Zusammenfassung CS KA Nr. 1

Transkript

1 Zusammenfassung CS KA Nr. 1 DNS (nach wikipedia.de) DNS Allgemein DNS steht für Domain Name System Hauptaufgabe ist die Namensauflösung DNS läuft weltweit in einem hierarischen System, welches in Zonen unterteilt ist, welche wiederum von unabhängigen Administratoren weltweit verwaltet wird. Trotz dieser Tatsache ist es auch möglich einen rein lokalen DNS Server zu betreiben, z.b. in Firmennetzwerken Vorteile von DNS: DNS Namen wie example.org sind leichter zu merken als IP Adressen Server können quasi risikofrei umgezogen werden, da das Ändern der IP Adresse für den Nutzer quasi nicht spürbar ist. Der DNS Name bleibt unverändert! Einfaches Load Balancing mit Hilfe von DNS möglich (ein Name kann gegen mehrere IP Adressen und somit auch gegen mehrere Server auflösen) Einfaches Beispiel: Beim Durchführen eines PING Befehls bzw. eines Webzugriffes auf die Adresse insanity-hosting.de wird die IP zurückgeliefert. Ein standard forward lookup Es gibt auch noch reverse lookup, d.h. zu einem Domainnamen wird die passende IP Adresse gesucht DNS hat eine baumförmige Struktur; Die Blätter und Knoten des Baums werden als Labels bezeichnet. Ein Hostname wird durch mehrere Blätter zusammengesetzt, wobei immer von rechts nach links Punktweise der Aufruf verarbeitet wird: Beispiel: s1 PUNKT insanity-hosting PUNKT de 3. Schritt 2. Schritt 1. Schritt Bei dem soeben genannt Beispiel handelt es sich um ein FQDN, ein Full Qualified Domain Name, da hierbei auf ein Ziel mit einem vollständigen Servernamen verlinkt wird. ist bspw. Auch ein FQDN, jedoch NICHT google.de!

2 3. Schritt Blätter / Knoten 2. Schritt 1. Schritt DNS Server DNS Server sind Programme bzw. Dienste, welche die Namensauflösung abwickeln und eine Adresse (z.b. google.de) in eine für den Rechner verarbeitbare IP umwandeln (z.b ). dabei bedienen sie sich einer Datenbank Es gibt zwei Arten von DNS, autoritative und nicht-autoritative Die Information es autoritativen Servers gilt als sicher. Mindestens ein autoritativer Server muss immer für eine Domain vorhanden sein. Dieser Server ist dann der primary DNS Server für diese Domain. Ein nicht-autoritativer DNS Server bezieht seine Informationen über Zweite oder gar Dritte DNS Server und daher dienen diese Informationen als nicht gesichert. Nicht-authoritative DNS Server speichern dabei diese Informationen in ihrem lokalen RAM ab und zwar so lange, wie die TTL (=Time to live) ihm dies vorgibt. Die TTL wiederum wird vom primary DNS Server festgelegt. Sonderfall ist ein s.g. Caching Only Nameserver. Dieser holt sich lediglich Informationen von anderen Servern und dies auch jedes mal, wenn eine Anfrage reinkommt. Primary und Secondary DNS Server für eine Zone synchronisieren miteinander wobei hier ausschließlich der Primary Server seine Informationen an den Secondary schickt. Diese Synchronisation erfolgt über den Port 53, TCP. DNS Auflösung DNS Anfragen werden über Port 53 UDP durchgeführt. Es wird jedoch auch TCP verwendet, wenn die Anfrage für UDP zu groß sein sollte. Maximale Länge eines DNS UDP Pakets ist 512 Bytes. Pakete werden andernfalls abgeschnitten und in mehreren Schritten übertragen oder aber via TCP. Auf jedem Netzwerkfähigen Rechner sind daher Programme wie dig oder nslookup bereitgestellt, damit ein Name aufgelöst werden kann. Die meisten Rechner arbeiten dabei mit der s.g. rekursiven DNS Auflösung. Hierbei wird die Anfrage vom Rechner / Client an dem ihm hinterlegen DNS Server abgeschickt. Hat dieser den gewünschten Eintrag in seiner eigenen Datenbank, liefert er diesen sofort zurück.

