Instituto Superior das Ciências do Trabalho e da Empresa. Segurança de Redes e Protocolos de Comunicação. 1º Trabalho de Acompanhamento

Transcrição

1 Instituto Superior das Ciências do Trabalho e da Empresa Segurança de Redes e Protocolos de Comunicação 1º Trabalho de Acompanhamento Docente: Professor José Guimarães Realizado por: António Monteiro João Luís Marques João Nascimento Lisboa, 14 de Junho de 2001

2 Objectivo: Configuração de um servidor DNS e consequente familiarização com as configurações do serviço DNS no ambiente Unix. Pretende-se configurar um servidor DNS como primário do sub-domínio mgsi4.iscte.pt, em que o 4 representa o número do grupo que realiza o trabalho. O conjunto de endereços a utilizar pelo grupo, deverá corresponder à sub-rede da classe A cujos três primeiros octetos são: (netmask= ) Deverão ser configuradas, pelo menos, as directivas necessárias para:? Nome do sub-domínio responder a um endereço IP? Máquinas do sub-domínio mgsi4.iscte.pt: o ns (que terá funções de name server) o fw (que terá funções de firewall) o www (que terá funções de servidor HTTP) o mail (que terá funções de servidor SNMP).? Encaminhamento de mail para apenas uma delas? As máquinas www e mail são aliases para a máquina ns.? O servidor deverá ainda ser secundário de todos os outros sub-domínios configurados pelos restantes grupos de trabalho. Grupo Sub-domínio Endereço IP da Rede /24 1 Mgsi1.iscte.pt Mgsi2.iscte.pt Mgsi3.iscte.pt Mgsi4.iscte.pt Mgsi5.iscte.pt Mgsi6.iscte.pt Mgsi7.iscte.pt ? Deverá ser configurado o sub-domínio de reverse dos endereços. Mestrado em Gestão de Sistemas de Informação 2000/2001 1

3 Resolução: Para a resolução do problema proposto, foi necessário executar um conjunto de operações de configuração inicial. Estas operações estão relacionadas com a configuração dos interfaces Ethernet dos PC s. Foi necessário configurar desde a própria NIC, com a instalação dos drivers necessários para que o sistema operativo possa aceder ao Hardware, até aos endereços IP a atribuir a cada uma das placas. Neste sentido, e com a orientação do professor, foram atribuídos endereços IP a ambas as placas instaladas no computador onde decorreu este exercício. A uma delas - que se encontra ligada à rede de alunos do ISCTE, funcionando como porta de saída da nossa pequena rede privada que será criada durante o decorrer do trimestre - foi atribuído o endereço IP À outra placa foi atribuído o endereço IP , pois pertence à nossa rede privada e será utilizada para implementar a Firewall, assim como a Default Gateway da mesma. Depois destas configurações estarem completas, estamos então em condições para começar a configurar o servidor de nomes do nosso sub-domínio: Mgsi4.iscte.pt. Para configuração do servidor de nomes é crucial a configuração do ficheiro /etc/named.conf. Tendo como base de trabalho o ficheiro original da instalação do Linux, foram feitas algumas alterações para que fosse possível responder aos objectivos propostos pelo Docente da cadeira. Em seguida, iremos explicar cada linha do ficheiro, que foi sendo elaborado ao longo do processo de configuração, tentando explicar o seu conteúdo no final. options { directory "/var/named" the default is to fail, if the master file is not correct check-names master warn Esta primeira instrução configura o local, dentro do nosso disco, onde se encontram os ficheiros que contêm os dados que permitirão responder aos pedidos feitos ao nosso servidor de nomes. pid-file "/var/run/named.pid" datasize default stacksize default coresize default files unlimited recursion yes multiple-cnames no // if yes, then a name may have more // than one CNAME RR. This use is non-standard and is not // recommended, but it is available because previous //releases supported it and it was used by large sites // for load balancing. Mestrado em Gestão de Sistemas de Informação 2000/2001 2

