Configurer un DNS autoritaire dans VergeOS

Guide complet pour configurer des services DNS autoritaires dans VergeOS à l’aide de BIND, y compris les vues DNS, les zones, les enregistrements et la configuration du pare-feu.

Vue d’ensemble

Ce guide vous accompagne dans la configuration de services DNS faisant autorité dans VergeOS à l’aide du serveur DNS BIND intégré. Vous apprendrez à activer les services DNS sur un réseau, à créer des vues DNS pour le contrôle d’accès, à configurer des zones DNS pour vos domaines et à gérer les enregistrements DNS. À la fin de ce guide, vous disposerez d’un serveur DNS faisant autorité entièrement fonctionnel dans votre environnement VergeOS.

Le DNS faisant autorité permet à votre système VergeOS d’être la source de référence pour les enregistrements DNS des domaines que vous contrôlez, offrant une gestion complète de la résolution des noms de domaine tout en s’intégrant à votre infrastructure réseau existante.

Ce que vous allez apprendre

Après avoir terminé ce guide, vous serez en mesure de :

• Activer les services DNS BIND sur les réseaux VergeOS et comprendre les options de configuration • Créer et configurer des vues DNS pour contrôler l’accès et mettre en œuvre un DNS split-horizon • Configurer des zones DNS pour les domaines que vous souhaitez héberger en tant que DNS faisant autorité • Gérer les enregistrements DNS notamment les types d’enregistrements A, CNAME, MX et autres • Configurer des règles de pare-feu pour autoriser le trafic DNS tout en maintenant la sécurité • Configurer les transferts de zone pour des configurations DNS redondantes • Vérifier le fonctionnement du DNS et dépanner les problèmes courants

Questions courantes auxquelles ce guide répond :

Comment activer le DNS faisant autorité sur mon réseau VergeOS ?
Quelle est la différence entre les vues DNS LAN et WAN et comment les configurer ?
Comment créer une zone DNS pour mon domaine ?
De quelles règles de pare-feu ai-je besoin pour des services DNS accessibles publiquement ?
Comment ajouter différents types d’enregistrements DNS ?
Comment configurer des transferts de zone DNS pour la redondance ?
Pourquoi mon serveur DNS ne fournit-il pas la résolution Internet aux clients internes ?

Exigences

Version de VergeOS: v4.0 ou version ultérieure Niveau d’accès: Autorisations d’administrateur de cluster ou d’administrateur de locataire Prérequis réseau: Réseau correctement configuré avec connectivité externe (pour le DNS public) Prérequis de domaine: Domaine enregistré avec possibilité de modifier les paramètres des serveurs de noms (pour le DNS public)

Connaissances préalables:

Compréhension des bases du DNS (zones, enregistrements, résolution)
Familiarité avec la configuration réseau de VergeOS
Compréhension de base des règles de pare-feu

Estimation du temps

Temps de réalisation: 20 à 45 minutes Prérequis de configuration: 10 à 15 minutes (règles de pare-feu, vérification du réseau)

Référence rapide

Action

Emplacement

Objectif

Activer BIND DNS

Réseaux > Modifier le réseau > DNS : Bind

Active les services DNS faisant autorité

Créer une vue DNS

Réseaux > Vues DNS > Nouveau

Configurer les politiques d’accès client

Créer une zone DNS

Réseaux > Vues DNS > [Vue] > Zones DNS > Nouveau

Ajouter un domaine pour l’hébergement faisant autorité

Ajouter des enregistrements DNS

Réseaux > Vues DNS > [Vue] > Zones DNS > [Zone]

Gérer les enregistrements du domaine

Configurer le pare-feu

Réseaux > Règles > Nouveau

Autoriser le trafic DNS (ports 53 UDP/TCP)

Tester le DNS

Réseaux > Diagnostics > Recherche DNS

Vérifier le fonctionnement du DNS

Configuration étape par étape

Étape 1 : activer BIND DNS sur un réseau

La première étape consiste à activer les services BIND DNS sur le réseau qui fournira le DNS faisant autorité. Vous pouvez activer le DNS sur n’importe quel réseau existant (interne ou externe), bien que les réseaux externes soient généralement utilisés pour les services DNS accessibles publiquement.