3 Wenn nicht, dann hangelt er sich so lange durch und frägt weitere DNS Server ab bis er eine positive oder negative Antwort auf die Anfrage erhält und liefert diese dann zurück. Bei Rekursiver Auflösung übernimmt also vollständig der DNS Server die Namensauflösung. Alternativ gibt es noch die s.g. iterative DNS Anfrage. Hier frägt ein Host / Client direkt nach dem passenden Nameserver zur Domain bzw. nach anderen Servern, welche über diese Domain Bescheid wissen könnten. Auch hier hangelt er sich solange durch, bis er eine positive oder negative Antwort zurück erhält. DNS Datenbank Die nachfolgenden sieben Record Typen sind von wichtiger Bedeutung: SOA Resource Record: Bedeutet Start of Authority. Beinhaltet Paramter zur Zone, wie z.b. die Gültigkeitsdauer, Seriennummer, etc. NS Resource Record: Bedeutet Nameserver Resource Record. Hier werden die unterschiedlichen Delegierungen / Verknüpfungen zwischen den einzelnen für diese Zone / Domain zuständigen Server festgelegt. A Resource Record: Weißt einem Namen eine IPv4 Adresse zu (z.b. wird der IP der Name s1.insanity-hosting.de zugewiesen) AAAA Resource Record: Das selbe wie A Record, jedoch für IPv6 Adressen. CNAME Resource Record: CNAME steht für Canonical Name und bedeutet zu Deutsch anerkannter Name. Verweist von einem Namen auf einen anderen (z.b. kann server1.its-stuttgart.de somit auch den Namen server2.its-stuttgart.de haben, ohne dass für server2 die gleiche IP Adresse als A Record hinterlegt wird, wie für den Eintrag server1). MX Resource Record: Steht für Mail Exchange. Gibt den / die zuständigen Mailserver für die Domain an. Es können mehrere Mailserver angegeben werden, mit unterschiedlicher Priotität. PTR Resource Record: PTR steht für pointer und weißt einer IP Adresse mehrere Hostnamen in einem Eintrag zu. Nachfolgend wird ein DNS Zonenfile (Forwardlookup) aus dem Unterricht genauer erläutert:

