Problema dns

[Piero]

Chiedo cortesemente aiuto, sto impazzendo:
in una rete locale con dominio, i clients riscontrano problemi di rete. Ho
verificato che si tratta di un problema relativo alla configurazione del dns
del server. Quest'ultimo è l'unico server della rete(s.o. 2003 sp2) che fa
da ds e da server di file. Dico questo perchè ho riscontrato quanto segue:
i clients funzionano bene, per quanto riguarda i servizi di rete locale, se
hanno come dns primario l'ip locale del server e come secondario uno dei due
ip fornitoci dall'isp. Ma hanno però problemi a scaricare la posta perchè il
server dns non risolve il nome del nostro dominio di posta. Faccio notare
che il nome del nostro dominio di posta è uguale al nome del dominio
interno(non so se significa qualcosa).
E questo nonostante nella configurazione del server dns abbia configurato
correttamente i server di inoltro con gli ip fornitoci dal nostro provider.

Se invece setto sui clients il dns primario con uno dei due ip fornitoci
dall'isp e il dns secondario con l'ip locale del server(praticamente il
contrario della configurazione precedente), il problema dello scarico della
posta si risolve, ma si creano problemi relativi ai servizi di rete locale.
E cioè stampanti di rete o cartelle sul server non più accessibili.

Questo è cominciato a succedere dopo aver riformattato il server. Prima
funzionava tutto correttamente. Spero di essere stato chiaro, altrimenti
sarò di felice di rispondere alle vostre domande.

In ansiosa attesa di una vostra dritta, saluto cordialmente.

Piero

[Renaissance]

Post by Piero
Questo è cominciato a succedere dopo aver riformattato il server. Prima
funzionava tutto correttamente. Spero di essere stato chiaro, altrimenti
sarò di felice di rispondere alle vostre domande.

Si capisce con sufficiente chiarezza che l'errore e' stato aver
configurato un dominio active directory usando per la parte dns,
in luogo di un nome di dominio con TLD ad uso "privato" (e.g.
domain.lan, domain.local) il vostro dominio DNS registrato (che come
ovviamente pare di capire, e' gestito da ben altri NS autoritativi...
e quindi non si capisce come mai tale dominio registrato sia stato
impostato sul server AD, che e' sempre autoritativo per il *proprio*
dominio DNS...).
Ovviamente impostare i forwarders non ha nessun effetto, perche' il
server DNS di windows non effettuera' forward per richieste di
risoluzione su un dominio example.tld per cui egli e' un NS
autoritativo...
Per uscire dall'empasse, la cura drastica sarebbe purtroppo quella di
reinstallare il server (cui consegue il necessario rejoin delle stazioni
di lavoro...), BTW e' applicabile una sorta di workaround: impostare
i record A e MX necessari per la posta sul server DNS di windows server.
Chiaro che, se sui NS autoritativi del dominio in questione cambiano
qualcosa, dovrete riportare a manina le stesse modifiche sul vostro
server DNS locale.

bye G.L.

[Renaissance]

Post by Renaissance
Per uscire dall'empasse, la cura drastica sarebbe purtroppo quella di
reinstallare il server

Beh G.L., non esagerare: un demote-promote e' piu' che sufficiente. :-)

bye G.L.

[Piero]

Post by Renaissance
Si capisce con sufficiente chiarezza che l'errore e' stato aver
configurato un dominio active directory usando per la parte dns,
in luogo di un nome di dominio con TLD ad uso "privato" (e.g.
domain.lan, domain.local) il vostro dominio DNS registrato (che come
ovviamente pare di capire, e' gestito da ben altri NS autoritativi...
e quindi non si capisce come mai tale dominio registrato sia stato
impostato sul server AD, che e' sempre autoritativo per il *proprio*
dominio DNS...).
Ovviamente impostare i forwarders non ha nessun effetto, perche' il
server DNS di windows non effettuera' forward per richieste di
risoluzione su un dominio example.tld per cui egli e' un NS
autoritativo...
Per uscire dall'empasse, la cura drastica sarebbe purtroppo quella di
reinstallare il server (cui consegue il necessario rejoin delle stazioni
di lavoro...), BTW e' applicabile una sorta di workaround: impostare
i record A e MX necessari per la posta sul server DNS di windows server.
Chiaro che, se sui NS autoritativi del dominio in questione cambiano
qualcosa, dovrete riportare a manina le stesse modifiche sul vostro
server DNS locale.

