DNS interno aziendale: setup e best practice

Il DNS interno è il sistema nervoso di una rete aziendale: senza di esso file server, stampanti, applicazioni client-server e Active Directory smettono di funzionare. Eppure è spesso il servizio meno documentato e più trascurato, salvo poi diventare l'oggetto di emergenza ogni volta che qualcosa non funziona.

Quando serve un DNS interno

Un DNS interno serve sempre quando l'azienda ha Active Directory, un dominio interno, server da risolvere per nome, applicazioni che non gradiscono indirizzi IP, o quando si vuole bloccare l'accesso a domini esterni (filtro web a livello DNS). Inoltre permette di gestire split DNS, ovvero rispondere in modo diverso allo stesso FQDN a seconda che la richiesta arrivi dall'interno o dall'esterno.

Quale software scegliere

Le opzioni più comuni in azienda sono: Microsoft DNS integrato con Active Directory (la scelta naturale in ambiente Windows), BIND su Linux per configurazioni complesse, Unbound come resolver caching, PowerDNS con backend database per zone dinamiche, e AdGuard Home o Pi-hole per il filtraggio anti-tracking. La scelta dipende dal sistema operativo dominante e dalle esigenze di scalabilità.

Procedura passo-passo

1. Scegli un dominio interno separato da quello pubblico: ad esempio se il sito è azienda.it, usa azienda.local oppure ad.azienda.it.
2. Installa due server DNS interni per ridondanza, possibilmente in due locali fisici diversi.
3. Configura le zone forward (nome-IP) e reverse (IP-nome) per ogni subnet.
4. Imposta forwarder verso DNS pubblici sicuri come Cloudflare 1.1.1.1, Quad9 9.9.9.9 o Google 8.8.8.8.
5. Abilita DNSSEC validation sui resolver per proteggere dagli spoofing.
6. Distribuisci i DNS interni via DHCP option 6.
7. Imposta il dominio di ricerca (option 15 e 119) per evitare di dover digitare il FQDN completo.
8. Monitora con strumenti come dnstop o le query log per individuare anomalie.

Considerazioni di costo, formazione e governance

Un'aspetto spesso sottovalutato nella progettazione di una soluzione di rete e il total cost of ownership (TCO) sul medio-lungo periodo, non solo il prezzo di listino degli apparati. Vanno considerati: licenze annuali, contratti di manutenzione hardware, energia consumata, formazione del personale interno, costo di gestione operativa, costo di sostituzione a fine vita. Una soluzione apparentemente conveniente puo rivelarsi cara dopo 3-5 anni di esercizio se le licenze rinnovabili o il supporto tecnico crescono in modo significativo.

La formazione del team e un'investimento che ripaga sempre. Le tecnologie di rete moderne richiedono competenze trasversali: networking puro, sicurezza, automazione, cloud. Certificazioni come CCNA, CompTIA Network+, Aruba ACMA, Fortinet NSE, Mikrotik MTCNA sono percorsi consolidati. Per le PMI italiane esistono corsi finanziati da fondi interprofessionali (Fondimpresa, Fondir, For.Te) che coprono buona parte del costo. Pianificare il piano formativo annuale insieme al budget IT garantisce continuita e crescita delle competenze interne.

Sul piano della governance, una rete aziendale moderna richiede policy chiare e documentate: chi puo accedere a cosa, con quali credenziali, in quali orari, da quali device. Il framework consigliato in Italia per PMI e ISO/IEC 27001:2022 integrato con le linee guida AgID per la PA. Per settori specifici (finanza, sanita, energia) si applicano normative aggiuntive (PSD2, regolamento DORA, NIS2, GDPR in particolare). Stabilire un sistema di gestione della sicurezza delle informazioni (SGSI) ancorche minimale riduce il rischio operativo e facilita audit con clienti enterprise sempre più esigenti.

Errori comuni e come risolverli

• Single point of failure: un solo server DNS interno blocca l'intera azienda quando va giù. Sempre minimo due, idealmente tre.
• Forwarder pubblico come unico DNS: rallenta tutto e impedisce la risoluzione interna. Il DNS pubblico va come forwarder, non come DNS primario.
• Dominio .local in conflitto con mDNS: ormai sconsigliato, Apple usa .local per Bonjour. Meglio un sottodominio del dominio reale.
• Cache poisoning: abilita DNSSEC e DNS over TLS dove possibile.

Approfondimenti tecnici e scenari avanzati

Nella pratica quotidiana di un sysadmin che lavora con DNS interno aziendale, alcuni aspetti aggiuntivi meritano attenzione particolare. La gestione corretta in ambienti enterprise richiede di considerare l'integrazione con altri sistemi già presenti, la scalabilità futura e gli aspetti operativi day-2 spesso sottovalutati nella fase di design iniziale. Una configurazione che funziona bene per 50 utenti puo creare problemi seri a 200, ed e fondamentale prevedere fin da subito i punti di crescita.

Sul piano della sicurezza, l'attenzione si e spostata negli ultimi anni dal perimetro tradizionale al modello zero trust, dove ogni accesso viene verificato indipendentemente dalla provenienza. Per DNS interno aziendale questo significa applicare principi come minimum privilege, segregation of duties e continuous verification anche dove storicamente si dava fiducia implicita. Audit log, monitoring di anomalie e alert tempestivi sono ormai requisiti di base, non optional. Le normative europee come NIS2 e DORA stanno rendendo questi requisiti vincolanti per categorie sempre più ampie di aziende italiane.

Dal punto di vista operativo, l'automazione e ormai necessaria per gestire infrastrutture moderne con risorse umane limitate. Tool come Ansible, Terraform e script Python permettono di trattare la configurazione di rete come codice, versionata in git con pull request, review e CI/CD. Anche in piccole PMI vale la pena investire in queste pratiche: il tempo recuperato in change ripetitivi compensa rapidamente la curva di apprendimento iniziale, e la qualità aumenta perché le configurazioni sono validate prima del deployment.

Infine, il rapporto con i fornitori e gli operatori di telecomunicazione e importante. Avere chiari i punti di contatto NOC, le procedure di apertura ticket, gli SLA contrattuali e i meccanismi di escalation evita di scoprire questi dettagli durante un'incident critico. Documentare contratti, scadenze, modalita di rinnovo e clausole di uscita in un repository accessibile al team riduce la dipendenza da singole persone e migliora la continuita operativa nel medio periodo.

Domande frequenti

D: Posso usare 8.8.8.8 come DNS primario in azienda?
R: No se hai Active Directory. Sì come forwarder dietro al DNS interno.

D: Cos'è lo split DNS?
R: La stessa zona risolta in modo diverso da dentro e da fuori la rete.

D: Conviene un dominio .local o .lan?
R: Meglio un sottodominio reale come corp.azienda.it per evitare problemi con certificati e mDNS.

Hai bisogno di aiuto?

Se vuoi affidare la gestione rete aziendale al team di G Tech Group, scrivici tramite il modulo di contatto.