DNS. DNS elmélet és szerverkonfiguráció. Összeállította: Sallai András. Terjesztés csak csak engedéllyel. Copyright 2006 v.2

Átírás

1 DNS DNS elmélet és szerverkonfiguráció Összeállította: Sallai András Terjesztés csak csak engedéllyel. Copyright 2006 v.2

2 Tartalom DNS elmélete Bind9 konfiguráció

3 Domain Name System Osztott név adatbázis Osztott, hierarchikus adatbázis Névszerverek százezrei Nevek milliói Gondoltak a redundanciára és a hibatűrésre is Legfontosabb feladat: Név IP cím összerendelés feloldása Egy sor más információt szolgáltat

4 Kényelem A számítógépeket IP cím azonosítja Minden felhasználó azonban neveket szeret beírni

5 Hosts fájl Kezdetben hosts táblázat Ez idővel hatalmasra dagadt Sűrű módosítás Egyre többen töltötték le Egyre gyakrabban töltötték le

6 DNS P. Mockapetris <- főszerep ISI (Information Science Institute) munkatársa

7 Feladatuk általánosan A nevek feloldása hálózati kommunikációval történik Kettős feladat (mint a közúti-közlekedésben): Látni Láttatni

8 Illetékesség fogalma Autoritatív - A szerver illetékes egy név dolgában

9 Fa szerkezetű gyökér Top level (TLD)

10 Zóna A név-fa zónákra oszlik Egy zóna a fa egyben kezelt része (pl. az összes TLD-t kezelő root) Egy zóna az illetékes szerveren ált. Egy fájl.

11 Elsődleges - másodlagos Elsődleges szerver -> zóna adminja változtatja Másodlagos szerver -> tükrözzük az elsődlegesről

12 Delegálás A zóna egyes darabjainak kezelését más szerverekre bízzuk Pl: én kezelem a intezet.hu zónát. Az osztaly1 nevű aldomaint akar a cég léterehozni, és ezt az osztály1 osztályon levő szerverről akarják kezelni. Akkor a szerveremen delegálom osztaly1.intezet.hu zónát. Az osztály1 gazdája felelőse és teljes ura lesz ennek az aldomainnek.

13 Több színtű névmegadás Többszintű névmegadás delegálással lehetséges De nem feltétele! Magam is hozhatok létre olyan domaineket, amelyek pontot tartalmaznak: osztaly.intezet.hu

14 FQDN (Fully Qualified Domain Name) Hierarchia -> Minden név egyedi Domain pontokkal elválasztott részei -> szegmens

15 FQDN jelölése Domain név teljes -> végére pontot teszünk Előfordulhat ilyen domain: jupiter.vas.edu jupiter.vas.edu.intezet.hu Az edu végzödés nem garantálja, hogy FQNről van szó.

16 Domain név megadás Latin ABC [a-z] Számjegyek [0-9] Kötőjel [-]! Aláhúzás nem lehet!

17 Domain név megadás II. Ma már használható ékeztes domain is. Ékezetes domain esetén egy szabály alapján meghatározott alakban írjuk a domaint. Nem kell ezt nekünk kalkulálni:

18 Inverz feloldás (reverz) IP címből - domain név Biztonság növelésénél fontos -> Csak olyan címről fogadunk kapcsolatot ahol a hozzátartozó név kideríthető

19 in-addr.arpa in-addr.arpa bevezetése az inverz feloldáshoz Adott IP cím: A címhez tartozó nevet így kapjuk meg: in-addr.arpa

20 Névfeloldás menete pluto.bme.hu címet keressük Gépen van egy rezolver (feloldó program) Nem maga végzi a feloldást, csak kéri egy DNS szervertől Telepítéskor megadtunk két DNS szervert - IP címet adunk meg

21 DNS kérés : pluto.bme.hu Az én DNS szerverem válaszol azonnal A gyökérszerverhez fordul megtudja hu zónáért illetékes szerverek listáját Az újabb névszervertől az én DNS szerverem most azt kérdezi ki a felelős a bme zónáért Az újabb névszervertől az én DNS szerverem azt kérdezi hol található a pluto Ezt nevezzük REKURZÍV FELOLDÁS-nak

22 Rekurzív feloldás DNS-es szerverek nem végeznek minden kliensnek ilyen feloldást, csak a konfigurációban megadottaknak

23 Cache -- TTL A névszerverek tárolják egy ideig a feloldást, hogy ha legközelebb kérik tőle azonnal tudja a választ - hálózati forgalom csökkenése - gyors névfeloldás A tárolás idejét a zóna adminisztrátora adja meg a zóna leírásánál TTL Time To Live Ennyi másodpercig tárolják a cache szerverek az adatokat

24 Névszerver felosztása Caching only Autoritatív (látató) Forwarder Slave

25 Caching only Nem illetékes (autoritatív) egyetlen névnél sem, csak klienseknek oldja fel a neveket

26 Autoratív Amelyek nevekhez tartozó címeket (amiről eddig szó volt.

27 Forwarder Saját cache-ével egészítjük ki saját szerverünk cache-ét

28 Slave Csak forwardert használ a nevek feloldására (egyet vagy többet)

29 Lame delegálás Ha valahova delegálunk egy nevet, akkor azt az ottani adminisztrátorral is meg kell beszélni, hogy azt folyamatosan szolgáltassa. Ha ez nem történik meg, akkor beszélünk lame delegálásról.

