I003 Domain Name System (DNS)

Transkript

1 Eidgenössisches Finanzdepartement EFD Informatiksteuerungsorgan des Bundes ISB I003 Domain Name System (DNS) Klassifizierung: Typ: Nicht klassifiziert IKT-Standard Ausgabedatum: Version: 1.74 Status: Genehmigt Ersetzt: 1.73 Verbindlichkeit: Weisung Genehmigt durch: Informatiksteuerungsorgan Bund, am Beilagen: Beilage 1: Technische Zonen unter admin.ch

2 Inhaltsverzeichnis 1 Anwendungsbereich Geltungsbereich Verbindlichkeit Einleitung Anwendungsgebiet Struktur des DNS Domänenstruktur Regeln für Domänennamen Adresse-zu-Namen Konversion (Reverse Lookup) Domänenstruktur in der Bundesverwaltung Ebene: CH-Domäne Ebene: Bundesverwaltungsdomäne Ebene: Amtsdomänen («Departemente/Dienststellen») Ebene: Sprechende Namen «sprechende Namen» Ebene: Technische Domänen («technische Zonen») Die Domäne «intra.admin.ch» Weitere technische Zonen unter «admin.ch» Hosts CNAME (Alias) Adresse-zu-Namen Konversion DNS Organisation in der Bundesverwaltung Ebene: CH-Domäne Ebene: BVerw-Domäne Ebene: Amtsdomänen Ebene: DNS Büroautomation Zone «intra.admin.ch» Ebene: Departementsdomänen unter «intra.admin.ch» Kontaktstellen Sicherheitsüberlegungen Anhänge A. Änderungen gegenüber Vorversion B. Bedeutung der Schlüsselwörter zur Bestimmung des Verbindlichkeitsgrades C. Abkürzungen D. Referenzen /14

3 Das Informatiksteuerungsorgan Bund erlässt gestützt auf Artikel 17 Absatz 1 der Verordnung über die Informatik und Telekommunikation in der Bundesverwaltung (BinfV) nachfolgende Weisungen. 1 Anwendungsbereich Der vorliegende Standard regelt die Struktur, die Namensvergabe und die Verantwortlichkeiten für das Domain Name System der Bundesverwaltung. 2 Geltungsbereich Der Geltungsbereich der Weisungen ist identisch mit dem Geltungsbereich der BinfV 1. 3 Verbindlichkeit Der Verbindlichkeitsgrad der einzelnen Vorgaben wird mittels der im Anhang B zusammengestellten, in Grossbuchstaben geschriebenen Schlüsselwörter gekennzeichnet. 4 Einleitung In der TCP/IP Protokollreihe gibt es zwei Möglichkeiten, Hosts (Rechner) zu adressieren. Zum einen direkt mit der IP-Netzwerkadresse, die aus einer 32 Bit-Nummer besteht und in der Form A.B.C.D dargestellt wird, z. B Zum andern mit dem Domain Name System (DNS), das erlaubt, die Hosts mit logischen und benutzerfreundlichen Namen zu identifizieren. DNS ist der Namensauflösungsdienst für die TCP/IP Protokollreihe. In der Bundesverwaltung wird das DNS für verschiedene Zwecke eingesetzt: zur Vereinfachung der Netzwerkadministration (Behandlung und Verwaltung von Namen und IP-Adressen), für eine bessere Benutzerfreundlichkeit (Namen sind einfacher zu behalten als Nummern) z.b. bei der Adressierung von Web-Sites, Hierarchische Gliederung Namen werden durch die Hierarchiestruktur von oben nach unten vererbt und erlauben dadurch eine übersichtliche Anordnung. Zu einer Domäne können im DNS Informationen in Form von Attributen abgelegt werden, z.b. die IP-Adresse im Fall eines Hosts. Die Hauptanwendung des DNS ist es, über den Namen eines Hosts seine IP-Adresse zu finden. Mit dem Einsatz von Windows Active Directory 1 SR /14

