1. Name Server (DNS). 1.1 Installation des Nameservers BIND.

Transkript

1 Linux - Name Server (DNS). - 1 / 8-1. Name Server (DNS). Ein Nameserver dient zur zentralen Auflösung von Rechnernamen zu deren IP Nummer und umgekehrt. Diese Aufgabe kann natürlich die jeweilige /etc/hosts Datei eines jeden Rechners übernehmen. Es gibt aber gute Gründe einen Nameserver dafür zu verwenden, wenn viele Rechner einer Domain angehören. Dann muss der Administrator auf vielen Einzelrechnern für die Aktualität der /etc/hosts Datei sorgen. Bei der Verwaltung an zentraler Stelle, dem Nameserver bleibt der Aufwand für den Administrator gering. Der Nameserver BIND (Berkeley Internet Name Domain) stellt einen DNS zur Verfügung. Man unterscheidet zwischen primären und sekundären Nameservern. Ein primärer Nameserver ist immer für eine sogenannte Zone zuständig. Eine Zone ist mindestens eine komplette Domain, kann aber auch aus mehreren kompletten Domains bestehen. Es muss für eine Zone einen primären Nameserver geben! Des weiteren gibt es noch sekundäre Nameserver. Er dient als Reserve für Ausfall des primären Nameservers. Ein sekundärer Nameserver bezieht automatisch seine Datenbasis für die Zone(en) immer in regelmäßigen Abständen vom primären Nameserver, falls diese geändert wurden (es wird die Seriennummer des Datensatzes des primären Servers zuerst abgefragt, dann die Daten übertragen oder auch nicht). Ein Slave Nameserver besitzt nur einen Cache mit Daten, die sich von vorherigen Anfragen ergeben haben. Ist dem Slave Nameserver eine Adresse nicht bekannt, fragt er (engl. forwarding) bei primären Nameservern nach und merkt sich dann im Cache die Daten. Slave Nameserver wer - den auch gerne benutzt, um Internet Adressen zu cachen. 1.1 Installation des Nameservers BIND. Die Pakete bind und bind-utils sind zu installieren. Der Dienst named ist zu starten. # service named start Redirecting to /bin/systemctl start named.service # service named status Redirecting to /bin/systemctl status named.service named.service - Berkeley Internet Name Domain (DNS) Loaded: loaded (/usr/lib/systemd/system/named.service; disabled) Active: active (running) since So :17:33 CEST; 7min ago Process: ExecStop=/bin/sh -c /usr/sbin/rndc stop > /dev/null 2>&1 /bin/kill -TERM $MAINPID (code=exited, status=0/success) Process: ExecReload=/bin/sh -c /usr/sbin/rndc reload > /dev/null 2>&1 /bin/kill -HUP $MAINPID (code=exited, status=0/success) Process: ExecStart=/usr/sbin/named -u named $OPTIONS (code=exited, status=0/success) Process: ExecStartPre=/usr/sbin/named-checkconf -z /etc/named.conf (code=exited, status=0/success) Main PID: (named) CGroup: /system.slice/named.service Eventuell erhalten Sie Fehlermeldungen trotzdem der named Daemon aktiv ist, wenn Ihr Rechner hinter einem Proxy liegt und die Root-Server (was Root Server sind, siehe Wikipedia Stichworte: DNS Root Server) dadurch nicht erreichbar wären. Der Name Server auf Ihrem Rechner arbeitet nach Installation und ohne weitere Konfiguration wie folgt: Er kann den Namen localhost bzw. localhost.localdomain und die IP's (IPv4) und ::1 (IPv6) auflösen: # nslookup localhost Name: localhost Address: # nslookup localhost.localdomain Name: localhost.localdomain Address:

