Мифы #2

klink0v — 25.05.2025

В этот раз всего один миф "вдогонку". Забыл про него упомянуть в предыдущей серии.

Миф 6. DNS-домены для внутреннего использования нужно называть ".local" либо каким-нибудь несуществующим именем наподобие ".kom" или ".lan".

Когда-то очень давно, помнится, я даже встречал подобные рекомендации в каких-то серьезных книжках по администрированию Windows NT 4. Так что вполне возможно, что в те незапамятные времена подобные рекомендации были актуальны. Сейчас же такое скорее вредно, чем полезно по трём причинам.

1. Появляются новые TLD со скоростью грибов после дождя. И никогда не угадаешь какой из них будет следующим. Вполне возможно, что в ближайшем будущем IANA / ICANN / IETF "угадает" и зарегистрирует именно тот домен, который вы выбрали в качестве "несуществующего".
   
2. И это было бы ещё полбеды, но на этом "вновь придуманном настоящем" TLD могут внезапно принудительно включить HSTS через Preload Lists. И тогда вы в локальной сети уже не сможете поднять web-сервис на "голом" HTTP без шифрования. Лично знаю товарищей, которые именно так "залетели" с доменом ".office".
   
3. Домен ".local" в какой-то момент отдали целиком под службу mDNS. Поэтому если вы его заиспользовали в корпоративной сети, то вы либо сломаете mDNS (который бывает полезен для работы сетевых принтеров), либо поимеете кучу проблем с подключающимися к вам корпоративными VPN-клиентами. Например, те же огрызки не хотят ресолвить ".local" если он в явном виде не прилетает им в качестве primary-домена по DHCP. У systemd-resolved тоже есть кой-какие приколы, с этим же связанные.
   

И ведь что интересно, вера в этот миф не является уделом дедов старой школы навроде меня. Среди заказчиков моей лавки есть пара контор, созданных не далее как в этом / прошлом году. И они при разворачивании внутреннего AD-домена обозвали его "блабла.local". А эта AD такая штука, что её проще полностью грохнуть и развернуть заново, чем менять название домена. Я их предупредил, конечно. Но вряд ли они меня послушают.

Как правильно.

Есть четыре варианта.

• Для домашнего применения выбрать домен "home.arpa". Он официально зарезервирован и описан в RFC8375 как private-use.


• Взять домен ".internal". Он ещё не оформлен в виде RFC, но уже зарезервирован в ICANN и присутствует в черновиках IETF. Так что скорее всего с ним всё будет в порядке.


• Взять реальный домен своей конторы и приделать к нему следующий по счёту уровень а-ля "int.supercompany.com", который и использовать чисто во внутренних целях.


• Зарегистрировать самый дешевый "технический" домен а-ля "slon.ovh" или "lavka.tech", который не будет пересекаться со "внешними" доменами корпорации. Единственное, надо сразу смотреть чтобы его не внесли в HSTS Preload List. А то можно тоже ненароком "влететь" когда внезапно захочется поднять какую-нибудь wiki в локальной сети.

Оставить комментарий

Популярные посты:

masterok

Китайский контракт на строительство Панамского канала признан неконституционным

irin_v

Снежное

pantv

29 января ● "День мобилизации против угрозы ядерной войны" и не только...

smapse

За что студента могут отчислить из вуза (и когда стоит побороться за свои права)

lada-3

Маленькая Венеция — город Спина

nehoroshy

Мадуро, конечно, жалко

5koleso

По заветам Фердинанда Порше: тест гибридного Geely EX5 EM-i

smile_detected

Динозавры возвращаются

• Ранее
• Архив