Trong nhiều doanh nghiệp, không phải mọi ứng dụng đều cần public ra Internet. Các hệ thống như HRM, ERP, CRM nội bộ, Git server, dashboard vận hành, database admin, monitoring, staging environment hoặc service API riêng thường chỉ nên được truy cập trong mạng nội bộ hoặc bởi nhóm người dùng được cấp quyền.

Vấn đề là khi doanh nghiệp mở rộng nhiều chi nhánh, cloud VPC, hybrid cloud và remote workforce, việc quản lý DNS nội bộ bằng các resolver truyền thống có thể trở nên rời rạc, khó kiểm soát và thiếu khả năng áp chính sách theo ngữ cảnh. Cloudflare Internal DNS ra đời để giúp doanh nghiệp quản lý bản ghi DNS cho tài nguyên nội bộ, phân giải qua Cloudflare Gateway và kiểm soát truy vấn DNS mà không cần public các hostname này lên Internet. Với doanh nghiệp đang xây dựng mô hình Zero Trust, LionTech có thể tư vấn cách kết hợp Cloudflare Internal DNS, Gateway và Access để quản lý truy cập nội bộ an toàn hơn.

Quản lý DNS nội bộ với internal hostnames và private IP, truy cập qua Gateway mà không public ra Internet. 

1. Cloudflare Internal DNS là gì?

Cloudflare Internal DNS là tính năng dành cho Cloudflare Enterprise, cho phép doanh nghiệp quản lý các DNS record chỉ được truy cập trong private network. Theo Cloudflare, Internal DNS giúp quản lý DNS record cho tài nguyên nội bộ, đồng thời kết hợp với Gateway resolver policies để kiểm soát cách một truy vấn DNS được phản hồi dựa trên ngữ cảnh như nguồn truy vấn hoặc source IP.

Nói đơn giản, thay vì public một hostname như erp.example.com ra DNS Internet công khai, doanh nghiệp có thể tạo các bản ghi nội bộ như:

Các hostname này có thể trỏ về private IP như 10.x.x.x, 172.16.x.x hoặc 192.168.x.x, và chỉ được phân giải trong môi trường được kiểm soát thông qua Cloudflare Gateway.

DNS public phục vụ cho các domain và subdomain có thể được truy vấn từ Internet. Ví dụ, người dùng bên ngoài có thể truy cập www.example.com, api.example.com hoặc shop.example.com nếu các bản ghi này được publish công khai.

Ngược lại, Internal DNS phục vụ cho các tài nguyên không nên xuất hiện trên Internet. Các bản ghi này chỉ dành cho người dùng, thiết bị, văn phòng, VPC hoặc môi trường đã được định tuyến và kiểm soát qua Cloudflare Zero Trust/Gateway.

Điểm khác biệt quan trọng nhất là Internal DNS không dùng để đưa hệ thống ra Internet, mà để giúp doanh nghiệp quản lý và phân giải tài nguyên nội bộ theo cách tập trung, có kiểm soát và phù hợp với mô hình Zero Trust.

Xem thêm: Checklist cấu hình Cloudflare DNS cho website doanh nghiệp

2. Vì sao doanh nghiệp cần DNS nội bộ?

Khi quy mô nhỏ, doanh nghiệp có thể quản lý DNS nội bộ bằng file hosts, DNS server tại văn phòng hoặc resolver riêng trong từng VPC. Nhưng khi hệ thống mở rộng, cách làm này bắt đầu phát sinh nhiều vấn đề.

Một doanh nghiệp có thể cùng lúc có:

Nếu DNS nội bộ không được quản lý tập trung, đội IT sẽ gặp khó trong việc kiểm soát hostname nào đang tồn tại, hostname nào trỏ về IP nào, ai có thể phân giải được, và liệu truy vấn DNS có đang đi qua lớp bảo mật phù hợp hay không.

Những vấn đề thường gặp với DNS nội bộ truyền thống

Cloudflare Internal DNS giải quyết bài toán này bằng cách đưa việc quản lý DNS nội bộ vào một nền tảng tập trung, đồng thời gắn với Cloudflare Gateway để kiểm soát cách truy vấn DNS được xử lý.

3. Cloudflare Internal DNS hoạt động như thế nào?

Cloudflare Internal DNS hoạt động dựa trên ba thành phần chính: internal DNS zones, internal DNS records và Gateway resolver policies.

Theo Cloudflare, các DNS zone được cấu hình trong Internal DNS chỉ có thể được truy vấn bởi Gateway resolver. Sau đó, resolver policies sẽ quyết định Gateway phân giải truy vấn DNS như thế nào dựa trên ngữ cảnh, chẳng hạn source IP hoặc nguồn truy vấn.

3.1. Internal DNS zones

Internal DNS zone là vùng quản lý tên miền nội bộ. Đây có thể là một domain hoặc namespace dùng riêng cho hệ thống private, ví dụ:

Trong zone này, doanh nghiệp có thể tạo các bản ghi phục vụ cho ứng dụng, service hoặc thiết bị nội bộ. Các record này không cần xuất hiện trên public DNS.

