DNS und BIND. von Alexander Eichel inf168. und Alexander Breisch inf299

Transkript

1 DNS und BIND von Alexander Eichel inf168 und Alexander Breisch inf299

2 Inhaltsverzeichnis 1 Einleitung 3 2 DNS Aufbau und Struktur Funktionsweise des DNS Nameserver Resolver Ablauf einer DNS Abfrage Ablauf einer inversen DNS Abfrage Caching und Time to live BIND BIND - Berkeley Internet Name Domain BIND - Installieren BIND - Konfigurieren BIND-Nameserver starten BIND-Nameserver testen

3 1 Einleitung Um die Kommunikation in einem Netzwerk oder im Internet zu ermöglichen ist eine eindeutige Identifizierung der Teilnehmer notwendig. Bei dem im Moment gbräuchlichsten IPv4 Protokoll werden 32 Bit lange Adressen Verwendet (IP-Adressen). Und in der Zukunft wird IPv6 mit 128 Bit Adressen verwendet. Da solche langen Adressen für Menschen sehr unhandlich und schwer zu merken sind, so hat man zunächst die Namenauf-Adressen Abbildung durch eine einzige HOSTS.TXT Datei realisiert. Diese Datei wurde von NIC ( Network Information Center) gepflegt und von einem einzelnen Host Namens SRI-NIC verteilt. Dieses zentrale Schema brachte einige Probleme mit sich: 1. Traffic und Last: Jeder Host musste sich einen Kopie der HOSTS.TXT herunterladen, deren Gröe mit wachsenden Hostzahlen wuchs. 2. Namenskonflikte: In der HOSTS.TXT durften zwei Hosts nicht den gleichen Namen verwenden. Niemand konnte jemanden davon abhalten, einen Host mit einem bereits vorhandenen Namen hinzuzufügen und auf diese Weise das ganze Schema lahm zu legen. 3. Konsistenz: Die Änderungen in der HOSTS.TXT wurden nicht sofort verfügbar, somit nicht aktuell. Aus diesem Grund wurde mit der DNS Domain Naming Convention ein neues hierarchisches System geschaffen. 3

4 2 DNS 2.1 Aufbau und Struktur DSN ist eine verteilte Datenbank, die nach einer hierarchischen Baumstruktur aufgebaut ist, vergleichbar mit UNIX Dateisystem. Jeder Knoten stellt einen Teil der gesamten Datenbank dar, und wird als Domain bezeichnet. Jede Domain kann in weitere Teile untergliedert werden. Diese Teile werden in DNS als Subdomains bezeichnet. Jeder Knoten wird mit einem einfachen Namen versehen Domainnamen. Dieser darf bis zu 63 Zeichen lang sein, wobei Gro und Kleinschreibung gleichbedeutend sind. Der Baum besitzt ganz oben eine einzige Wurzel root, für diese ist das Null- Label reserviert. Die Blätter des Baumes repräsentieren generell individuelle Hosts. Domainnamen werden immer vom Knoten hin zur Root gelesen, wobei die einzelnen Namen im Pfad durch einen Punkt getrennt werden. Domains auf der Ebene direkt unterhalb des Wurzelknotens werden als Top-Level- Domains bezeichnet. (com,de,uk,gov) Die direkten Nachkommen der Top-Level-Domains werden als Second-Level-Domains bezeichnet. Um Adressen auf Namen abzubilden enthält der DNS Baum einen zusätzlichen speziellen Ast ( second level domain in-addr.arpa ), der nach IP Adressen Hierarchie aufgebaut ist. Da sonst das Abbilden einer bestimmten IP zu einem Na- men das Durchsuchen des ganzen DNS -Baumes erfordern würde. Die Subdomain in-addr.arpa könnte beispielsweise bis zu 256 Subdomains besitzen, von denen jede wiederum 256 Subdomains enthalten könnte. Auf der vierten Ebene gibt es zu jedem Oktett Ressource Records, die den vollen Domainnamen des Hosts oder Netzwerkes für jeweilige IP Adresse enthalten. Das führt zu einer unglaublich groen Domain, die gro genug ist jede IP-Adresse des Internet aufzunehmen. So ist z.b. für die IP Adresse: wäre die entsprechende Subdomain in-addr.arpa. 4

