Skip to main content

Vues DNS (split-horizon) pour un relais Medulla en DMZ

S'applique àà : Medulla
Version : Toutes
Environnement : On-Premise / Relai DMZ
CatégorieCatégorie : RéseauRéseau / DNS

Contexte

Lorsqu'une infrastructure Medulla doit gérergérer des postes situéssitués àà la fois sur le réseauréseau interne et àà l'extérieurextérieur de l'entreprise, il est recommandérecommandé de déployerdéployer un relai Medulla en DMZ.

Ce relai permet aux postes nomades ou distants de communiquer avec la plateforme sans exposer directement le serveur Medulla principal sur Internet.

Les agents Medulla utilisent une configuration unique contenant un seul nom de domaine. Il est donc nécessairenécessaire que ce mêmemême nom permette d'atteindre le bon serveur selon l'emplacement du poste :

  • Postes internes →→ serveur Medulla interne
  • Postes externes →→ relai Medulla en DMZ

Deux méthodesméthodes permettent d'obtenir ce fonctionnement :

  • les Vues DNS (Split-Horizon) (solution recommandée)recommandée) ;
  • le Round-Robin DNS (solution alternative).

Solution recommandéerecommandée : les vues DNS (Split-Horizon)

Principe

Les vues DNS permettent de retourner une adresse IP différentedifférente pour un mêmemême nom DNS selon l'origine de la requête.requête.

  • Depuis le réseauréseau interne →→ IP privéeprivée du serveur Medulla.
  • Depuis Internet →→ IP publique du relai DMZ.
Avantages
  • Un seul nom DNS àà configurer.
  • Aucune configuration spécifiquespécifique sur les agents.
  • Le serveur Medulla principal reste inaccessible depuis Internet.
  • Les postes utilisent automatiquement le point d'accèsaccès adapté.adapté.
  • Architecture simple, robuste et sécurisée.sécurisée.
Exemple avec Bind9

Bind9 permet de mettre en place des vues DNS grâcegrâce au mécanismemécanisme view.

view "internal" {

    match-clients { 10.0.0.0/8; 192.168.0.0/16; };

    zone "medulla.example.com" {
        type master;
        file "/etc/bind/db.medulla.internal";
    };

};

view "external" {

    match-clients { any; };

    zone "medulla.example.com" {
        type master;
        file "/etc/bind/db.medulla.external";
    };

};

Le fichier db.medulla.internal contient l'adresse IP privéeprivée du serveur Medulla tandis que db.medulla.external pointe vers le relai DMZ.

Documentation officielle ISC Bind : https://kb.isc.org/docs/aa-00851

Solution alternative : Round-Robin DNS

Si votre infrastructure DNS ne permet pas l'utilisation de vues DNS, il est possible d'utiliser plusieurs enregistrements DNS portant le mêmemême nom.

Exemple :

medulla.example.com    A    192.168.1.10
medulla.example.com    A    203.0.113.25

Le serveur DNS distribuera alternativement les deux adresses IP.

Attention
Le Round-Robin ne distingue pas les postes internes des postes externes. Il ne garantit donc pas qu'un poste obtiendra toujours l'adresse IP la plus adaptée.adaptée.

Cette solution reste acceptable dans certains environnements (NAT Hairpin, Load Balancer, Proxy inverse, etc.) mais demeure moins fiable que les vues DNS.

Configuration chez OVHcloud

Le DNS public OVHcloud ne supporte pas les vues DNS.

Deux possibilitéspossibilités existent :

  • mettre en place un DNS interne (Bind, Active Directory DNS...) pour les postes internes ;
  • ou utiliser plusieurs enregistrements A afin d'obtenir un comportement de type Round-Robin.

Les enregistrements peuvent êtreêtre crééscréés depuis :

  • Web Cloud →→ Domaines →→ Zone DNS.

Configuration chez Gandi

Comme OVHcloud, Gandi ne propose pas de mécanismemécanisme de Split-Horizon sur sa zone DNS publique.

Vous pouvez :

  • utiliser un serveur DNS interne pour les postes internes ;
  • ou créercréer plusieurs enregistrements A afin de mettre en œuvreœuvre un Round-Robin.

Les modifications s'effectuent depuis :

  • Administration du domaine →→ DNS Records.

ÀÀ retenir

Solution Recommandation ComplexitéComplexité FiabilitéFiabilité
Vues DNS (Split-Horizon) ⭐⭐⭐⭐⭐ Moyenne Excellente
Round-Robin ⭐⭐⭐☆☆ TrèsTrès simple Moyenne

Recommandation Medulla

Lorsque cela est possible, nous recommandons de mettre en œuvreœuvre des vues DNS (Split-Horizon). Cette architecture garantit que chaque poste utilise automatiquement le point d'accèsaccès adaptéadapté tout en évitantévitant d'exposer le serveur Medulla principal sur Internet.

Back to top