4 1. Zu Beginn steht der TTL Wert, also der Time to live wert. Das $ Symbol zu Beginn ist zwingend erforderlich. 2D steht in diesem Fall für 2 Tage. 2. Dieser Eintrag ist der Start of authority Eintrag. Hier werden in der ersten Zeile zuerst der Servername angegeben, welcher der primäre DNS Server ist, also kora.drei.de, sowie die Mailadresse des Zonenverwalters, in diesem Fall mail@drei.de. wurde hier bewusst durch einen PUNKT ersetzt, da Zeichen in dieser Konfigurationsdatei eine andere Bedeutung hat. Abgeschlossen werden beide diese Angaben mit einem PUNKT, was zwingend erforderlich ist. 3. Der Serial ist eine fortlaufende Nummer, welche bei jeder Änderung aktualisiert werden muss. Dies ist ein Hinweis für die sekundären DNS Server, dass sich sich synchronisieren sollten. Gängige Angabe hierbei ist das aktuelle Datum, sowie die fortlaufende Zahl, beginnend bei 01. Dies wurde auch in diesem Beispiel gemacht Der Refresh Wert (hier 8 Stunden) ist die Zeit, die ein sekundärer Server wartet, bis dieser erneut den primären Server frägt, ob sich an der Zone etwas geändert hat. Der Retry Wert (hier 2 Stunden) ist die Zeit, die ein sekundärer Server wartet, bis er eine nicht beantwortete Anfrage an den primären Server wiederholt (Timeout). Der Expire Wert (hier 4 Wochen) ist die Zeit, die ein sekundärer Server wartet, bis er den primären wieder erreichen kann. Sollte er in innerhalb dieser Zeit den primären Server nicht erneut erreichen können, wird bei ihm der Eintrag aus der Datenbank gelöscht. Der NX Wert (hier 3 Stunden) ist die Zeit, wie lange eine fehlgeschlagene DNS Anfrage zu dieser Zone zwischengespeichert werden soll (hier gilt ein Maximum von 3 Stunden als Wert). 4. In dieser Zeile(n) werden alle DNS Server gelistet. In diesem Beispiel gibt es nur einen (kora.drei.de). Auch diese Zeilen müssen immer mit einem PUNKT am Ende abgeschlossen werden. Bei mehr als einem NS Eintrag muss nicht vor jedem Eintrag Zeichen gesetzt werden! 5. Diese Zeile gibt den zuständigen Mailserver für die Zone an, in diesem Beispiel mail.drei.de. Auch hier muss die Zeile immer mit einem PUNKT abgeschlossen werden. Der vor dem DNS Namen angegebene Wert (hier 10) ist die Priorität. Bei mehreren Mailservern kann bspw. einem Mailserver eine höhere Priorität als anderen Mailservern gegeben werden. I. d. R. kommuniziert ein Mailserver immer zuerst mit dem anderem Mailserver, welcher eine höhere Priorität besitzt. 6. Zu guter Letzt sind die A Records zu sehen. Hier gibt es drei stück, welche alle auf die gleiche IP Adresse auflösen. Der erste Wert hat vorne Weg keinen Namen, ist also leer. Somit steht dieser Wert für die Domain drei.de selbst. Die anderen beiden Einträge setzen sich aus dem Suffix, also jener Wert, welcher vor der Domain steht, und der IP Adresse zusammen. D.h. sowohl kora.drei.de, als auch mail.drei.de lösen somit gegen auf.

5 Nachfolgend wird ein DNS Zonenfile (Reverselookup) aus dem Unterricht genauer erläutert: Siehe Forwardlookup zone (oben). 2. Siehe Forwardlookup zone (oben). 3. Siehe Forwardlookup zone (oben). 4. Siehe Forwardlookup zone (oben). 5. Hierbei handelt es ich um PTR Record, d.h. es wird einer IP Adresse, in diesem Fall den IP Adressem & , da die Zonendatei db heißt und die das letzte Oktett der IP Adresse aus den PTR Einträgen entnommen wird, ein Hostname zugewiesen. Diese Einträge müssen immer mit einem Punkt beendet werden. Reverselookup muss bspw. Immer bei Mailservern gewährleistet sein, da man andernfalls auf Blacklisten landen kann. Reverselookup verhindert, dass man sich als jemand ausgibt, der man in Wahrheit gar nicht ist. Reverselookup ist so, als würde man nach einem Namen zu einem bekannten Telefonnumer suchen. Forwardlookup ist somit die Suche nach einer Telefonnummer zu einem bekannten Namen.

6 Domain registrieren (Zitat wikipedia.de) Um DNS-Namen im Internet bekannt machen zu können, muss der Besitzer die Domain, die diesen Namen enthält, registrieren. Durch eine Registrierung wird sichergestellt, dass bestimmte formale Regeln eingehalten werden und dass Domain-Namen weltweit eindeutig sind. Domain- Registrierungen werden von Organisationen (Registrars) vorgenommen, die dazu von der IANA bzw. ICANN autorisiert wurden. Registrierungen sind (von wenigen Ausnahmen abgesehen) gebührenpflichtig. Für Domains unter.de ist die DENIC zuständig.