Accédez à votre réseau cible:
- Réseaux > Liste
- Sélectionnez le réseau sur lequel vous souhaitez activer les services DNS
- Cliquez Modifier dans le menu de gauche
Configurer les paramètres DNS:
- Repérez l’option DNS champ déroulant
- Sélectionnez Bind parmi les options disponibles :
  - Bind - Active toutes les capacités d’un serveur DNS faisant autorité
  - Simple - Transfert DNS de base (non autoritaire)
  - Désactivé - Aucun service DNS
  - Autre réseau - Transférer vers le DNS d’un autre réseau
Configurer des paramètres réseau supplémentaires si nécessaire :
- Vérifiez Type d'adresse IP est défini sur Statique (requis pour les services DNS)
- Assurez-vous d’avoir des entrées de liste des serveurs DNS appropriées pour la résolution en amont
- Configurez les paramètres de DHCP des paramètres si les clients recevront automatiquement la configuration DNS
Soumettez la configuration:
- Cliquez Soumettre pour enregistrer la configuration du réseau
- Le réseau devra être redémarré pour appliquer les modifications DNS

Changement important du comportement du réseau

Lorsque vous activez BIND sur un réseau, la récursivité est désactivé par défaut. Cela signifie que les systèmes internes utiliseront la route par défaut du réseau pour la résolution DNS Internet jusqu’à ce que vous configuriez des vues DNS avec la récursivité activée.

Étape 2 : créer des vues DNS

Les vues DNS contrôlent la manière dont le serveur DNS répond aux différents types de clients. Cette section explique comment créer des vues internes (LAN) et externes (WAN) pour une configuration DNS split-horizon.

Accéder aux vues DNS:
- Depuis le tableau de bord de votre réseau activé pour DNS
- Cliquez Vues DNS dans le menu de gauche
- Vous verrez une liste vide prête pour la configuration des vues
Créer la vue LAN (interne):
- Cliquez Nouveau dans le menu de gauche
- Configurez les paramètres de la vue LAN :
  - Réseau: Sélectionnez votre réseau DNS dans la liste déroulante
  - Nom: Saisissez LAN (ou un autre nom interne descriptif)
  - Récursivité: Cochez la case pour activer la récursivité
  - ID d’ordre: Saisissez 1 (les vues sont traitées dans l’ordre)
Configurer la correspondance des clients pour la vue LAN:
- Dans le Faire correspondre les clients section, cliquez sur le + icône pour ajouter des réseaux clients
- Ajoutez vos plages de réseaux internes (ces clients recevront un DNS récursif) :
  - 10.0.0.0/8 (réseaux privés de classe A)
  - 192.168.0.0/16 (réseaux privés de classe C)
  - 172.16.0.0/12 (réseaux privés de classe B)
  - Ajoutez tout autre réseau interne utilisé dans votre environnement
- Faire correspondre les destinations: Laisser vide pour la plupart des configurations
- Taille maximale du cache : définissez sur 32 Mo (ou ajustez selon vos besoins)
Créer la vue WAN (externe):
- Cliquez Nouveau depuis le menu de gauche à nouveau
- Configurez les paramètres de la vue WAN :
  - Réseau: Sélectionnez votre réseau DNS dans la liste déroulante
  - Nom: Saisissez WAN (ou un autre nom externe descriptif)
  - Récursivité: Laisser décoché (désactivé pour des raisons de sécurité)
  - ID d’ordre: Saisissez 2 (traité après la vue LAN)
Configurer la correspondance des clients pour la vue WAN:
- Faire correspondre les clients: Laisser vide (correspond à tous les autres clients non pris en charge par la vue LAN)
- Faire correspondre les destinations: Laisser vide
- Taille maximale du cache : définissez sur 32 Mo ou selon le besoin
Soumettez les deux vues:
- Cliquez Soumettre pour chaque configuration de vue
- Les deux vues devraient maintenant apparaître dans votre liste Vues DNS

Logique de traitement des vues

Les vues sont traitées dans l’ordre en fonction de l’ID d’ordre. La première vue qui correspond à l’adresse IP du client traitera la requête. La vue LAN (ID d’ordre 1) prend en charge les clients internes et fournit la récursivité, tandis que la vue WAN (ID d’ordre 2) prend en charge tous les autres clients et fournit uniquement des réponses faisant autorité.

Étape 3 : configurer les zones DNS

Les zones DNS définissent les domaines pour lesquels votre serveur fait autorité. Cette section couvre la création de zones et la configuration de leurs paramètres de base.

