Introdução às Redes e Protocolos TCP/IP Sessão nº7. Jorge Gomes jorge@lip.pt

Transcrição

1 Introdução às Redes e Protocolos TCP/IP Sessão nº7 Jorge Gomes jorge@lip.pt

2 DNS (Domain Name System)

3 Resolução de Nomes Os humanos são melhores com nomes do que com números Memorizar e usar nomes de maquinas em vez de endereços IP é mais fácil Resolução de nomes: Através de ficheiros locais /etc/hosts Através de bases de dados locais (NIS / YP, NIS+) Através do DNS

4 /etc/hosts Simples de usar: Cada linha corresponde a um host Formato: # Endereço-IP nome-canonico aliases www localhost.localdomain localhost Não possui escalabilidade: Não podemos introduzir todos os sistemas da Internet manualmente Não é eficiente copiar manualmente o ficheiro para todos os sistemas após cada actualização

5 NIS O NIS é uma forma de distribuir informação de configuração como o /etc/hosts É usado em redes locais Permite o acesso a um ficheiro de hosts centralizado Mas não podemos introduzir todos os sistemas da Internet manualmente O NIS é relativamente complexo por servir diversos tipos de informação e objectivos

6 Escolha Existindo diversas fontes para a informação: NIS, NIS+, /etc/hosts, DNS Como é que um host (cliente) escolhe a origem da informação? Depende do sistema operativo e sua configuração Por exemplo nem todos os sistemas suportam NIS Alguns procuram sempre primeiro no hosts e depois no DNS Outros só usam DNS Em Linux existe o /etc/nsswitch.conf

7 /etc/nsswitch.conf passwd: shadow: group: files nisplus nis files files nisplus nis #hosts: hosts: db files nisplus nis dns files dns #services: nisplus [NOTFOUND=return] files #networks: nisplus [NOTFOUND=return] files #protocols: nisplus [NOTFOUND=return] files #rpc: nisplus [NOTFOUND=return] files #ethers: nisplus [NOTFOUND=return] files #netmasks: nisplus [NOTFOUND=return] files # rpcbootparamd or local file bootparams: nisplus [NOTFOUND=return] files ethers: netmasks: networks: protocols: rpc: services: netgroup: publickey: automount: aliases: files files files files files files nisplus nisplus files nisplus files nisplus

8 DNS O DNS é uma base de dados distribuída que é usada pelas aplicações TCP/IP para efectuar: O mapeamento de nomes em endereços IP. O mapeamento inverso de endereços IP em nomes. Encaminhamento de , etc O DNS é distribuído porque não existe nenhum sistema na Internet que possua toda a informação. Os servidores de DNS são responsáveis por fornecer a informação. Os servidores de DNS são mantidos por: organizações que possuam um domínio na Internet fornecedores de serviço IP Os servidores e clientes DNS não são implementados no kernel dos sistema operativo. De facto a pilha de protocolo TCP/IP não sabe da existência do DNS.

9 DNS Os servidores de DNS são implementados como processos (bind / named). Os clientes de DNS são implementados como funções de biblioteca (resolver): Com as quais a aplicação é compilada As duas funções do DNS mais usadas são: gethostbyname() : obtém o endereço IP a partir do nome. gethostbyaddr() : obtém o nome a partir de um endereço. Os dois RFCs relevantes para o DNS são: RFC 1034 define o conceito e funcionalidade. RFC 1035 especifica os detalhes de implementação. O esquema de nomes do DNS é hierárquico Similar à arvore de directórios de um sistema de ficheiros.