2 Linux - Name Server (DNS). - 2 / 8 - # nslookup in-addr.arpa name = localhost. # nslookup :: ip6.arpa name = localhost. Alle anderen Anfragen werden an einen der Root Server weitergeleitet und die Auskunft von dort bezogen. Diese wird beim eigenen Nameserver in seinem Cache zwischengespeichert (wie lange teilen ebenfalls die Root Server dem eigenen Root Server mit). # nslookup Non-authoritative answer: Name: Address: Können die Root Server nicht erreicht werden, weil zum Beispiel ein Proxy sperrt, gibt es keine Auflösung. # nslookup ** server can't find SERVFAIL 1.2 Die Zonendateien. In den Beispielen ist orion.gate.local ( ) der Rechner, auf dem der Nameserver eingerichtet wird! Wichtig: Nach jeder Änderung in einer Zonendatei oder aber in der Konfigurationsdatei des Nameservers, muss der Dienst named restartet werden. Fehlermeldungen lassen sich in der Datei /var/log/messages einsehen (dort wird auch die Datei und die Zeilennummer mit dem Fehler aufgeführt). # service named restart Soll der Nameserver zukünftig beim Booten starten, muss dies mit systemctl eingerichtet werden. # systemctl enable named.service Created symlink from /etc/systemd/system/multi-user.target.wants/named.service to /usr/lib/systemd/system/named.service. In dem durch die Grundkonfiguration vorgegebenen Arbeitsverzeichnis /var/named des Nameservers befinden Sich die sogenannte Zonendateien (deren Dateiname ist frei wählbar). Zu einer Zone gehören immer 2 Dateien, wie zum Beispiel die Datei /var/named/gate.local.zone (löst Namen zu IP-Nummern auf) und die Datei /var/named/ zone (löst IP-Nummern zu Namen auf) für das eigene Intranet. Sie haben zum Beispiel folgende Einträge, mit Semikolon beginnt Kommentar bis zum Zeilenende: # cat /var/named/gate.local.zone $TTL IN root ( ; serial Seriennummer ; refresh nach 8 Stunden 3600 ; retry nach 1 Stunde ; expire nach 1 Woche ) ; minimum TTL ist 1 Tag IN NS orion ; MX Eintrag notwendig, wenn Mailserver existiert: IN MX 5 orion

3 Linux - Name Server (DNS). - 3 / 8 - ; ; Es folgt die Liste der Hosts der Zone: pegasus IN A orion IN A centaurus IN A andromeda IN A dns1 IN CNAME orion Hinweis: Würden Sie die kompletten FQDN's eingeben, müssten Sie sie mit Punkt am Ende eintragen, also zum Beispiel: orion.gate.de. # cat /var/named/ zone $TTL IN root ( ; serial Seriennummer ; refresh nach 8 Stunden 3600 ; retry nach 1 Stunde ; expire nach 1 Woche ) ; minimum TTL ist 1 Tag IN NS orion.gate.local. 23 IN PTR orion.gate.local. 24 IN PTR pegasus.gate.local. 30 IN PTR centaurus.gate.local. 31 IN PTR andromeda.gate.local. Erläuterung zu den Einträgen in den Zonendateien: Allgemeiner Aufbau: $TTL Standardzeit Domain Host FQDN IN SOA A MX NS PTR Parameter Mit Semikolon beginnt Kommentar bis zum Zeilenende. Domain (inklusive Toplevel) und FQDN müssen immer mit Punkt abgeschlossen werden! Host steht für den Rechnernamen (hat nichts mit Alias Namen zu tun!) (engl. Origin) ist die Abkürzung für den zuständigen Nameserver der Zone. Ein FQDN (Full Qualified Domain Name) eines Rechners besteht allgemein aus: Hostname.Domainname.Toplevelname und IP Nummern müssen, wenn sie vollständig aufgeführt werden, rückwärts angegeben und mit.in-addr.arpa abgeschlossen werden. Es folgt dann die Adressklasse (meist IN, steht für INternet Adressklasse). Datensatztyp (SOA = Start Of Authority, A = Adresse IP Nummer, MX = Mail exchange, NS = Name Server, PTR = PoinTeR sind die wichtigsten) und dem eigentlichen Datensatz. Wenn Datensätze sich über mehrere Zeilen erstrecken, sind diese mit runden Klammern einzugrenzen. Der Typ SOA erfordert die folgenden Angaben (Reihenfolge beachten!): Origin = der Name des zuständigen Nameservers der Zone für spätere Abkürzung die Adresse des Zonenadministrators (hier ist es im Beispiel root, Zeichen einer adresse wird als Punkt dargestellt), die Seriennummer der Zonendatei (im Beispiel das Datum: JJJJMMTTnr, ein sekundärer Nameserver wird die Datensätze holen, wenn die Seriennummer größer ist als beim letzten Mal), Refresh Rate in Sekunden (nach dieser Zeit fragt ein sekundärer Nameserver wieder an, um die Seriennummer zu überprüfen), Retry Rate dt. Wiederholung in Sekunden (nach dieser Zeit fragt ein sekundärer Nameserver wieder an, wenn eine Anfrage unbeantwortet blieb), Expire dt. Verfall in Sekunden (nach dieser Zeit verwirft ein sekundärer Nameserver alle sein Daten, falls es ihm nicht gelingt, den primären Nameserver zu erreichen), default ttl engl. Time To Live dt. Minimale Lebenszeit in Sekunden für die Datensätze, die sich ein sekundärer Nameserver geholt hat. Der Typ A legt die IP Adressnummer für einen Host in der Domain fest. Der Typ MX für den Mail Austausch (Mail exchange), wenn Sie den Daemon sendmail für den Mailaustausch zwischen Rechnern einrichten wollen, muss auch ein Nameserver eingerichtet sein, der die Namensauflösung der Domains in einer adresse managt und der die s aufhebt, wenn der Zielrechner nicht am Netz hängt, sonst verschwinden s auf Nimmer-Wiedersehen. Die Ziffer ist die sogenannte Referenz und dient der eventuellen Kostenabrechnung. Der Typ NS für Nameserver selbst. Der Typ PTR enthält den Datensatz, um aus IP Nummern den Namen des Hosts zu ermitteln (zum Beispiel für Unix Kommando traceroute, unter Windows allen hoffentlich als Konsolen-Befehl tracert wohl bekannt). Der Typ CNAME legt einen FQDN Namensalias für einen Host fest (Firma XYZ hat zum Beispiel die tat sächliche Hostadresse uvw.xyz.com, möchte aber auch in DE unter erreichbar sein).

