DNS central. A new approach for DNS records management at Unesp. Carlos Coletti GRC

Transcrição

1 DNS central A new approach for DNS records management at Unesp Carlos Coletti GRC carlos.coletti@unesp.br

2 Agenda Introdução Objetivos Infraestrutura atual Nova infraestrutura proposta Proposta de nova política DNS da Unesp Demostração

3 Introdução

4 Objetivos Separação das instâncias autoritativa e recursiva Administração dos registros DNS via interface web Melhorar a segurança do DNS na Unesp Diminuir os tickets de suporte por falhas na adm Assinatura automática das chaves do DNSSEC

5 Separação das instâncias autoritativa e recursiva Modularização Segurança Manutenção

6 Separação das instâncias autoritativa e recursiva Recomendação dos RFC s: RFC Operational Criteria for Root Name Servers RFC Root Name Server Operational Requirements Recomendação do livro: Securing Your Nameserver Split-Function Nameservers Nameservers really have two major roles: answering iterative queries from remote nameservers and answering recursive queries from local resolvers. If we separate these roles, dedicating one set of nameservers to answering iterative queries and another to answering recursive queries, we can more effectively secure those nameservers.

7 Separação das instâncias autoritativa e recursiva Softwares Autoritativo: Recursivo:

8 Separação das instâncias autoritativa e recursiva Softwares escolhidos PowerDNS - Banco de dados SQL-like Armazenamento dos registros DNS - DNSSEC automático Reassinatura automática das zonas Unbound - Resolvedor local padrão do FreeBSD 10 em diante - Leve, rápido - Validação DNSSEC

9 Interface Web Software escolhido - Comunicação com o servidor autoritativo via API do PowerDNS; Não há manipulação direta (bd SQL) dos registros DNS - Limitações: * Não possui suporte LDAP * Suporte a grupos em desenvolvimento (indisponível no momento); Portanto um usuário por unidade no momento

10 Interface Web

11 Interface Web

12 Interface Web

13 Interface Web

14 DNSSEC automático Após edição do registro DNS na interface NSEDIT - Número de série do SOA do domínio incrementa automaticamente - DNSSEC é reassinado automaticamente - Mudanças propagam via transferência de zona (AXFR) para os autoritativos secundários (ns1.unesp.br, ns2.unesp.br & dnscache1.unidade.unesp.br)

15 Agenda Introdução Objetivos Vantagens Infraestrutura atual Nova infraestrutura proposta Proposta de nova política DNS da Unesp Demostração

16 Vantagens Melhor separação dos serviços (aut e rec) Melhora segurança contra ataques Atualizações sem "dor" e mais organizada Interface WEB (mais fácil adaptação) Agiliza a adm e reduz a falha humana Resolve problema de chave DNSSEC expirada Facilita a administração das unidades Diminui o tempo de suporte do GRC Mantem autonomia das unidades

17 Agenda Introdução Objetivos Vantagens Infraestrutura atual Nova infraestrutura proposta Proposta de nova política DNS da Unesp Demostração

18 Infraestrutura atual

19 Infraestrutura atual

20 Infraestrutura atual Desvantagens - BIND * Autoritativo + Recursivo na porta 53 - Manipulação dos registros via edição de arquivos (.txt) de zona do BIND. * Falha humana - DNSSEC manual * Execução (manual) de script para assinar a zona * Expiração da zona (Alguém?)

21 Agenda Introdução Objetivos Vantagens Infraestrutura atual Nova infraestrutura proposta Proposta de nova política DNS da Unesp Demostração

22 Nova infra

23 Nova infra

24 Nova infra

25 Implantação do dnscache1 na unidade. Utilizar VM (recomendado)

26 Implantação do dnscache1 na unidade. Implantação do dnscache1 na unidade em 3 passos:

27 Implantação do dnscache1 na unidade. Implantação do dnscache1 na unidade em 3 passos: 1) Instalar o Unbound - Instalar Ubuntu LTS - apt-get install unbound * Por padrão aceita conexões somente em localhost:53; * Reconfigurar para aceitar conexões em :53 & [::1]:53

28 Implantação do dnscache1 na unidade. Implantação do dnscache1 na unidade em 3 passos: 1) Instalar o Unbound - Instalar Ubuntu LTS - apt-get install unbound * Por padrão aceita conexões somente em localhost:53; * Reconfigurar para aceitar conexões em :53 & [::1]:53 2) Instalar o PowerDNS - apt-get install pdns * Reconfigurar para aceitar conexões em :5300 * Acesso externo a porta 5300 somente da origem ns0.unesp.br - AXFR de ns0.unesp.br para dnscache1.unidade - reconfigurar Unbound para consultar undidade.unesp.br em :5300

29 Implantação do dnscache1 na unidade. Implantação do dnscache1 na unidade em 3 passos: 3) Não existe passo 3!! :-)

30 Implantação do dnscache1 na unidade. Implantação do dnscache1 na unidade em 3 passos: 3) Não existe passo 3!! :-) OBS: O passo 1 é também um mecanismo de DR (Disaster Recovery) do serviço em caso de falha irreversível do servidor DNS. Rapidamente restaurando a resolução de nomes para navegação internet. Enquanto o passo 2 pode ser realizado em outro momento.

31 Agenda Introdução Objetivos Vantagens Infraestrutura atual Nova infraestrutura proposta Proposta de nova política DNS da Unesp Demostração

32 Proposta de nova política DNS da Unesp Destaques Novas Responsabilidades GRC: - Administração dos autoritativos ns0 (primário), ns1 & ns2 (secundários) e dnscache1.unidade [PowerDNS:5300] - Criação dos domínios diretos e reversos no autoritativo primário - Administração dos registros do tipo SOA e NS Unidade: - Administração dos recursivos [Unbound:53] - Administração via interface Web dos demais registros que não do tipo SOA e NS. Exemplo: A, AAAA, CNAME, MX, TXT.

33 Roadmap Quais são os próximos passos?

34 DNS Central v2 - A Fazer Limpeza automatizada dos caches quando acontecer uma transferência de zona (XFR) LDAP Avaliação de novas interfaces web (ex: PowerDNS-Admin - excelente interface desenvolvida em python) TSIG - Transferência de zonas autenticadas Unidade criar seus subdomains

35 Quem já utiliza? (12 unidades) Reitoria Rosana São Vicente - IEAMar São Paulo - IA Sorocaba Guaratinguetá Botucatu - FMVZ Botucatu - IB Marília Botucatu - HCFMB São Paulo - Nead Registro unesp.br reitoria.unesp.br rosana.unesp.br ieamar.unesp.br ia.unesp.br sorocaba.unesp.br feg.unesp.br fmvz.unesp.br ibb.unesp.br marilia.unesp.br hcfmb.unesp.br nead.unesp.br registro.unesp.br

36 Comentários de quem já está usando "Excelente ferramenta de gerência DNS!!" (Fernando A. Nitatori - Campus Sorocaba)

37 Comentários de quem já está usando "Pontos fortes: gerenciamento simples e centralizado, padronização de versões, facilidade de atualização de versões. Por fim, as unidades podem se dedicar as suas atividades 'específicas' sem necessidade de um especialista em DNS para manter o serviço" (Sandro A. S. Coquemala - HCFMB)

38 DEMONSTRAÇÃO

39 OBRIGADO!