Wie DNS zonen replizieren?

[Markus Marquardt]

Hallo,

folgendes Szenario:

Aus Sicherheitsgründen sollen Server in der DMZ keine DNS-Anfragen an
den internen DNS-Server (W2k3) stellen dürfen, sollen aber trotzdem in
der Lage sein, die Namen und IP-Adressen der internen Maschinen
aufzulösen (z.B. für lokale Logfiles o.ä.).

Mein Lösungsansatz wäre:

In der DMZ einen neuen Nameserver (bind) aufsetzen, der automagisch die
Zonen des internen DNS Servers repliziert bekommt.

Die Frage is nun nur: Wie transferiere ich die Zonen?

Der built-in Mechanismus vom DNS funktioniert nicht, da der Slaveserver
nur eine Benachrichtigung erhält und dann selbst den Zonentransfer
initiiert.

Man könnte im internen Netz auf einem Server per Skript periodisch die
Zonendaten mit "host -t AXFR <mydomnain> <mydnsserver>" ziehen,
aufbereiten und per SSH auf den DNS-Server in der DMZ transferieren.

Das ist allerdings nicht besonders elegant... gibt es eine bessere oder
fertige Lösung?

Ciao...
Markus

[Marc Haber]

Ralf Döblitz <doeb...@doeblitz.net> wrote:
>Markus Marquardt <adroc...@alice-dsl.net> schrieb:
>[...]

>> Die Frage is nun nur: Wie transferiere ich die Zonen?

>[...]

>> Das ist allerdings nicht besonders elegant... gibt es eine bessere oder
>> fertige Lösung?
>

>Zonefiles zentral auf einem Admin-Server pflegen und von dort aus mit
>rdist auf die Nameserver verteilen.

Das wird nicht gehen, denn ich gehe jede Wette ein, dass die
WIndows-Server ein AD betreiben.

Grüße
Marc

--
-------------------------------------- !! No courtesy copies, please !! -----
Marc Haber | " Questions are the | Mailadresse im Header
Mannheim, Germany | Beginning of Wisdom " | http://www.zugschlus.de/
Nordisch by Nature | Lt. Worf, TNG "Rightful Heir" | Fon: *49 621 72739834

[Marc Haber]

Ralf Döblitz <doeb...@doeblitz.net> wrote:
>Marc Haber <mh+usene...@zugschl.us> schrieb:

>> Ralf Döblitz <doeb...@doeblitz.net> wrote:
>>>Markus Marquardt <adroc...@alice-dsl.net> schrieb:

>>>> Die Frage is nun nur: Wie transferiere ich die Zonen?
>>>[...]
>>>> Das ist allerdings nicht besonders elegant... gibt es eine bessere oder
>>>> fertige Lösung?
>>>
>>>Zonefiles zentral auf einem Admin-Server pflegen und von dort aus mit
>>>rdist auf die Nameserver verteilen.
>>
>> Das wird nicht gehen, denn ich gehe jede Wette ein, dass die
>> WIndows-Server ein AD betreiben.
>

>Das wäre dann die passende Gelegenheit, den internen Nameserver auf ein
>ordentliches OS umzustellen. ;-)

Vielen Dank für diesen Beweis der Praxistauglichkeit Deiner Konzepte
aus dem Elfenbeinturm.