4 Linux - Name Server (DNS). - 4 / 8 - Zonendateien lassen sich mit dem Kommando named-checkzone auf Fehler überprüfen. named-checkzone Zone Zonendatei Beispiel: # named-checkzone gate.local /var/named/gate.local.zone zone gate.local/in: loaded serial OK # named-checkzone /var/named/ zone zone /IN: loaded serial OK Einbindung der Zonendateien: Die Zonendateien müssen in den Nameserver eingebunden werden. Dies geschieht in der Konfigurationsdatei des Name Servers /etc/named.conf. Ergänzen Sie hinter der schon vorhandenen Zone. und vor den include Anweisungen die Zonendateien entsprechend wie es für die beiden obigen Zonendateien gezeigt ist (danach Restart des Dienstes named nicht vergessen!). Eine Zone für deren IP Nummern muss, da sie vollständig aufgeführt wird, rückwärts angegeben und mit.in-addr.arpa abgeschlossen werden! usw. usw.... zone "." IN { type hint; file "named.ca"; zone "gate.local" IN { type master; file "gate.local.zone"; zone " in-addr.arpa" IN { type master; file " zone"; include "/etc/named.rfc1912.zones"; include "/etc/named.root.key"; Die Konfigurationsdatei /etc/named.conf lässt sich mit dem Kommando named-checkconf auf Fehler überprüfen, optional mit -z zum testweisen Laden der Zonen. named-checkconf [ -z ] Beispiel: # named-checkconf -z zone gate.local/in: loaded serial zone in-addr.arpa/IN: loaded serial zone localhost.localdomain/in: loaded serial 0 zone localhost/in: loaded serial 0 zone ip6.arpa/IN: loaded serial 0 zone in-addr.arpa/IN: loaded serial 0 zone 0.in-addr.arpa/IN: loaded serial 0 # service named restart Redirecting to /bin/systemctl restart named.service # service named status Redirecting to /bin/systemctl status named.service named.service - Berkeley Internet Name Domain (DNS) Loaded: loaded (/usr/lib/systemd/system/named.service; enabled) Active: active (running) since So :48:38 CEST; 7s ago Process: ExecStop=/bin/sh -c /usr/sbin/rndc stop > /dev/null 2>&1 /bin/kill -TERM $MAINPID (code=exited, status=0/success) Process: ExecStart=/usr/sbin/named -u named $OPTIONS (code=exited, status=0/success) Process: ExecStartPre=/usr/sbin/named-checkconf -z /etc/named.conf (code=exited, status=0/success)

