1 Umstellung auf die autoritativen Name Server und DNS Resolver

Transkript

1 Inhaltsverzeichnis Beheben von Problemen Empfehlungen Support Glossar Aus welchem Grund wird die Umstellung auf die autoritativen Name Server und DNS Resolver vorgenommen? Die Trennung von Resolvern und autoritativen Name- Servern (siehe nachstehende Abbildung) ermöglicht es, für beide Funktionen eine unabhängige und auf die jeweilige Teil-Funktion angepasste Server-Infrastruktur einzusetzen. Mit dieser Trennung der DNS-Infrastruktur wird die Verfügbarkeit und die Sicherheit nachhaltig gewährleistet. (mehr zu Resolver und autoritativem Server siehe Pkt. 8) 1/9

2 2. Was muss ich als Masteruser tun? Sie müssen in Ihren Clients die IP-Adressen der DNS-Server anpassen. Statt und müssen Sie neu und eintragen. Wenn Sie das Dynamic Host Configuration Protocol (DHCP) benutzen, können Sie diese Konfiguration auf DHCP-Server anpassen. Beachten Sie, dass auf Servern in der Regel die Netzwerkkonfiguration einschliesslich der Resolver-Adressen statisch ist. In diesem Fall muss der DNS-Server manuell konfiguriert werden. 3. Ist die Umstellung mit Kosten verbunden? 4. Bis wann soll die Umstellung abgeschlossen sein? Falls die Umstellung für Sie mit Kosten verbunden ist (Bsp. externe Unterstützung), besteht in keinem Fall ein Entschädigungsanspruch und Swisscom lehnt jede Haftung ab. Wir empfehlen Ihnen dringendst, die Name Server- Einstellungen zu überprüfen und rasch möglichst zu ändern, da es sonst zu Produktionsausfällen kommen kann. 5. Was passiert, wenn ich die Umstellung nicht wie beschrieben umsetze? In diesem Fall können ihre PCs weder auf Webseiten zugreifen noch Mails versenden, da die Namensauflösung (die Umwandlung eines Domainnamens in eine IP- Adresse) nicht mehr möglich ist. 2/9

3 6. Welche Vorteile bringen die neuen Resolver? 7. Welche Vorteile bringt der Betrieb eines eigenen Resolvers? Mit der Einführung der neuen Resolver werden die Name- Server von rekursiven 1 Anfragen entlastet und damit eine wesentlich höhere Verfügbarkeit garantiert. Zusätzlich wird das Missbrauchsrisiko (Umleitung von Domains auf eigene Server) praktisch ausgeschlossen. Diese Prüfung musste bis anhin vor jeder Aufschaltung manuell durchgeführt werden. Da dies dank der neuen Plattform nicht mehr erforderlich ist, kann eine Domain durch den kundenseitigen Administrator neu online via Extranet direkt aufgeschaltet werden. Somit sind neu erfasste Domains auf den autoritativen Nameservern schneller verfügbar. Zusätzliche Sicherheit durch DNSSec: Die Sicherheitserweiterung von DNS überprüft mit Hilfe kryptografischer Algorithmen die Korrektheit der DNS- Antworten und verhindert damit Missbrauch Ihrer Internet-Adressen (Angriffe wie z.b. DNS-Spoofing). Mehr zu DNSSec im Factsheet (-> Ab einer gewissen Grösse des eigenen Netzwerks kann es sinnvoll sein, einen eigenen Resolver zu betreiben. Dies hängt auch vom Nutzerverhalten ab. Eine pauschale Empfehlung kann folglich nicht abgegeben werden. 1 Unter einer rekursiven Abfrage wird eine Anfrage an einen DNS-Server verstanden, bei dieser der DNS-Client eine gültige Antwort auf die Abfrage beim DNS-Server anfordert. 3/9

4 8. Wie unterscheiden sich Resolver von autoritativen Servern? 9. Kann ich die korrekte Umstellung der Name Server IP-Adressen testen? Wird auf einem Server eine bestimmte Domain konfiguriert, wird dieser als autoritativer Server bezeichnet. Dieser Server wird vom Inhaber einer Domain oder von einem beauftragten Provider betrieben. Um eine Domain zu registrieren, müssen mindestens zwei Server- Adressen konfiguriert werden. Beim IP-Plus Business Internet Service sind dies ns1.ip-plus.net und ns2.ip-plus.net, die redundant betrieben werden. Damit nicht jeder PC im Internet direkt auf die Root- Nameserver zugreifen muss, existieren die sogenannten Resolver. Diese nehmen eine Anfrage der Clients entgegen und führen selbstständig eine Namensauflösung durch. Sie speichern die Antworten der autoritativen Server in einem lokalen Cache und beschleunigen damit die Namensauflösung. Wenn Sie in Ihrem Firmennetz keine eigenen Resolver einsetzen, empfehlen wir Ihnen die Resolveradressen und einzutragen, die exklusiv für Business Internet-Kunden reserviert sind. Ja, ist möglich. Folgende Varianten stehen Ihnen zur Verfügung: Test-Variante 1: Mit dem Link ( den Sie mit per erhalten werden/haben, können Sie prüfen, von welchen Systemen die NS-Auflösung via ns1.ip-plus.net ( ) und ns2.ip-plus.net ( ) erfolgt. Sollten Sie diesen Link nicht erhalten haben bitten wir Sie, uns ein an zu senden oder via zu kontaktieren. Wichtig ist, dass Sie Ihre Vertrags-Nr. (z.b. I xx des betroffenen Internet Anschlusses mitteilen können. Test-Variante 2: Wenn Sie Ihre Anpassungen testen wollen, können Sie nach der Erfassung der neuen Name Server IP-Adressen ( und ) auf Ihrer Firewall den Zugriff zu ns1.ip-plus.net ( ) und ns2.ipplus.net ( ) sperren und testen, ob noch alles funktioniert. 4/9