Intanto ti ringrazio per avermi risposto e mi spiace per il tenpo che hai
perso per fornirmi i dettagli del caso, ma essendo un pricipiante non ho
capito ne la diagnosi che hai fatto e ne la soluzione che mi pare prospetti
come alternativa alla reinstallazione del server .
E' troppo se ti chiedo di essere più chiaro?

Grazie mille
Piero

[Renaissance]

Post by Piero
Intanto ti ringrazio per avermi risposto e mi spiace per il tenpo che hai
perso per fornirmi i dettagli del caso,

Di nulla, un ng e' uno strumento di scambio e arricchimento.

Post by Piero
ma essendo un pricipiante non ho
capito ne la diagnosi che hai fatto e ne la soluzione che mi pare prospetti
come alternativa alla reinstallazione del server .
E' troppo se ti chiedo di essere più chiaro?

Allora, nel frattempo che attendevo una tua risposta mi son permesso
di fare un'indagine. Lavoriamo sul workaround (anche se consiglio
presto o tardi di rifare il dominio AD), il dominio immagino sia
riferito ad una ditta di stampi, giusto?

bye G.L.

[Piero]

Post by Renaissance
Allora, nel frattempo che attendevo una tua risposta mi son permesso
di fare un'indagine. Lavoriamo sul workaround (anche se consiglio
presto o tardi di rifare il dominio AD), il dominio immagino sia
riferito ad una ditta di stampi, giusto?

Perchè è importante sapere il genere di ditta? Cosi, giusto per capire.
Comunque hai ragione.
Approfitto per essere più chiaro. Siccome mi pare di aver capito che il
problema consiste nel fatto che il nome del dominio AD sia uguale a quello
registrato presso il nostro provider, chiarisco, con degli esempi, questa
cosa. Il dominio AD si chiama "prova", mentre il dominio internet si chiama
"prova.it". E' questo il problema? Se si, come posso rimediare senza
reinstallare il server?
Ti ringrazio ancora per l'attenzione.

Piero

[Renaissance]

Post by Piero
Perchè è importante sapere il genere di ditta? Cosi, giusto per capire.

No, non e' intenzione farmi i fatti vostri. E' importante sapere qual'e'
il dominio, per ricavare i giusti record MX e A (BTW non sarebbe neanche
un problema dire nel ng qual'e', ma lascio a te la scelta).

Post by Piero
Comunque hai ragione.
Approfitto per essere più chiaro. Siccome mi pare di aver capito che il
problema consiste nel fatto che il nome del dominio AD sia uguale a quello
registrato presso il nostro provider, chiarisco, con degli esempi, questa
cosa. Il dominio AD si chiama "prova", mentre il dominio internet si chiama
"prova.it". E' questo il problema? Se si, come posso rimediare senza
reinstallare il server?

Ok, "prova" sara' il dominio *netbios*, ma quello DNS? E' "prova.it",
come il dominio registrato? Il problema sta tutto li'...