5 Linux - Name Server (DNS). - 5 / 8 - Main PID: (named) CGroup: /system.slice/named.service /usr/sbin/named -u named zone in-addr.arpa/IN: loaded serial zone localhost/in: loaded serial 0 zone gate.local/in: loaded serial zone ip6.arpa/IN: loaded serial 0 zone localhost.localdomain/in: loaded serial 0 all zones loaded running zone gate.local/in: sending notifies (serial ) zone in-addr.arpa/IN: sending notifies (serial ) Jul 12 14:48:38 orion.gate.local systemd[1]: Started Berkeley Internet Name Domain (DNS). Nun sollten die folgende Anfragen für die Hosts des Intranets an den eigenen Nameserver erfolgreich sein wegen des CNAME Eintrages führen die Abfragen für pegasus.gate.local und dns1.gate.local zur gleichen IP Nummer. Mit dem Kommando host und der Option -l können auch eine Liste aller Hosts der Domain abgefragt werden: # host -l gate.local Using domain server: Name: Aliases: gate.local name server orion.gate.local. andromeda.gate.local has address centaurus.gate.local has address orion.gate.local has address pegasus.gate.local has address # nslookup andromeda.gate.local Name: andromeda.gate.local Address: # nslookup in-addr.arpa name = andromeda.gate.local. # nslookup pegasus.gate.local Name: pegasus.gate.local Address: # nslookup dns1.gate.local dns1.gate.local canonical name = orion.gate.local. Name: orion.gate.local Address:

6 Linux - Name Server (DNS). - 6 / Forwarding. Wenn der DNS Server nicht die Root Server erreichen kann, aber auch wenn es einen Name Server für das Intranet gibt, der Adressen des Internets auflösen kann, können beim Nameserver alle Anfragen, die nicht durch die eigenen Zonendateien aufgelöst werden können, an diesen weitergeleitet werden. Dies versteht man als Forwarding. Generelles Forwarding: Dazu fügt man in der Konfigurationsdatei des Name Servers /etc/named.conf mit dem Eintrag forwarders die IP's anderer Nameserver hinzu, zum Beispiel die DNS Server des eigenen Providers. Alle Auflösungen, die der eigene DNS nicht auflösen kann, werden an diese weitergeleitet. In diesem Fall ist der Zugriff auf die Root Server durch entsprechende Kommentierung der Zone. zu verhindern, damit bei unbe - kannten (Internet) Adressen nicht mehr auf die Root Server zugegriffen wird: options { forwarders { nnn.nnn.nnn.nnn; nnn.nnn.nnn.nnn; //zone "." IN { // type hint; // file "named.ca"; // Hinweise: Achten Sie darauf, dass beim forwarders Eintrag nach { und vor } ein Leerzeichen stehen muss, ebenso hinter den beiden Semikolons! Mit // beginnt ein Kommentar bis zum Zeilenende. Zonen Forwarding für weitere Auflösungen im Intranet: Gibt es für das Intranet DNS Server, die zwar nicht Ihre Zonen auflösen, jedoch andere des Intranets, so ist für diese Zonen Forwarding in der Konfigurationsdatei des Name Servers /etc/named.conf anzulegen. Die IP's der Forwarders sind in diesem Falle die übergeordneten DNS Server des Intranets. zone "intranet.local" IN { type forward; forwarders { nnn.nnn.nnn.nnn; nnn.nnn.nnn.nnn; zone "xxx.xxx.xxx.in-addr.arpa" IN { type forward; forwarders { nnn.nnn.nnn.nnn; nnn.nnn.nnn.nnn; Hinweis: Achten Sie darauf, dass beim forwarders Eintrag nach { und vor } ein Leerzeichen stehen muss, ebenso hinter den beiden Semikolons! Nicht vergessen, nach jeder Änderung von /etc/named.conf den Nameserver zu restarten. 1.4 Bereitstellung des Name Servers für die Clients des Intranets. Dazu sind 3 Änderungen in der Konfigurationsdatei des Servers /etc/named.conf notwendig: Beim Eintrag listen-on ist die IP des Name-Servers für das Netzwerkinterface zu ergänzen, auf dem DNS Anfragen von Clients für ihn eintreffen können: listen-on port 53 { ; ; Beim Eintrag allow-query sind die IP Adressen von Clients bzw. das Netzwerk der Clients zu ergänzen, denen der Zugriff für DNS Anfragen auf den DNS Server erlaubt ist: allow-query { localhost; /24; Kommentieren Sie den Eintrag recursion yes; aus: // recursion yes; Auch hier wieder nicht den Restart des Servers vergessen und bei den Einträgen auf die notwendigen Leerzei-