Accéder à la configuration de la zone:
- Depuis le Vues DNS liste, cliquez sur votre LAN vue
- Cliquez Zones DNS dans le menu de gauche
- Cliquez Nouveau pour créer une nouvelle zone
Configurer les paramètres de base de la zone:
- Type : sélectionnez Primaire (ce serveur sera le maître)
- Domaine: Entrez votre nom de domaine (par exemple, company.com)
- Serveur de noms: Entrez le FQDN de votre serveur de noms
  - Pour les serveurs de noms externes : ns1.example.com. (notez le point final)
  - Pour les serveurs de noms du domaine : ns1.company.com. (nécessite des enregistrements glue)
- E-mail: Entrez l’e-mail de l’administrateur au format DNS (par exemple, admin.company.com)
Configurer les paramètres temporels de la zone:
- TTL par défaut : définissez sur 1h (3600 secondes) pour la plupart des environnements
- TTL du cache négatif : définissez sur 10m (600 secondes)
- Intervalle d’actualisation : définissez sur 3h (10800 secondes) pour les transferts de zone
- Intervalle de nouvelle tentative : définissez sur 30m (1800 secondes) pour les transferts échoués
- Période d’expiration : définissez sur 3 sem. (1814400 secondes) pour l’expiration de la zone
Configurer les paramètres de transfert de zone (pour la redondance) :
- Notifier : sélectionnez Oui pour activer les notifications de modification
- Aussi notifier: Entrez les adresses IP des serveurs DNS secondaires (séparées par des points-virgules)
  - Exemple : 192.168.1.100;203.0.113.50
- Autoriser le transfert: Entrez les adresses IP autorisées pour les transferts de zone
  - Exemple : 192.168.1.100;203.0.113.50
- Redirecteurs: Laisser vide pour les zones faisant autorité
Soumettez la configuration de la zone:
- Cliquez Soumettre pour créer la zone
- La zone apparaîtra dans votre liste Zones DNS
Créer la zone dans la vue WAN (pour l’accès public) :
- Retournez à Vues DNS et sélectionnez votre WAN vue
- Répétez le processus de création de zone avec des paramètres identiques
- Cela garantit que les clients internes et externes peuvent résoudre le domaine

Recommandations pour les serveurs de noms

Pour les domaines publics, utilisez des serveurs de noms en dehors de votre domaine (par exemple, ns1.dnsProvider.com) pour éviter les dépendances circulaires. Si vous utilisez des serveurs de noms dans le domaine (par exemple, ns1.yourDomain.com), vous devez configurer des enregistrements glue chez votre registrar de domaine.

Étape 4 : ajouter des enregistrements DNS

Une fois les zones créées, vous pouvez maintenant ajouter des enregistrements DNS pour vos domaines. Cette section couvre la création des types d’enregistrements courants.

Accéder aux enregistrements DNS:
- Accédez à Vues DNS > [Votre vue] > Zones DNS
- Cliquez sur la zone de votre domaine pour accéder à ses enregistrements
- Vous verrez des enregistrements NS (serveur de noms) créés automatiquement
Créer des enregistrements A (mappages d’adresses IPv4) :
- Cliquez Nouveau dans le menu de gauche
- Configurez l’enregistrement A :
  - Type : sélectionnez A
  - Hôte: Entrez le nom d’hôte (par exemple, www pour www.company.com)
  - Valeur: Entrez l’adresse IPv4 (par exemple, 192.168.1.100)
  - TTL: Utilisez 0 pour la valeur par défaut, ou spécifiez un TTL personnalisé
  - ID d’ordre: Utilisez des numéros croissants (1, 2, 3, etc.)
Créer des enregistrements CNAME (alias) :
- Cliquez Nouveau dans le menu de gauche
- Configurez l’enregistrement CNAME :
  - Type : sélectionnez CNAME
  - Hôte: Entrez le nom de l’alias (par exemple, mail)
  - Valeur: Entrez le FQDN cible avec un point final (par exemple, smtp.company.com.)
  - TTL: Utilisez 0 pour la valeur par défaut
  - ID d’ordre: Continuez la numérotation séquentielle
Créer des enregistrements MX (serveurs de messagerie) :
- Cliquez Nouveau dans le menu de gauche
- Configurez l’enregistrement MX :
  - Type : sélectionnez MX
  - Hôte: Laissez vide pour l’apex du domaine, ou entrez un sous-domaine
  - Valeur: Entrez la priorité et le serveur de messagerie (par exemple, 10 mail.company.com.)
  - TTL: Utilisez 0 pour la valeur par défaut
  - ID d’ordre: Continuez la numérotation séquentielle
Créer l’enregistrement de l’apex du domaine:
- Cliquez Nouveau dans le menu de gauche
- Configurez l’enregistrement A de l’apex :
  - Type : sélectionnez A
  - Hôte: Entrez le domaine complet avec un point final (par exemple, company.com.)
  - Valeur: Entrez l’adresse IPv4 pour le domaine nu
  - TTL: Utilisez 0 pour la valeur par défaut
  - ID d’ordre: Utilisez 1 (généralement le premier enregistrement)
Répéter dans les deux vues:
- Ajoutez des enregistrements identiques aux vues LAN et WAN
- Cela garantit une résolution cohérente pour les clients internes et externes
- Envisagez d’utiliser des adresses IP différentes pour les configurations split-horizon

