edu com org pt ibm sapo cs iscap

Transcrição

1 TEMA Serviços de nomes no Linux TEÓRICA-PRÁTICA 1. Introdução Necessidade de utilizar nomes em vez de endereços IP: Endereços IP são óptimos para os computadores No entanto, para humanos, são difíceis de memorizar. Nomes são muito mais amigáveis e intuitivos Melhoria na flexibilidade... Traduzir nomes em endereços: Se utilizamos nomes para nos referirmos a máquinas, vai ser necessário traduzir esses nomes para os respectivos endereços. O /etc/hosts pode funcionar como um mecanismo básico para o fazer Na realidade era isso que se fazia na altura da ARPANET Mas com a quantidade de máquinas ligadas à Internet actualmente, o ficheiro /etc/hosts teria uns largos gigabytes! E muitos problemas de propagação das alterações Como manter uma base de dados tão grande e dinâmica, com tempo de resposta aceitáveis? 2. DNS Sistema Hierárquico, que distribui a responsabilidade. Nomes DNS o Nomes são segmentados. Separados por pontos. o Cada um dos segmentos pode ter no máximo 63 caracteres. o Um total de 255 caracteres no máximo. o Nome máquina + Nome do domínio DNS (sufixo DNS) Exemplo: O que é picasso.dei.isep.ipp.pt? Para criar o domínio dei, foi preciso ordem de quem controla o domínio isep, e sucessivamente. E o pt? É filho de outro domínio? Sim! Falta o.! Fully Qualified Domain Name (FQDN) Acaba sempre com um. edu com org pt cmu ibm sapo ipp cs iscap isep dei dee Então como se descobre o endereço de picasso.dei.ise.ipp.pt? Pergunta-se ao DNS responsável pelo domínio dei.isep.ipp.pt... mas isso não ajuda muito... De uma forma geral pode-se saber o endereço de um domínio, perguntando ao seu superior (pai). Então vai-se até perguntar do domínio.. Mas quem sabe o endereço do DNS do domínio.. Existem 13 servidores root, dos quais qualquer servidor DNS sabe o endereço. Os servidores root apenas respondem com os endereços dos servidores directamente abaixo (.edu,.com,.pt, ). o Ver os servidores nslookup set type=ns. ou ns. Esta ultima forma apresenta os resultados num formato que utilizado para indicar ao named quais são os endereço dos servidores root.

2 3. Zonas DNS e Domínios Uma zona é a gama de endereços de que um determinado servidor DNS está encarregue. Uma zona DNS pode incluir vários domínios DNS. Exemplos: o Empresa com três domínios. Pode ter apenas uma zona. Ou ter três zonas... o Um servidor de nomes para ipp?; Um servidor de nomes para isep?; Um servidor de nomes para dei?;... A imagem seguinte apresenta parte do espaço de nomes DNS, mostrando possíveis divisões de zonas. Uma zona que faz a correspondência de nome para o IP é denominada forward lookup zone Certos serviços (ssh, mail, ) necessitam fazer a correspondência de um IP para um nome. Para isso, mantém-se uma hierarquia separada, constituída por zonas denominadas reverse lookup zones. Nestas, junta-se o endereço pela ordem inversa ao domínio inaddr.arpa. Por exemplo, para , será: in-addr.arpa. A zona será : in-addr.arpa 4. Tipos de pedidos Quando se pretende resolver um nome ou um IP, pode-se fazê-lo de forma recursiva ou iterativa: Recursivo quer mesmo o endereço, o servidor vai continuar a descer a árvore, fazendo perguntas até encontrar a resposta. (Comportamento de grande parte dos servidores) Iterativo pergunta a vários. Os servidores respondem assim... se não souberem a resposta, respondem apenas com o próximo servidor DNS na hierarquia. Pag. 2