5 Abbildung 1: DNS-Baum 5

6 Abbildung 2: DNS-Zonen 2.2 Funktionsweise des DNS Nameserver Programme, die Informationen über den Domain-Namensraum speichern, werden als Nameserver bezeichnet. Im Allgemeinen enthalten Nameserver vollständige Informationen über einen Teil des Domain Namensraums. Dieser Teil verfügt über eine eigenständige Administration und wird als Zone bezeichnet. Ein Nameserver kennt jeweils seinen nächst höheren und nächst tieferem Nameserver. In jeder Zone gibt es aus Zuverlässigkeitsgründen zwei aktive Nameserver ( primary und secondary ).Beide liefern dieselben Informationen über die Zone. Primary Nameserver erhält die Daten für die Zonen, über die er Autorität besitzt, aus Dateien, die auf dem Host liegen auf dem der Server läuft. Secondary Nameserver erhält seine Zonendaten von dem Primary Nameserver. Sollte der primary Nameserver ausfallen, übernimmt der Secondary Nameserver seinen Aufgaben. Sobald man einen Primary Nameserver aufgesetzt und seine Zonendaten konfiguriert, und den Secondary aufgesetzt hat, aktualisiert Secondary Nameserver seine Zonendaten in regelmäigen Abständen automatisch. 6

7 Abbildung 3: Resolver Resolver Resolver sind die Clients, die auf Nameserver zugreifen. Resolver übernimmt folgende Aufgaben: Die Abfrage eines Nameservers (Query) Interpretation der Meldungen Rückgabe der Informationen an die Programme, diese angefordert haben. Bei BIND ist es z.b. einfach ein Satz von Bibliotheksroutinen, die in Programme wie telnet oder ftp einfach mit hineinkompiliert werden. 7

8 2.2.3 Ablauf einer DNS Abfrage Um einen Namen auf eine IP Adresse abzubilden muss der Lokale Nameserver sich durch den ganzen Baum beginnend mit der Wurzel bis zum Ziel durchhangeln. Für die Root-Wurzel sind die so genannten Rootnameserver verantwortlich. Diese wissen wo die Nameserver zu finden sind, die für die Topleveldomains zuständig sind. 1. So fragt der lokale Nameserver zuerst den Rootnameserver nach Adresse fr gw2.linuxlounge.it.fh-worms.de und wird an den de-nameserver verwiesen. 2. Er stellt dem DE-Nameserver die gleiche Frage und wird an den fh-worms.de- Nameserver vewiesen. 3. Der fh-worms.de-nameserver verweist den lokalen Nameserver wiederum an den it.fh-worms.de-nameserver. 4. it.fh-worms.de-nameserver verweist wiederum an den linux-lounge.it.fhworms.de-nameserver und dieser liefert die gewünschte Adresse. 8

9 Abbildung 4: DNS-Abfrage 9

10 2.2.4 Ablauf einer inversen DNS Abfrage Bei einer inversen DNS-Abfrage werden die Elemente von hinten beginnend zurückgeliefert. So kennt der Root-Nameserver die Nameserver, die für einen bestimmten Teil der IP-Adresse zuständig sind. Von einem dieser Nameserver erfährt der lokale Nameserver den nächsten zuständigen Nameserver. Die Nameserver der 3ten Ebene werden dann den entsprechenden Namen gw2.linux-lounge.it.fh-worms.de zurückliefern können. 10

