Allgemeine DNS-Server-Konfiguration [2]

Grundlagen

- Das DNS ist ein hierarchisches System, in der Form eines Baumes.
- Die Spitze wird als »
<code>.</code>« geschrieben und wird »root« (Wurzel) genannt.

- Darunter siedeln sich Top Level Domains (TLDs) wie .com, .org, .de, usw an


Vollständige Namensanfrage an www.pc-erfahrung.de:

1.) Anfrage an Root-Server. Dieser gibt als Antwort den Nameserver, der für .de zuständig ist 2.) Anfrage an de-Namerserver. Dieser gibt als Antwort den für pc-erfahrung.de zuständigen Nameserver. 3.) Letzterer hat die passenden Eintrag für den Host www, so dass die IP-Adresse von www.pc-erfahrung.de aufgelöst werden kann.

/etc/named.conf = Konfigurationsdatei für Bind
/etc/named.boot = Frühere Versionen von BIND (vor 8.1) verwendeten diese Datei.


forwarder = ist ein anderer Nameserver, der befragt werden kann
Root-Level-Server = Es gibt insgesamt 13 Root-Server auf der Welt, welche die Wurzel des hierarchisch organisierten DNS bilden. Diese haben Infos über die Nameserver, welche die Domains .org, .com, .de, etc verwalten. Root-Server. Die Root-Server beantworten ausschließlich iterative Anfragen. Sie wären sonst mit der Anzahl der Anfragen schlicht überlastet.
Master-Nameserver = Enthält die DNS-Informationen
Slave-Nameser = Enthält die gespiegelten Daten des Master-Nameserver

ttl = (Time-To-Live) Wie lange darf eine Information im Cache gespeichert werden?

Autorative Antwort = Man erhält Antwort direkt vom zuständigen Nameserver

Nicht-Autorative Antwort = Man erhält Antwort aus dem Cache eines anderen Nameservers

Konfiguration von BIND als Caching-Only-Nameserver

- Ein DNS-Cache bzw. Caching-Only-Nameserver verwaltet keine Hosts und Informationen

- leitet lediglich Namensanfragen an einen anderen Nameserver weiter.
- Bei der Weiterleitung hat der Nameserver folgende Möglichkeiten: 1.) Die Antwort wird aus dem Cache gelesen 2.) Wenn nein, fragt er einen anderen Namserver 3.) Wenn dieser keine Antwort hat, wird eine vollständige Namensabfrage durchgefürt.

// Konfigurationsdatei für einen caching-only Nameserver

options {
directory "/var/named"; // Arbeits-Vrz. Festlegen
forward only // Nur forwarder befragen, Root-Server befragen nicht erlaubt.
forward first // Standard, zuerst forwarder, dann Root-Server befragen
};

forwarders {

111.222.333.444;
999.888.777.666;
};

/*Caching-Only-Nameserver enthalten lediglich Zone-Files für localhost und den Root-Server, da sie selbst keine DNS-Informationen verwalten*/
zone "." in{
type hint;
file "root.hint";
};

zone "localhost" in {
type master;
file "localhost.zone";
};

zone "0.0.127.in-addr.arpa" in {
type master;
file "127.0.0.zone";
};


// root.hints ¿ enthält Infos zu den Root-Level-Servern. Auszug:

.                       6D IN NS        G.ROOT-SERVERS.NET.
. 6D IN NS J.ROOT-SERVERS.NET.
//...
//...
. 6D IN NS I.ROOT-SERVERS.NET.
. 6D IN NS F.ROOT-SERVERS.NET.