30 DNS adatbázis rekordtípusai SOA Start Of Authority A -- Address NS Name Server Glue rekord speciális A rekord CNAME Canonical NAME MX Mail exchanger TXT TeXT HINFO Hardware INFOrmation PTR PoinTeR

31 SOA - Start of Authority rekord, zóna kezdő rekord A SOA rekord adja meg egy zónára vonatkozó közös információkat. valami.hu. SOA gep.valami.hu. mester.valami.hu. ( ;Serial nr ;Refresh 1800 ;Retry ;Expire 43200) ;TTL

32 SOA rekord első sor valami.hu. SOA gep.valami.hu mester.valami.hu - zóna neve - elsődleges névszerver - cím úgy kapjuk, hogy az első pont karaktert (amit nem előz meg egy (backslash \) at jelre (@) cseréljük

33 SOA rekord második sor ; Serial nr. A slave szerverek ellenőrizhetik, hogy a náluk lévő adatok nem avultak-e el. Az elsődleges zóna adminja minden javításkor növeli ezt a számot. Szokás: Akt. Dátum plusz a mai javítás száma két számjegyel: ÉÉÉÉHHNNVV

34 SOA rekord harmadik sor ; Refresh Másodpercben megadott szám Frissítési idő A Slave szervernek mennyi időnként kell megnézni, hogy nem avultak-e el az adatai

35 SOA rekord negyedik sor 1800 ; Retry Másodpercben megadott szám Ha frissítés nem sikerült mennyi idő múlva próbálkozzunk újra

36 SOA rekord ötödik sor ; Expire Másodpercben megadott szám Ha nem sikerül a masterrel kommunikálni akkor ennyi ideig szolgáltatják a világnak a zónát

37 SOA rekord hatodik sor ; TTL Másodpercben megadott szám A zóna rekordjaira vonatkozó alapérték

38 TTL értékek Fontos az ésszerű beállítás Szokásos értékek: - refresh nap - retry óra - expire hét - TTL nap Ha gyors változásvárható a TTL-et érdemes kicsire venni.

39 Hiba Ha az expire idő nem nagyobb mint a refresh akkor a másodlagos szerver nem fogja szolgáltatni az adatokat

40 TTL értékek könnyebben A 8-as változatú Bindtól használhatók a köv. formátáumok: 1W2D3H W egy hét D egy nap H egy óra

41 A rekord Domain névhez rendelünk egy IP címet pl: pandora.bme.hu. A

42 A rekord II. Nem kötelező megadni a teljes FQDN-t: pandora A Mivel adott zónában, vagyunk, a többi egyértelmű Ha mégis FQDN-et adunk meg akkor pont a végén!

43 NS rekord A névszerverek címe Kettő szokott lenni: Egyik maga a master szerver, a másik a Slave szerver Pl: IN NS gep.osztaly.valami.hu. IN NS gep.osztaly.masvalami.hu

44 Név szerver Ma már kötelező két névszerver megadása A két DNS szervernek különböző hálózatban kell lennie!

45 Glue rekord - Idegen (ragadvány) A rekord A delegált zóna egyik névszervere az adott zónában van. Pl.: gep.osztaly.valami.hu -nak saját DNS szervere van, mégis meg kell adni ezt feljebb a valami.hu zónában is! Különben csapdába kerülünk! Konkrétan: gep.osztaly A

46 CNAME rekord A hostnak becenevet adhatunk vele pl: www CNAME gep gep.valahol.hu ekkor így is elérhető:

47 MX rekord A domainbe érkező leveleket fogadó szerver címe IN MX IN MX 10 mail.valahol.hu 20 masik.valahol.hu A számoknak akkor van jelentősége, ha több (mint itt 2) mail szerver várja a leveleket. Egyik elsődleges. A másik csak akkor fogadja a leveleket, ha az első nem működik. A szám a prioritást adja meg.