Reinstallare no (c'e' un post in cui mi sono corretto), piu' che altro
effettuare il de-join delle stazioni di lavoro, fare un demote e un
successivo promote col corretto nome di dominio, ed effettuare il join
delle stazioni di lavoro al nuovo dominio. Al limite ci si facilita
un po' il lavoro sulle stazioni con le migrazioni dei profili utente,
per non dover riconfigurare del tutto i client.
Quella che invece ti sto proponendo NON e' una soluzione, ma solamente
un escamotage provvisorio ("scimmiottare" la zona DNS del vostro
dominio registrato) che vi consenta di risolvere sul momento i problemi
di conflitto sul dominio AD e il dominio esterno. Ma prima o poi vi
consiglio di effettuare il lavoro di rifacimento del dominio AD...

Comunque, torniamo a noi:

dig MX tuodominio.com mi restituisce:

[SNIP]
;; ANSWER SECTION:
tuodominio.com. 21600 IN MX 10 mx.tuodominio.com.

[SNIP]
mx.tuodominio.com. 21593 IN A 62.149.128.166
mx.tuodominio.com. 21593 IN A 62.149.128.72
mx.tuodominio.com. 21593 IN A 62.149.128.74
mx.tuodominio.com. 21593 IN A 62.149.128.151
mx.tuodominio.com. 21593 IN A 62.149.128.154
mx.tuodominio.com. 21593 IN A 62.149.128.157
mx.tuodominio.com. 21593 IN A 62.149.128.160
mx.tuodominio.com. 21593 IN A 62.149.128.163

Siccome suppongo che per ricevere la posta facciate uso di
mail.tuodominio.com, dig mail.tuodominio.com mi restituisce:

[SNIP]
mail.tuodominio.com. 21089 IN A 62.149.128.157
mail.tuodominio.com. 21089 IN A 62.149.128.160
mail.tuodominio.com. 21089 IN A 62.149.128.163
mail.tuodominio.com. 21089 IN A 62.149.128.166
mail.tuodominio.com. 21089 IN A 62.149.128.72
mail.tuodominio.com. 21089 IN A 62.149.128.74
mail.tuodominio.com. 21089 IN A 62.149.128.151
mail.tuodominio.com. 21089 IN A 62.149.128.154
(che poi incidentalmente sono gli stessi ip associati a
mx.tuodominio.com).

dig smtp.tuodominio.com:

[SNIP]
smtp.tuodominio.com. 21591 IN A 62.149.128.203
smtp.tuodominio.com. 21591 IN A 62.149.128.200
smtp.tuodominio.com. 21591 IN A 62.149.128.201
smtp.tuodominio.com. 21591 IN A 62.149.128.202

Poi, per i record www e ftp mi restituisce 62.149.130.245

Ora, non ti resta in win2k3 che andare in gestione DNS di strumenti di
amministrazione, e inserire (tasto dx su zone di ricerca
diretta/tuodominio.com, nuovo record...) i record A mx, mail, smtp,
(senza .tuodominio.com) con l'indirizzo ip tante volte quanti sono gli
indirizzi ip associati. E poi inserire anche i record A www e ftp
associati all'ip 62.149.130.245 (perche' in una tale situazione mi sa
che non risolvete neanche il nome del vostro sito web...).

Poi inserisci un record MX: in dominio host o figlio non ci metti
nulla, e valorizzi l'FQDN con mx.tuodominio.com.

Verifichi poi che ogni stazione di lavoro abbia un *unico* DNS che
punti all'ip del server windows, apri un prompt di dos e digiti
ipconfig /flushdns <invio>, e dopo provi a vedere se la posta funzia
sia in ricezione che in spedizione.

bye G.L.

[Piero]

Post by Renaissance
Ok, "prova" sara' il dominio *netbios*, ma quello DNS? E' "prova.it",
come il dominio registrato? Il problema sta tutto li'...