G.ROOT-SERVERS.NET. 5w6d16h IN A 192.112.36.4
J.ROOT-SERVERS.NET. 5w6d16h IN A 198.41.0.10
//...
//...
I.ROOT-SERVERS.NET. 5w6d16h IN A 192.36.148.17
F.ROOT-SERVERS.NET. 5w6d16h IN A 192.5.5.241

Erweiterte Konfiguration

// Definition von Netzen, die in Options eingebunden werden
acl boeseHosts {
0.0.0.0/8;
224.0.0.0/8;
usw;
};

options {
directory "/var/named"; // Arbeits-Vrz. Festlegen
version "8.2.3.5";
dump-file "dump";
// Server-Sump-Datei, wen SIGINT an named geschickt wird.
recursion yes; // Es dürfen forwarder befragt werden
fetch-glue no; // Additional Data werden nicht gespeichert
datasize 500M; // Max. RAM, den Bind benutzen darf
listen-on port 1234{ 192.168.0.1; }; // Auf dieser Interface wird gelauscht
allow_query { 192.168.0.0/24; }; // Dieses Hosts dürfen Anfragen stellen
blackhole { boeseHosts; }; // Diese dürfen keine Anfragen stellen. BoeseHosts = siehe oben.
};

// Diese Datei enthält die Root-Server
zone "." in{
type hint; // Typ festlegen, dass dieses File die Root-Server definiert
file "root.hint";
};

// Vorwärtsauflösung der Zone test.home
// Übersetzung von Namen in IP-Adressen
zone "test.home" in {
type master; // Masterserver für Zone test.home
file "test.home.zone";
};

// Rückwärts-Auflösung der Domain test.home
// Also Übersetzung von IP-Adressen in Namen.
// Jedes Subnetz benötigt eine eigene Zone.
zone "2.30.172.in-addr.arpa" in {
type master; // Masterserver für Zone 172.30.2.0
file "172.30.2.zone";
};

// Nameserver ist Slaveserver für diese Zone.
zone "example.com" in {
type slave; // Slaveserver für example.com
file "example.com.zone";
masters { 192.168.0.1; }; // Dies ist der Masterserver der Zone
};

// Anfragen an diese Zone leitet Bind an anderen Server weiter.
zone "andereDomain.com" in {
type forward;
forward only; // Nur Weiterleiten
forwarders { 212.85.44.2; }; // Zuständigen Nameserver definieren
};

Typen in dem Zonenabschnitt

type hint; = Dieses Zonenfile enthält die root-Server

type master; = Der Nameserver fungiert als Masterserver für diese Zone.

type slave; = Der Nameserver fungiert als Slaveserver für diese Zone.

type forward; = Der Nameserver leitet alle Anfragen an diese Domain weiter.


Wichtige Optionen im Zonenabschnitt

forward first | only = Anfragen weiterleiten. First = Zuerst selbst versuchen, dann Root-Server fragen

forwarders = Zuständige Nameserver definieren (max.3 pro Zone)

 

allow_query { 192.168.0.0/24; }; = Dieses Hosts dürfen Anfragen stellen
allow-transfer { 192.168.0.0/24; }; = Welche Slaveserver dürfen Zonentransfer (Spiegelung) durchführen?
notify yes | no = Soll Masterserver die Slaveserver informieren, wenn Änderungen vorgenommen wurden?
also-notiy { IP-Adresse, IP-Adresse } = Auch diese Server sollen bei Änderungen informiert werden.
masters { IP-Adresse }; = Zuständigen Masterserver festlegen (bei Konfiguration als Slaveserver)

BIND und Logging

Channel = Was passiert mit Meldungen?

Category = Welche Meldungen gehen in welchen Channel?

// Auszug named.conf^
logging {
// Channel default-log definieren. Meldungen werden in logs/named.log geschrieben
channel default-log { file "logs/named.log" version 5 size 10M; severity debug; print-severity yes; };
// meldungen der Kategorie default gehen an channel default-log
category default { default-log; };
// Channel queries-log definieren
channel queries-log { file "logs/queries.log"; severity info; };
// meldungen der Kategorie queries gehen an channel queries-log
category queries { queries-log; };
};

Channel-Optionen
file DATEINAME; = Meldungen an diesen Channel werden in DATEINAME gespeichert
syslog KATEGORIE; = Meldungen an diesen Channel werden an Syslog übergeben
null; = Meldungen werden ignoriert

severity = Entspricht der Priorität für syslog. Mögliche Werte: critical, error, warning, notice, info, debug, dynamic.
print-category yes | no = Kategorie der Meldung mit ausgeben?
print-severity yes | no = Priorität der Meldung mit ausgeben?
print-time yes | no = Zeitstempel mit ausgeben?

