Symptome:

Wenn Sie einen Microsoft-DNS-Server (Domain Name System = DNS) zum Auflösen von Clientabfragen zu Internet-Hosts verwenden, können einige Domänennamen möglicherweise nicht aufgelöst werden. Einige der Domänennamen, die von diesem Problem betroffen sind, werden im Folgenden aufgeführt. Das Problem ist jedoch nicht auf die aufgeführten Domänennamen beschränkt:
www.apple.com
www.caldera.com
www.efax.com
www.intel.com
www.fda.gov

Das Problem tritt unter den folgenden Umständen auf:

Ein Microsoft-DNS-Server innerhalb einer Firewall fragt einen Datensatz bei einem autorisierten Namensserver außerhalb der Firewall ab.
Der externe DNS-Server, der die Anforderung beantwortet, besitzt eine andere Quell-IP-Adresse als die Adresse, an die die Abfrage gesendet wurde.

Ursache:

Es kommt zu diesem Problem, weil einige Implementierungen von DNS eine Lastausgleichfunktion besitzen. In solchen Implementierungen kann sich der Server, der eine Abfrage außerhalb der Firewall beantwortet, von dem Server unterscheiden, an den die Abfrage ursprünglich adressiert war.

Unter diesen Umständen verwirft eine Firewall möglicherweise die Antwort von dem externen DNS-Server. Das Paket wird verworfen, weil der interne Host (der DNS-Server innerhalb der Firewall) die Verbindung ursprünglich mit einer anderen Ziel-IP-Adresse eröffnet hat, als die IP-Adresse, an der die Antwort empfangen wurde (der erste externe DNS-Server). Aus diesem Grund kann die Antwort vom externen DNS-Server niemals auf dem DNS-Server innerhalb der Firewall empfangen werden.

Umgehungsmöglichkeit:
So umgehen Sie dieses Problem:

1. Stellen Sie die Option "Forwarder" des DNS-Servers, der einige der Domänennamen nicht auflösen kann, auf einen DNS-Server ein, der außerhalb der Firewall liegt. Die Forwarder-Option veranlasst den internen DNS-Server dazu, eine rekursive Abfrage an einen externen DNS-Server auszuführen. Damit stammt die Antwort von der gleichen Quell-IP-Adresse, an die auch die Abfrage gesendet wurde.
2. Legen Sie eine Regel für die Firewall fest, damit der gesamte an Port 53 eingehende Netzwerkverkehr an die IP-Adresse des internen Microsoft-DNS-Servers geleitet wird. In dieser Einstellung verwirft die Firewall die Antworten nicht mehr, auch wenn diese von einer anderen Quelladresse als der Adresse stammen, an die die Abfrage gesendet wurde.

Weitere Informationen:

Dieses Problem tritt in der Regel nicht auf einem Microsoft-DNS-Server auf, der für eine Zone autorisiert ist, die externe Abfragen aus dem Internet bedient. Der Grund hierfür ist, dass die in der Umgehungsmöglichkeit 2 genannte Regel bereits festgelegt wurde.

Q247681