4 Estas instruções estavam no ficheiro de exemplo e decidimos não fazer alterações, já que nos parecem os valores standard para as variáveis apresentadas. As instruções seguintes são as utilizadas para definir, concretamente, a maneira de actuar do servidor de nomes. É aqui que serão definidas as suas funções (master ou slave), assim como a configuração do nosso domínio. De notar que nestas instruções apenas são indicadas as zonas e os ficheiros onde a sua configuração se encontra. Todos os ficheiros estarão localizados na directoria indicada na primeira linha. A primeira zona a configurar será a zona de root, ou seja a de maior valor hierárquico. Os name servers desta zona serão os responsáveis por nos responder a qualquer pergunta acerca de um domínio desconhecido do nosso sistema. zone "." IN { type hint file "root.hint" } Como se pode inferir, o ficheiro root.hint deverá conter uma lista de todos os root name servers, e que será apresentado um pouco mais à frente neste relatório. Depois de configurados os servidores aos quais recorreremos sempre que nos sejam colocadas questões para as quais não temos resposta, é necessário começar a configurar o nosso sub-domínio. Para isso é necessário começar com a nossa rede virtual interna, ou seja, a nossa própria máquina - o nosso localhost. zone "localhost" IN { type master file "localhost.zone" check-names fail allow-update { none } } O servidor de nomes será primário da própria máquina e a sua configuração encontra-se no ficheiro localhost.zone, e não autorizamos ninguém a carregar o nosso ficheiro de configuração, já que este apenas diz respeito a esta máquina. O ficheiro localhost.zone irá permitir transformar o nome localhost no endereço IP mas, terá de ser configurado o contrário, ou seja através do endereço , o nosso servidor de nomes deverá poder retornar o nome localhost e para é necessário configurar a zona de reverse. zone " in-addr.arpa" IN { type master file " zone" check-names fail allow-update { none } } Mestrado em Gestão de Sistemas de Informação 2000/2001 3

5 Tal como acontece com a zona anterior, também será um servidor primário e a sua configuração está guardada no ficheiro zone na directoria definida (/var/named). O procedimento feito para o localhost, deverá ser repetido para o nosso sub-domínio Msgi4.iscte.pt. Logo, em primeiro lugar, à que definir o nome de sub-domínio, para o qual o nosso servidor será primário e que poderá ser transferido para todos os outros servidores de nomes dos outros grupos, e só para esses. Para além disso, estes devem ser avisados de qualquer alteração feita na nossa configuração, para que possam transferir a configuração mais actual. zone "mgsi4.iscte.pt" IN { type master file "mgsi4.iscte.pt" allow-transfer { } Apenas deixara transferir o ficheiro da zona aos secundários notify yes } Em seguida deverão ser definidas as zonas de reverse lookup para o nosso domínio e para a nossa rede interna. zone " in-addr.arpa" IN { type master file " zone" } Para além desta zona Reverse, é necessário, também, que o nosso servidor seja um servidor secundário da zona reverse da rede /24, visto que é através desta que nós teremos acesso ao exterior. No servidor de nomes - servidor primário desta rede -, o nosso domínio foi identificado e configurado, fazendo com que, sempre que haja uma chamada ao endereço IP , este seja resolvido para o nome Msgi4.iscte.pt. Desta forma, o nosso servidor de nomes poderá resolver qualquer endereço IP num nome de domínio ou máquina. Esta configuração permite ao nosso domínio encontrar qualquer outro domínio da Internet, já que a nossa rede /24 foi ligada à hierarquia DNS já existente no ISCTE e que tinha como seu ramo mais baixo a rede /24. zone " in-addr.arpa" IN { type slave file "slave/ zone" } Mestrado em Gestão de Sistemas de Informação 2000/2001 4