Exigences de format FQDN

Utilisez toujours des noms de domaine pleinement qualifiés (se terminant par un point) dans le champ Valeur afin d’éviter toute confusion. Pour les champs Hôte, vous pouvez utiliser soit des noms relatifs (par exemple, www) ou des FQDN (par exemple, www.company.com.). Il est recommandé d’utiliser systématiquement des FQDN.

Étape 5 : configurer les règles de pare-feu du réseau

Les services DNS nécessitent des règles de pare-feu spécifiques pour autoriser les requêtes des clients et les transferts de zone. Cette section couvre les configurations de règles nécessaires.

Accédez aux règles du réseau:
- Depuis le tableau de bord de votre réseau DNS
- Cliquez Règles dans le menu de gauche
- Passez en revue les règles existantes pour éviter les conflits
Créer une règle DNS UDP (pour les requêtes standard) :
- Cliquez Nouveau dans le menu de gauche
- Configurez la règle UDP :
  - Nom: Autoriser DNS UDP
  - Action : sélectionnez Accepter
  - Direction : sélectionnez Entrant
  - Protocole : sélectionnez UDP
  - Port/Plage de ports: Saisissez 53
  - Source : laissez sur N’importe lequel pour le DNS public, ou spécifiez des réseaux pour le DNS privé
  - interface : sélectionnez N’importe lequel ou une interface spécifique
Créer une règle DNS TCP (pour les transferts de zone et les réponses volumineuses) :
- Cliquez Nouveau dans le menu de gauche
- Configurez la règle TCP :
  - Nom: Autoriser DNS TCP
  - Action : sélectionnez Accepter
  - Direction : sélectionnez Entrant
  - Protocole : sélectionnez TCP
  - Port/Plage de ports: Saisissez 53
  - Source: Pour des raisons de sécurité, spécifiez uniquement les adresses IP autorisées des serveurs DNS secondaires
  - interface : sélectionnez N’importe lequel ou une interface spécifique
Appliquer les règles de pare-feu:
- Cliquez Soumettre pour chaque règle
- Depuis le tableau de bord du réseau, cliquez sur Appliquer les règles dans le menu de gauche
- Confirmez l’application de la règle pour activer les modifications

Sécurité de la règle TCP

Pour un DNS accessible publiquement, n’autorisez le port TCP 53 que depuis les serveurs DNS secondaires autorisés afin d’éviter d’éventuelles attaques par transfert de zone. Le port UDP 53 peut généralement être autorisé depuis n’importe où pour les requêtes DNS standard.

Étape 6 : vérifier la configuration DNS

Après la configuration, il est important de tester vos services DNS pour garantir leur bon fonctionnement.

Tester le DNS depuis le réseau:
- Accédez au tableau de bord de votre réseau DNS
- Cliquez Diagnostics dans le menu de gauche
- Sélectionnez Recherche DNS dans le menu déroulant Query
- Configurez le test :
  - Hôte: Entrez un domaine que vous avez configuré (par exemple, www.company.com)
  - Type de requête : sélectionnez A ou le type d’enregistrement approprié
  - Serveur DNS: Laissez vide pour utiliser le DNS local, ou spécifiez 127.0.0.1
- Cliquez Envoyer pour effectuer la recherche
Tester la résolution récursive (clients internes) :
- Utilisez la même interface de diagnostics
- Tester la résolution de domaine externe (par exemple, google.com)
- Doit fonctionner pour les clients de la vue LAN, échouer pour les clients de la vue WAN
Tester depuis des clients externes:
- Utilisez des outils de test DNS externes (par exemple, nslookup, dig)
- Interrogez l’adresse IP publique de votre serveur DNS
- Vérifiez les réponses faisant autorité pour vos domaines
Vérifier le fonctionnement des transferts de zone (si configuré) :
- Depuis les serveurs DNS secondaires, testez les requêtes de transfert de zone
- Consultez les journaux DNS pour les notifications de transfert réussies
- Vérifiez la synchronisation des enregistrements entre le primaire et le secondaire

Conseils de test

Utilisez des sites Web de test DNS externes comme whatsmydns.net pour vérifier la propagation DNS mondiale. Testez à la fois les réponses faisant autorité (pour vos domaines) et la résolution récursive (pour les clients internes) afin de garantir un fonctionnement complet.