4 in der Bundesverwaltung übernimmt das DNS zwei weitere Aufgaben: Zum einen ist dies die Benennung von Windows Active Directory Domänen. Zum anderen dient das DNS dem Auffinden von angebotenen Diensten im Netzwerk mit der Hilfe von SRV-Records (Service-Records), welche in der DNS-Datenbank eingetragen sind. 5 Anwendungsgebiet Die vorliegende Weisung regelt: die Definition der Domänenstruktur (Namenskonventionen) die DNS Hierarchie für Büroautomation und das Active Directory der BVerw und die Definition der DNS-Verwaltung (Administration). Für die Adressierung von Websites gilt zusätzlich [R008] 6 Struktur des DNS 6.1 Domänenstruktur Das DNS ist eine verteilte Datenbank. Die Datenbankstruktur ist hierarchisch, ähnlich wie die eines Dateisystems: sie hat die Form eines umgekehrten Baumes. Jeder Knoten im Baum mit allen seinen Unterknoten ist eine Domäne (engl. Domain). Jede Domäne kann in Subdomänen unterteilt werden. Ganz oben gibt es die sogenannte Root-Domäne als oberste Hierarchiestufe. Jede Domäne hat einen Namen, der sie im Verhältnis zu ihrer Elterndomäne identifiziert und der in der Hierarchie von oben nach unten vererbt wird. Die Root-Domäne hat den Namen (leerer Name), wird aber mit. (Punkt) gekennzeichnet. Der vollständige Name einer Domäne ist die Sequenz der Namen von der Domäne bis zur Root, indem die Namen mit. (Punkt) getrennt sind. Ein Host (Computer) ist eine Domäne, die sich am Ende eines Astes befindet. Ein vollständiger Hostname (FQDN Fully Qualified Domain Name) lautet wie folgt: <Host Name>.....<2. Level Domain Name>.<1. Level Domain Name>. Im Unterschied zu einer Domäne enthält eine Zone (engl. zone) nicht notwendigerweise alle Unterknoten. Sie ist eine Teilmenge der Domäne. Einzelne oder alle Subdomänen können je wieder eine eigene Zone bilden. Die Daten einer Zone werden auf einem Nameserver verwaltet. Die Daten einer Domäne können, aufgeteilt in mehrere Zonen, auf verschiedenen Nameservern verwaltet werden. 4/14

5 6.2 Regeln für Domänennamen Bei der Namensvergabe müssen folgende Regeln eingehalten werden: die Namen müssen aus den Zeichen 'a'..'z', '0'..'9' und '-' bestehen. Buchstabengrösse wird nicht unterschieden. das erste Zeichen muss ein Buchstabe sein. Das Zeichen '-' kann nicht das letzte Zeichen sein. der FQDN kann maximal 255 Zeichen beinhalten der Unterstrich _ (underscore) kann als erstes Zeichen für die Zonen- bzw. Domänenbenennung innerhalb des Windows Active Directory verwendet werden. Diese Regeln müssen zwingend für alle Namen in der ganzen Bundesverwaltung eingehalten werden. 6.3 Adresse-zu-Namen Konversion (Reverse Lookup) Die Abbildung einer IP-Adresse eines Hosts auf den DNS-Namen wird als Reverse Lookup bezeichnet. Gewisse Applikationen verwenden diese Reverse-lookup-Abfragen und überprüfen auf diese Weise ob ein Host im DNS verzeichnet ist. Dafür wurde eine spezielle Domäne kreiert: in-addr.arpa. Diese Domäne wird weiter mit der IP-Adresse (4 Dezimalnotation) unterteilt. Z.B die Class-B Adresse bildet die Subdomäne in-addr.arpa. Beispiel: Der Host mit Adresse entspricht der Domäne in-addr.arpa. In der Datenbank wird ein Eintrag gemacht, der zu dieser Domäne den DNS-Namen des Hosts zuteilt. 7 Domänenstruktur in der Bundesverwaltung Die Domänenunterteilung innerhalb der Bundesverwaltung erfolgt nach folgendem Schema: Hierarchieebene Standard DNS (Zone «admin.ch») Büroautomation und Active Directory BV (Zone «intra.admin.ch») 1. Ebene ch ch 2. Ebene admin admin 3. Ebene «Departemente/Dienststellen» oder «sprechende Namen» oder «technische Zonen» 4. Ebene «Hosts» «Subdomäne» «Departemente» intra 5/14

