내부 IP가 DNS를 통해 외부로 나가지 않게 하는법
글쓴이: entropy0228 / 작성시간: 목, 2008/10/30 - 12:48오후
현제 IDC에서 근무하고있는데.
저희 내부 DNS서버에 내부IP정보가 들어있습니다.
내부에서의 URL로 접속하기 위함인데요
기타 서비스에대해선 내부를 통해 호스트명으로 전송을 해야하는 상황이 생겨서
그러다보니 문제가 나타났습니다.
외부에서 nslookup을 사용하여 호스트명으로 검색을하니
공인IP와 사설IP 모두가 밖으로 들어나게 되더군요
방화벽을 사용하여 NAT를 이용하여 운영중인데
NAT이용의 목적중 하나가 내부 IP를 은닉하기 위함인데
이렇게 되니까 보안상 문제도되고
가장 큰 문제는 외부에서 접속할때 IP정보를 사설IP로 가져오는 모양입니다.
그래서 통신이 될때도,,.,안될때도 있는것 같은데
이것을 해결하려면 DNS에서 어떻게 설정해야합니다.
OS가 리눅스는 아니고
윈도2003서버인데
이리저리 물어볼때 없어서 아는곳에 물어보는게 좋을것같아서 이곳에 글을올립니다.
아시는분 계시면 좋은답변 부탁드립니다.
Forums:
NAT 를 사용하는
NAT 를 사용하는 이유는 원래 부족한 IP를 처리하기 위해 사용되곤 했습니다만, 요즘처럼 worm이 창궐하는 시대에서는 외부에서의 접근을 원천봉쇄하기 위함으로도 많이 사용되고 있습니다.
본론으로 들어가서 Bind 의 경우에는 dns view 를 지원하여, 특정 대역에서 요청을 할 때 다르게 응답할 수 있는 기능이 있습니다. 예를 들어 KLDP 시스템은 서비스를 위한 공인망과 관리를 위한 사설망을 모두 가지고 있습니다만, 내부에서 질의를 할 경우에는 사설 IP로 응답을 하고, 외부에서 질의를 할 때는 공인 IP로 응답을 합니다. windows 의 DNS 에 이런 기능이 있는지 모르겠지만, 아마 bind windows version 이 있으니 이를 이용하실 수도 있을 것 같습니다.
윈도우즈의 DNS가
윈도우즈의 DNS가 BIND처럼 view를 지정할 수 있으면 참 좋을텐데, 안타깝게 그런 방법은 안되는 것 같습니다.
제가 얼핏 찾아본 ms에서 제시하는 방법은
공인된 도메인이 xxx.com 이라고 했을 때
외부 zone을 xxx.com, 내부 zone은 xxx.com.local 로 지정하라는 겁니다.
.local 이라는 건 인터넷에서 사용하지 않는 것이므로 외부에 노출되지 않는다는 거죠.
그러나 이 방법은 내부의 도메인 서픽스 같은 걸 모두 xxx.com.local로 지정해야 하니 영 개운한 해결 방법이 아니었습니다.
그래서 저는 내부 IP는 DNS를 이용하지 않고 wins를 사용합니다.
DNS는 외부 공인 IP만 사용하고요.
김정균 님 말씀하신 것처럼 BIND 윈도우즈 버전을 이용하는 것도 좋은 방법이라고 생각합니다만,
윈도우즈의 DNS는 액티브 디렉토리랑 밀접하게 통합되어 있어서
무슨 문제가 생길까봐 시도해보진 못했습니다.
다른 더 좋은 방법이 있으면 고수님들께서 알려주시겠죠.
--
academic은 제 고등학교 때 동아리 이름입니다.
academic, 아주 가끔은 저도 이랬으면 좋겠습니다.
----
academic은 제 고등학교 때 동아리 이름입니다.
academic, 아주 가끔은 저도 이랬으면 좋겠습니다.
댓글 달기