Category-Optionen
default = Alle Meldungen
queries = Anfragen an den server
lame-servers = Fehlerhaften Anfragen eines Remote-Nameservers
statistics = Statistische Informationen
panic = Interne Probleme (Bsp.: Absturz von BIND)
update = Meldungen über dynamische Updates
xfer-in = eingehende Zonentransfers
xfer-out = abgehende Zonentransfer
load = Meldungen über das Laden von Zonenfiles

Grundlagen

- Das DNS ist ein hierarchisches System, in der Form eines Baumes.
- Die Spitze wird als »
<code>.</code>« geschrieben und wird »root« (Wurzel) genannt.

- Darunter siedeln sich Top Level Domains (TLDs) wie .com, .org, .de, usw an


Vollständige Namensanfrage an www.pc-erfahrung.de:

1.) Anfrage an Root-Server. Dieser gibt als Antwort den Nameserver, der für .de zuständig ist 2.) Anfrage an de-Namerserver. Dieser gibt als Antwort den für pc-erfahrung.de zuständigen Nameserver. 3.) Letzterer hat die passenden Eintrag für den Host www, so dass die IP-Adresse von www.pc-erfahrung.de aufgelöst werden kann.

/etc/named.conf = Konfigurationsdatei für Bind
/etc/named.boot = Frühere Versionen von BIND (vor 8.1) verwendeten diese Datei.


forwarder = ist ein anderer Nameserver, der befragt werden kann
Root-Level-Server = Es gibt insgesamt 13 Root-Server auf der Welt, welche die Wurzel des hierarchisch organisierten DNS bilden. Diese haben Infos über die Nameserver, welche die Domains .org, .com, .de, etc verwalten. Root-Server. Die Root-Server beantworten ausschließlich iterative Anfragen. Sie wären sonst mit der Anzahl der Anfragen schlicht überlastet.
Master-Nameserver = Enthält die DNS-Informationen
Slave-Nameser = Enthält die gespiegelten Daten des Master-Nameserver

ttl = (Time-To-Live) Wie lange darf eine Information im Cache gespeichert werden?

Autorative Antwort = Man erhält Antwort direkt vom zuständigen Nameserver

Nicht-Autorative Antwort = Man erhält Antwort aus dem Cache eines anderen Nameservers

Konfiguration von BIND als Caching-Only-Nameserver

- Ein DNS-Cache bzw. Caching-Only-Nameserver verwaltet keine Hosts und Informationen

- leitet lediglich Namensanfragen an einen anderen Nameserver weiter.
- Bei der Weiterleitung hat der Nameserver folgende Möglichkeiten: 1.) Die Antwort wird aus dem Cache gelesen 2.) Wenn nein, fragt er einen anderen Namserver 3.) Wenn dieser keine Antwort hat, wird eine vollständige Namensabfrage durchgefürt.

// Konfigurationsdatei für einen caching-only Nameserver

options {
directory "/var/named"; // Arbeits-Vrz. Festlegen
forward only // Nur forwarder befragen, Root-Server befragen nicht erlaubt.
forward first // Standard, zuerst forwarder, dann Root-Server befragen
};

forwarders {

111.222.333.444;
999.888.777.666;
};

/*Caching-Only-Nameserver enthalten lediglich Zone-Files für localhost und den Root-Server, da sie selbst keine DNS-Informationen verwalten*/
zone "." in{
type hint;
file "root.hint";
};

zone "localhost" in {
type master;
file "localhost.zone";
};

zone "0.0.127.in-addr.arpa" in {
type master;
file "127.0.0.zone";
};


// root.hints ¿ enthält Infos zu den Root-Level-Servern. Auszug:

.                       6D IN NS        G.ROOT-SERVERS.NET.
. 6D IN NS J.ROOT-SERVERS.NET.
//...
//...
. 6D IN NS I.ROOT-SERVERS.NET.
. 6D IN NS F.ROOT-SERVERS.NET.