6 Depois destas configurações, grande parte dos objectivos já estão cumpridos: já temos maneira de resolver qualquer nome em endereço IP e vice-versa. Falta apenas configurar o nosso servidor de nomes para que possa fazer o papel de secundário de todos os outros sub-domínios configurados pelos outros 6 grupos: Zona DNS secundário do Sub-domínio mgsi1.iscte.pt zone "mgsi1.iscte.pt" IN { type slave file "slave/mgsi1.iscte.pt" masters { } } Zona DNS secundário do Sub-domínio mgsi2.iscte.pt zone "mgsi2.iscte.pt" IN { type slave file "slave/mgsi2.iscte.pt" masters { } } Zona DNS secundário do Sub-domínio mgsi3.iscte.pt zone "mgsi3.iscte.pt" IN { type slave file "slave/mgsi3.iscte.pt" masters { } } Zona DNS secundário do Sub-domínio mgsi5.iscte.pt zone "mgsi5.iscte.pt" IN { type slave file "slave/mgsi5.iscte.pt" masters { } } Zona DNS secundário do Sub-domínio mgsi6.iscte.pt zone "mgsi6.iscte.pt" IN { type slave file "slave/mgsi6.iscte.pt" masters { } } Zona DNS secundário do Sub-domínio mgsi7.iscte.pt zone "mgsi7.iscte.pt" IN { type slave file "slave/mgsi7.iscte.pt" masters { } } Mestrado em Gestão de Sistemas de Informação 2000/2001 5

7 Agora que já configurámos o ficheiro de arranque do nosso servidor de nomes, é necessário configurar todos os ficheiros aos quais ele irá aceder para encontrar os dados necessários para o seu bom funcionamento. Vamos começar pelo primeiro - o root.hint - o qual não sofreu qualquer alteração, devendo ser actualizado, logo que o serviço ftp seja parametrizado e iniciado. This file holds the information on root name servers needed to initialize cache of Internet domain name servers (e.g. reference this file in the "cache. <file>" configuration file of BIND domain name servers). This file is made available by InterNIC registration services under anonymous FTP as file /domain/named.root on server FTP.RS.INTERNIC.NET -OR- under Gopher at RS.INTERNIC.NET under menu InterNIC Registration Services (NSI) submenu InterNIC Registration Archives file named.root last update: Aug 22, 1997 related version of root zone: formerly NS.INTERNIC.NET IN NS A.ROOT-SERVERS.NET. A.ROOT-SERVERS.NET A formerly NS1.ISI.EDU NS B.ROOT-SERVERS.NET. B.ROOT-SERVERS.NET A formerly C.PSI.NET NS C.ROOT-SERVERS.NET. C.ROOT-SERVERS.NET A formerly TERP.UMD.EDU NS D.ROOT-SERVERS.NET. D.ROOT-SERVERS.NET A formerly NS.NASA.GOV NS E.ROOT-SERVERS.NET. E.ROOT-SERVERS.NET A formerly NS.ISC.ORG NS F.ROOT-SERVERS.NET. F.ROOT-SERVERS.NET A formerly NS.NIC.DDN.MIL Mestrado em Gestão de Sistemas de Informação 2000/2001 6

8 NS G.ROOT-SERVERS.NET. G.ROOT-SERVERS.NET A formerly AOS.ARL.ARMY.MIL NS H.ROOT-SERVERS.NET. H.ROOT-SERVERS.NET A formerly NIC.NORDU.NET NS I.ROOT-SERVERS.NET. I.ROOT-SERVERS.NET A temporarily housed at NSI (InterNIC) NS J.ROOT-SERVERS.NET. J.ROOT-SERVERS.NET A housed in LINX, operated by RIPE NCC NS K.ROOT-SERVERS.NET. K.ROOT-SERVERS.NET A temporarily housed at ISI (IANA) NS L.ROOT-SERVERS.NET. L.ROOT-SERVERS.NET A O ficheiro localhost.zone foi o segundo a ser referenciado e deve conter a definição da própria máquina: $ORIGIN 1D IN root ( 42 serial (d. adams) 3H refresh 15M retry 1W expiry 1D ) minimum 1D IN 1D IN A Este foi um ficheiro ao qual não se fez qualquer alteração, já que existe por defeito em qualquer instalação Linux. O ficheiro zone é o ficheiro de reverse do localhost e que foi alterado de forma a que fosse reconhecido dentro do domínio Msgi4.iscte.pt e para que o seu name server fosse o ns.msgi4.iscte.pt, ou seja, o nome do servidor de nomes do nosso sub-domínio. Mestrado em Gestão de Sistemas de Informação 2000/2001 7