6 5. Ebene - «Hosts» «Hosts» Die Domänenstruktur soll so flach wie möglich sein, damit die Namen kurz bleiben. Die folgenden Kapitel beschreiben die vorgesehenen Ebenen2. In begründeten Fällen können darüber hinaus Namen mit einer 6. oder 7. Ebene eingeführt werden. Bedingung ist allerdings, dass diese nur systemintern verwendet werden. Für Endbenutzer sind derartige Namen zu unhandlich Ebene: CH-Domäne Im Internet ist eine First-Level-Domäne pro Land definiert, die nach dem Internationalen Ländercode bezeichnet ist. Für die Schweiz heisst diese Domäne ch. Diese Domäne wird von SWITCH verwaltet und sämtliche darunterliegenden Hierarchiestufen sind von der Zone ch her delegiert Ebene: Bundesverwaltungsdomäne Das BAKOM hat der Bundesverwaltung X.400 ADMD zugeteilt. Diese Bundes-ADMD heisst admin. Um eine Angleichung und Vereinfachung der Namensvergabe im X.400/X.500 und DNS zu erreichen wurde in Zusammenhang mit dem Internet-Anschluss eine second-level-domäne admin.ch. für die ganze Bundesverwaltung bei SWITCH registriert Ebene: Amtsdomänen («Departemente/Dienststellen») Amtsdomänen sind Domänen von Departementen oder Dienststellen. Die Domänen von Departementen werden hierarchisch gleichwertig behandelt wie jene der Dienststellen (d.h. es gibt die Domänen 'efd.admin.ch' und 'bit.admin.ch', jedoch keine Domäne 'bit.efd.admin.ch'). Die Namen von Domänen der Departemente und Dienststellen werden aus ihrem deutschen Namenskürzel (Vergabe durch die Bundeskanzlei) gemäss folgenden Regeln gebildet: Grossbuchstaben werden in Kleinbuchstaben umgewandelt; spezielle Schriftzeichen ( /, +,) fallen weg; ä wird ae, ö wird oe, usw. Amtsdomänen müssen beim BIT beantragt und registriert werden. Beispiele für die Amtsdomänen sind: 2 In diesem Dokument werden Ebene, Stufe und der englische Begriff Level als Synonyme verwendet. 6/14

7 Amt/Departement EFD BIT BBL BK Domänename efd.admin.ch bit.admin.ch bbl.admin.ch bk.admin.ch Dank dieser Domänenstruktur kann der vollständige Name eines Hosts mit der Kenntnis des Host-Namens und der Organisationszugehörigkeit sehr einfach und logisch abgebildet werden Ebene: Sprechende Namen «sprechende Namen» «Sprechende Namen» werden für Websites gemäss [R008] eingesetzt. Da in der Regeln nur www. «sprechender Name».admin.ch oder intranet. «sprechender Name» gebraucht werden, wird keine Zone «sprechender Name» erstellt, sondern der Eintrag Name», resp. intranet.«sprechender Name» als Hostnamen in der Zone.admin.ch definiert (engl. dotted hostnames) Ebene: Technische Domänen («technische Zonen») Die Domäne «intra.admin.ch» Im Rahmen der Einführung des Active Directory in der BVerw wird die DNS-Domäne intra.admin.ch als oberste Hierarchiestufe des gemeinsamen Forest definiert. Die DNS-Domäne intra.admin.ch ist die Active Directory Root-Domain. Entsprechend den folgenden Beispielen werden demnach die Domänen der Departemente nach der DNS-Namenskonvention benannt und durch die Erweiterung intra.admin.ch ergänzt. Beispiele: vbs.intra.admin.ch uvek.intra.admin.ch efd.intra.admin.ch evd.intra.admin.ch ejpd.intra.admin.ch edi.intra.admin.ch eda.intra.admin.ch bk.intra.admin.ch Zusätzliche gewünschte Domänen unter der Zone intra.admin.ch können nur unter speziellen Bedingungen und nach Antrag beim Gremium FFB (Führung Forest Bund) bewilligt und eingetragen werden Weitere technische Zonen unter «admin.ch» Für bestimmte informatiktechnische Einsatzgebiete ist es möglich, technische Zonen unter admin.ch zu definieren. Diese werden bei der Bundeskanzlei registriert und gehen bei der zukünftigen Kürzelvergabe für Dienststellen durch die Bundeskanzlei vor, da in der Regel grössere Infrastrukturen damit adressiert werden und Namensänderung riesige Aufwände verursachen würden. 7/14