Mi scuso con l'ng, ma preferisco postare l' immagine della configurazione
del server dns alla mail del mio gentile interlocutore prima di procedere
con le sue indicazioni. Voglio essere sicuro che mi abbia compreso bene.
Grazie ancora

[Renaissance]

Post by Piero
Mi scuso con l'ng, ma preferisco postare l' immagine della configurazione
del server dns alla mail del mio gentile interlocutore prima di procedere
con le sue indicazioni. Voglio essere sicuro che mi abbia compreso bene.
Grazie ancora

Ok, dalla tua email mi limito a dire che, a parte il dominio, il
problema e' proprio quello prospettato, nessuna informazione in piu'.
Continuamo via email, intanto "diggo" un po' sul dominio che mi hai
segnalato.

bye G.L.

[Piero]

Post by Renaissance
Ok, dalla tua email mi limito a dire che, a parte il dominio, il
problema e' proprio quello prospettato, nessuna informazione in piu'.
Continuamo via email, intanto "diggo" un po' sul dominio che mi hai
segnalato.

Ok, provo.
Grazie

Piero

[Piero]

Ho fatto quanto mi hai suggerito, ma il problema non ancora si risolve. E'
possibile comunque che non abbia eseguito bene le tue indicazioni. Infatti
ho trovato difficoltà nell' applicarle. Ti dico cosa ho fatto.

Nella fase di aggiunta del record A, la finestra mi chiedeva di indicare un
nome: ho lasciato vuoto non sapendo cosa mettere. Ho aggiunto invece tutti
gli ip abbinati al nostro pop3 . Siccome ancora non funzionava sono
ritornato nella funestra di aggiunta del record A e ho pensato, questa
volta, che forse nella casella "nome" avrei dovuto indicare
"pop3.nostrodominio.it" e cosi ho fatto riaggiungendo di nuovo tutti gli ip
ad esso associati. Poi ho aggiunto un nuovo record A dove nella casella
"nome" ho scritto "mail.nostrodominio.it" ed anche per questo ho aggiunto
tutti e 8 gli ip come prima.

Per quanto riguarda il record MX invece, non ho fatto niente perchè nella
finestra di dialogo non mi viene chiesto nessun ip in quanto questa è
composta da sole caselle di testo. Per cui ho lasciato perdere.

Questo è tutto.
Grazie ancora per la pazienza

Ciao Piero

[Renaissance]

Post by Piero
Ho fatto quanto mi hai suggerito, ma il problema non ancora si risolve. E'
possibile comunque che non abbia eseguito bene le tue indicazioni. Infatti
ho trovato difficoltà nell' applicarle. Ti dico cosa ho fatto.
Nella fase di aggiunta del record A, la finestra mi chiedeva di indicare un
nome: ho lasciato vuoto non sapendo cosa mettere. Ho aggiunto invece tutti
gli ip abbinati al nostro pop3 . Siccome ancora non funzionava sono
ritornato nella funestra di aggiunta del record A e ho pensato, questa
volta, che forse nella casella "nome" avrei dovuto indicare
"pop3.nostrodominio.it"

ovviamente stai aggiungendo questi record alla zona "nostrodominio.it",
giusto?
Basta pop3, senza .nostrodominio.it. Tutti uguali, uno per ogni ip.

e cosi ho fatto riaggiungendo di nuovo tutti gli ip

Post by Piero
ad esso associati. Poi ho aggiunto un nuovo record A dove nella casella
"nome" ho scritto "mail.nostrodominio.it" ed anche per questo ho aggiunto
tutti e 8 gli ip come prima.

Sarebbero 8 record A. Stesso discorso sopra: un certo numero di record A

Post by Piero
Per quanto riguarda il record MX invece, non ho fatto niente perchè nella
finestra di dialogo non mi viene chiesto nessun ip in quanto questa è
composta da sole caselle di testo. Per cui ho lasciato perdere.

Non e' importante, puoi anche non aggiungerlo. Risparmiati anche
l'aggiunta del record A "mail".

fai una cosa: stoppa e riavvia il server dns, e ricordati di fare
ipconfig /flushdns sulle stazioni di lavoro. Poi, prima di provare
coi programmi di posta elettronica, apri un prompt di dos prima
sul server (che *deve avere come unico DNS* 127.0.0.1, tienilo presente)
e fai ping pop3.nostrodominio.com per vedere se risolve. Prova la
stessa cosa sulle stazioni di lavoro, che *devono avere come unico*
*DNS* l'ip del server windows.