3 R3 edu com org pt R4 cmu ibm sapo ipp I2 cs I3 I4 R2 www iscap isep Pedido Recursivo I1 Cliente R1 dei dee Pedido Iterativo O diagrama anterior não é realista: o Interações com os servidores raíz nunca são recursivas. o Existência de caches permite atalhar o processo Tipos de name servers Primário - base de dados própria (R/W) Secundário -recebe os dados do primário (R) Caching-only name server servidor que não tem zonas - qual o interesse? 6. Tipos de registos DNS A host (associado a uma máquina) nome da máquina; relaciona um nome de uma máquina com um endereço; Podemos colocar vários nomes iguais para endereços diferentes: desta forma temos um mecanismo básico de balanceamento de carga. SOA - start of authority (associado a uma zona) Identifica o servidor primário; contacto; tempo de cache de um registo deste servidor NS - name server (associado a uma zona) Define os servidores de nomes no domínio SRV - service (associado a um domínio) Indicação de onde encontar serviços ; Torna o DNS uma espécie de directório de serviços. Recente; Importante para o AD do 2K(3)! MX - mail exchanger (associado a um domínio) Indica servidor de mail; Normalmente mais que um... configura-se a preferência com os pesos. PTR pointer (associado a uma máquina) Reverse lookup names CNAME alias (associado a uma máquina) Outro nome para uma máquina HINFO - Host information (associado a uma máquina) comentário ( hardware e sistema operativo ) Pag. 3

4 7. Aspectos sobre a definição de uma arquitectura DNS Uma rede com resolução de nomes lenta, pode fazer com que os utilizadores tenham a percepção de uma rede lenta na sua globalidade. Então como criar uma infra-estrutura eficaz? Um só servidor?...muitos servidores espalhados pela organização?... o Muitos servidores, faz com que cada servidor faça pedidos que outros eventualmente já fizeram, utilizando a ligação externa, sem necessidade. (Se conseguisse ver o que os outros têm na cache...) o Por outro lado, uma solução para o problema anterior era ter um só servidor. Assim não existem pedidos supérfluos (só uma cache.). Mas este servidor pode acabar sobrecarregado, e colocar todos os ovos no mesmo cesto... o Solução: DNS Forwarders! O forwarder é um passo intermédio adicional na resolução... Separar DNS interno e DNS externo (split DNS) o Por razões de segurança, normalmente não queremos ter todos os nomes das máquinas da organização expostos... o Solução: Ter dois servidores primários. Um externo outro interno. O interno tem o externo configurado como forwarder, resolve nomes internos e aceita actualizações dinâmicas. O externo apenas contém os registos das máquinas que queremos públicas (FTP, WWW,...). Um senão neste cenário: As máquinas internas não iriam conseguir resolver os nomes das máquinas externas (FTP, WWW) deste domínio. A solução pode ser adicionar manualmente os registos ao servidor interno. Só mais um pormenor: Para realmente evitar que os servidores externos alguma vez tentem falar com o exterior, é necessário desligar a recursividade nos servidores internos. Desta forma os servidores internos não vão tentar ir ao exterior para resolver os nomes, apenas pedem ao forwarder. Se este falhar, falha a resolução. Finalmente, o RFC1912, contém recomendações sobre gestão DNS.(Valores do SOA: refresh interval,ttl,serial) 8. Resolução de nomes em Linux As aplicações em Linux utilizam um conjunto de funções que lhes permitem fazer a resolução de nomes. Este conjunto de aplicações toma a forma de uma biblioteca à qual se dá o nome de resolver. Pag. 4