8 Die aktuelle Liste der technischen Zonen ist in der Beilage 1 Technische Zonen unter admin.ch' zu finden Die Verwendung von www als Hostname unter.admin.ch ist erlaubt. Aus technischer Sicht wäre es möglich eine Domäne zu bilden; dies ist aber nicht erwünscht, weil es für die Benutzenden verwirrend wäre. 7.7 Hosts Die Host-Namen werden von den LE der Departemente definiert und verwaltet. Die Namen sind nach folgenden Namenskonventionen zu bilden: www und intranet Die Hostnamen www und intranet sind für Hosts reserviert, auf denen Webserver laufen. (Siehe auch Abschnitt 3. Ebene: Sprechende Namen «sprechende Namen» Seite 7 für Hostnamen die einen Punkt enthalten.) Es dürfen keine Umlaute, Akzente usw. verwendet werden. ('ae' statt 'ä', 'e' statt 'é' usw.) Namen von Windows-Hosts: Im Windows-Umfeld sind die Namenskonventionen gemäss [E008] einzuhalten. Übrige Hostnamen: Für alle weiteren Host-Namen werden keine festen Regeln definiert, sondern nur die folgenden Empfehlungen gegeben: Die Angabe der Verwaltungseinheit wird im Host-Namen nicht wiederholt. Es werden nur Kleinbuchstaben benutzt. Host-Namen werden benutzerfreundlich definiert. Wörter werden nicht-sprechenden Bezeichnungen vorgezogen (nicht 'cfg22zz'). Host-Namen werden benutzerfreundlich definiert. Wörter werden nicht-sprechenden Bezeichnungen vorgezogen (nicht 'cfg22zz'). Hostnamen mit einem Punkt (dotted hostnames): Grundsätzlich sind auf allen Ebenen Hostnamen mit einem Punkt zulässig. Es ist aber zu beachten, dass der hintere Teil des Namens nicht mit einer bereits bestehenden oder zukünftigen Zone derselben Ebene kollidiert. 8/14

9 7.8 CNAME (Alias) Mit einem CNAME (Canonical Name) kann ein Aliasname für einen bestehenden Hosteintrag definiert werden. Er gibt den Benutzern unter anderem die Möglichkeit, eine Applikation mit ihrem Namen anzusprechen und nicht mit dem Namen des Hosts, auf dem die Applikation läuft. Ein weiterer Vorteil ist, dass die Benutzer keine Änderungen vornehmen müssen, wenn die Applikation auf einem anderen Host betrieben werden soll. Es ist nur eine Anpassung des CNAME Eintrages im DNS nötig. Beispiel 1: Eine Applikation INFODB wird im BAKOM betrieben. Die Applikation läuft auf dem Host srv1.bakom.admin.ch. Mit dem CNAME Eintrag auf der 3. Ebene (Amtsdomäne) infodb.bakom.admin.ch. IN CNAME srv1.bakom.admin.ch. können die Benutzer die Applikation mit infodb.bakom.admin.ch ansprechen. Beispiel 2: PERIBU, eine departementsübergreifende Applikation des EPA, läuft auf colossus.bit.admin.ch im BIT. Die Definition für den Canonical Name wird vom BIT auf der 2. Ebene (BVerw-Domäne) gemacht. peribu.admin.ch IN CNAME colossus.bit.admin.ch Benutzer sprechen die Applikation mit peribu.admin.ch an. Es gelten folgende Regeln: CNAME Einträge, welche Benutzern zur Adressierung von Web-Sites und Web-Applikationen dienen, haben die Regeln gemäss [R008] zu befolgen. CNAME Einträge unter admin.ch werden vom BIT auf Antrag des Anwendungsverantwortlichen ausgeführt, wenn die Anwendungsverantwortung und der Anwendungshost in unterschiedlichen Domänen sind (Beispiel 2). Der Alias-Name muss mindestens 6 Zeichen lang sein. CNAME Einträge auf der 3. Ebene (Beispiel 1, OE.admin.ch ) erfolgen auf dem Name-Server der entsprechenden Amtsdomäne und obliegen dem LE des Departementes. Diese Alias-Namen können beliebig viele Zeichen enthalten. 7.9 Adresse-zu-Namen Konversion Die in-addr.arpa Administration wird in der Bundesverwaltung nicht zu den Dienststellen delegiert, da eine Delegation nur pro Oktett möglich ist. In der Bundesverwaltung entsprechen Subnetze nicht den Oktettgrenzen. 9/14

