Guest User!

You are not Sophos Staff.

Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 25 replies
  • Subscribers 2 subscribers
  • Views 21835 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

DNS issue with internal and external domain

Jeff x
Currently, I use the Sophos UTM as my DNS server. I host a few websites (web server is internal) which are accessible from the Internet and I have DNAT's so internal users can access the sites as well. I have encountered an issue and I don't know how to resolve.


I have the following host definition (mysite.com is being used as a substitution for the real FQDN): 

 

and the following DNAT: 

...
Rule type: DNAT
Traffic from: ANY
Using service: 80, 443
Going to: External WAN (public IP address of FQDN)
Change destination to: mysite.com host (pictured in the image above)
...
 
With this setup, everything works fine. Local users and external users can access the domains listed in the network definition above.


 The issue I have encountered is that I have another subdomain (info.mysite.com) that I cannot access from the internal network unless I remove the DNS host name "mysite.com" from the network definition that is pictured above. Of course if I do that, internal users can no longer access 'mysite.com'. 

I cannot set a static record for 'info.mysite.com' in Sophos because it is hosted externally and it has a dynamic public IP address.
 
 Why does having "mysite.com" defined in the network definition cause 'info.mysite.com' to be unresolvable for internal users?


When using nslookup on an internal PC, I get the following: Unknown can't find info.mysite.com: Non-existent domain. If I change the PC's DNS server from Sophos to a public one (e.g., 8.8.8.8), 'info.mysite.com' is accessible from that PC. I also flush the resolver cache on both the Sophos unit and the PC every time I make a change.


This thread was automatically locked due to age.
Parents
  • 0
    If I use the actual public IP address of 'info.mysite.com' to avoid a DNS lookup, I can access the site from any internal PC. 

    You're accessing an internal server using a DNAT from a public IP on the External interface?  If that works, then there's definitely something else going on here.

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • 0 in reply to BAlfson
    @BAlfson
    I don't understand your question :-) Maybe my explanation was not clear. 


    info.mysite.com is an external server with a dynamic public IP address. The main domain (mysite.com) and all other sub domains are internal. I can access info.mysite.com from internal PC's if I do one of the following:

    [LIST=1]
    • Remove mysite.com from the host network definition in Sophos.
    • Add a host network definition in Sophos for info.mysite.com with it's current public IP address.
    • Use the public IP address of info.mysite.com (http://72.2.2.2) instead of the DNS name to avoid a DNS query (which does not happen).
    [/LIST]
    It seems to me that Sophos takes over the entire domain when the base domain is specified in a host definition so DNS queries are not made on subdomains that are not specified anywhere in Sophos.


    @teched
    When I view the files and their contents in  '/var/sec/chroot-bind/zones/static', I don't see anything other than what matches the host definitions. What should I be looking for? I already tried DNS request routing for info.mysite.com. Didn't make any difference.


    @roesch4alc
    The UTM has been rebooted several times so restarting the named service would not matter, would it?

    --------------------------------------------------------------------
    Sophos UTM 9.714-4 - Home User
    Currently testing VM on i3-9100 @ 3.60 GHz
    16 GB RAM
    Dell Optiplex XE
    Intel Core 2 Duo CPU E8600 @ 3.33GHz
    8GB RAM
    --------------------------------------------------------------------

Reply
  • 0 in reply to BAlfson
    @BAlfson
    I don't understand your question :-) Maybe my explanation was not clear. 


    info.mysite.com is an external server with a dynamic public IP address. The main domain (mysite.com) and all other sub domains are internal. I can access info.mysite.com from internal PC's if I do one of the following:

    [LIST=1]
    • Remove mysite.com from the host network definition in Sophos.
    • Add a host network definition in Sophos for info.mysite.com with it's current public IP address.
    • Use the public IP address of info.mysite.com (http://72.2.2.2) instead of the DNS name to avoid a DNS query (which does not happen).
    [/LIST]
    It seems to me that Sophos takes over the entire domain when the base domain is specified in a host definition so DNS queries are not made on subdomains that are not specified anywhere in Sophos.


    @teched
    When I view the files and their contents in  '/var/sec/chroot-bind/zones/static', I don't see anything other than what matches the host definitions. What should I be looking for? I already tried DNS request routing for info.mysite.com. Didn't make any difference.


    @roesch4alc
    The UTM has been rebooted several times so restarting the named service would not matter, would it?

    --------------------------------------------------------------------
    Sophos UTM 9.714-4 - Home User
    Currently testing VM on i3-9100 @ 3.60 GHz
    16 GB RAM
    Dell Optiplex XE
    Intel Core 2 Duo CPU E8600 @ 3.33GHz
    8GB RAM
    --------------------------------------------------------------------

Children
No Data
Unfiltered HTML