11 Abbildung 5: Inverse DNS-Abfrage 11

12 2.2.5 Caching und Time to live Um die Auflösungsgeschwindigkeit zu erhöhen wird so genanntes Caching betrieben. D.h. der lokale Nameserver lernt bei jeder Abfrage die Informationen über die abgefragten Zonen. Diese Informationen werden zwischengespeichert. Dies verhindert die erneute Abfrage des Rootnameservers über die bereits gelernte Zone. Das entlastet die Rootnameserver und reduziert die Netzwerklast. Natürlich können die Nameserver die gelernte Daten nicht für immer im Cache vorhalten. Sonst würden die Änderungen der Daten auf Nameservern den Rest des Netzwerkes niemals erreichen. Die Zeit der Zwischenspeicherung von nicht selbst verwalteten Daten wird mit Time-to- Live Timern realisiert. Zu jedem Ressource Record wird in der Zonendatei eine Zeit für die Gültigkeitsdauer eingetragen. Der Zähler wird jede Sekunde dekrementiert, ist der Zähler abgelaufen, werden die gelernten Daten gelöscht. 12

13 Abbildung 6: Netzwerkplan 3 BIND 3.1 BIND - Berkeley Internet Name Domain BIND ist heutzutage die mit Abstand populärste Implementierung des DNS. Es wurde auf viele UNIX-Arten portiert und wird von den meisten UNIX-Anbietern standardmäig mit ausgeliefert. BIND wurde sogar auf WIN NT portiert. 3.2 BIND - Installieren Praktikumsaufgabe: Im Parktikum wird ein Nameserver aufgesetzt und eine Subdomain mit Namen gruppex.linuxlounge.it.fh-worms.de eingerichtet, wobei X für die Gruppennummer steht. Die DNS Anfragen über nicht selbstverwalteten Zonen an unseren Nameserver werden an den Nameserver weitergeleitet. Fürs Praktikum wird BIND selbst, die notwendige Dokumentation, sowie DNS-tools benötigt. Alles in den Debian Paketen bind9, bind9-doc, bind9-host und dnsutils enthalten. Wir installieren alle Pakete mit: $ apt-get install bind9 bind9-doc bind9-host dnsutils 13

14 3.3 BIND - Konfigurieren Nach der Installation stehen uns folgende Konfigurationsdateien zur Verfügung: /etc/bind/ db.0 db.127 db.255 db.local db.root named.conf - Zonendatei für das Lokale Netz - Zonendatei für reverse Mapping für das 127 Netz - Zonendatei für Broadcast im lokalen Netz - Zonendatei für das 127 Netz (loacalhost) - Adressen der Root Nameserver - Konfigurationsdatei für BIND Hier knnen auch die selbst erstellten Zonendateien abgelegt werden. Erstellen wir zuerst die Zonendateien wie folgt fr unsere Subdomain. $ORIGIN gruppe2.linux-lounge.it.fh-worms.de. $TTL 86400;minTTL IN SOA gw2.linux-lounge.it.fh-worms.de. inf299.fh-worms.de.( ) ;serial number (YYYYMMDDNN)NN ;refresh nach 24 Std auch 24h 7200 ;retry nach 2 Std auch 2h ;expire nach einer woche auch 1w ;minimale TTL auch 2d IN NS gw2.linux-lounge.it.fh-worms.de. localhost IN A gw2 IN A ;inneres Interface knoppix IN A ;Host in der Subdomain Zonen Datei: /etc/bind/db.gruppe2 fr Name-Adress Mapping 14

