Configuración del DNS dividido y dinámico en el
Anuncio
Configuración del DNS dividido y dinámico en el concentrador VPN 3000 de Cisco Contenido Introducción prerrequisitos Requisitos Componentes Utilizados Diagrama de la red Convenciones Configuración de DNS y DDNS divididos DNS dividido DDNS Verificación Troubleshooting Información Relacionada Introducción Dividir el Sistema de nombres de dominio (DNS) permite consultas DNS para que ciertos nombres de dominio sean resueltos por los servidores DNS internos sobre el túnel VPN, mientras todas las otras consultas DNS son resueltas por el servidor DNS del Proveedor del servicio de Internet (ISP). Durante la negociación inicial del túnel se “empuja” una lista de nombres de dominio interno al VPN Client. El cliente VPN luego determina si las búsquedas de DNS deben enviarse a través del túnel encripción o enviarse al ISP sin cifrar. El DNS dividido sólo se usa en entornos de tunelización dividida, ya que el tráfico se envía a Internet sobre el túnel encripción y no encripción. DNS dinámica (DDNS) permite el registro automático de los nombres de host VPN Client en un servidor DNS ante una negociación exitosa de la conexión VPN. Cuando un cliente VPN inicia una conexión, el nombre del host local se envía al concentrador, que a su vez lo reenvía al servidor ubicado centralmente en el Protocolo de configuración dinámica de host (DHCP) para la asignación de la dirección. Si el servidor DHCP soporta DDNS, entonces la dirección y el nombre de host asignados son introducidos automáticamente. La asignación de la dirección DHCP es un requisito para el funcionamiento de DDNS, pero no funciona con agrupaciones de direcciones locales. prerrequisitos Requisitos No hay requisitos específicos para este documento. Componentes Utilizados Tanto los DDNS como los DNS divididos se introdujeron en la versión 3.6 del concentrador y del código de cliente. Debe ejecutar al menos estas versiones para activar y configurar esta función. Todas las configuraciones en este documento fueron desarrolladas y probadas usando estas versiones de software y hardware. Concentrador Cisco VPN 3000 versión 3.6.7.A Cliente Cisco VPN versión 3.6.1 La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si la red está funcionando, asegúrese de haber comprendido el impacto que puede tener cualquier comando. Diagrama de la red En este documento, se utiliza esta configuración de red: Convenciones Para obtener más información sobre las convenciones del documento, consulte las Convenciones de Consejos Técnicos de Cisco. Configuración de DNS y DDNS divididos DNS dividido En esta sección encontrará la información para configurar las funciones descritas en este documento. Los parámetros de DNS dividido se configuran dentro de los parámetros de grupo del Concentrador VPN 3000 de Cisco. Por tanto, no es necesario configurar el cliente. 1. En User Management (Administración de usuarios)> Sección Groups (Grupos) de la GUI, seleccione el grupo adecuado y luego Modify Group (Modificar grupo). 2. En la ficha General, introduzca hasta dos servidores internos DNS que transmitirá al cliente. 3. En la ficha Client Config (Config. del cliente), configure la tunelización dividida, el nombre de dominio predeterminado y la lista de dominio de DNS dividido. Después de que el túnel ha sido negociado con éxito utilizando los parámetros arriba, cualquier referencia a hosts con nombres de dominio totalmente aprobados en los dominios Cisco.com o Test.com resulta en una consulta DNS que se envía a través del túnel 192.168.1.1. Las interrogaciones DNS para los host en cualquier otro dominio se envían unencrypted a los servidores DNS proporcionados por el DHCP en el inicio