Zur Beachtung - Anleitungen

Bitte beachten Sie, daß die bereitgestellten Informationen zum Zeitpunkt der Erstellung im Rahmen von durchgeführten Arbeiten dokumentiert und validiert wurden. In einer geänderten Systemumgebung können für die Schritte Anpassungen erforderlich sein. Dies gilt insbesonders, falls die Informationen Workarounds oder Fehlerbehebungen betreffen. Die Informationen sind entsprechend spezifisch für die Systemumgebung und Version der Systeme zum Zeitpunkt der Arbeiten. Schritte, die sich für uns von selbst erschließen, sind ggf. nicht in den Anleitungen enthalten. Dasselbe gilt auch für konzeptionelle Anleitungen. Diese sind für spezifische Umgebungen und spezifische Erfordernisse erstellt und müssen vor Anwendung überprüft werden, ob sie für die angedachte Umgebung passend sind. Die Verwendung erfolgt auf eigene Gefahr.

Wir raten in jedem Fall dazu, vorab ein Backup in einem Umfang zu erstellen, der die Wiederherstellung der Systeme im Fehlerfall sichert. Dies betrifft bei Active-Directory-integrierten Diensten auch das Active-Directory.

 

Auflösen von .local-Hostnamen über DNS

(10.03.2025)

Validiert mit: Clearswift SWG 6.0 / RHEL 9.4

Wer noch eine alte Windows-Domäne konfiguriert hat, die auf .local endet - das war vor "Cloud First" der in MS-Doku verwendete Standard und wurde erst 2013 durch die RFC6762 für mDNS reserviert (Apple hatte das schon länger) - steht eventuell vor dem Problem, daß Linux standardmäßig .local nicht über DNS auslöst.

Die üblichen Ratschläge sind hier:

  • /etc/nsswitch.conf bearbeiten (das klappte bei Ubuntu)
  • die Domäne der DNS-SearchList hinzufügen (das klappte bei pfSense)

In einem aktuell konfigurierten CS SWG auf RHEL 9.4 funktionierte das nicht - der Host hat sich stur geweigert, Anfragen für die .local-Domäne weiterzuleiten an die angegebenen DNS-Server.

Auf dem System läuft ein unbound, der dieses Verhalten implementiert und trotz Vorhandensein der Domain in der SearchList die Auflösung nicht durchführte.

Zur Lösung der Problematik kann unbound mitgeteilt werden, die betreffende Domain explizit über DNS-Server aufzulösen. Dies hat Priorität vor der standardmäßig implementierten mDNS-Weiche.

Zur Lösung wurde einfach unter

/etc/unbound/conf.d

die Datei

<xxxxxx>-local.conf

mit folgendem Inhalt angelegt:

forward-zone: 
name: "xxxxxx.local"
forward-addr: <a>.<b>.<c>.<d> # eth0
forward-addr: <a>.<b>.<c>.<e> # eth0

und danach unbound neu gestartet.

Danach meckerte dig zwar noch, daß .local reserviert sei, führte aber die Namensauflösung korrekt durch.

Details
Geschrieben von: Thomas Völker
Kategorie: Secure Web Gateway
Zugriffe: 90