15 $ORIGIN in-addr.arpa. $TTL ;min TTL IN SOA gw2.linux-lounge.it.fh-worms.de. inf299.fh-worms.de. ( ;serial number (YYYYMMDDNN)NN ;refresh nach 24 Std auch 24h 7200 ;retry nach 2 Std auch 2h ;expire nach einer woche auch 1w ;minimale TTL auch 2d ) IN NS gw2.linux-lounge.it.fh-worms.de. 1 IN PTR gw2.gruppe2.linux-lounge-it.fh-worms.de. 2 IN PTR knoppix.gruppe2.linux-lounge-it.fh-worms.de. Zonen Datei: /etc/bind/db für Adress-Name Mapping Kurze Erluterung der Zonendateien: $ORIGIN und $TTL - sind Makros. Der $ORIGIN Wert wird automatisch an alle Domainnamen, die nicht mit einem Punkt enden angehngt. Der Wert von $TTL wird bei jedem Eintag hinzugefügt, wenn dieser nicht vorhanden ist. Erspart einige Notation - Ist der Domainanme mit dem Ursprung identisch ist, kann er angegeben werden. IN - steht für Internet. Dies ist eine Klasse von Daten. Es gibt noch weitere Klassen, aber keine ist besonders weit verbreitet. SOA - Ressource Record - Start of Athority gibt an, dass dieser Nameserver die beste Informationsquelle für Daten innerhalb dieser Domain darstellt. Hinter SOA stehende Name gibt den Primary-Nameserver für diese Daten. Der zweite Name ist die Mailadresse der verantwortlichen Person (Admin), wobei der erste. durch Zeichen ersetzt wird. Danach werden in Klammern SerialNr. Und die Timer Werte Angegeben: 1. Serial-eine fortlaufende Nr, diese muss bei jeder Datenänderung erhöht werden. Der Secondary Nameserver seine Zonendaten beim Master abfragt, schaut er sich zuerst diese Nummer an, ist seine Nummer kleiner, so sind die Daten nicht mehr aktuell und der Secondary Nameserver lädt die aktuellere Daten vom Master. 15

16 2. Refresh- Die Zeit in Sec wie lange der Secondary wartet bevor er seine Daten aktualisiert 3. Retry-Wenn es dem Secondary nach dem Refresh-Intervall nicht gelingt den Master zu erreichen, versucht alle Retry Sekunden die Verbindung wieder aufzubauen. In dieser Zeit übernimmt er die Aufgaben des Masters. 4. Expire - Kann der Secondary den Master Expire Sekunden nicht erreichen, so erklärt er seinen Daten für ungültig und hört auf die DNS anfragen zu beantworten. 5. TTL - steht für Time to Live, dieser Wert steht für alle Ressource Records in der Datei. Der Nameserver übergibt diesen Wert beim Antworten auf Anfragen mit. Die Nameserver, die diesen Response bekommen legen die Daten dann mit diesem Wert für die Gültigkeitsdauer im Cache ab. NS - Record steht Name Server für Nameserver in der Domain. A - steht für Host, und bildet Namen auf Adressen ab. PTR- steht für die Abbildung Adressen auf Namen. Die Syntax unserer Zonen Files kann mit named-checkzone überprüft werden: $ named-checkzone gruppe2.linux-lounge.it.fh-worms.de. db.gruppe2 $ named-checkzone in-addr.arpa. db Als nächstes werden in der /etc/named.conf Datei folgende Einträge gemacht, damit der Nameserver unsere selbst gemachte Zonen Dateien auch übernimmt. include /etc/bind/named.conf.options ; zone in-addr.arpa { type master; file /etc/bind/db ; }; zone gruppe2.linux-lounge.it.fh-worms.de { type master; file /etc/bind/db.gruppe2 ; }; 16

17 Zonen Datei: Das Forwarding wird in der /etc/bind/named.conf.options gesetzt um die direkte Anfrage an den Root Nameserver zu umgehen. options { }; directory /var/cache/bind ; forwarders { // ; ; }; auth-nxdomain no; 17

18 3.4 BIND-Nameserver starten Der Nameserver wir durch Aufruf von /etc/init.d/bind9 start gestartet. Die eventuellen Fehlermeldungen werden in /var/log/daemon.log protokoliert. 3.5 BIND-Nameserver testen Das Testen des Nameservers kann mit Hilfe von host oder dig, dabei soll beachtet werden, dass die entsprechende Option localhost gesetzt ist. gruppe2.linux-lounge.it.fh-worms.de. in axfr in-addr.arpa. in axfr host localhost Oder man ergänze in /etc/resolv.conf mit dem Eintrag: nameserver Literatur: DNS und BIND O Reilly Paul Albitz & Cricket Liu 18