5 As funções da resolver utilizam ficheiros de configuração que lhes indicam quais os repositórios de nomes que podem utilizar (/etc/hosts, DNS, ), a ordem pela qual o devem fazer e outros detalhes relevantes para a resolução de nomes. Versões mais antigas de Linux, que utilizam a biblioteca padrão libc, utilizavam o ficheiro /etc/host.conf. Versões actuais, que utilizam a glibc, fazem uso do ficheiro /etc/nsswitch.conf. Esta alteração deve-se à emergência de uma multiplicidade de possíveis repositórios para a informação: etc/hosts; DNS, NIS, NIS+. O sistema NSS ("Name Service Switch"), agrega informação sobre a forma como utilizar os repositórios de dados, não só para os nomes de máquinas, mas também para outros dados como utilizadores. Ele usa a informação constante no ficheiro /etc/nsswitch.conf para definir para cada tipo de informação, quais as origens a pesquisar e em que ordem. Quando utilizamos o DNS para a resolução de nomes, também é necessário indicar à resolver quais são os servidores de nomes a utilizar. Isto é feito no /etc/resolv.conf. PRÁTICA 1. Configurar o DNS em Linux Antes de começar a configurar o servidor DNS: o Colocar um endereço IP fixo: ifconfig eth o Colocar o próprio endereço no resolv.conf: nameserver Configuração do serviço DNS (named): o Editar o /etc/named.conf: Normalmente, os outros ficheiros de configuração do named, irão ficar sob a pasta /var/named/: options { directory "/var/named/"; }; Criar uma foward lookup zone: zone "mydomain.com" { type master; notify no; allow-query { any; }; file "mydomain.zone"; }; Criar uma reverse lookup zone zone " in-addr.arpa" { type master; notify no; file "mydomain-rev.zone"; }; o Editar os ficheiros indicados para cada uma das zonas: mydomain.zone (uma máquina é servidor DNS e outra é servidor WWW e mail): ; /var/named/mydomain.zone $TTL IN SOA ns1.my-site.com. adm.mydomain.com. ( 4 ; serial# 3600 ; refresh, secs 3600 ; retry, secs 3600 ; expire, secs 3600 ) ; minimum, secs NS ; IP do ser. DNS Pag. 5

6 mymydomain.com. MX 10 mail ; Mail Exchanger localhost A ns1 A www A mail CNAME www Importante: O número de série deve ser incrementado, para que o serviço reconheça que foram feitas alterações. mydomain-rev.zone: ; /var/named/mydomain-rev.zone $TTL IN SOA ns1.my-site.com adm.mydomain.com( 2 ; serial ; refresh 7200 ; retry ; expire ; ttk IN NS PTR ns1.mydomain.com 15 PTR 15 PTR mail.mydomain.com Importante:Não esquecer de mudar o dono dos ficheiros com as zonas para o grupo e utilizador named. Activar o serviço named: o service named start; o Para verificar se está ok: tail /var/log/messages Testar a configuração o nslookup o Set type=any e, de seguida, <dominio> - sumário da informação sobe o domínio o host <nome_máquina> o dig Pag. 6

7 AUXILIAR Formato do registo SOA Linha Coluna Nome Descrição 1 1, 2, IN SOA Indica o início de um registo do tipo SOA 4 Nameserver FQDN do servidor de nomes primário 5 Endereço de do administrador do servidor nameserver o "@" no endereço de deve ser substituido por ".". O endereço de também deve terminar com um "." 6 " ( " Significa que vão ser definidas algumas variáveis e também que o registo continua nas próximas linhas. 2 1 Serial Numero série da configuração corrente. Geralmete está no formato YYYYMMDDX, Onde YYYY significa o ano, MM os mês e DD o dia e X o contador da configuração, sempre que a configuração é alterada este valor é incrementado. 3 1 Refresh Indica aos servidores secundários de DNS qual a periodicidade com que devem inquirir o servidor principal para fazer actualizações. 4 1 Retry O intervalo para que um servidor secundário faça um retry sempre que exista alguma falha nas comunicações com o primário. 5 1 Expire Tempo que o servidor secundário vai fazer retry para contactar o primário antes de expirar os dados que contém. 6 1 Minimum TTL Quantidade de tempo que as suas respostas vão ser guardadas. 2 " ) " Fim da definição e configuração de variáveis. Pag. 7

8 Formato dos registos NS, MX, A e CNAME Registo Descrição Primeira coluna Segunda coluna Terceira coluna Quarta coluna NS Nome do servidor de nomes para o dominio espaço "NS" Endereço IP ou Canonical Name (CNAME) do servidor. N/A MX Servidor de mail para o dominio. Domínio, seguido por "." "MX" Prioridade do servidor de mail. CNAME do servidor de mail ou FQDN A Correspondência entre o nome e o endereço. Deve haver sempre uma entrada para o localhost Nome servidor do "A" Endereço IP N/A CNAME "alias" ou nome curto para máquina registadas com um registo do tipo A. "alias" ou "nickname" para o servidor "CNAME" Nome utilizado registo tipo A no do N/A Pag. 8