我们的小办公室应该有内部 DNS 服务器吗？

Question

我管理着一个小办公室（<50 人）。我们的办公室一直都有内部 DNS 服务器。DNS 服务器非常简单，但我们过去曾遇到过使用它们的麻烦。我们有一些办公资源只有在办公室才有，或者通过VPN对外提供，我们也有一些办公资源有公网地址和记录。这些资源目前具有相同的 DNS 名称，尽管这不一定是必需的，而且它们的数量比过去少得多。

我们还拥有内部办公室命名空间，因此可以想象，我可以使用我们拥有的内部办公室资源的所有私有 IP 地址填充我的公共 DNS，然后完全停止使用内部 DNS。

这是一个好主意吗？我从来没有在没有内部办公室 DNS 的地方工作过。我们仍然应该保留它的一些原因是什么？它曾经很重要，现在仍然很方便，但是我们遇到的问题并没有让它感觉方便。

当前保留的原因：

• 拆分 DNS 允许我们为内部托管但外部可用的资源使用相同的主机名
• 我们有一些我们不需要购买的测试域，但如果我们摆脱它们，则需要购买
• ？？？它是熟悉的和令人欣慰的？

摆脱它的原因：

• 目前不支持 IPv6
• DNS 拆分有几个问题，主要是 VPN 配置
• 可能不必要的服务器维护

Answer 1

阅读您的评论...

我会 100% 保留 DNS。我还将您的 LDAP 实现扩展到 AD。50人绝对够大；如果超过 10 个用户完全不是技术人员并且有他们需要访问的多个内部资源，我会为超过 10 个用户实施 DNS。

关于缺点：

• 目前不支持 IPv6

你使用哪个平台？有多个支持 IPv6 的平台 - 即 OpenDNS

• VPN 配置导致问题

无意冒犯，但也许您应该弄清楚为什么VPN 配置会破坏 DNS 并解决这个问题？它比“不，内部 DNS 太复杂，无法与 VPN 一起使用！”的解决办法要好。

• 维护

自动化、自动化、自动化 - 只要您对 DNS 条目和整个系统管理采取智能方法，这应该不会太难。DNS 不应该从根本上改变（至少不经常）。

Answer 2

保留内部 DNS，如有必要，使其冗余。

• SplitBrain DNS 一团糟，但通常您拥有（很多）内部记录而不是外部记录。另外，您可以拆分流量：内部使用内部 IP，外部使用外部 IP。
• AD 100% 依赖 DNS
• 您不依赖于您的 ISP 的 DNS，因为您的 DNS 将能够使用递归。
• 您不希望每个人都能够查找您的内部资源
• 您不想为您的 (DNS-)ISP 提供内部资源

当每个人都只是使用互联网而您不必管理自己的服务器时，您不需要自己的 DNS。VPN 对我来说听起来像内部服务，只是将它们保留在内部。

• 目前不支持 IPv6

还有没有 v6 的 DNS 服务器吗？在这里了解最新信息。

• DNS 拆分有几个问题，主要是 VPN 配置

配置问题不会随着服务的消失而消失。您仍然需要正确设置您的 vpn，现在包括外部 DNS 流量的突破规则。

• 可能不必要的服务器维护

DNS 通常很小，不需要自己的盒子。只需在其中一台可靠的服务器（如文件或邮件）上设置一个。