10 Deshalb wird die Administration zentral auf den Name-Servern für admin.ch. gemacht. Die Daten aller Nameserver in der Domäne admin.ch werden regelmässig abgefragt und in invertierter Form als Zonendaten für die entsprechenden in-addr.arpa-zonen auf den Nameservern für admin.ch verwendet. 8 DNS Organisation in der Bundesverwaltung Die Zuständigkeiten sind wie folgt verteilt: Hierarchie- Ebene Standard DNS (Zone admin.ch ) Büroautomation und Active Directory BV (Zone intra.admin.ch ) 1. Ebene SWITCH SWITCH 2. Ebene BIT BIT 3. Ebene LE (resp. BK) QLE Active Directory 4. Ebene LE LE 5. Ebene LE LE Ebene: CH-Domäne Die Administration der CH-Domäne ch. wurde SWITCH übergeben. SWITCH ist für die Registrierung von second-level-domänenamen in der Schweiz zuständig und betreibt die Name-Server für die ch.-domäne Ebene: BVerw-Domäne Die Verwaltung der BVerw-Domäne admin.ch. wird vom BIT übernommen. Es wird zwischen zwei Aufgabenbereichen unterschieden: Administrative Aufgaben: Vergabe und Administration von Namen der dritten Ebene für Standard DNS. Die effektive Registrierung (und Bewilligung) der Namen erfolgt durch die BK. Technische Aufgaben: Aufbau und Betrieb von mindestens je zwei Name-Servern (ein primärer und ein sekundärer) für die Bundsverwaltungsdomäne im Intranet und im Internet. Durch die Unterteilung des Intranets in verschiedene logische VPNs und Übergangszonen kann der Aufbau und Betrieb weiterer Server-Paare nötig sein. Unterstützung der Ämter beim Aufbau von Name-Servern für die Amtsdomänen. 10/14

11 Ebene: Amtsdomänen Die Verantwortung für eine Amtsdomäne liegt beim Leistungserbringer der Dienststelle. Dieser ist verantwortlich für folgende Bereiche: Vergabe und Administration von Host-Namen der Dienststelle Aufbau und Betrieb von zwei oder mehreren Name-Servern für die Amtsdomäne. Helpdesk für die Benutzenden. Definieren von Forwardern, welche auf die DNS-Server der Zone admin.ch zeigen. Für diese Aufgaben muss je eine administrative und eine technische Kontaktstelle vom Leistungserbringer definiert werden Ebene: DNS Büroautomation Zone «intra.admin.ch» Die Verantwortung für die Zone intra.admin.ch liegt beim Querschnittsleistungs-Erbringer (QLE) im Bereich Active Directory der Bundesverwaltung. Der QLE ist verantwortlich für folgende Bereiche: Vergabe und Administration der Records in der Zone Aufbau und Betrieb der für die Zone verantwortlichen DNS-Server Helpdesk für die Anfrage von LE Einrichten von Delegationen für die nächst tieferen Hierarchiestufen. Definieren von Forwardern, welche auf die DNS-Server der Zone admin.ch zeigen «Sprechende Namen» werden für Websites gemäss [R008] eingesetzt. Da in der Regel nur www. «sprechender Name».admin.ch oder intranet.«sprechender Name».admin.ch gebraucht werden, wird keine Zone «sprechender Name» erstellt, sondern der Eintrag Name», resp. intranet.«sprechender Name» als Hostnamen in der Zone.admin.ch definiert (engl. dotted hostnames). Wenn auf Antrag des Verantwortlichen eine Mailadresse der Form Name».admin.ch (oder ähnlich) eingerichtet werden soll, so wird die Zone «sprechender Name».admin.ch erstellt, so dass MX-Records eingetragen werden können Ebene: Departementsdomänen unter «intra.admin.ch» Die Verantwortung für die Zonen der Departemente unterhalb von intra.admin.ch (z.b. efd.intra.admin.ch) liegt beim Leistungserbringer (LE) des entsprechenden Departements. Die LE sind verantwortlich für die folgenden Bereiche. 11/14