Se c'e' qualche problema, contattami pure via email.

bye G.L.

[ObiWan]

Post by Renaissance
sul server (che *deve avere come unico DNS* 127.0.0.1, tienilo

beh... non è detto, va benone anche l'IP LAN del server, che so
192.168... oppure 10.... o qualcosa del genere :) anzi personalmente
preferisco impostare il tutto in questo modo

[Renaissance]

Post by ObiWan

Post by Renaissance
sul server (che *deve avere come unico DNS* 127.0.0.1, tienilo

beh... non è detto, va benone anche l'IP LAN del server, che so
192.168... oppure 10.... o qualcosa del genere :) anzi personalmente
preferisco impostare il tutto in questo modo

Vero, verissimo, BTW preferivo non mettere altra carne al fuoco
(gia' troppa).
:-)

bye G.L.

[ObiWan]

Post by Piero
Nella fase di aggiunta del record A, la finestra mi chiedeva di
indicare un nome: ho lasciato vuoto non sapendo cosa mettere.

così non va :)

Devi creare nel tuo DNS i records A relativi agli hosts
pop3, smtp, imap, mail, webmail, mx inserendo tutti gli
indirizzi IP; poi devi creare un record MX con priorità
10 inserendo come nome mx.tuodominio.com (ossia
facendolo puntare ai records "A" di nome "mx" che
avrai creato sopra)

L'alternativa è creare nel DNS delle "delegations"
relative agli hosts di cui sopra, ferma restando la
creazione del record MX; in questo secondo modo
non avrai la necessità di variare gli IP nel caso in
cui questi vengano variati sul DNS pubblico

[Renaissance]

Post by ObiWan
L'alternativa è creare nel DNS delle "delegations"
relative agli hosts di cui sopra, ferma restando la
creazione del record MX; in questo secondo modo
non avrai la necessità di variare gli IP nel caso in
cui questi vengano variati sul DNS pubblico

Ottimo e buono a sapersi. :-)

bye G.L.

[ObiWan]

Post by Renaissance

Post by ObiWan
L'alternativa è creare nel DNS delle "delegations"
relative agli hosts di cui sopra, ferma restando la
creazione del record MX; in questo secondo modo
non avrai la necessità di variare gli IP nel caso in
cui questi vengano variati sul DNS pubblico

Ottimo e buono a sapersi. :-)

Beh... in win è "banale", click dx sulla zona, selezioni
"new delegation", in "delegated domain" immetti il
nome FQDN che vuoi (es. mail.example.com) e poi
aggiungi i vari nameservers pubblici; niente di che
e comunque .... funziona :)

[Renaissance]

Post by ObiWan

Post by Renaissance
Ottimo e buono a sapersi. :-)

Beh... in win è "banale", click dx sulla zona, selezioni
"new delegation", in "delegated domain" immetti il
nome FQDN che vuoi (es. mail.example.com) e poi
aggiungi i vari nameservers pubblici; niente di che
e comunque .... funziona :)

Eh ma te lo sai che io sono in costante apprendimento, riguardo
l'argomento. :-) TNX per la dritta.

bye G.L.

[Silverino]

Salve,
mah... ingenere in questi casi, potevi installare un altro dns sever non
itegrato con AD con la zona prova.it e li' creare i record per gestire ill
tuo dominio, oppure dei cname ma nel dns server di che chi gestisce
prova.it.

