Split-Horizon DNS (Split-View DNS、Split-Brain DNS、Split DNS とも呼ばれる) は、同じドメイン用に 2 つのゾーンが作成されており、1 つのゾーンは内部ネットワークによって使用され、もう 1 つのゾーンは外部ネットワーク (通常、インターネット) によって使用される際に用いられる用語です。従って、使用している DNS サーバに応じて、ドメインが異なる IP アドレスに解決できます。これは、「内部」または「外部」のどちらのネットワークを使用するかによって異なります。
Windows では、Secure Access Layer (SAL) を使用してポリシーを強制します。これは、DNS 方式の強制です。これは、基本的に、すべての DNS ルックアップが SAL によって行われることを意味し、この仕組みは Split-Horizon DNS では問題となります。内部サービスの IP アドレスは内部 DNS によってのみ解決され、SAL では解決されないためです。
ユーザが自宅で自分のブラウザを経由して api.jamf.com にアクセスした場合、パブリック DNS サービスが使用され、IP 1.2.3.4 に解決されます。ユーザがオフィスに出勤して、社内の Wi-Fi に接続し、社内のブラウザを経由して api.jamf.com にアクセスした場合、Wi-Fi ルータに構成されたプライベート DNS サービスが使用され、IP 1.2.3.6 に解決されます。
これは、社内リソースのための一般的なセキュリティ対策であり、攻撃者がドメインを検出して列挙する能力を制限するものです。
サイトが、パブリック DNS サービスによって IP アドレスに解決できる状態でありながら、該当の IP アドレスが正しくないかアクセス不可である場合、以下のステップを実行して DNS 許可リストを構成する必要がある場合があります。このオプションは、Windows アプリで特定の FQDN に対して SAL を使用することを完全に停止させます。
デバイスに上限が設定されている場合でも、データ通信使用量ポリシーの許可リストに該当のページが追加されている場合を除き、ページの読み込みは阻止されます。
FQDN がパブリック DNS によって解決できるかどうかを確認してください。解決できない場合、Split-Horizon DNS をサポートするように Windows を構成する必要がない場合があります。
これを確認するには、以下の手順に従います。
https://mxtoolbox.com/dnscheck.aspx にアクセスします。
- 内部サイトの FQDN を入力します。例：internal.site.customer.com
DNS レコードが検出されない場合、Split-Horizon DNS をサポートするように Windows を構成する必要はありません。
ある IP アドレスが返された場合、手順を継続し、許可リストを作成することで、Split-Horizon DNS をサポートするように Windows を構成することができます。