DNS: Domain Name System

Transcrição

1 DNS: Domain Name System Resolução de Nomes de Domínio Edgard Jamhour

2 UDP:53 Serviço DNS: Domain Name System *.ufpr.br=ip *. br=ip *. google.com=ip *. pucpr.br=ip.ufpr.br? ip

3 Árvore de nomes root NOMES DE DOMINIO NÂO TEM IP br com pucpr ufpr google APENAS AS FOLHAS TEM IP agiledeploy FQDN: FULLY QUALIFIED DOMAIN NAME NOME COMPLETO DA FOLHA ATÉ A RAIZ.pucpr.br

4 DOMINIO = CONJUNTO root com br com google pucpr ufpr google agile pucpr agile br ufpr

5 ZONE = PARTE DA ÁRVORE COM ADMISTRAÇÃO INDEPENDENTE ZONE br servidor A.dns.br br ZONE pucpr.br pucpr ppgia ZONE ufpr.br ufpr servidor alpha.pucpr.br agile servidor ns.ufpr.br

6 EXEMPLO DE ZONE $TTL 1D $ORIGIN IN SOA alpha [ TIMERS...] pucpr.br. IN NS alpha IN NS beta.pucpr.br. alpha IN A beta.pucpr.br. IN A IN A agiledeploy IN A agiledeploy IN CNAME blackboard pucpr.br. IN MX 10 smtp1 pucpr.br. IN MX 20 smtp2 smpt1 IN A smpt2 IN A SOA= Start Of Authority NS = Name Server A = Address CNAME = Canonical NANE MX = Mail exchange

7 Servidores Primários e Secundários zone pucpr.br slave beta.pucpr.br zone pucpr.br master alpha.pucpr.br gama.pucpr.br SOA SERVER ADMIN ( serial; refresh; retry; expire; ttl) SOA dns.pucpr.br. admin.pucpr.br. ( 1; 4H; 1H; 1W; 4H) zone pucpr.br slave

8 Arquivos de Configuração (named.conf) options { directory pasta de zonas ; }; zone nome da zona { type master; file master/arquivo de zona ; }; zone nome da zona { type slave; file slave/arquivo de zona ; masters { ipmaster1; ipmaster2; } }; named.conf master named.conf slave options { directory /var/named/ ; }; zone pucpr.br { type master; file pucpr.br ; }; options { directory /var/named/ ; }; zone pucpr.br { type slave; file slave/pucpr.br ; masters { ; }; };

9 Delegação de SubDominios A.dns ZONE br br TEM O DIREITO SOBRE TODOS OS NOMES TERMINADOS EM BR A.dns.br DELEGA O DIREITO DE USAR NOMES TERMINADOS EM PUCPR.BR DELEGA O DIREITO DE USAR NOMES TERMINADOS EM UFPR.BR pucpr ppgia ufpr servidores alpha.pucpr.br beta.pucpr.br alfa beta ns ZONE ufpr.br ns.ufpr.br ZONE pucpr.br

10 Delegação de Sub-Domínios ZONE PUCPR.BR ZONE BR br. IN SOA A.dns.br IN NS A.dns.br A.dns IN A pucpr IN NS alfa.pucpr IN NS beta.pucpr alfa IN A beta IN A ufpr IN NS ns.ufpr ns.ufpr IN A pucpr.br. IN SOA alfa IN NS alfa IN NS beta alfa IN A beta IN A IN A ppgia IN A ZONE UFPR.BR ufpr.br. IN SOA ns IN NS ns ns IN A IN A

11 Consulta Recursiva e Iterativa.ufpr.br? br iterativa NS dns.ufpr.br dns pucpr ufpr dns dns.ufpr.br? recursiva A

12 Exemplos nslookup >.pucpr.br Servidor: A.dns.br Addresses: 2001:12ff:: Got answer: HEADER: opcode = QUERY, id = 8, rcode = NOERROR header flags: response, want recursion questions = 1, answers = 0, authority records = 2, additional = 2 QUESTIONS:.pucpr.br, type = A, class = IN AUTHORITY RECORDS: -> pucpr.br nameserver = alpha.pucpr.br ttl = 3600 (1 hour) -> pucpr.br nameserver = beta.pucpr.br ttl = 3600 (1 hour) ADDITIONAL RECORDS: -> alpha.pucpr.br internet address = ttl = 3600 (1 hour) -> beta.pucpr.br internet address = ttl = 3600 (1 hour) nslookup >.pucpr.br Servidor: [ ] Address: Got answer: HEADER: opcode = QUERY, id = 13, rcode = NOERROR header flags: response, want recursion, recursion avail. questions = 1, answers = 1, authority records = 0, additional = 0 QUESTIONS:.pucpr.br, type = A, class = IN ANSWERS: ->.pucpr.br internet address = ttl = 692 (11 mins)

13 Consulta Recursiva e Iterativa Q1).ufpr.br. TYPE A Q2).ufpr.br. TYPE A ou NS A3) dns.ufpr.br. TYPE NS Q4).ufpr.br. TYPE A A5).ufpr.br. TYPE A A6).ufpr.br. TYPE A Recursivo para usuários da PUCPR 1 Não Recursivo 2 3 A pucpr NS pucpr 4 br NS ufpr A ufpr A dns 6 5 Recursivo para usuários da UFPR