48 TXT rekord Tetszőleges szöveget írhatunk ide. Megjegyzés stb.

49 HINFO rekord Hardverről szokás (lehetne szokás, nem szokás) írni ide információkat

50 PTR rekord Cím név feloldásra -> inverz feloldás Az in-addr.arpa domain alá tartozó ág szolgálja a IP címek feloldását Pl: in-addr-arp IN PTR valami.hu

51 Domain akarunk magunknak I. Meg kell néznünk van-e ilyen domain Slave szerver szolgálatót keresünk Regisztrátort keresünk Az Mastert mi szolgáltatjuk: beállítjuk a szerverünkön

52 Domain akarunk magunknak Meg kell néznünk van-e ilyen domain Várakozási lista -> 2 hét Ha nincs Slave szerver a regisztrátor nem csinálja meg a delegálást!.hu domainre gondolok

53 DNS szerver programok BIND mydns-mysql mydns-pgsql pdns-server

54 BIND - Berkeley Internet Name Domain Jelen nagy verziók: BIND8 BIND9 apt-get install bind9 (rendelkezésre áll a 8-as verzió bind csomagban, ne tévesszük össze)

55 BIND9 konfig fájlok I. /etc/bind/ Minden zónát fel kell vennünk a /etc/bind/named.conf fájlban (A TOP level domainek elérhetősége alapból konfigurálva van)

56 BIND9 konfig fájlok II. /etc/bind/named.conf.options fájl globálisa bind egészére vonatkozó beállításokat tartalmazza

57

58 directory opció Egy könyvtárra mutat A zónafájlok helye ehhez a könyvtárhoz képest ralatívan értendők. Esetünkben ezért így helyes: /var/cache/bind

59 forwarders opció Ha TOP level domainek lekérdezése helyett az ISP szervereitől akarunk lekérdezni DNS-t a gyorsabb elérés érdekében (mivel azok a névszerverek közelebb vannak), akkor ide írjuk azok IP címét.

60 Query-source address * port 53; A 8.3 bindtól tetszőleges port megadható amelyen a bind figyeli a kéréseket.

61 BIND9 konfig fájlok III. Minden zónának kell külön ún. zónafájlt csinálni, melyek szokásos helye (ez állítható a /etc/bind/named.conf fájlban), a /var/cache/bind vagy /var/lib/named Debian alatt a /var/cache/bind automatikusan létrejön Itt két újabb könyvtár létrehozása szokásos. Master és slave. A master könyvtárban tároljuk azokat a zónákat amelyeknek Master szervere vagyunk, és értelemszerűen a slave könyvtárban azoknak a zónáknak a fájljait tesszük amelyeknek slave vagyunk.

62 Zónafájlok helye mkdir /var/cache/bind/master mkdir /var/cache/bind/slave

63 valahol.hu zóna bejegyzése mcedit /etc/bind/named.conf zone valahol.hu in { type master; notify yes; fájl master/valahol.hu.zone ; };

64 valahol.hu zóna bejegyzése A zóna neve zone valahol.hu in { Master típusú zóna type master; notify yes; A Slave szervernek nem kell a refresh lejáratára figyelni, maga kezdeményezheti a frissítést fájl A zónafájl helye master/valaho.hu.zone ; };

65 valahol.hu zóna bejegyzése II. A zónafájloknak szokásos kiterjesztése.zone A fájl neve a zóna nevével egyezik (opcionális, de szokás és ésszerű). touch /var/cache/bind/valahol.hu.zone

66 valami.hu.zone fájl $TTL IN SOA gep.valahol.hu hostmaster.valaho.hu( H 2H 4W 1D) IN NS gep.valaho.hu IN MX 10 mail.valahol.hu gep IN A www IN CNAME gep mail IN CNAME gep

67 DNS szerverünkön működnie kell a postmaster@valahol.hu címnek. E nélkül a regirsztrátorok nem fogadják el kérelmünket.

68 Technikai ellenőrzés

69

70

71 Technikai ellenőrzés.hu domain esetén 2 hét várakozási idő A regisztrátor csak akkor delegálja a toplevel szervereken a domainünket, ha lefut a regchek, azaz a technikai ellenőrzés sikeres

72 BIND újraindítása Új zóna esetén: /etc/init.d/bind9 reload Ha változtatunk egy zónán: rndc reload

73 Ellenőrző eszközök host kiszolgáló lekérdezése dig kiszolgáló tesztelése dlint hiba ellenőrző nslookup kiszolgáló interaktív lekérdezése

74 dig Kiszolgáló tesztelése Megadjuk neki melyik névszerver beállításaira vagyunk kíváncsiak, és melyik domain-re.

75

76 Postmaster ellenőrzése telnet localhost 25 Telnet Megnézzük a postaládát Ha távolról lépünk be, akkor nem kell megnézni, ha nincs ilyen cím akkor nem fogadja el, hacsak nem vagyunk OpenRelay

77

78 Inverz zóna mcedit /etc/bind/named.conf zone in-addr.arpa in { type master; notify yes; fájl master/ zone ; };

79 Zóna fájl mcedit /var/cache/bind/master/ zone $TTL IN SOA gep.valahol.hu hostmaster.valahol.hu( H 2H 4W 1D) IN NS gep.valahol.hu 8 IN PTR gep.valahol.hu

80 PTR ellenőrzése host

81 Irodalom