Post by Renaissance

Post by ObiWan

Post by Renaissance
Ottimo e buono a sapersi. :-)

Beh... in win è "banale", click dx sulla zona, selezioni
"new delegation", in "delegated domain" immetti il
nome FQDN che vuoi (es. mail.example.com) e poi
aggiungi i vari nameservers pubblici; niente di che
e comunque .... funziona :)

Eh ma te lo sai che io sono in costante apprendimento, riguardo
l'argomento. :-) TNX per la dritta.
bye G.L.
--
"E' assolutamente evidente che l'arte del cinema si ispira
alla vita, mentre la vita si ispira alla TV" - Woody Allen

[ObiWan]

Post by Silverino
Salve,
mah... ingenere in questi casi, potevi installare un altro dns sever non
itegrato con AD con la zona prova.it e li' creare i record per gestire ill
tuo dominio, oppure dei cname ma nel dns server di che chi gestisce
prova.it.

In pratica un camion per trasportare un francobollo :)

[Silverino]

In effeti si, ma funzionante,oppure migrare a dominio 2003 nativo o 2008
nativo, a quel punto se nn erro cambio nome dominio, ma poi bisognava rifare
join del dominio a tutti i client.....se la memoria non mi inganna, quindi 2
camion ...

Post by ObiWan
In pratica un camion per trasportare un francobollo :)

[ObiWan]

Post by Silverino
In effeti si, ma funzionante,oppure migrare a dominio 2003 nativo o 2008
nativo, a quel punto se nn erro cambio nome dominio, ma poi bisognava
rifare join del dominio a tutti i client.....se la memoria non mi inganna,
quindi 2 camion ...

Forse non ci siamo capiti, stai suggerendo di mettere in piedi una struttura
con determinati costi e complicazioni per risolvere un "problema" semplice
e risolvibile senza modifiche alla struttura preesistente; se ti piace
complicarti
la vita, fai pure, ma non mi sembra saggio complicarla anche ad altri :)

[Silverino]

Ciao, non vedo dove sono i costi, per quello che la prima ipotesi basta
implementare sul server esistente con microsoft virtual server 2005 r2 un
windows 2003 gratuito dargli il compito di dns, per la seconda ipotesi basta
chiedere a chi gestisce il dominio pubblico di creare un cname anche solo
sui record mx.....
mah se questo vuol dire complicarsi la vita......

Post by ObiWan

Post by Silverino
In effeti si, ma funzionante,oppure migrare a dominio 2003 nativo o 2008
nativo, a quel punto se nn erro cambio nome dominio, ma poi bisognava
rifare join del dominio a tutti i client.....se la memoria non mi inganna,
quindi 2 camion ...

Forse non ci siamo capiti, stai suggerendo di mettere in piedi una struttura
con determinati costi e complicazioni per risolvere un "problema" semplice
e risolvibile senza modifiche alla struttura preesistente; se ti piace
complicarti
la vita, fai pure, ma non mi sembra saggio complicarla anche ad altri :)

[Silverino]

Pardon ... credevo che fosse rivolto al primo post......si in effeti hai
ragione.....costosa......ma funzionante.......

Post by Silverino
Ciao, non vedo dove sono i costi, per quello che la prima ipotesi basta
implementare sul server esistente con microsoft virtual server 2005 r2
un windows 2003 gratuito dargli il compito di dns, per la seconda ipotesi
basta chiedere a chi gestisce il dominio pubblico di creare un cname anche
solo sui record mx.....
mah se questo vuol dire complicarsi la vita......

Post by ObiWan

Post by Silverino
In effeti si, ma funzionante,oppure migrare a dominio 2003 nativo o 2008
nativo, a quel punto se nn erro cambio nome dominio, ma poi bisognava
rifare join del dominio a tutti i client.....se la memoria non mi inganna,
quindi 2 camion ...