7 Linux - Name Server (DNS). - 7 / 8 - chen bei den geschweiften Klammern achten! Damit Clients aus dem/den angegebenen Netzwerken den DNS nutzen können, darf auch nicht vergessen werden, die Firewall für den Port 53 (UDP) zu öffnen. Man stellt in der Regel mindestens 2 Nameserver in einem Intranet bereit falls ein DNS einmal ausfallen sollte. Es ist also Bind auf einem zweiten Linux PC entsprechend einzurichten! Der Server läuft auf dem Host pegasus.gate.local ( ). Der Client orion.gate.local kann Anfragen zur Auflösung absetzen. [kubi@orion ~]$ nslookup centaurus.gate.local Server: Address: #53 Name: centaurus.gate.local Address: [kubi@orion ~]$ nslookup Server: Address: #53 Non-authoritative answer: canonical name = rsl050.beuth-hochschule.de. Name: rsl050.beuth-hochschule.de Address: Clients, die nun den eingerichteten Nameserver benutzen wollen (inkl. des Nameserver PC's selbst), bedürfen des Eintrags des aufgebauten Nameservers für die Schnittstelle, deren Namen mit dem Kommando ifconfig ersichtlich ist hier trägt sie den Namen enp2s0: # ifconfig enp2s0: flags=4163<up,broadcast,running,multicast> mtu 1500 inet netmask broadcast inet6 fe80::9eb6:54ff:fef7:b165 prefixlen 64 scopeid 0x20<link> ether 9c:b6:54:f7:b1:65 txqueuelen 1000 (Ethernet) RX packets 2668 bytes (218.7 KiB) RX errors 0 dropped 0 overruns 0 frame 0 TX packets 389 bytes (48.4 KiB) TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0 lo: flags=73<up,loopback,running> mtu inet netmask inet6 ::1 prefixlen 128 scopeid 0x10<host> loop txqueuelen 0 (Lokale Schleife) RX packets 2822 bytes (290.2 KiB) RX errors 0 dropped 0 overruns 0 frame 0 TX packets 2822 bytes (290.2 KiB) TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0 virbr0: flags=4099<up,broadcast,multicast> mtu 1500 inet netmask broadcast ether 52:54:00:7b:f5:10 txqueuelen 0 (Ethernet) RX packets 0 bytes 0 (0.0 B) RX errors 0 dropped 0 overruns 0 frame 0 TX packets 13 bytes 1643 (1.6 KiB) TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0 In der Konfigurationsdatei der Schnittstelle /etc/sysconfig/network-scripts/ifcfg-enp2s0 wird nun der Eintrag des/der Nameserver(s) mir einem Editor eingetragen (Einträge DNS1, DNS2 vornehmen): # cat /etc/sysconfig/network-scripts/ifcfg-enp2s0 TYPE=Ethernet NAME=enp2s0... DNS1=" " # Bei einem weiteren 2. Nameserver: DNS2=" xx"...

8 Linux - Name Server (DNS). - 8 / 8 - Der Network Manager trägt dann die Nameserver in die Datei /etc/resolv.conf ein. Dazu Schnittstelle deaktivieren und wieder aktivieren: # ifdown enp2s0 # ifup enp2s0 Verbindung wurde erfolgreich aktiviert (aktiver D-Bus-Pfad: /org/freedesktop/networkmanager/activeconnection/9) # cat /etc/resolv.conf # Generated by NetworkManager search gate.local nameserver # Dies wäre der zweite DNS für gate.local # nameserver xx Nun werden DNS Anfragen auch ohne Angabe des Nameservers beim nslookup oder host Kommando ausgeführt: # nslookup centaurus.gate.local Server: Address: #53 Name: centaurus.gate.local Address: # nslookup Server: Address: # in-addr.arpa name = centaurus.gate.local. # host -l gate.local gate.local name server orion.gate.local. andromeda.gate.local has address centaurus.gate.local has address orion.gate.local has address pegasus.gate.local has address