3.2. Internal hostnames

Internal hostnames là các tên miền hoặc subdomain chỉ dùng trong hệ thống nội bộ. Ví dụ:

Thay vì yêu cầu người dùng nhớ IP hoặc truy cập bằng địa chỉ phức tạp, doanh nghiệp có thể dùng hostname dễ hiểu. Điều này giúp vận hành thuận tiện hơn, đặc biệt khi IP thay đổi hoặc service được di chuyển giữa các môi trường.

3.3. Private IP

Các internal hostname thường trỏ đến private IP, chẳng hạn:

Private IP không được định tuyến trực tiếp trên Internet công khai. Vì vậy, để người dùng hoặc thiết bị truy cập được các tài nguyên này, doanh nghiệp cần có đường kết nối private phù hợp, ví dụ thông qua Cloudflare Tunnel, Cloudflare One Client, Cloudflare WAN hoặc mô hình private network tương ứng. Cloudflare cho biết private IPs và hostnames có thể được truy cập qua Cloudflare One Client, Cloudflare WAN hoặc Browser Isolation.

3.4. Cloudflare Gateway resolver policies

Cloudflare Gateway là lớp xử lý DNS và traffic policy trong Cloudflare Zero Trust. Với resolver policies, doanh nghiệp có thể quyết định truy vấn DNS nào sẽ được xử lý bởi resolver nào, theo điều kiện cụ thể.

Ví dụ:

Cloudflare cũng cung cấp hướng dẫn triển khai regional private DNS resolver policies để route truy vấn DNS đến private DNS server theo từng khu vực, dựa trên Gateway resolver policies.

4. Cloudflare Internal DNS khác gì Private DNS qua resolver nội bộ?

Nhiều doanh nghiệp đã có private DNS server riêng như Microsoft DNS, BIND, Route 53 private hosted zone hoặc DNS resolver trong từng VPC. Cloudflare Internal DNS không nhất thiết thay thế toàn bộ ngay lập tức, mà có thể đóng vai trò lớp quản lý và phân giải tập trung hơn cho môi trường Zero Trust.

Điểm đáng chú ý là Cloudflare Internal DNS giúp doanh nghiệp quản lý bản ghi nội bộ trong cùng nền tảng với Zero Trust policy, thay vì để DNS nội bộ nằm tách rời khỏi hệ thống kiểm soát truy cập.

5. Lợi ích của Cloudflare Internal DNS cho doanh nghiệp

5.1. Không public hostname nội bộ ra Internet

Một trong những lợi ích lớn nhất của Internal DNS là giúp doanh nghiệp quản lý hostname nội bộ mà không cần publish ra Internet. Điều này giảm nguy cơ lộ thông tin về cấu trúc hệ thống, tên service, môi trường production/staging hoặc các endpoint nhạy cảm.

Ví dụ, các hostname như db-admin.internal.company hoặc jenkins.prod.internal không nên xuất hiện trên DNS public. Với Internal DNS, các hostname này chỉ được phân giải trong môi trường được kiểm soát.

5.2. Quản lý private IP dễ hiểu hơn

Truy cập service bằng private IP gây khó nhớ và khó vận hành. Khi service thay đổi IP, người dùng hoặc script có thể bị lỗi nếu cấu hình cứng IP.

Internal DNS giúp chuyển từ cách quản lý bằng IP sang cách quản lý bằng hostname. Đội IT có thể thay đổi IP phía sau mà không cần yêu cầu người dùng thay đổi cách truy cập.

Ví dụ:

5.3. Kiểm soát phân giải DNS theo ngữ cảnh

Không phải ai trong doanh nghiệp cũng nên resolve được mọi hostname nội bộ. Với Gateway resolver policies, doanh nghiệp có thể kiểm soát DNS query theo source IP, network, vị trí hoặc điều kiện chính sách.

Cloudflare DNS policies hỗ trợ các selector liên quan đến source IP và source internal IP, giúp áp chính sách dựa trên nguồn truy vấn.

Ví dụ:

5.4. Tập trung logging và troubleshooting

DNS là lớp đầu tiên trong hầu hết luồng truy cập ứng dụng. Khi DNS nội bộ bị phân tán, việc điều tra lỗi truy cập có thể mất nhiều thời gian: không biết request đã resolve về đâu, resolver nào xử lý, chính sách nào được áp dụng.

Khi dùng Cloudflare Gateway, doanh nghiệp có thể kiểm tra Gateway network logs để xem truy vấn DNS qua UDP/TCP đang được allow hay block trong quá trình phân giải private DNS.

