Curso de extensão em Administração de Serviços GNU/Linux

Transcrição

1 Curso de extensão em Administração de Serviços GNU/Linux Italo Valcy - italo@dcc.ufba.br Gestores da Rede Acadêmica de Computação Departamento de Ciência da Computação Universidade Federal da Bahia Administração de sistemas GNU/Linux,

2 Licença de uso e distribuição Todo o material aqui disponível pode, posteriormente, ser utilizado sobre os termos da: Creative Commons License: Atribuição - Uso não comercial - Permanência da Licença

3 Assuntos abordados Funcionamento de um servidor DNS Configuração de um servidor DNS com Bind9 Criação e manutenção de zonas DNS

5 Servidor de nomes São os programas que armazenam informações sobre o espaço de domínios Geralmente tem informações completas acerca de uma parte específica do domínio, denominada zona, cuja pode ser carregada a partir de um arquivo local, ou de um outro servidor de nomes. Neste caso é dito que o servidor de nomes tem autoridade sobre a zona

6 Servidor de nomes A zona de autoridade de um servidor DNS deverá incluir pelo menos um domínio, normalmente conhecido como root domain da zona. A zona de autoridade poderá conter subdomínios do root domain.

7 Servidor de nomes Figura 2 o domínio.edu dividido em várias zonas

8 Servidor de nomes Os subdomínios não precisam ficar no mesmo servidor DNS do domínio, podendo ficar separados para fins de facilitar a administração/manutenção.

9 Tipos de servidores de nomes A RFC 1034, define principalmente dois tipos de servidor de nomes: Primary Master o servidor que carrega os dados a partir de um arquivo local Secondary Master o servidor que recebe os dados de um servidor autoritativo de uma determinada zona, ou simplesmente primary master. É conhecido popularmente como servidor secundário. Zone transfer é o nome do processo de transferência de configurações do Primary Master para o Slave Server.

11 Bind9 - características Muitas foram as melhorias e mudanças nesta nova versão do BIND, entre elas podemos citar: Suporte a IPv6; DNSSEC e TSIG (Funções de segurança); Suporte a hardware com multiprocessadores; Dynamic update para uso em redes DHCP; Novos tipos de registros (RR Resource Record); IXFR Transferência de zonas incremental; Views (Permite várias visualizações do espaço de nomes);

12 Bind9 - instalação O software BIND se encontra na versão 9.7.0b2 Código-fonte: Assinatura PGP do código fonte: b2.tar.gz.asc Chave Pública PGP do ISC:

13 Bind9 - instalação No Debian GNU/Linux: aptitude install bind9

14 Bind9 - configuração /etc/bind/ named.conf: diz o nome dos arquivos de zona e outros parâmetros sobre uma zona; definição de ACLs, views. named.conf.options: parâmetros de configuração do daemon do bind. rndc.key e rndc.conf: arquivos usados na autenticação do named (usando rndc). Arquivos de zona: mapeamento dos endereços para nomes.

15 Bind9 Definição das zonas zone. { type hint; file /etc/bind/myroot.zone ; } zone my site.com { type master; file /etc/bind/my site.com.zone ; }; zone otherdomain.org { type master; file /etc/bind/otherdomain.org.zone ; };

16 Bind9 Definição das zonas zone dominio : cria uma nova zona local para dominio. type <tipo>: define o tipo da zona declarada. Alguns tipos: hint master slave file caminho-do-arquivo : caminho completo com a definição da zona.

17 Bind9 Arquivo de zonas Definição dos registros que compõem o domínio definido. ; Zone file for my site.com ; $TTL IN SOA ns1.my site.com. admin.my site.com. ( ; serial ; refresh, seconds 1800 ; retry, seconds ; expire, seconds ) ; minimum, seconds NS ns1 ; Inet Address of nameserver MX 10 mail ; Primary Mail A mail A Ns1 CNAME my site.com. Www CNAME my site.com. webmail.my site.com. CNAME www

18 Bind9 Arquivo de zonas (TTL) $TTL Time-to-live ou tempo de vida. O TTL indica por quanto tempo a informação é válida. Após este tempo a informação deve ser descartada e novamente solicitada junto ao servidor de nomes oficial do domínio. Cada arquivo de zona deve conter essa diretiva; Usado como padrão para todos os registros que não possuem TTL especificado. Deve constar na primeira linha do arquivo de zona.