G.ROOT-SERVERS.NET. 5w6d16h IN A 192.112.36.4
J.ROOT-SERVERS.NET. 5w6d16h IN A 198.41.0.10
//...
//...
I.ROOT-SERVERS.NET. 5w6d16h IN A 192.36.148.17
F.ROOT-SERVERS.NET. 5w6d16h IN A 192.5.5.241

Erweiterte Konfiguration

// Definition von Netzen, die in Options eingebunden werden
acl boeseHosts {
0.0.0.0/8;
224.0.0.0/8;
usw;
};

options {
directory "/var/named"; // Arbeits-Vrz. Festlegen
version "8.2.3.5";
dump-file "dump";
// Server-Sump-Datei, wen SIGINT an named geschickt wird.
recursion yes; // Es dürfen forwarder befragt werden
fetch-glue no; // Additional Data werden nicht gespeichert
datasize 500M; // Max. RAM, den Bind benutzen darf
listen-on port 1234{ 192.168.0.1; }; // Auf dieser Interface wird gelauscht
allow_query { 192.168.0.0/24; }; // Dieses Hosts dürfen Anfragen stellen
blackhole { boeseHosts; }; // Diese dürfen keine Anfragen stellen. BoeseHosts = siehe oben.
};

// Diese Datei enthält die Root-Server
zone "." in{
type hint; // Typ festlegen, dass dieses File die Root-Server definiert
file "root.hint";
};

// Vorwärtsauflösung der Zone test.home
// Übersetzung von Namen in IP-Adressen
zone "test.home" in {
type master; // Masterserver für Zone test.home
file "test.home.zone";
};

// Rückwärts-Auflösung der Domain test.home
// Also Übersetzung von IP-Adressen in Namen.
// Jedes Subnetz benötigt eine eigene Zone.
zone "2.30.172.in-addr.arpa" in {
type master; // Masterserver für Zone 172.30.2.0
file "172.30.2.zone";
};

// Nameserver ist Slaveserver für diese Zone.
zone "example.com" in {
type slave; // Slaveserver für example.com
file "example.com.zone";
masters { 192.168.0.1; }; // Dies ist der Masterserver der Zone
};

// Anfragen an diese Zone leitet Bind an anderen Server weiter.
zone "andereDomain.com" in {
type forward;
forward only; // Nur Weiterleiten
forwarders { 212.85.44.2; }; // Zuständigen Nameserver definieren
};

Typen in dem Zonenabschnitt

type hint; = Dieses Zonenfile enthält die root-Server

type master; = Der Nameserver fungiert als Masterserver für diese Zone.

type slave; = Der Nameserver fungiert als Slaveserver für diese Zone.

type forward; = Der Nameserver leitet alle Anfragen an diese Domain weiter.


Wichtige Optionen im Zonenabschnitt

forward first | only = Anfragen weiterleiten. First = Zuerst selbst versuchen, dann Root-Server fragen

forwarders = Zuständige Nameserver definieren (max.3 pro Zone)

 

allow_query { 192.168.0.0/24; }; = Dieses Hosts dürfen Anfragen stellen
allow-transfer { 192.168.0.0/24; }; = Welche Slaveserver dürfen Zonentransfer (Spiegelung) durchführen?
notify yes | no = Soll Masterserver die Slaveserver informieren, wenn Änderungen vorgenommen wurden?
also-notiy { IP-Adresse, IP-Adresse } = Auch diese Server sollen bei Änderungen informiert werden.
masters { IP-Adresse }; = Zuständigen Masterserver festlegen (bei Konfiguration als Slaveserver)

BIND und Logging

Channel = Was passiert mit Meldungen?

Category = Welche Meldungen gehen in welchen Channel?