10 DNS root... arpa com edu gov mil int net org pt uk tw Domínios De topo in-addr sun fnal ripe linux uc co com Domínios de segundo nível 193 www www www www dei ibm asus 139 Domínios genéricos ftp www www 44 Domínios nacionais 7 Country codes ISO 3166

11 DNS Cada nó da arvore possui uma etiqueta com até 63 caracteres. O nó de topo não possui nome. Não existe distinção entre nomes em maiúsculas e minúsculas. Cada nome completo lê-se de baixo para cima separando cada nível por um ponto e terminando em ponto. Os nomes que não terminam em ponto têem de ser completados, o modo como são completados dependo do software usado. Um nome que termina em ponto designa-se por Fully Qualified Domain Name (FQDN) Os domínios de topo mil e gov são para uso dos militares e governo dos Estados Unidos. A informação de topo da arvore de DNS é mantida num conjunto de servidores conhecido por root name servers. Estes servidores mantêm informação sobre as delegações dos domínios de topo A responsabilidade por outras zonas da arvore é delegada. Uma zona é uma sub-arvore da arvore de DNS que é administrada separadamente.

12 DNS O DNS de topo é gerido pelo ICANN: Existem 13 servidores da root zone do DNS de A a M Mantém uma copia de IPv4 address IPv6 address Operator Location Soft A :503:BA3E::2:30 VeriSign distributed using anycast BIND B :478:65::53 (not in root zone yet) USC-ISI Marina Del Rey, California, U.S. BIND C Cogent Communications distributed using anycast BIND D University of Maryland College Park, Maryland, U.S. BIND E NASA Mountain View, California, U.S. BIND F :500:2f::f G Internet Systems Consortium Defense Information Systems Agency H :500:1::803f:235 U.S. Army Research Lab distributed using anycast distributed using anycast Aberdeen Proving Ground, Maryland, U.S. I :7fe::53 (testing, not in root zone yet) Autonomica distributed using anycast BIND J :503:C27::2:30 VeriSign distributed using anycast BIND K :7fd::1 RIPE NCC distributed using anycast NSD L :500:3::42 ICANN distributed using anycast NSD M :dc3::35 WIDE Project distributed using anycast BIND BIND BIND NSD

13 DNS Os servidores de topo: Existe mais de um servidor por detrás de cada endereço IP associado às letras A a M Algumas letras usam anycast Anycast e DNS: Permite replicação geográfica dos servidores Funciona anunciando o mesmo endereço IP via BGP a partir de múltiplas localizações Na prática permite que em cada local seja escolhido o servidor mais próximo Permite redundância Quando um servidor falha a sua rota é automaticamente removida Outra rota mais distante passa a ser escolhida

14 DNS O ICANN controla também diversos domínios TLD genéricos: O registo nestes domínios é delegado em registrars O registo em.com e.net : É operado pela Verisign sobre contrato com o ICANN O registo em.edu : É operado pelo net.educase.edu Organização sem fins lucrativos criada pela Internet Society Domínios nacionais são controlados por entidades nacionais: O domínio (.pt) é controlado pela FCCN ( Podem efectuar-se registos através: Agentes de registo (Registrars) ( Companhias de web hosting Pagam-se fees anuais

15 DNS Muitos domínios de segundo nível subdividem o seu domínio em mais sub-domínios de acordo: com a sua estrutura administrativa ou distribuição geográfica. Uma vez que a delegação de uma zona (domínio) tenha sido efectuada é da responsabilidade da organização à qual a delegação foi efectuada: Disponibilizar a informação sobre essa zona através da implementação de servidores de DNS. Cada vez que um novo sistema é adicionado a uma zona o administrador da rede deve introduzir no servidor DNS correspondente o nome e endereço IP do novo sistema. Cada zona tem de possuir um servidor de DNS primário e um ou mais servidores de DNS secundários: Servidor de DNS primário: obtém a sua informação a partir de ficheiros em disco. Servidor de DNS secundário: obtém a sua informação a partir de informação copiada do servidor de DNS primário.

16 DNS Os servidores secundários existem para garantir a disponibilidade da informação sobre uma zona em caso de falha do servidor primário. A transferência de informação sobre uma zona entre um servidor primário e um servidor secundário chama-se transferência de zona. As transferências de zona são sempre efectuadas pelos servidores secundários e ocorrem quando: Um servidor de DNS primário lê os ficheiros de configuração em disco e detecta com base no numero de série da zona que ocorreu uma actualização. Neste caso o primário envia uma notificação aos servidores secundários. Quando os servidores secundários determinam que houve uma actualização do primário através de uma verificação periódica do numero de série da zona. A informação mantida nos servidores secundários é valida durante um período limitado de tempo, após o qual uma nova transferência de zona tem de ser obrigatoriamente efectuada.