5 10. Muss ich bei meinem Domain- Registrar (Switch.CH, RIPE, DeNIC, ) Änderungen vornehmen? 11. Was bedeutet Anyres1 und Anyres2? 12. Welche Anpassungen muss ich vornehmen, wenn ich den/die Primary Name Server selber betreibe und lediglich den Secondary Name Server von IP- Plus Business Internet Service nutze? Die Änderungen betreffen ausschliesslich die Abfragen von Domain-Namen von Ihrem IP-Plus Business Internet- Anschluss. Bei der Registrierung Ihrer Domains dürfen im Zusammenhang mit der DNS-IP-Adressumstellung (siehe Frage 1 ff im vorliegenden FAQ) keine Änderung durchgeführt werden! Eine Änderung würde dazu führen, dass Ihre Domain nicht mehr erreichbar sein könnte! Sie erhalten dann keine E- Mails mehr bekommen und Ihre Website wird offline sein! Ändern Sie nur die Resolver-Adressen auf den Geräten, die Sie über Ihren Internet-Anschluss betreiben. Mit dem Befehl Reverse Lookup auf die IP-Adressen und werden Ihnen die aktuellen Servernamen (Anyres1 und Anyres2 ) angezeigt. Diese Servernamen können jederzeit ändern. Wir bitten Sie, diese Namen in Ihren Konfigurationen auf keinen Fall einzutragen. In diesem Fall sind keine Anpassungen erforderlich, da die Domains automatisch per Zonentransfermechanismus auf die IP-Plus Nameserver übertragen werden. 5/9

6 2 Beheben von Problemen 13. Aus welchem Grund kann ich ab/seit dem 31. März 2012 keine Websites mehr aufrufen? Möglicherweise haben Sie die IP-Adress-Umstellung noch nicht oder nicht auf allen Systemen (DHCP-Servern, Web- Servern, W-LAN-Routern, Arbeitsstationen, ) umgesetzt. Empfehlung: Stellen Sie auf Ihren Systemen als DNS-Server die folgenden IP-Adressen ein: und Die Adressen und antworten nicht auf DNS- und Ping-Anfragen. Die Resolver stehen ausschliesslich IP-Plus Business Internet-Kunden zur Verfügung und sind deshalb in redundanten Netzwerksegmenten implementiert, die nur aus dem Swisscom-Backbone (AS-3303) erreichbar sind. Die Resolver sind aus dem globalen Internet nicht erreichbar. Dies dient dem Schutz vor Angriffen auf diesen Systemen. Aus diesem Grund werden Sie von anderen Internet- Anschlüssen keine Antwort bekommen. Es existieren schlicht keine Routen zu diesen Servern. Dies beweist auch, dass der Schutz funktioniert. Ihre gehosteten Domains auf den autoritativen DNS- Servern von IP-Plus Business Internet Services sind selbstverständlich weiterhin aus dem globalen Internet erreichbar. 6/9

7 3 Empfehlungen 15. Was muss bei einem Dual- Provider-Setup im Zusammenhang mit der neuen DNS Architektur beachtet werden? 16. Welche Konfigurations- Anpassungen sind möglich? Wenn Sie neben Swisscom mit einem weiteren ISP (Internet Service Provider) mit dem Internet verbunden sind, empfehlen wir Ihnen eine eigene DNS-Infrastruktur im Sinne der Verfügbarkeit zu betreiben. Die Gründe für diese Empfehlung sind wie folgt: Die Resolver-Funktion via und steht ausschliesslich IP-Plus- Anschlüssen aus dem Swisscom-Backbone (AS-3303) zur Verfügung. Eine redundante DNS-Infrastruktur die über zwei ISP aufgesetzt ist, betreiben Sie idealerweise direkt aus Ihrem LAN (Local Area Network). Somit hat der Ausfall einer Anbindung keinen Impact auf die Erreichbarkeit Ihrer Domain. Ändern der DNS-Einstellungen am Beispiel Windows 7 siehe: DE/windows7/Change-TCP-IP-settings FR/windows7/Change-TCP-IP-settings TCP-IP-settings GB/windows7/Change-TCP-IP-settings Quelle: Microsoft Web-Page Ändern der DNS-Einstellungen am Beispiel MAC OS X Mountain Lion siehe: Quelle: Apple Web-Page 7/9

8 4 Support 17. Wer kann mir bei Fragen weiterhelfen? Ihre Anlaufstelle: Tel. nat Tel. Internat Per 8/9

9 5 Glossar Abkürzung AS DHCP DNS DNSSec FAQ IP ISP LAN MX-Record NS SC Beschreibung Autonomes System Das Dynamic Host Configuration Protocol ermöglicht die dynamische Zuweisung von IP-Adressen an Netzwerk-Komponenten (z.b. PC, Drucker etc.) Domain Name System zur Namensauflösung (z.b. muster.ch -> x.x) Domains die via DNSSec aufgelöst werden können erfüllen erhöhte Sicherheitsstandards. Frequently Asked Questions, aus dem Englisch für häufig gestellte Fragen Internet Protocol Internet Service Provider Local Area Network Ist ein Eintrag im Domain Name System der sich auf den -Service bezieht Der Name Server wird für die Namensauflösung im Domain Name System (DNS) eingesetzt. Swisscom 9/9