19 Bind9 Arquivo de zonas (SOA) O Registro SOA (Start of IN SOA ns1.my site.com. admin.my site.com. ( ; serial ; refresh, seconds 1800 ; retry, seconds ; expire, seconds ) ; minimum, seconds NS ns1 ; Inet Address of nameserver MX 10 mail ; Primary Mail Exchanger

20 Bind9 Arquivo de zonas IN SOA ns1.my site.com. admin.my site.com. ( O primeiro indica o domínio ao qual as informações do registro SOA se aplicam. Poderia ser substituído pelo FQDN (my-site.com.) Em seguida temos o valor IN, indicando que este é um registro do tipo INternet. Temos então a indicação do tipo de registro Internet, SOA, seguida pelo nome do computador onde esta zona reside, o computador ns1.mysite.com, seguida pelo endereço eletrônico do administrador desta zona, admin@my-site.com.

21 Bind9 Arquivo de zonas (SOA) ; serial Indica a versão do mapa. Todos servidores secundários, são configurados para entrar em contato com o servidor primário regularmente para verificar se houveram mudanças nos mapas descritivos das zonas para qual atende. Os arquivos não são verificados integralmente, verifica-se apenas o número da versão do mapa. Caso a versão do mapa existente no servidor primário seja maior do que a versão que o servidor secundário possui, é então realizada uma transferência de zona, pois isto indica que os dados foram alterados.

22 Bind9 Arquivo de zonas (SOA) ; refresh, seconds Indica de quanto em quanto tempo o servidor secundário deve contatar o servidor primário para verificar se houveram mudança nos dados do domínio para o qual é secundário. Este valor é expresso em segundos, no nosso caso ou 3 horas. A cada três horas o servidor secundário do domínio mysite.com entrará em contato com o servidor primário e verificará se o número da versão do mapa que possui está ou não atualizada. Caso não esteja, é solicitado ao servidor primário a transferência da zona.

23 Bind9 Arquivo de zonas (SOA) 1800 ; retry, seconds Indica quanto tempo o servidor secundário deve aguardar para tentar novamente uma conexão com o servidor primário quando houver uma falha de comunicação. Neste exemplo, o servidor secundário deve contatar o servidor primário a cada três horas. Caso uma destas conexões falhe, uma nova tentativa deve ser feita dentro de segundos, ou 30 minutos. As tentativas se repetem até que seja estabelecida uma conexão.

24 Bind9 Arquivo de zonas (SOA) ; expire, seconds Depois de segundos, ou 41 dias, o servidor secundário desiste então de contatar o servidor primário, e expira todos os dados relativos ao domínio cujo servidor primário está fora do ar. Todos os arquivos relativos à zona expirada são apagadas e deste momento em diante o servidor secundário não mais responde perguntas sobre este domínio.

25 Bind9 Arquivo de zonas (SOA) ) ; minimum, seconds Indica o valor mínimo, ou TTL (Time to Live) aplicado aos registros (RR Resource Record) deste arquivo. No nosso exemplo este valor é de segundos ou um dia. Todas as informações fornecidas pelos servidores (primários ou secundários) do domínio dcc.ufba.br a outros servidores será mantida no cache dos servidores que solicitaram esta informação por apenas um dia.

26 Bind9 Arquivo de zonas (SOA) NS ns1 ; Inet Address of nameserver O Registro NS (NameServer) O registro do tipo NS contém, à direita, o nome de uma ou mais máquinas responsáveis por prover o serviço de DNS da zona em questão, e em seguida a indicação de que se trata de um registro do tipo INternet.

27 Bind9 Arquivo de zonas (SOA) MX 10 mail ; Primary Mail Exchanger O Registro MX (Mail Exchanger) Os registros do tipo MX provêm a interação entre o DNS e o correio eletrônico. O valor 10 indica a precedência do servidor MX. Isto permite ter mais de um servidor MX para um domínio. Quanto menor o valor da precedência, maior será sua prioridade.

28 Bind9 Prática Instalação e configuração do bind Definição de zonas.

30 Zona reversa Domain Name System - DNS Todos os hosts devem possuir uma entrada de DNS Reverso conforme a RFC 1912,seção 2.1. Esse requisito existe desde 1996, mas só nos últimos anos que se tornou uma exigência. Servidores de sem reverso, provavelmente terão problemas. Outros serviços também já fazem checagem de reverso: FTP, SSH, etc.

31 Zona reversa Conceito básico O DNS reverso transforma em mail.dcc.ufba.br. O caminho para resolução é parecido com DNS direto: DNS resolver => root servers => RIRs => Local ISP => Autoridade do domínio Seu provedor de acesso deve adicionar entradas de sua faixa de IPs no DNS ou delegar a autoridade dessas entradas à seu servidor DNS. Erro comum: Não informar ao ISP o servidor responsável pela faixa de IPs.

