DNS-Proxy

Navigation: Konfiguration > Dienste > DNS-Proxy

Die Seite DNS-Proxy konfiguriert das Gerät als lokalen DNS-Server, der Namensauflösungsanfragen an die auf der Seite DNS hinterlegten übergeordneten DNS-Server weiterleitet. Bei Aktivierung können Clients, die mit der Firewall verbunden sind, die IP-Adresse des Geräts als DNS-Server verwenden, und das Gerät löst Domainnamen in ihrem Auftrag auf. Dies ist besonders wichtig, wenn Host- oder Domainnamen in Regeln des Paketfilters verwendet werden, da der Paketfilter diese Namen nur auflösen kann, wenn der DNS-Proxy aktiv ist. Der DNS-Proxy kann gezielt pro Schnittstelle aktiviert werden, sodass exakt gesteuert werden kann, welche Netzwerksegmente Zugriff auf die DNS-Auflösung über das Gerät erhalten. Die für die Weiterleitung verwendeten übergeordneten DNS-Server werden auf der Seite DNS konfiguriert. Ist der DHCP-Server aktiv, erhalten DHCP-Clients automatisch die IP-Adresse des Geräts als DNS-Server. Änderungen werden nach Klick auf Anwenden sofort wirksam, müssen aber über die Seite Speichern dauerhaft gesichert werden, um einen Neustart zu überdauern.

Voraussetzungen

• Die übergeordneten DNS-Server müssen auf der Seite DNS konfiguriert sein, bevor der DNS-Proxy Anfragen erfolgreich weiterleiten kann.
• Das Gerät muss im IP-Router-Modus betrieben werden. Der Betriebsmodus wird auf der Seite IP-Konfiguration eingestellt.
• Wenn Host- oder Domainnamen in Regeln des Paketfilters verwendet werden, muss der DNS-Proxy für die Namensauflösung aktiviert sein.

Einstellungen

Aktiviere DNS-Proxy

Aktiviert den DNS-Proxy-Dienst. Das Gerät arbeitet dann als DNS-Server und leitet DNS-Anfragen verbundener Clients an die auf der Seite DNS konfigurierten übergeordneten DNS-Server weiter. Diese Funktion muss aktiviert werden, wenn Host- oder Domainnamen im Paketfilter verwendet werden sollen.

DNS-Proxy-Schnittstellen

Wählt die Schnittstellen aus, auf denen der DNS-Proxy DNS-Anfragen entgegennimmt. Jede Schnittstelle kann über ein eigenes Kontrollkästchen unabhängig aktiviert werden. Wird eine Schnittstelle deaktiviert, wird sämtlicher DNS-Datenverkehr auf dieser Schnittstelle blockiert -- nicht nur für andere Geräte an dieser Schnittstelle, sondern auch für das Gerät selbst bei der Kommunikation über diese Schnittstelle. Stellen Sie sicher, dass die Schnittstelle zu Ihrem übergeordneten DNS-Server aktiviert bleibt, da andernfalls die gesamte Domainnamen-Auflösung fehlschlägt.

LAN: Nimmt DNS-Anfragen von Geräten im lokalen Netzwerk entgegen. Dies ist die gebräuchlichste Einstellung für industrielle Umgebungen, in denen LAN-Clients eine Namensauflösung über die Firewall benötigen.

WAN: Nimmt DNS-Anfragen auf der WAN-Schnittstelle entgegen. Aktivieren Sie diese Option nur, wenn das Gerät DNS-Anfragen von WAN-seitigen Clients auflösen muss oder der übergeordnete DNS-Server über WAN erreichbar ist.

BLX-VPN: Nimmt DNS-Anfragen von Geräten entgegen, die über einen Big-LinX-VPN-Tunnel verbunden sind. Aktivieren Sie diese Option, wenn Remote-Clients über Big-LinX eine DNS-Auflösung über dieses Gerät benötigen.

DOCKER: Nimmt DNS-Anfragen von Docker-Containern entgegen, die auf dem Gerät ausgeführt werden. Aktivieren Sie diese Option, wenn über den Docker-Dienst verwaltete Container eine Namensauflösung über den DNS-Proxy der Firewall benötigen.

WWAN: Nimmt DNS-Anfragen auf der drahtlosen WAN-Schnittstelle entgegen. Aktivieren Sie diese Option, wenn Mobilfunk-Clients eine DNS-Auflösung über das Gerät benötigen.

DNS Proxy Debug

Aktiviert die Protokollierung aller DNS-Anfragen im Eventlog. Verwenden Sie diese Einstellung zur Fehlersuche bei Problemen mit der DNS-Auflösung. Deaktivieren Sie die Funktion im Normalbetrieb, um das Protokollvolumen zu reduzieren.

ACHTUNG

Das Deaktivieren des DNS-Proxy auf einer Schnittstelle blockiert sämtlichen DNS-Datenverkehr auf dieser Schnittstelle -- sowohl für verbundene Clients als auch für das Gerät selbst. Ist die Schnittstelle zum übergeordneten DNS-Server deaktiviert, verliert das Gerät die Fähigkeit zur Domainnamen-Auflösung vollständig. Dies betrifft auch Paketfilter-Regeln, die Host- oder Domainnamen referenzieren, VPN-Verbindungen mit DNS-basierten Endpunkten sowie weitere Dienste, die auf Namensauflösung angewiesen sind. Stellen Sie nach Änderungen sicher, dass alle benötigten Schnittstellen aktiviert bleiben.

Sicherheit

Aktivieren Sie den DNS-Proxy nur auf Schnittstellen, auf denen eine DNS-Auflösung tatsächlich erforderlich ist. Ein auf externen Schnittstellen wie WAN oder WWAN aktiver DNS-Proxy stellt den DNS-Dienst dem externen Netzwerk bereit, was für DNS-Amplification-Angriffe oder Informationsabfluss ausgenutzt werden kann. In sicherheitskritischen Umgebungen sollte der DNS-Proxy auf die LAN-Schnittstelle und ggf. erforderliche VPN-Schnittstellen beschränkt werden. Falls DNS-Debugging zur Fehlersuche aktiviert wurde, deaktivieren Sie es nach Abschluss der Diagnose, um eine fortlaufende Protokollierung aller DNS-Anfragen zu vermeiden, die sensible Informationen über Netzwerk-Kommunikationsmuster enthalten können.