Configuration avancée

Configuration des transferts de zone

Les transferts de zone fournissent une redondance en répliquant vos zones DNS vers des serveurs secondaires.

Configurer la zone principale pour les transferts:
- Dans la configuration de votre zone, activez Notifier : Oui
- Ajoutez les adresses IP des serveurs secondaires à Aussi notifier le champ
- Ajoutez les mêmes adresses IP à Autoriser le transfert le champ
- Assurez-vous que les règles du pare-feu pour le port TCP 53 autorisent ces adresses IP
Configurer le serveur secondaire:
- Créez une nouvelle zone avec Type : Secondaire
- Indiquez l'adresse IP du serveur principal
- Aucun enregistrement n'a besoin d'être créé manuellement (ils sont transférés automatiquement)

Mise en œuvre du DNS à horizon partagé

Fournissez des réponses différentes aux clients internes et externes :

Créez différents enregistrements dans les vues LAN et WAN:
- Vue LAN : adresses IP internes pour les services
- Vue WAN : adresses IP publiques pour les mêmes services
- Les clients obtiennent les adresses appropriées en fonction de leur emplacement
Exemple de configuration:
- Vue LAN : mail.company.com → 192.168.1.50 (serveur de messagerie interne)
- Vue WAN : mail.company.com → 203.0.113.50 (adresse IP publique du serveur de messagerie)

Index de dépannage

Problème/Symptôme

Cause probable

Solution

Les clients internes ne peuvent pas accéder aux sites Internet

La récursivité n'est pas activée dans la vue LAN

Activez la récursivité dans la vue DNS LAN

Les clients externes ne reçoivent aucune réponse DNS

Le pare-feu bloque le port UDP 53

Ajoutez une règle de pare-feu autorisant le port UDP 53

Le transfert de zone échoue

Le port TCP 53 est bloqué ou l'adresse IP n'est pas autorisée

Vérifiez les règles du pare-feu et les paramètres Autoriser le transfert

Les requêtes DNS expirent

Problèmes de connectivité réseau

Vérifiez le routage réseau et les règles du pare-feu

Les enregistrements ne se résolvent pas

Format FQDN incorrect

Assurez-vous d'ajouter un point final aux FQDN dans les champs Valeur

Le serveur secondaire ne reçoit pas les mises à jour

Paramètres de notification incorrects

Vérifiez les adresses IP Also Notify et les paramètres de notification

Problèmes courants de résolution DNS

Problème: Les clients ne peuvent pas résoudre les domaines externes

Cochez: Paramètre de récursivité activé dans la vue LAN
Cochez: Serveurs DNS en amont configurés sur le réseau
Cochez: Passerelle par défaut configurée pour l'accès à Internet

Problème: Les requêtes DNS publiques ne fonctionnent pas

Cochez: Le pare-feu autorise le port UDP 53 depuis Internet
Cochez: Le réseau possède une adresse IP publique
Cochez: Le bureau d'enregistrement du domaine a les paramètres de serveurs de noms corrects

Problème: Les transferts de zone ne fonctionnent pas

Cochez: Le port TCP 53 est autorisé depuis les serveurs secondaires
Cochez: Adresses IP des serveurs secondaires dans la liste Autoriser le transfert
Cochez: Connectivité réseau entre le serveur principal et le serveur secondaire

Étapes suivantes

Après avoir configuré avec succès le DNS faisant autorité, envisagez ces implémentations supplémentaires :

Surveillance et maintenance:

Mettez en place la journalisation et la surveillance des requêtes DNS
Mettez en œuvre la gestion automatisée des enregistrements DNS
Planifiez les mises à jour et la maintenance du serveur DNS

Fonctionnalités avancées:

Explorez la mise en œuvre de DNSSEC pour une sécurité renforcée
Envisagez l'équilibrage de charge DNS pour une haute disponibilité
Étudiez l'intégration avec des services DNS dynamiques

Documentation associée:

Pour une assistance supplémentaire concernant la configuration DNS, contactez le support VergeOS en fournissant des détails précis sur vos besoins de mise en œuvre et sur tous les messages d'erreur rencontrés.

Informations sur le document

Type de document : Guide de configuration de la base de connaissances
Catégorie : Services réseau
Dernière mise à jour : 2025-09-11
Version VergeOS : 4.12 et ultérieures

PrécédentChanger un réseau externe en VLAN agrégé

SuivantConfiguration des paramètres IPv4 NIC d’une VM de service VMware

Mis à jour il y a 3 mois

Ce contenu vous a-t-il été utile ?