Điều này giúp đội IT dễ trả lời các câu hỏi như:

5.5. Phù hợp với mô hình Zero Trust

Trong mô hình truyền thống, chỉ cần người dùng vào được mạng nội bộ là có thể thấy hoặc truy cập nhiều tài nguyên hơn mức cần thiết. Zero Trust thay đổi cách tiếp cận này: không mặc định tin tưởng chỉ vì người dùng đang ở trong network.

Internal DNS giúp đưa DNS nội bộ vào mô hình kiểm soát theo chính sách. Doanh nghiệp có thể kết hợp DNS resolution, identity, device posture, Access policy và Gateway để kiểm soát tài nguyên nội bộ theo từng nhóm người dùng và từng ngữ cảnh.

6. Use case 1: Quản lý DNS cho ứng dụng nội bộ không public Internet

Một doanh nghiệp có nhiều ứng dụng nội bộ như HRM, ERP, CRM, dashboard vận hành và hệ thống báo cáo. Các ứng dụng này chỉ phục vụ nhân sự nội bộ, không cần public ra Internet.

Thay vì tạo public DNS record hoặc yêu cầu nhân sự kết nối VPN để dùng DNS nội bộ tại văn phòng, doanh nghiệp có thể dùng Cloudflare Internal DNS để quản lý các hostname như:

Các hostname này trỏ đến private IP trong data center hoặc cloud VPC. Người dùng được quản lý qua Cloudflare Zero Trust/Gateway sẽ có thể resolve và truy cập đúng tài nguyên theo chính sách.

Giá trị của use case này nằm ở việc doanh nghiệp không cần public hostname nhạy cảm, đồng thời vẫn giữ trải nghiệm truy cập rõ ràng bằng tên miền nội bộ thay vì IP.

7. Use case 2: Split-horizon DNS cho nhiều văn phòng hoặc region

Một doanh nghiệp có nhiều văn phòng ở Việt Nam, Singapore và Nhật Bản. Cùng một hostname erp.internal.company, nhưng người dùng ở từng khu vực nên được trỏ đến tài nguyên gần nhất để giảm độ trễ.

Với Gateway resolver policies, doanh nghiệp có thể thiết kế chính sách phân giải theo region hoặc source IP. Người dùng ở Việt Nam được resolve về private IP tại data center Việt Nam, trong khi người dùng ở Singapore được resolve về private IP tại khu vực Singapore.

Cloudflare mô tả Internal DNS có thể hỗ trợ split-horizon DNS, tức trả về phản hồi khác nhau dựa trên network context.

Mô hình này giúp doanh nghiệp:

Luồng truy cập ứng dụng nội bộ khi người dùng gửi DNS request qua Gateway, phân giải internal hostname về private IP. 

8. Khi nào nên dùng Cloudflare Internal DNS?

Cloudflare Internal DNS phù hợp với doanh nghiệp có nhu cầu quản lý DNS nội bộ tập trung, đặc biệt trong môi trường hybrid, multi-cloud hoặc remote workforce.

8.1. Nên cân nhắc nếu doanh nghiệp có

8.2. Chưa nên triển khai nếu

Trong trường hợp này, doanh nghiệp nên bắt đầu từ việc kiểm kê hệ thống DNS hiện tại trước khi đưa Internal DNS vào vận hành.

9. Checklist triển khai Cloudflare Internal DNS

9.1. Kiểm kê DNS nội bộ hiện tại

9.2. Chuẩn hóa namespace nội bộ

Ví dụ cấu trúc có thể dùng:

9.3. Thiết kế policy phân giải

9.4. Kết nối private network

9.5. Kiểm thử trước khi mở rộng

Xem thêm: Mua Cloudflare Enterprise tại Việt Nam ở đâu?

10. Kết luận: Internal DNS là nền tảng quan trọng cho Zero Trust nội bộ

Cloudflare Internal DNS giúp doanh nghiệp quản lý DNS nội bộ cho internal hostnames, private IP và các tài nguyên không public Internet trong một nền tảng tập trung hơn. Thay vì để DNS nội bộ phân tán theo từng văn phòng, từng VPC hoặc từng hệ thống riêng lẻ, doanh nghiệp có thể kết hợp Internal DNS với Cloudflare Gateway để kiểm soát truy vấn DNS theo ngữ cảnh và tăng khả năng quản trị.

Điểm quan trọng là Internal DNS không chỉ là bài toán phân giải tên miền. Đây là một phần của chiến lược bảo vệ tài nguyên nội bộ: hostname nào được phân giải, ai được phân giải, phân giải từ đâu, đi qua chính sách nào và được ghi nhận ra sao.

Nếu doanh nghiệp đang triển khai Cloudflare Zero Trust, Cloudflare Gateway hoặc muốn thay đổi cách quản lý DNS nội bộ theo hướng an toàn hơn, LionTech có thể hỗ trợ đánh giá hiện trạng, thiết kế mô hình Internal DNS và xây dựng lộ trình triển khai phù hợp với hạ tầng Enterprise.

Liên hệ với LionTech tại: