Inoltro DNS

Un server d'inoltro è un server DNS in una rete usata per inoltrare le query DNS per i nomi DNS esterni ai server DNS all'esterno di tale rete. È anche possibile inoltrare query in base a nomi di dominio specifici usando server d'inoltro condizionale. In questo articolo vengono fornite informazioni sull'inoltro DNS, tra cui delega, server d'inoltro condizionale e risoluzione dei nomi Intranet in Windows Server.

Forwarding

Un server DNS in una rete viene designato come server d'inoltro quando gli altri server DNS inoltrano a lui le query che non possono risolvere localmente. Usando un server d'inoltro, è possibile gestire la risoluzione dei nomi per i nomi esterni alla rete, ad esempio i nomi su Internet, e migliorare l'efficienza della risoluzione dei nomi per i computer nella rete.

Nella figura seguente viene illustrato il modo in cui le query con nomi esterni vengono indirizzate tramite server d'inoltro.

Se non si imposta un server DNS specifico come server d'inoltro, i server DNS usano i root hints per inviare query al di fuori della rete. Questa configurazione può esporre informazioni DNS interne a Internet, causando rischi per la sicurezza e la privacy. Può anche creare un sacco di traffico esterno, che è inefficiente per le reti con connessioni Internet lente o costoso per le aziende con costi Internet elevati.

Quando si designa un server DNS come server d'inoltro, il server d'inoltro è responsabile della gestione del traffico esterno, limitando l'esposizione del server DNS a Internet. Un server d'inoltro crea una grande cache di informazioni DNS esterne perché tutte le query DNS esterne nella rete vengono risolte tramite esso. In un breve periodo di tempo, un server d'inoltro risolve la maggior parte delle query DNS esterne usando i dati memorizzati nella cache. Ovvero una diminuzione del traffico Internet sulla rete e il tempo di risposta per i client DNS.

Behavior

Un server DNS configurato per l'uso di un server d'inoltro si comporta in modo diverso da un server DNS non configurato per l'uso di un server d'inoltro. Un server DNS configurato per l'uso di un server d'inoltro si comporta come segue:

1. Quando il server DNS riceve una query, tenta di risolvere questa query usando le zone primarie e secondarie ospitate e la relativa cache.

2. Se la query non può essere risolta usando questi dati locali, inoltra la query al server DNS designato come server d'inoltro.

3. Il server DNS attende brevemente una risposta dal server d'inoltro prima di tentare di contattare i server DNS specificati nei suggerimenti radice.

Quando un server DNS inoltra una query a un server d'inoltro, invia una query ricorsiva al server d'inoltro. Questo tipo di query è diverso dalla query iterativa inviata da un server DNS a un altro server DNS durante la risoluzione dei nomi standard. Ovvero, la risoluzione dei nomi che non implica un server d'inoltro.

Sequenza di inoltro

Un server DNS usa server d'inoltro in base all'ordine in cui gli indirizzi IP sono elencati nel server DNS. Dopo che il server DNS inoltra la query al server d'inoltro con il primo indirizzo IP, attende un breve periodo per una risposta da tale server d'inoltro (in base all'impostazione di timeout del server DNS) prima di riprendere l'operazione di inoltro con l'indirizzo IP successivo. Continua questo processo finché non riceve una risposta affermativa da un server d'inoltro.

Il server d'inoltro usato da un server DNS dipende dalla configurazione del server. Per impostazione predefinita, il riordinamento del server d'inoltro dinamico è abilitato, se l'impostazione predefinita è mantenuta, il server DNS usa l'elenco dei server d'inoltro seguenti:

1. Il server DNS consente agli amministratori di creare server d'inoltro in un ordine preferito.

2. Viene mantenuto un elenco dinamico di server d'inoltro. L'elenco dinamico viene riordinato in base ai tempi di risposta. Ma l'elenco viene reimpostato anche sull'ordine configurato circa ogni 15 minuti.

3. Per ogni query, i server d'inoltro vengono scelti come visualizzati nell'elenco dinamico.

4. Se il tempo di risposta è maggiore di 1 secondo, viene considerato una risposta lenta. A ogni server di inoltro sono consentite due risposte lente consecutive; alla terza risposta lenta, viene spostato alla fine dell'elenco dinamico.

5. Se tutti i server nell'elenco non rispondono, DNS non è in grado di sapere se il server è offline o lento. Il monitoraggio della disponibilità di ogni server DNS deve essere eseguito all'esterno del sistema.

Tip

A partire da Windows Server 2022, se nessun server d'inoltro risponde dall'elenco dei server d'inoltro, il server DNS usa solo il primo nell'elenco dinamico fino al riavvio del servizio server DNS.

Inoltro e delega

Un server DNS configurato con un server d'inoltro e che ospita una zona padre usa le informazioni di delega prima di inoltrare le query. Se nella query non esiste alcun record di delega per il nome DNS, il server DNS usa i server d'inoltro per risolvere la query.

Server d'inoltro e server radice

Per consentire al server DNS di eseguire correttamente la ricorsione, è necessario prima di tutto alcune informazioni di contatto utili su altri server DNS nello spazio dei nomi del dominio DNS. Queste informazioni vengono fornite sotto forma di suggerimenti di radice. Gli accenni di radice sono un elenco di record delle risorse preliminari che il servizio DNS utilizza per trovare altri server DNS autoritativi per la radice dell'albero dello spazio dei nomi del dominio DNS. I server radice sono autorevoli per i domini radice del dominio e di primo livello nell'albero dello spazio dei nomi del dominio DNS.

Usando gli hint di radice per trovare i server di radice, un server DNS può completare la ricorsione. In teoria, questo processo consente a qualsiasi server DNS di individuare i server autorevoli per qualsiasi altro nome di dominio DNS usato a qualsiasi livello nell'albero dello spazio dei nomi.

I server radice non si possono configurare con l'inoltro standard. Se viene eseguita una query su qualsiasi nome di dominio, un server radice risponde in due modi. Fa riferimento a un server DNS che può rispondere alla domanda (dalle zone locali, dalla cache) o risponde con un errore. Viene mostrato un messaggio di errore con una risposta NXDOMAIN. Non può essere configurato per l'inoltro a server specifici. Un errore comune durante la configurazione dell'inoltro consiste nel tentare di configurare l'inoltro nei server radice di uno spazio dei nomi DNS privato.

Un server radice può essere configurato con un server d'inoltro condizionale. L'inoltro condizionale può essere usato per inoltrare query tra server radice in spazi dei nomi DNS separati, anche se i server DNS per i domini di primo livello nello spazio dei nomi sono più adatti per questo metodo di risoluzione.

Server d'inoltro condizionale

Un server d'inoltro condizionale è un server DNS in una rete che viene utilizzato per inoltrare query DNS in base al nome di dominio DNS nella query. Ad esempio, un server DNS può essere configurato per inoltrare tutte le query ricevute per i nomi che terminano con north.contoso.com all'indirizzo IP di un server DNS o agli indirizzi IP di più server DNS.

La risoluzione dei nomi Intranet

È possibile usare un server d'inoltro condizionale per migliorare la risoluzione dei nomi per i domini all'interno della intranet. La risoluzione dei nomi Intranet può essere migliorata configurando i server DNS con server d'inoltro per nomi di dominio interni specifici. Ad esempio, tutti i server DNS nel dominio north.contoso.com possono essere configurati per inoltrare query per i nomi che terminano con south.contoso.com ai server DNS autorevoli per south.contoso.com, rimuovendo il passaggio di query sui server radice di .contoso.como rimuovendo il passaggio di configurazione dei server DNS nella north.contoso.com zona con zone secondarie per south.contoso.com.

Risoluzione dei nomi Internet

I server DNS possono usare server d'inoltro condizionale per risolvere le query tra i nomi di dominio DNS delle aziende che condividono informazioni. Ad esempio, due società, Contoso e Tailspin Toys, vogliono migliorare il modo in cui i client DNS di Contoso risolvono i nomi dei server di Tailspin Toys. Gli amministratori di Tailspin Toys informano gli amministratori di Contoso sul set di server DNS nella rete Tailspin Toys in cui Contoso può inviare query per il dominio outdoor.tailspintoys.com. I server DNS all'interno della rete Contoso sono configurati per inoltrare tutte le query per i nomi che terminano con outdoor.tailspintoys.com ai server DNS designati nella rete per Tailspin Toys. Pertanto, i server DNS nella rete Contoso non devono eseguire query sui server radice interni o sui server radice Internet per risolvere le query per i nomi che terminano con outdoor.tailspintoys.com.