7 Postfix / Mailserver SMTP SMTP steht für Simple Mail Transfer Protocol und läuft über Port 25, TCP Port 587 (TCP) steht noch zusätzlich für Mail Submission Agents (MSA) zur Verfügung. Server die jedoch auf diesem Port lauschen nehmen nur Mails von Clients entgegen. Verschlüsselte Verbindung geht über Port 465 (TCP). Diese Methode ist jedoch veraltet. Das neue Verfahren (SMTPS) sieht vor, dass zuerst unverschlüsselt vom Client auf Port 25 eine Verbindung aufgebaut und diese ab diesem Punkt an verschlüsselt über Port 25 übertragen wird. Bei einem SMTP Server sollte zwingend darauf geachtet werden, dass kein sogenanntes Open Relay System durch fehler- oder mangelhafte Konfiguration entstehen, da sonst JEDER im Internet ohne Anmeldung oder Login Mails über das Internet verschicken kann. SMTP ist ein textbasiertes Protokoll und kann via telnet bedient werden. Ein Beispiel (unverschlüsselt, klartext ohne Login / Authentifizierung) (neue Zeile bedeitet, dass zurvor ENTER gedrückt wurde): telnet mail.server.de 25 Mit Hilfe von telnet eine Verbindung auf den Server mail.server.de auf den Port 25 aufbauen HELO meine.maschine.de Wir teilen dem Server unseren Hostnamen mit MAIL FROM: <ich@maschine.de> Absenderadresse RCPT TO: <du@woanders.de> Empfängeradresse DATA Dieser Befehl gibt dem SMTP Server Bescheid, dass nun die eigentlichen Daten folgen Subject: Test123 Der Betreff der Mail Dies ist eine Testmail Der Textinhalt der Mail. Eine Mail wird mit einem Punkt ganz zum Schluss beendet. Dieser Punkt informiert den SMTP Server, dass dieser nun mit den Daten der Mail fertig ist und diese somit ausgeliefert werden kann. Klassische Mailserver sind bspw. Postfix und qmail Mailclienten werden auch MUA genannt (Mail User Agent). Mailserver, welche Mails von Clients annehmen werden MSA genannt (Mail Submission Agent) und der Server, welche die Mail zustellt wird MTA genannt (Mail Transfer Agent). Letztere beiden genannten Agents können auch von einem Server gleichzeitig übernommen werden. SMTP ist im Standard unverschlüsselt. Um SMTP zu verschlüsseln muss diese aktiviert werden. Wenn diese aktiviert ist, dann teilt ein Mailclient, welcher eine Mail verschicken möchte, nachdem Verbindungsaufbau mit dem Text STARTTLS dem Server mit, dass er ab sofort eine verschlüsselte Verbindung anfordert. Ein SMTP Server selbst ist nur für die Übermittlung von Mails vorgesehen. Ein SMTP Server speichert keine Mails! Dies übernimmt ein IMAP oder POP3 Server. SMTP übergibt wiederum Mails, welche er erhält, an den IMAP oder POP3 Server. Eine Authentifizierung mit postfix wird mit dem Zusatz SASL realisiert. SASL ist kein SMTP Befehl, SMTP kennt keine Authentifizierung.

8 IMAP / POP3 POP3 POP steht für Post Office Protocol und kommuniziert über Port 110, TCP POP3 ist in der Funktionalität sehr beschränkt und erlaubt nur das Auflisten, löschen und Abholen von Mails vom Server. Flags (wie z.b. gelesen ) werden nicht unterstützt. Mails, die vom Server abgeholt wurden, verschwinden i. d. R. vom Server. Die Möglichkeit Ordner wie in IMAP zu erstellen existiert nicht POP3 unterstützt für die Verschlüsselung auch SASL (STARTTLS) Alternativ kann über Port 995 TCP komplett verschlüsselt werden (veraltete Methode) Da POP3 auch textbasiert ist, ist es möglich sich via telnet auf dem Server einzuloggen und Befehle abzusetzen. Ein Beispiel (klartext, unverschlüsselt) (neue Zeile bedeitet, dass zurvor ENTER gedrückt wurde): telnet mail.server.de 110 Mit Hilfe von telnet wird einer Verbindung nach mail.server.de auf den Port 110 aufgebaut USER ich@server.de Einloggen mit dem Benutzer ich@server.de PASS mein_passwort Übergeben des Passwortes, in diesem Fall mein_passwort STAT Liefert den Status der Mailbox, wie z.b. wieviele Mails sich derzeit darin befinden, sowie die Gesamtgröße LIST 1 Gibt Informationen zur Mail an der n-ten Stelle aus, also in diesem Fall werden Informationen zu der in diesem Moment ersten Mail in diesem Postfach ausgegeben RETR 1 Die Mail an der n-ten Stelle wird abgeholt, also auch hier, die erste Mail DELE 1 Die n-te Mail wird zum löschen markiert (wieder die Erste) QUIT Verbindung wird geschlossen

