Quatro modos, e não são variações da mesma coisa

O FortiGate pode atender DNS numa interface, e o modo define o que ele faz com cada consulta que recebe:

  • Forward to System DNS (forward-only na ) transforma o FortiGate num relay, que só repassa as consultas. Elas seguem para os servidores DNS definidos nas configurações de sistema. Ele mesmo não responde nada.
  • Recursive consulta primeiro a base DNS do próprio FortiGate e encaminha para os servidores DNS do sistema tudo o que não estiver nela.
  • Non-recursive responde só com o que está na base local. Um nome que não estiver lá simplesmente não é resolvido.
  • Resolver, incluído no FortiOS 7.6.0, faz sozinho a resolução completa: conversa direto com os servidores raiz, de e autoritativos, em vez de passar a consulta para um resolver externo.

Pelos nomes, a tendência é achar que a diferença entre eles é só de grau. A diferença está em quem dá a resposta no fim, e essa é outra pergunta: justamente a que importa quando algo quebra.

*** O FILTRO NÃO VALE PARA TODOS OS MODOS ***

A documentação da Fortinet diz com todas as letras: um profile de DNS filter (o perfil de filtragem de DNS) pode ser aplicado aos modos Recursive e Forward to System DNS.

O Non-recursive não está nessa lista.

Ou seja, um FortiGate em modo non-recursive com dnsfilter-profile configurado é um equipamento com uma política de filtragem que não filtra nada. A configuração está lá, o profile existe, a mostra o profile associado, e nenhum rating de categoria é consultado, porque a consulta nunca sai do caminho da base local.

Nada avisa sobre isso. Não há erro, não há linha de log dizendo que o profile foi ignorado, e o dashboard não tem nada para mostrar, porque nada foi avaliado. É exatamente o tipo de falha que o resto deste site não para de encontrar: um controle configurado, visível na running config e inerte.

Confira o modo antes de confiar no profile. É uma linha só: config system dns-server, e o modo é o campo logo acima do filtro.

Por que o modo Resolver existe

Vale conhecer o motivo que a própria Fortinet dá no material de lançamento, porque é uma limitação operacional, e não uma questão de preferência por um recurso: resolver direto evita os limites impostos por resolvers externos, que podem restringir o número de consultas por segundo.

Um firewall que faz o DNS de uma rede grande é um único cliente disparando uma quantidade enorme de consultas para o resolver público, ou do provedor, para onde ele encaminha. Do lado desse resolver, aquilo parece um único host muito ocupado, e os rate limits são aplicados por host. O modo Resolver elimina o intermediário que estava limitando você.

O preço é que o FortiGate passa a fazer todo o trabalho de recursão: os root hints, a latência de percorrer a hierarquia a cada cache miss e o próprio cache, que vira algo cujo tamanho e comportamento passam a importar.

A base DNS e os dois tipos de zona local

A base DNS guarda zonas locais, e cada uma pode ser primária (todos os registros mantidos à mão) ou secundária, recebendo o conteúdo de uma fonte externa.

O caso primário é o que vai acumulando dívida técnica sem ninguém perceber. Registros criados para uma migração ou para um laboratório continuam lá depois que o motivo deixou de existir, e um FortiGate respondendo com autoridade por um nome que mudou de lugar cria um problema de resolução que só aparece para quem está atrás daquele firewall. O nome funciona em todo lugar, menos dentro da sua própria rede, o que inverte a direção habitual de uma reclamação de DNS e faz a investigação procurar o problema lá fora.

DNS criptografado no próprio equipamento

As versões recentes do FortiOS têm configurações de , DoH3 e DoQ no servidor DNS, usando o certificado definido na configuração do servidor DNS e, como fallback, o do web proxy.

Isso fecha um ciclo que vale a pena apontar. Normalmente, o DNS criptografado aparece na conversa como aquilo que derruba a política da rede: um cliente que escolhe o próprio resolver por HTTPS. Um firewall que oferece ele mesmo o DNS criptografado entrega a privacidade sem a perda de controle: o transporte fica protegido e a política continua valendo, porque o resolver é aquele que a própria rede opera.

Fontes

Os quatro modos e a versão que acrescentou o quarto são da própria Fortinet, documentados tanto na lista de novidades quanto no guia de administração daquela versão.