Domaine de premier niveau / suffixe de domaine pour réseau privé?

Dans nos bureaux, nous disposons d’un réseau local avec une configuration DNS purement interne, sur laquelle tous les clients sont nommés whatever.lan. J'ai également un environnement VMware et, sur le réseau composé uniquement de machines virtuelles, je nomme les machines virtuelles whatever.vm.

Actuellement, ce réseau pour les machines virtuelles n'est pas accessible à partir de notre réseau local, mais nous mettons en place un réseau de production vers lequel migrer ces machines virtuelles, qui seront accessibles depuis le réseau local. Par conséquent, nous essayons de régler sur une convention pour le suffixe de domaine / TLD nous appliquons aux clients sur ce nouveau réseau , nous mettons en place, mais nous ne pouvons pas trouver une bonne, étant donné que .vm, .localet .lantous ont des connotations existantes dans notre environnement.

Alors, quelle est la meilleure pratique dans cette situation? Existe-t-il une liste de noms de domaine ou de TLD pouvant être utilisés en toute sécurité sur un réseau purement interne?

Ne pas utiliser un TLD inventé. Si l'ICANN le déléguait, vous auriez de gros problèmes. Même chose si vous fusionnez avec une autre organisation qui utilise le même nom de domaine factice. C'est pourquoi les noms de domaine uniques au monde sont préférés.

La norme RFC 2606 réserve des noms pour des exemples, de la documentation, des tests, mais rien pour un usage général, et pour de bonnes raisons: aujourd'hui, il est si facile et peu coûteux d'obtenir un nom de domaine réel et unique qu'il n'y a aucune bonne raison d'utiliser un nom de domaine. mannequin.

Alors, achetez iamthebest.orget utilisez-le pour nommer vos appareils.

Utilisez un sous-domaine du domaine enregistré de votre entreprise pour les ordinateurs internes dont vous ne souhaitez pas que les noms soient disponibles sur Internet. (Ensuite, bien sûr, hébergez uniquement ces noms sur vos serveurs DNS internes.) Voici quelques exemples pour la société fictive Example Corporation.

Serveurs faisant face à Internet:
www.example.com
mail.example.com
dns1.example.com

Machines internes:
dc1.corp.example.com
dns1.corp.example.com
client1.corp.example.com

J'ai utilisé "corp" pour indiquer que ce sous-domaine décrit les machines du réseau interne de l'entreprise, mais vous pouvez utiliser tout ce que vous voulez ici, comme "internal": client1.internal.example.com.

N'oubliez pas non plus que les zones et sous-domaines DNS ne doivent pas nécessairement s'aligner sur votre schéma de numérotation de réseau. Ma société, par exemple, compte 37 emplacements, chacun avec son propre sous-réseau, mais tous utilisent le même nom de domaine (interne). Inversement, vous pouvez n'avoir qu'un ou quelques sous-réseaux, mais de nombreux domaines internes homologues ou niveaux de sous-domaines pour vous aider à organiser vos machines.

L'utilisation d'un sous-domaine interne présente un autre avantage: en utilisant habilement les suffixes de recherche et uniquement les noms d'hôte au lieu du nom de domaine complet, vous pouvez créer des fichiers de configuration qui fonctionnent à la fois en développement, en assurance qualité et en production.

Par exemple, vous utilisez toujours "database = dbserv1" dans votre fichier de configuration.

Sur le serveur de développement, définissez le suffixe de recherche sur "dev.example.com" => serveur de base de données utilisé: dbserv1.dev.example.com.

Sur le serveur d'assurance qualité, vous définissez le suffixe de recherche sur "qa.exemple.com" => serveur de base de données utilisé: dbserv1.qa.example.com

Et sur le serveur de production, vous définissez le suffixe de recherche sur "example.com" => serveur de base de données utilisé: dbserv1.example.com

De cette façon, vous pouvez utiliser les mêmes paramètres dans tous les environnements.

Depuis que les réponses précédentes à cette question ont été écrites, plusieurs RFC ont quelque peu modifié les indications. La RFC 6761 traite des noms de domaine à usage spécial sans fournir de conseils spécifiques aux réseaux privés. La RFC 6762 recommande toujours de ne pas utiliser de TLD non enregistrés, mais reconnaît également qu'il y a des cas où cela sera fait de toute façon. Comme le fichier .local couramment utilisé est en conflit avec le multidiffusion DNS (le sujet principal du RFC), l' annexe G. Les espaces de noms DNS privés recommandent les TLD suivants:

• intranet
• interne
• privé
• corp
• domicile
• lan

IANA semble reconnaître les deux RFC, mais n'incorpore pas (actuellement) les noms énumérés à l'annexe G.

En d'autres termes: vous ne devriez pas le faire. Mais quand vous décidez de le faire quand même, utilisez l’un des noms ci-dessus.

Comme déjà dit, vous ne devriez pas utiliser un TLD non enregistré pour votre réseau privé. Surtout maintenant que l'ICANN autorise presque tout le monde à enregistrer de nouveaux TLD. Vous devriez alors utiliser un vrai nom de domaine

De l'autre côté, le RFC 1918 est clair:

Les références indirectes à de telles adresses doivent être contenues dans l'entreprise. Les enregistrements de ressources DNS et autres informations faisant référence à des adresses privées internes sont des exemples remarquables de telles références. Votre serveur de noms doit donc également utiliser des vues pour empêcher la transmission des enregistrements privés sur Internet.

Nous avons tendance à ne considérer aucune différence dans la dénomination virtuelle des hôtes par rapport à la physique. En fait, nous avons pris l'habitude d'abstraire la configuration de l'hôte (logiciel) de la couche physique.

Nous achetons donc des éléments matériels et créons des éléments hôtes par-dessus ceux-ci (et utilisons une relation simple pour l'indiquer dans notre documentation).

Le but est que, quand un hôte existe, le DNS ne devrait pas être le facteur déterminant - car nous avons des machines qui se déplacent d'un espace à un autre - par exemple, une webapp peu performante n'a pas besoin de consommer des cycles de processeur coûteux - virtualisez-la et conserve son schéma de nommage, tout continue à fonctionner.

Je ne suis pas sûr que cela vous aidera, mais pour le DNS interne de mon compte AWS, j'utilise .awsle tld, et cela semble parfaitement fonctionner.

Je sais qu'il y a des TLD que vous devriez simplement ne pas utiliser, mais à part ceux-là, je ne pense pas que ce soit trop strict.

Je travaillais à quelques grandes entreprises, où ils utiliseraient la source d'authentification que le TLD, ce qui signifie si elle était un serveur MS / Windows, en utilisant Active Directory comme source auth, il serait .ad, et quelques autres seraient .ldap(Pourquoi ils weren N'utilisez pas simplement la même source? ou des serveurs répliquant à partir du même service d'annuaire? Je ne sais pas, c'était comme ça quand je suis arrivé là-bas)

Bonne chance