Ativar o DNS na sua rede

Onde fica: Configuração DNS › Acesso

Ativar o Integrador DNS tem duas partes: liberar as redes dos assinantes para consultar o servidor e apontar os assinantes para o endereço dele. A primeira é feita no servidor; a segunda, no equipamento que entrega a configuração aos clientes (DHCP, PPPoE ou RADIUS).

Antes de começar

Observação

O Integrador DNS nunca responde ao mundo inteiro. Ele só atende redes autorizadas, para não virar um "resolvedor aberto" que pode ser usado em ataques de amplificação.

• O servidor precisa de um endereço IP fixo, acessível pela rede dos assinantes, com as portas 53 (UDP e TCP) liberadas no firewall. As portas 80 e 443 servem ao painel.
• Para o painel, o perfil precisa ser Administrador (alterar o modo de acesso exige esse perfil).

Passo a passo

1. Definir o modo de acesso

1. Abra Configuração DNS › Acesso.
2. Escolha o modo de acesso:
   • Apenas rede interna — só responde a redes internas.
   • Redes autorizadas — responde às redes que você lista (o modo normal de um provedor).
   • Público com restrições — abre além da rede interna, mas exige que você informe as redes permitidas. A tela avisa que isso pode causar abuso e amplificação.
   • Bloqueado temporariamente — pausa o atendimento.
3. Preencha os campos de IPs de escuta, redes permitidas, IPs bloqueados e IPs permitidos (separados por vírgula; redes no formato 192.0.2.0/24).
4. Clique em Aplicar regras de acesso. A tela confirma e informa se o resolvedor continua "seguro" (não aberto).
5. Em Configuração do Nó, informe o hostname do servidor e o nome do nó (por exemplo, DNS1) e salve. O nome do nó aparece em relatórios e na auditoria.

Atenção

A lista de redes que de fato recebem resposta fica nos arquivos de configuração do DNS do servidor (dnsdist e recursor), definidos na instalação. Por padrão eles aceitam as faixas privadas (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16), o próprio servidor e os endereços IPv6 internos e globais. Se os seus assinantes saem para a internet por faixas públicas ou por CGNAT, peça ao responsável pela instalação para incluir essas faixas na configuração do servidor — o painel registra a regra e a auditoria, mas não substitui esse ajuste.

2. Apontar a rede para o servidor

O assinante só passa a usar o Integrador DNS quando o endereço do servidor chega a ele como servidor DNS. Isso é configurado no equipamento da sua rede, não no painel do DNS. Use o mesmo endereço IP do servidor e, se tiver mais de um servidor, informe o principal e o secundário.

• DHCP — nas opções do servidor ou do escopo DHCP, troque a opção de servidores DNS pelo IP do Integrador DNS.
• PPPoE — no concentrador (BNG/NAS), nos perfis de acesso (pool/profile), informe o IP do Integrador DNS como DNS primário e secundário entregue ao cliente na autenticação.
• RADIUS — se o seu RADIUS entrega o DNS ao cliente por atributo de resposta, ajuste o valor para o IP do Integrador DNS.

Dica de implantação

Faça a troca primeiro em um perfil ou escopo de teste, confirme que os clientes dessa faixa resolvem nomes e aparecem no Dashboard DNS, e só depois estenda para os demais.

3. Conferir

1. Abra Monitoramento › DNS e veja se o número de consultas por segundo sobe quando os clientes de teste navegam.
2. Abra Ferramentas › DNS Tools e faça uma resolução de teste.
3. Abra Monitoramento › Relatório DNS e procure o IP de um cliente de teste: as consultas dele devem aparecer.

Regras que a tela aplica

Atenção

• Só o Administrador altera o acesso.
• No modo Público com restrições, o painel recusa salvar sem ao menos uma rede permitida.
• Toda alteração fica na auditoria, com o antes e o depois.

O que acontece depois

• Os assinantes passam a resolver nomes pelo Integrador DNS: as consultas entram nos relatórios e os bloqueios e filtros passam a valer.
• O servidor usa dois resolvedores recursivos em paralelo (alta disponibilidade): se um falhar, o outro continua atendendo.
• O servidor atende IPv4 e IPv6 (a partir da v2.17.0).
• Para evitar sobrecarga, o servidor limita o volume de consultas por IP — veja Proteção anti-abuso e DDoS.

Perguntas frequentes

Posso ter mais de um servidor? Sim. O painel tem a visão Cluster e a Sincronização entre nós; os bloqueios são replicados entre os servidores do cluster.

O assinante precisa instalar algo? Não. Basta o equipamento da rede entregar o novo servidor DNS.

Leia também

• Proteção anti-abuso e DDoS
• Relatórios e visibilidade