9 IMAP IMAP steht für Interactive Mail Access Protocol und läuft unverschlüsselt auf Port 143, TCP und verschlüsselt auf Port 993, TCP IMAP ist, wie auch SMTP ein textbasiertes Protokoll Ein wesentlicher Unterschied zwischen IMAP und POP ist, dass beim Abrufen der Mails über POP diese vom Server verschwinden wohingegen die Mails bei IMAP lokal gespeichert werden ohne dabei die Mails vom Server zu löschen. Normalerweise arbeite IMAP nur online, jedoch wird von (so ziemlich allen) Mailclients eine lokale Kopie angelegt, welche zugleich auch als Offline Modus dienen. Änderungen am Postfach, wie z.b. das Anlegen von Unterordnern etc., werden auf den Server synchronisiert. Theoretisch ist auch durch das Setzen von Benutzerrechten der Zugriff von mehreren Benutzern gleichzeitig auf ein Postfach möglich Die Erweiterung IMAP IDLE ermöglicht einem Client sofort mitzuteilen, wenn eine neue Nachricht eingetroffen ist, ähnlich dem PUSH Prinzip von ActiveSync / Exchange. Dies verhindert unnötigen Datenverkehrt, da dieser PUSH -Mechanismus vom Server ausgelöst wird, nicht vom Client. Standardverfahren ist polling Client frägt an Da textbasiert, kann auch IMAP mit Hilfe von telnet bedient werden. Ein Beispiel (unverschlüsselt, klartext) (neue Zeile bedeitet, dass zurvor ENTER gedrückt wurde): telnet mail.meinserver.de 143 Aufbauen einer Verbindung mit Telnet auf den Server mail.meinserver.de auf Port 143 a01 LOGIN user pwd Anmelden am IMAP Server (Klartext), hier mit dem Benutzernamen user und dem Passwort password a02 LIST * Anzeigen lassen aller Ordner des Benutzers auf dem Server a03 SELECT INBOX Die INBOX wird als aktiver Ordner ausgewählt. Außerdem werden zum selektierten Ordner Informationen ausgegeben (wieviele Mails enthält dieser, wieviele sind ungeselen, etc.) a04 FETCH 1 BODY Holt den Textkörper (also das, was in der Mail steht) ab und zwar von der ersten Mail (deshalb die 1) a05 LOGOUT Ausloggen vom IMAP Servername Für jeden Befehl wird die Zahl vor dem a um 1 erhöht. IMAP verlangt das so, i. d. R. macht das dann natürlich auch ein Mailclient automatisch. Es gibt zwei Verfahren wie bei IMAP Mailsabgelegt werden können: mbox: Bei mbox werden alle Mails für einen Benutzer in einer großen Datei abgelegt. Der Mailserver erkennt anhand von Trennzeichen, wann eine Mail aufhört und wann eine neue beginnt. Maildir: Bei Maildir wird, wie der Name schon sagt, ein Verzeichnis für den Mailbenutzer angelegt. Hier befinden sich alle Mails in einzelnen Klartextdateien in Verzeichnissen. Unterordner z.b. im Ordner INBOX werden auch als Verzeichnisse auf dem Dateisystem angelegt. Dieses Verfahren gilt als besseres Verfahren gegenüber dem mbox.