12 Vergabe und Administration der Records in der Zone Aufbau und Betrieb der für die Zone verantwortlichen DNS-Server Helpdesk für die Anfrage von LB der Departemente Definieren von Forwardern, welche auf die DNS-Server der Zone intra.admin.ch zeigen. 9 Kontaktstellen Die technische Kontaktstelle für die Zonen admin.ch und intra.admin.ch ist das BIT. admin.ch: intra.admin.ch dnsmaster@admin.ch adsintra@bit.admin.ch 10 Sicherheitsüberlegungen Zum Schutz der Domain.admin.ch vor grabbing, cybersquatting und typosquatting wurden die folgenden zusätzlichen Domains reserviert: admln.ch (kleiner Buchstabe L anstelle von i) 3 adm1n.ch (Ziffer 1 anstelle von i) adrnin.ch (Buchstaben r und n anstelle von m) 3 Falls ADMIN.CH in grossen Buchstaben geschrieben wird, wäre das klein geschriebene L optisch nicht vom gross geschriebenen I unterscheidbar. 12/14

13 Anhänge A. Änderungen gegenüber Vorversion Migration des Standards in die neue Vorlage gemäss R010, Version 2-0. B. Bedeutung der Schlüsselwörter zur Bestimmung des Verbindlichkeitsgrades Der Verbindlichkeitsgrad der einzelnen Vorgaben wird im Dokument mittels folgender in Grossbuchstaben geschriebenen Schlüsselwörter gekennzeichnet: MUSS DARF NICHT DARF SOLL KANN Vorgabe, die einzuhalten ist (gewährte Ausnahmen ausgenommen) Option, die nicht gewählt werden darf Die Option ist explizit erlaubt. Die Nutzer entscheiden, ob sie die Option nutzen möchten. Betrifft die Vorgabe eine IKT-Lösung, muss der Anbieter der Lösung die Option anbieten. Option, die im Normalfall zu wählen ist. Es kann jedoch ohne Ausnahmegewährung des ISB davon abgewichen werden, insbesondere wenn die Wirtschaftlichkeit oder Sicherheit andernfalls nicht mehr gewährleistet werden können. Die Abweichung von der Vorgabe ist jedoch schriftlich zu begründen. Akzeptierte Option. Betrifft die Vorgabe eine Lösung, entscheidet der Anbieter der Lösung darüber, ob er die Option unterstützen will. C. Abkürzungen Kürzel ADMD ADS BIT BVerw CH DNS FQDN IAB IP ISB LB LE MTA Bedeutung Administrative Management Domain Active Directory Service Bundesamt für Informatik und Telekommunikation Bundesverwaltung Schweiz Domain Name System Fully Qualified Domain Name Informatikarchitektur Bund Internet Protocol Informatiksteuerungsorgan des Bundes Leistungsbezüger Leistungserbringer Message Transfer Agent 13/14

14 Kürzel QLE RFC TCP VPN Bedeutung Querschnitts-Leistungserbringer Request For Comment Transport Control Protocol Virtual Private Network D. Referenzen [BinfV] [RVOG] [E008] Verordnung über die Informatik und Telekommunikation in der Bundesverwaltung vom 09. Dezember 2011 (Stand am 01. Januar 2012); SR Regierungs- und Verwaltungsgesetz vom 21. März 1997 (Stand am 01. Januar 2015) SR Standard E008 Namenskonvention Büroautomation [RFC] RFC 920 Domain Requirements RFC 974 RFC 1032 RFC 1033 RFC 1034 RFC 1035 RFC 1178 RFC 1183 Mail Routing and the Domain System Domain Administrators Guide Domain Administrators Operations Guide Domain Names - Concepts and Facilities Domain Names - Implementation and Specification Choosing a Name for your Computer New DNS RR Definitions RFC 2535 Domain Name System Security Extensions (updates RFC 1034, 1035, 2181) RFC 2782 RFC 3007 DNS RR for specifying the location of services (DNS SRV) Secure Domain Name System Dynamic Update (updates RFC 2136, RFC 2535) RFC 3008 Domain Name System Security (updates RFC 2535) [Literatur] DNS and BIND in a Nutshell, by Paul Albitz and Cricket Liu, O Reilly & Associates, Help for UNIX System Administrators, neueste Ausgabe (erste Ausgabe 1992). 14/14