14 Exemplo de Consulta não Autoritária >.google.com. Servidor: thor01.ppgia.pucpr.br Address: HEADER: opcode = QUERY, id = 14, rcode = NOERROR header flags: response, want recursion, recursion avail. questions = 1, answers = 1, authority records = 0, additional = 0 HEADER: opcode = QUERY, id = 15, rcode = NOERROR header flags: response, want recursion, recursion avail. questions = 1, answers = 1, authority records = 0, additional = 0 QUESTIONS:.google.com, type = A, class = IN QUESTIONS:.google.com, type = AAAA, class = IN ANSWERS:.google.com internet address = ttl = 281 (4 mins 41 secs) ANSWERS:.google.com AAAA IPv6 address = 2800:3f0:4001:807::2004 ttl = 209 (3 mins 29 secs) Não é resposta autoritativa:

15 Exemplos de Consultas Autoritária.ppgia.pucpr.br. Servidor: thor01.ppgia.pucpr.br Address: HEADER: opcode = QUERY, id = 26, rcode = NOERROR header flags: response, auth. answer, want recursion, recursion avail. questions = 1, answers = 1, authority records = 0, additional = 0 QUESTIONS:.ppgia.pucpr.br, type = A, class = IN ANSWERS:.ppgia.pucpr.br internet address = ttl = 3600 (1 hour) HEADER: opcode = QUERY, id = 27, rcode = NOERROR header flags: response, auth. answer, want recursion, recursion avail. questions = 1, answers = 0, authority records = 1, additional = 0 QUESTIONS:.ppgia.pucpr.br, type = AAAA, class = IN AUTHORITY RECORDS: ppgia.pucpr.br ttl = 3600 (1 hour) primary name server = thor01.ppgia.pucpr.br responsible mail addr = hostmaster.ppgia.pucpr.br serial = 326 refresh = 900 (15 mins) retry = 600 (10 mins) expire = (1 day) default TTL = 3600 (1 hour)

16 Cache e Respostas de Autorização Não Recursivo NS br NS pucpr ufpr.pucpr.br? A pucpr A ufpr A A Autorização dns.ufpr.br? A Autorização (primeiro usuário) não Autorização (cache ) Recursivo para usuários da PUCPR Recursivo para usuários da UFPR

17 Tipos de Servidores DNS MASTER Pode ter um ou mais zone files armazenadas localmente. Suas respostas são do tipo Autoritative pois ele obtém suas respostas de arquivo local Um servidor configurado como Autoritative Only não faz cache, e responde com erro a todas as consultas que não estejam em suas zones. SLAVE Obtém cópias do arquivos zone do Master pela rede (zone transfer). Não permite alteração das zones. Responde como Autoritative para as zones que obteve do Master. CACHING (RESOLVER) Obtém informações de outros servidores via consultas recursivas e armazena o resultado em cache. Os registros em cache são armazenados até o TTL espirar. Responde como No Autoritative para registros vindos da cache FORWARDING (DNS PROXY, CLIENTE, REMOTE) Redireciona a consulta para outro servidor DNS remoto e armazena a resposta em cache. Usualmente não efetua consultas recursivas, essa função é usualmente feita pelo servidor remoto. Responde como No Autoritative para registros vindos da cache O Redicionamento pode ser feito por domínio ou de forma global.

18 Relacionamento Master Slave zone "example.com" in{ type master; also-notify { ;}; file "pri/pri.example.com"; }; example.com? Autoritative Zone File AXRF protocol TCP (53) zone "example.com" in{ type slave; file "sec/sec.example.com"; masters { ;}; }; example.com? Autoritative

19 Resolver a.dns.br ns1.cdn.trrsf.com options { directory "/var/named"; version "not currently available"; recursion yes; }; zone "." IN { type hint; file "root.servers"; }; NS NS A Cache A.terra.com.br? Não Autoritative se vier da cache

20 Proxy a.dns.br ns1.cdn.trrsf.com Redirecionamento por domínio zone "example.com" IN { type forward; forwarders { ; ;}; }; NS NS A A Redirecionamento global options { directory "/var/named"; version "not currently available"; forwarders { ; ;}; forward only; }; A A Cache.terra.com.br? Não Autoritative se vier da cache

21 A Zona Raiz (.) = root.zone Servidores que fazem cache precisam conhecer os servidores no da árvore de nomes DNS. Essa informação está no arquivo root.zone br IN NS a.dns.br. br IN NS b.dns.br. a.dns.br IN A a.dns.br IN AAAA 2001:12ff:0:0:0:0:0:10 b.dns.br IN A c.dns.br IN A com IN NS a.gtld-servers.net. com IN NS b.gtld-servers.net. net IN NS a.gtld-servers.net. net IN NS b.gtld-servers.net. a.gtld-servers.net IN A a.gtld-servers.net IN AAAA 2001:503:a83e:0:0:0:2:30 b.gtld-servers.net IN A b.gtld-servers.net IN AAAA 2001:503:231d:0:0:0:2:30