inicial PC encima del tiempo. Nota: La lista del túnel dividido llamada “Red 192.168”, contiene la red 192.168.0.0/16. Esto es necesario para el encripción de las peticiones DNS al servidor DNS interno de 192.168.1.1. DDNS DDNS requiere configuración de la asignación de la dirección DHCP en el Concentrador VPN. Por tanto, no es necesario configurar el cliente. Durante la negociación inicial del túnel, el cliente envía el nombre de su host al concentrador y el concentrador usa esto en su paquete de solicitud DHCP al solicitar una dirección para el cliente. Es el servidor DHCP (Dynamic Host Configuration Protocol, Protocolo de Control Dinámico de Host) el que agrega de manera dinámica este nombre de servidor en el servidor DDNS (Dynamic Domain Name Server, Servidor de Nombre de Dominio Dinámico) Los servidores Windows 2000 DHCP admiten esta funcionalidad. 1. Para configurar la asignación de la dirección DHCP para clientes VPN en el concentrador VPN, en Configuration > System > Servers > DHCP, agregue la dirección de IP de los servidores DHCP. Asegúrese de que DHCP esté habilitado en forma global en el concentrador, en Configuration (Configuración) > System (Sistema) > IP Routing (Ruteo IP) > DHCP Parameters (Parámetros DHCP). Nota: Esto se activa como opción predeterminada. 2. En Configuration (Configuración) > System (Sistema) > Address Management (Administración de direcciones) > Assignment (Asignación), active la opción para asignar direcciones desde un servidor DHCP. Verificación El Log Viewer incluido con el cliente VPN se puede utilizar para asegurarse que los parámetros correctos se están enviando abajo del concentrador VPN. En Options > Filters, configure la clase de registro del Intercambio de claves de Internet (IKE) como High. Después de que el túnel se negocie con éxito, los siguientes mensajes (o su equivalente red-específico) deben estar presentes en el registro. 34 11:43:38.069 03/07/03 Sev=Info/5 IKE/0x63000010 MODE_CFG_REPLY: Attribute = INTERNAL_IPV4_ADDRESS: , value = 192.168.1.50 35 11:43:38.069 03/07/03 Sev=Info/5 IKE/0x63000010 MODE_CFG_REPLY: Attribute = INTERNAL_IPV4_DNS(1): , value = 192.168.1.1 38 11:43:38.069 03/07/03 Sev=Info/5 IKE/0x6300000D MODE_CFG_REPLY: Attribute = MODECFG_UNITY_SPLIT_INCLUDE (# of split_nets), value = 0x00000001 39 11:43:38.069 03/07/03 SPLIT_NET #1 subnet = 192.168.0.0 mask = 255.255.0.0 protocol = 0 src port = 0 dest port=0 Sev=Info/5 IKE/0x6300000F 40 11:43:38.069 03/07/03 Sev=Info/5 IKE/0x6300000E MODE_CFG_REPLY: Attribute = MODECFG_UNITY_DEFDOMAIN: , value = cisco.com 41 11:43:38.069 03/07/03 Sev=Info/5 IKE/0x6300000E MODE_CFG_REPLY: Attribute = MODECFG_UNITY_SPLITDNS_NAME: , value = cisco.com,test.com Los parámetros anteriores se definen de la siguiente manera: INTERNAL_IPV4_ADDRESS - Dirección IP afectada un aparato a la conexión de cliente VPN INTERNAL_IPV4_DNS(1) - Servidor DNS interno MODECFG_UNITY_SPLIT_INCLUDE - Número de redes en la lista del túnel dividido SPLIT_NET #n - Detalles de cada red de túnel dividido que se transmitió al cliente. MODECFG_UNITY_DEFDOMAIN - Domain Name predeterminado MODECFG_UNITY_SPLITDNS_NAME - Lista de dominios internos que se enviarán a INTERNAL_IPV4_DNS Troubleshooting Actualmente, no hay información específica de troubleshooting disponible para esta configuración. Para la información adicional sobre Troubleshooting, refiera a los Problemas de conexión del troubleshooting en el concentrador VPN 3000. Información Relacionada Ejemplos de Configuración y Lista de Notas Técnicas © 1992-2016 Cisco Systems Inc. Todos los Derechos Reservados. Fecha de Generación del PDF: 17 Octubre 2016 http://www.cisco.com/cisco/web/support/LA/102/1027/1027115_dns_split_dynam.html