Forse non ci siamo capiti, stai suggerendo di mettere in piedi una struttura
con determinati costi e complicazioni per risolvere un "problema" semplice
e risolvibile senza modifiche alla struttura preesistente; se ti piace
complicarti
la vita, fai pure, ma non mi sembra saggio complicarla anche ad altri :)

[Simone Ciamberlini]

Post by Piero
in una rete locale con dominio, i clients riscontrano problemi di rete. Ho
verificato che si tratta di un problema relativo alla configurazione del dns
del server. Quest'ultimo è l'unico server della rete(s.o. 2003 sp2) che fa
i clients funzionano bene, per quanto riguarda i servizi di rete locale, se
hanno come dns primario l'ip locale del server e come secondario uno dei due
ip fornitoci dall'isp. Ma hanno però problemi a scaricare la posta perchè il
server dns non risolve il nome del nostro dominio di posta. Faccio notare
che il nome del nostro dominio di posta è uguale al nome del dominio
interno(non so se significa qualcosa).
E questo nonostante nella configurazione del server dns abbia configurato
correttamente i server di inoltro con gli ip fornitoci dal nostro provider.
Se invece setto sui clients il dns primario con uno dei due ip fornitoci
dall'isp e il dns secondario con l'ip locale del server(praticamente il
contrario della configurazione precedente), il problema dello scarico della
posta si risolve, ma si creano problemi relativi ai servizi di rete locale.
E cioè stampanti di rete o cartelle sul server non più accessibili.

In un ambiente dove i client sono su una rete insieme ad uno o più
controller di dominio, è fondamentale impostare come DNS solo gli ip
del/dei server che hanno installato il ruolo DNS.

Hai un solo domain controller win 2003 con DNS installato? bene, imposti
il solo DNS primario con l'ip del server, il DNS secondario lo lasci _vuoto_

poi sul server devi configurare il DNS per risolvere l'indirizzo da dove
"peschi" la posta, ti faccio un esempio:

Se nei client come pop3/smtp hai mail.pippodominio.it devi fare il
seguente comando DOS per convertirlo in indirizzo IP
nslookup mail.pippodominio.it 8.8.8.8

poi vai nello snap in del DNS in win 2003 e nella zona diretta
pippodominio.it crei un record A di nome "mail" e con indirizzo IP il
risultato del comando precedente

[ObiWan]

rete(s.o. 2003 sp2) che fa da ds e da server di file. Dico questo
perchè ho riscontrato quanto segue: i clients funzionano bene, per
quanto riguarda i servizi di rete locale, se hanno come dns primario
l'ip locale del server e come secondario uno dei due ip fornitoci
dall'isp.

[...]

1. In ambiente AD i clients debbono puntare SOLO e SOLTANTO ai
DNS locali e MAI a DNS esterni quali quelli del provider o altri

2. Non è necessario utilizzare forwarders, il DNS è perfettamente in
grado di funzionare senza alcun forwarder (ed anzi funziona anche
meglio) ma semplicemente utilizzando i root-hints

3. Nel caso di dominio interno/esterno identici è necessario che nella
zona DNS locale vengano configurati gli opportuni records facendo
puntare gli stessi agli opportuni IP pubblici/locali

nel caso in questione il punto "3" significa che, avendo come dominio
(interno ed esterno) example.com ed avendo come mailserver per tale
dominio "mail.example.com" sarà necessario inserire nel DNS un record
di tipo "A" che risolva l'IP di "mail.example.com" con l'indirizzo
esterno
del server che fornisce i servizi di email

Oltre a ciò, sarebbe opportuno che il firewall venisse configurato in
modo
da permettere l'accesso a DNS esterni ai soli servers DNS della LAN
(negandolo a tutti gli altri), ed inoltre, nel caso in questione sarebbe
opportuno che il firewall consentisse l'accesso ai servizi email (POP3,
SMTP, IMAP) soltanto verso il mailserver in uso bloccandolo verso
qualsiasi altro mailserver; in tal modo un eventuale computer infetto
non sarà in grado di inviare messaggi "direct-to-mx"

[Piero]

Grazie mille anche a voi per le dritte che mi date. Molto gentili.

Piero