22 Zone Type Hint (Cache) Quando o servidor DNS é inicializado, se ele possuir uma zona do tipo hint, ele precisará obter uma cópia do arquivo root.zone Por questões de desempenho e segurança, o arquivo root.zone está replicado e diversos servidores pelo mundo. Esses servidores estão listados no arquivo named.root A.ROOT-SERVERS.NET A A.ROOT-SERVERS.NET AAAA 2001:503:ba3e::2:30 B.ROOT-SERVERS.NET A B.ROOT-SERVERS.NET AAAA 2001:500:84::b C.ROOT-SERVERS.NET A C.ROOT-SERVERS.NET AAAA 2001:500:2::c... M.ROOT-SERVERS.NET A M.ROOT-SERVERS.NET AAAA 2001:dc3::35

23 Os servidores DNS Raiz (Root Servers) Existem 13 servidores lógicos root A M Muitos servidores operam em anycast Em anycast, muitos servidores compartilham o mesmo endereço. Nesse modo, o servidor mais próximo a origem é automaticamente selecionado zona root.zone... root-servers hints-file.br.com.org.edu.com.pucpr

24 Zonas Reversas Alguns servidores de não aceitam receber s de origens que não estejam possam ser resolvidos por um consulta reversa (reverse DNS lookup) FROM: TO: 1 2) (SMTP) NS pucpr.br? 3 4 alpha.pucpr.br DNS.br seg-l.pucpr.br PTR ? 5 servidor gmail DNS pucpr.br alpha.pucpr.br alpha.pucpr.br

25 Zonas Reversa Zonas reversas representam uma subrede, esão criadas com o sufixo especial in-addr.arpa.zone Por exemplo: A zona /24 é representado abaixo: $TTL IN SOA dns.pucpr.br. jamhour.pucpr.br ( 2 ; serial ; refresh (s) 7200 ; retry (s) ; expire (s) ) ; ttl (s) IN NS dns.pucpr.br. 1 IN PTR dns.pucpr.br. 2 IN PTR.pucpr.br.

26 Protocolo DNS O protocolo DNS é transportado por UDP A porta padrão do DNS é 53 O comportamento default de uma consulta DNS (Windows) é listado a seguir: Tempo (s) Ação 0 Cliente envia a consulta DNS 1 Se não houver resposta em 1s, o cliente re-envia 2 Se não houver resposta em 1s, o cliente re-envia 4 Se não houver resposta em 2s, o cliente re-envia 8 Se não houver resposta em 4s, o cliente re-envia 10 Se não houver resposta em 2s, o cliente para de re-enviar OBS. Windows escolhe o servidor DNS, primário ou secundário, randomicamente a cada consulta

27 DNSSEC O DNSSEC oferece um serviço protegido de consultas a servidores DNS utilizando um mecanismo de chaves públicas. DNSSEC e transportado sobre TCP, porta 53. O DNSSEC inclui assinaturas digitais nas respostas fornecidas pelo servidor. Isso permite ao receptor verificar a autenticidade do servidor DNS. gmail IN NS ns-tld1.charlestonroadregistry.com. GMAIL IN DS A4715A5FCF219E5A31E167506C2B1FD68FDDD1015A5F5BC04A322F062DAF497 GMAIL IN RRSIG DS bwcqdfhnoetppk1ohubxlvrbxwvoc8piisyy2rbzkmwk36mgq/sxqy8aiq05basiwrak2vwvq3imt+agin20ufktq hwluhhvhdeog8ofi6csuoatjq85ltfst9gh/opuaxzdigkwieti5n7aee4b+dmvwag8q4vikaocjlk9oachdwxsyj/9+18z LoC6UjcgUQ9HG4ZBGfhN/1kM0JKOvzN2v5ePoXiit+rTA/qd2oz19tUm//5yR3sClHjumYE0WSWJ5btxu6hB/ncRjN9DxT32 ulvexbu43ygjglr+yt7hop9h4l+yo1ezwofczo0qg16q4h4kq74aovmwhnsjpg== gmail IN NSEC gmbh. NS DS RRSIG NSEC gmail IN RRSIG NSEC TgBYKkmMYXqFmMAs0TonYgVMZbquFhY5nOmhUcda9DUCY1Dri0isqzrROGYT4mbxfDyHhx2z8F1160yOR6BSTlVWfB AYsb1c+hDVjRV1tLDRhWSOftsK5cMrthXbJ0SwVE1/HjCHBqSA6jvBfyxapy4Q/kuKrHA+6OJZHbH18kfFXm43RNgzUdto0 AVNq/uPKeAYkB0LNVtfX2DervaQg2l9H8PC/usgSXlxZ636AMlwHWh7KJ8pMjVQtynThxk23Mp4Gc2matlGyoB5PCiodLE5 bjtjm0qgbw0mytftu/7tjn+lz2s98nofattnmrxexqhstyq0ocpfrlpjgwsewq==

28 Conclusão DNS - Domain Name System Edgard Jamhour