) e dividindo o tráfego para VPN / não-VPN com base no IP da rede interna < - > internet

O núcleo do Windows Server 2016, um controlador de domínio do Active Directory, é o servidor DNS da rede local e emite as concessões de DHCP.

Eu tenho o DNS do Windows configurado para encaminhar solicitações de DNS para o meu firewall do pfSense se ele não puder resolver um nome (por exemplo, DNS externo), que tem o serviço de resolução de DNS em execução.

O pfSense já foi configurado para direcionar o tráfego de determinados IPs para a Internet com ou sem uma VPN antes de configurar a caixa ADDC / DNS / DHCP. A VPN é conectada por meio do pfSense usando o OpenVPN e há diferentes servidores DNS recursivos externos para cada um (estou usando o PIA e o DNS do Google, respectivamente).

Depois de configurar o servidor Windows ADDC / DNS / DHCP, a única coisa que alterei no pfSense é desativar o servidor DHCP.

Até agora tudo parece estar funcionando bem, mas sendo novato em usar o Windows Server para redes, eu esperava que algumas pessoas pudessem me ajudar com a análise dessa configuração. Aqui estão minhas perguntas específicas:

1) É assim que eu devo definir isso? Há algo de errado em como isso é feito, ou existe uma maneira melhor de fazê-lo?

2) O ADDC / DNS interno apenas aponta para si mesmo para entradas de DNS (por exemplo, 127.0.0.1). Isso é correto?

Eu vi alguns artigos no Technet dizendo que é melhor ter outro DNS para apontar - eu não tenho nenhum outro DNS na minha rede (a menos que você conte o Resolvedor pfSense). Eu meio que presumi que isso era alguma referência ao failover ou à carga de trabalho compartilhada (por exemplo, regra 80/20), mas não tenho certeza.

3) A rede interna é removida do pfSense - pfSense lida basicamente com qualquer coisa externa e nada mais. Mas ainda está preenchendo alguns papéis. Essa é uma boa maneira de configurar as coisas ou há benefícios em usar o Windows para apontar para o DNS externo também?

Seria vantajoso configurar um cache DNS usando o Bind ou o Windows e usar o pfSense apenas como um firewall?

    

Answer 1

Se você tiver apenas um controlador de domínio, então, sim, deixe-o apontando para si mesmo como o DNS primário - essa é a prática recomendada pela Microsoft.

O ideal é que, para o "DNS externo", você deve configurar encaminhadores como mencionado nesta pergunta do ServerFault.com (que é muito semelhante à sua pergunta): link

Edit the properties of your DNS server > Forwarders tab > enter the ip address(es) of your ISP/external DNS servers. You can use root hints if you prefer, or if the forwarders are not available. You should also confirm that the Advanced tab > Disable recursion box is unchecked.

If you want to use root hints:

If the DNS Server Root Hints tab is not populated, you can re-enter them from the file: %systemroot%\system32\dns\cache.dns. To have your DNS server recursively resolve queries, your DNS server cannot host a root (. dot) zone.