// Auszug named.conf^
logging {
// Channel default-log definieren. Meldungen werden in logs/named.log geschrieben
channel default-log { file "logs/named.log" version 5 size 10M; severity debug; print-severity yes; };
// meldungen der Kategorie default gehen an channel default-log
category default { default-log; };
// Channel queries-log definieren
channel queries-log { file "logs/queries.log"; severity info; };
// meldungen der Kategorie queries gehen an channel queries-log
category queries { queries-log; };
};

Channel-Optionen
file DATEINAME; = Meldungen an diesen Channel werden in DATEINAME gespeichert
syslog KATEGORIE; = Meldungen an diesen Channel werden an Syslog übergeben
null; = Meldungen werden ignoriert

severity = Entspricht der Priorität für syslog. Mögliche Werte: critical, error, warning, notice, info, debug, dynamic.
print-category yes | no = Kategorie der Meldung mit ausgeben?
print-severity yes | no = Priorität der Meldung mit ausgeben?
print-time yes | no = Zeitstempel mit ausgeben?

Category-Optionen
default = Alle Meldungen
queries = Anfragen an den server
lame-servers = Fehlerhaften Anfragen eines Remote-Nameservers
statistics = Statistische Informationen
panic = Interne Probleme (Bsp.: Absturz von BIND)
update = Meldungen über dynamische Updates
xfer-in = eingehende Zonentransfers
xfer-out = abgehende Zonentransfer
load = Meldungen über das Laden von Zonenfiles

BIND neustarten

SIGHUP [1] = Bind liest Konfigurationsdatei neu ein.
SIGINT [2] = Abbild des Cache in die voreingestellte Datei schreiben
SIGTERM [15] = Alle Zonenfiles speichern und BIND stoppen

ndc und rndc ¿ mit BIND während des Betriebs kommunizieren

Mit diesen Programmen können während des Betriebs Befehle an BIND geschickt werden. Kommuniziert wird über Unix-Socket /var/run/ndc. rndc (Remote ndc) kommuniziert über TCP/IP mit Bind und kann daher auch über das Netzwerk mit BIND kommunizieren.

Die Authentifzierung erfolgt über einen gemeinsamen Schlüssel (Shared Key):

// Auszug /etc/rndc.conf
key "rndc-key" {
algorithmus hmac-md5;
secret "password";
};
options {
default-key ¿rndc-key¿;
default-server 127.0.0.1;
default-port 953;
}
// Auszug named.conf
controls {
inet * port 953 allow { localhost; }
keys { "rndc-key" };
};
key "rndc-key" {
algorithmus hmac-md5;
secret "password";
}

ndc Befehle
getpid = PID des Nameservers ausgeben
status =  Status des Nameservers ausgeben
stop = Beendet den laufenden Nameserver-Dämon.
reload ZONE=  Alle oder einzelne Zonen neu einlesen.
dumpdb = Cache des Nameservers in Datei speichern.

rndc-Befehle
halt = Hält den named-Service sofort an
querylog = Protokolliert alle Abfragen, die von Clients auf diesem Name-Server durchgeführt wurden.
refresh = Aktualisiert die Datenbank des Nameservers.
reload ZONE = Zone-Dateien neu zu laden.
stats = Schreibt die aktuellen named-Statistiken in die Datei /var/named/named.stats.
stop = Stoppen des Servers, und speichert dabei alle dynamischen Updates und die vorhandenen Incremental Zone Transfers (IXFR) Daten, vor dem Beenden.
dumpdb = Cache des Nameservers in Datei named_dump.db speichern.
trace = Debuglevel um 1 erhöhen
trace LEVEL = Debuglevel auf LEVEL setzen
notrace = Debuglevel auf 0 setzen
6 = Server-Caches leeren

Vergleich Bind 4 und 8/9 Konfiguration

// Auszug /etc/named.boot ¿ BIND 4
directory /var/named
forwarders 192.66.8.215 192.66.8.218
primary 0.0.127.in-addr.arpa db.127.0.0
cache db.cache