32 Zona reversa Conceito básico Uma entrada é formada pelo IP invertido concatenado com.in-addr.arpa. (RFC 1035, sessão 3.5). Exemplo: in-addr.arpa. Utilizando os registros do tipo PTR, invés do tipo in-addr.arpa. IN PTR mail.dcc.ufba.br. A delegação de endereçamentos classless é mais complicada... Existe uma RFC específica para essa situação: RFC 2317.

33 Zona reversa Exemplo Configurar uma zona reversa para a faixa de IPs /24

34 Zona reversa Exemplo Primeiro: definição da zona zone in addr.arpa. { type master; file /etc/bind/ zone ; };

35 Zona reversa Exemplo Depois: arquivo da zona ; reverse zone file for /24 ; $TTL IN SOA ns1.my site.com. admin.my site.com. ( ; serial# ; refresh, seconds 1800 ; retry, seconds ; expire, seconds ) ; minimum, seconds NS ns1.my site.com. ; Inet Address of nameserver 1 IN PTR server1.my site.com. 2 IN PTR my site.com. 3 IN PTR mail.my site.com. 4 IN PTR my other domain.org.

36 Bind9 Prática Configurando zona reversa

37 Transferência de zona Importância da transferência de zona Por que replicar zonas? Zonas versus Domínios Transferência versus delegação de zona Tipos de transferência AXFR: transferência completa IXFR: incremental

38 Transferência de zona - tipos Transferência AXFR Transferência de zona convencional. Transfere tudo a cada atualização da zona.

39 Transferência de zona - tipos Transferência IXFR A transferência de zona incremental (IXFR) tem como finalidade diminuir a quantidade de informações trocadas, transferindo somente as mudanças feitas nas zonas do servidor primário para o servidor secundário. # master server xxx.xxx.xxx.xxx { provide ixfr yes; transfer format many answers; }; # slave server xxx.xxx.xxx.xxx { request ixfr yes; };

40 Transferência de zona Quando ocorre a transferências de zona? Quando o intervalo de atualização da zona expira Quando um servidor secundário é notificado sobre as alterações da zona por seu servidor mestre Quando o serviço DNS é iniciado em um servidor secundário da zona Forçado no terminal

41 Transferência de zona - exemplo Queremos definir um servidor slave para a zona my-site.com, como podemos fazer? Master: Slave:

42 Transferência de zona Exemplo Definição da zona no master zone my site.com { type master; file /etc/bind/my site.com.zone ; allow transfer { ; }; };

43 Transferência de zona Exemplo Definição da zona no slave zone my site.com { type slave; file /etc/bind/slave my site.com.zone ; masters { ; }; };

44 Bind9 Prática Transferência de zona

45 Definindo ACLs ACL Access Control List Com as ACL's podemos criar listas de endereços IP's e designarmos nomes a essas listas, com o único objetivo de quando formos nos referenciar a endereços IP usarmos nomes em vez de números. Algumas acl's já existem e podem ser usadas: any Todos os hosts; none Nenhum host; localhosts Todos os IP's das interfaces da máquina; localnets A rede inteira a qual a máquina faz parte;

46 Definindo ACLs Exemplos de ACLs (/etc/bin/named.conf) acl intranet { /24; / /24; }; acl slaves { /32; /32; };

47 Trabalhando com Views Com essa nova opção de configuração pode-se fazer hoje o que antes era necessário com dois ou mais servidores DNS. A idéia principal por detrás desta nova opção é permitir que possa ser configurado o que se conhece como "split DNS", ou seja, separar em dois ou mais servidores DNS os registros que podem ser acessados por toda Internet e os que somente são de interesse da empresa. Isso é usado principalmente em redes "desmilitarizadas", onde o servidor que se encontra na DMZ, de acesso publico, contém somente os registros dos hosts "visíveis" na Internet e o interno, com os registros da rede interna.

48 Trabalhando com Views Com a configuração abaixo ficará mais claro o entendimento deste novo recurso. view "public" IN { match clients { any; }; zone statistics yes; recursion no; zone "rnp.br" { type master; file "rnp externo.db"; }; }; view "private" IN { match clients { /24; intranet; }; zone statistics yes; recursion yes; zone "rnp.br" { type master; file "rnp interno.db"; }; };

49 Dúvidas? Domain Name System - DNS

50 Referências Domain Name System - DNS os/br-dns.html