9 @ IN SOA mgsi4.iscte.pt. root.mgsi4.iscte.pt. ( serial Refresh (8 Horas) 7200 Retry (2 Horas) Expire (7 Dias) 86400) Minime TTL (1 dia) NS ns.mgsi4.iscte.pt. 1 PTR localhost. Agora sim, serão apresentados os ficheiros que irão reproduzir as características que o nosso sub-domínio terá, e são eles o Mgsi4.iscte.pt e o zone (reverse). No Mgsi4.iscte.pt estarão definidos, para além dos valores standard (serial, refresh, retry, etc.), o nome do servidor primário do nosso domínio, assim como, os nossos servidores secundários. Estarão também definidos os endereços correspondentes às máquinas do nosso domínio, conforme as regras impostas pelos objectivos iniciais deste IN SOA mgsi4.iscte.pt. root.mgsi4.iscte.pt. ( serial Refresh (8 Horas) 7200 Retry (2 Horas) Expire (7 Dias) 86400) Minime TTL (1 dia) TXT "Seguranca de Redes e Protocolos de Comunicacao" NS ns Servidor DNS Primario NS ns.mgsi1.iscte.pt. Servidor DNS Secundario NS ns.mgsi2.iscte.pt. Servidor DNS Secundario NS ns.mgsi3.iscte.pt. Servidor DNS Secundario NS ns.mgsi5.iscte.pt. Servidor DNS Secundario NS ns.mgsi6.iscte.pt. Servidor DNS Secundario NS ns.mgsi7.iscte.pt. Servidor DNS Secundario MX 10 ns Servidor de mail primario ns IN A HINFO "Pentium III" "Suse 7.0" fw IN A HINFO "Pentium III" "Suse 7.0" xpto IN A HINFO "Pentium III" "Suse 7.0" mail www CNAME ns CNAME ns O ficheiro zone irá definir os endereços de reverse correspondentes às máquinas internas da nossa rede privada: Mestrado em Gestão de Sistemas de Informação 2000/2001 8

10 @ IN SOA mgsi4.iscte.pt. root.mgsi4.iscte.pt. ( serial Refresh (8 Horas) 7200 Retry (2 Horas) Expire (7 Dias) 86400) Minime TTL (1 dia) NS ns.mgsi4.iscte.pt. 1 PTR xpto.mgsi4.iscte.pt. 254 PTR fw.mgsi4.iscte.pt. Neste caso, apenas temos a máquina , que servirá de Firewall à nossa rede e, como é a mesma máquina do ns, também responderá a pedidos DNS. Para além desta, temos também a máquina que funcionará como nossa cliente, tendo-lhe sido atribuído o nome de xpto. Com isto, todas as configurações relativas ao nosso servidor DNS estão configuradas, faltando apenas a configuração do ficheiro resolv.conf, que irá definir a ordem pela qual uma pergunta DNS será encaminhada, ou seja, a ordem de tentativa de ligação a um servidor de nomes. Caso o primeiro não responda, ele irá procurar o segundo e assim sucessivamente. /etc/resolv.conf Automatically generated by SuSEconfig on Wed Jun 6 20:20:48 WEST PLEASE DO NOT EDIT THIS FILE! Change variables (NAMESERVER + SEARCHLIST) in /etc/rc.config instead. search mgsi4.iscte.pt nameserver nameserver nameserver Mestrado em Gestão de Sistemas de Informação 2000/2001 9