Cette option introduite dans les services DNS sur Windows Server 2016, réduit les risques d'attaques par amplification DNS. Ce type d'attaque en déni de service, vise à envoyer un nombre important de requêtes DNS en modifiant l'IP réseau de la source. Le réseau victime peut recevoir une quantité importante d

Dans l'article précédent, nous avons vu, comment activer DNSSEC sur vos zones DNS internes intégrées à Active Directory. Nous avons vu également, comment configurer les clients DNS du domaine afin d'exiger la vérification des signatures DNS.

Lors de la signature de la zone, nous avons défini un de nos contrôleurs de domaine en tant que maître des clés. 

Configurer le nettoyage des zones DNS

Nous avons vu dans l'article précédent quelques éléments de base pour la configuration du serveur DNS et des zones DNS intégrées Active Directory.

Nous allons poursuivre avec quelques recommandations sur la gestion du service DNS afin de garder des zones à jour et de réduire les risques liés aux caches DNS.

Nous allons commencer par configurer le nettoyage des zones DNS. Il est possible de définir deux valeurs afin de gérer le nettoyage.

Vous souhaitez mettre à jour les adresses IP des DNS primaire et secondaire sur un ensemble des postes utilisant des adresses IP fixes.

Je vous propose un exemple de script minimaliste utilisant un fichier texte contenant la liste des serveurs (compatible avec les anciennes versions de Windows). L'exécution du script se fera depuis un serveur Windows 2008R2 ou supérieur et nécessite des droits d'administrations sur les serveurs cibles.

Les enregistrements liés à Active Directory sont créé par chaque contrôleur de domaine au démarrage du service Netlogon.

Au niveau des clients ils s’enregistrent automatiquement à la connexion au réseau. 

• A : Les enregistrements A permettent la résolution d’un nom d’hôte FQDN en adresse IPv4.
• AAAA : Les enregistrements AAAA représente comme les enregistrements « A » le lien entre un nom FQDN et une adresse IP. Mais si les enregistrements A sont liés à IPv4, les enregistrements AAAA sont liés à IPv6.
• CNAME : Les enregistrements Cname sont des alias d’un nom FQDN vers un autre nom FQDN. Pour résoudre un enregistrement Cname il faut également un enregistrement A (ou AAAA) pour le nom cible du Cname.
Par exemple

Je suppose que vous avez constaté dès les premiers chapitres qu’ils existent différents type de zones. Nous avons parlé de zone principale (en lecture / écriture), de zone secondaire (en lecture seule).Dans les options il y avait aussi la zone de Stub et j’avais précisé que nous reviendrons sur ce point plus tard. Puis nous sommes passés toute autre chose les redirecteurs standard ou conditionnelle, la délégation de zone. Cela parait confus mais vous allez vitre comprendre n’avoir pas de suite parlé des zone de Stub.

Un redirecteur est un élément de configuration permettant de rediriger des requêtes DNS pour des zones inconnus du serveur vers d’autres serveurs DNS. Le redirecteur conditionnel définit le serveur de nom pour un espace de nom alors que le redirecteur simple définit un redirecteur pour tous les noms qui dont la zone n’est pas géré sur le serveur.

Nous avons supprimé la zone « dom1.local » du 2^ème serveur et nous avons supprimé son enregistrement NS dans la zone.

Nous allons maintenant créer la zone « dom1.local » sur le serveur Windows 2012.

Lancer la console DNS, faire un clic droit sur "zone de recherche directe" puis nouvelle zone :

L’assistant « nouvelle zone » s’ouvre, cliquez sur suivant :

Nous allons ajouter une zone principale (coché par défaut) :