17 DNS Quando um servidor que suporta recursão recebe um pedido de informação para uma zona sobre a qual não possui informação É desencadeado um processo iterativo de tradução. Cada servidor conhece os endereços IP de um ou vários servidores de DNS responsáveis pela root: Informação sobre os root servers não muda frequentemente Desta forma é possível obter informação sobre os endereços IP dos servidores responsáveis pelos domínios de topo. Contactando o servidor de topo pode-se obter informação sobre os servidores responsáveis pelos domínios de segundo nível O processo continua iterativamente até encontrar o servidor responsável pela zona que contém a informação que se pretende obter, que é então questionado directamente. Para melhorar o desempenho do DNS cada servidor mantém uma cache com a informação que obteve durante o seu funcionamento. Cada informação em cache possui um tempo de vida ao fim do qual expira

18 Formato de Mensagem DNS Identificação (16) Número de questões (16) Número de RRs autoritários (16) Questões Flags (16) Número de RRs de resposta (16) Número de RRs adicionais (16) RRs com respostas (Número variável de RRs) RRs autoritários (Número variável) RRs com informação adicional (Número variável)

19 O Campo Flags O campo de flags divide-se em: QR (1) opcode (4) AA (1) TC (1) RD (1) RA (1) zero (3) rcode (4) QR: 0 a mensagem é uma questão, 1 a mensagem é uma resposta. AA: 1 o servidor que está a responder é autoritária para a zona. TC: 1 mensagem truncada a 512 bytes (só usado com UDP). RD: 1 quando usado numa query indica que se pretende que o servidor use recursividade para responder à query. 0 numa query indica que se o servidor não for autoritário para a zona deve apenas retornar uma lista de servidores que o sejam. Um servidor root nunca aceita queries recursivas Cada vez mais servidores também possuem esta politica. Devem ser os servidores locais a efectuar a recursividade RA: É usado nas respostas para indicar que o servidor suporta recursividade. RCODE: 0 OK, 3 erro.

20 O Campo Questões O campo de questões divide-se em: Nome a traduzir Tipo de questão (16) Classe da questão ( 1 = IP) (16) Nome a traduzir: sequência de etiquetas que são precedidas por um byte com o numero de caracteres de cada etiqueta e terminando com um byte com valor zero. ns.dns.pt. Tipo de questão: o tipo de questão indica o tipo informação (RR) que se pretende obter: 2 n s 3 d n s 2 p t 0 Nome A NS CNAME PTR HINFO MX AXFR ANY Valor Descrição da informação a obter Endereço IP Name server responsável por um domínio Nome canónico, um nome virtual que aponta para o nome real Nome a partir de endereço (Pointer) Informação sobre o host, duas strings com CPU e sist. operativo Nome e prioridade do servidor de para um host / domínio Pedido de transferência de zona Obtenção de todos os registos

21 Formato das respostas DNS Nome do domínio Tipo de RR (16) Classe (16) Tempo de vida (32) Tamanho dos dados (16) Dados Nome do domínio: nome ao qual os dados (RR) corresponde. Tipo: especifica um dos tipos de RR tal como nas questões. Tempo de vida: número de segundos que um cliente DNS pode manter esta informação em cache (2 dias é um valor usual). Tamanho dos dados: Número de bytes do campo de dados. Dados: resposta depende do tipo de RR. Para um endereço IP são quatro bytes. Para nomes é usado o formato mencionado anteriormente.

22 Exemplo com um Cliente Pretende-se fazer ssh para uma maquina usando o seu nome: É usada a função gethostbyname para obter o endereço IP do sistema. O cliente de DNS determina o endereço IP do servidor de DNS a usar com base em informação de configuração existente em armazenamento local. Podem existir vários servidores configurados para redundância. Envia uma query para o servidor de DNS usando UDP. A query usa: O bit RD a 1 (deseja-se recursividade) O bit QR a 0 (é uma questão) Classe 1 (questão sobre IP) Tipo 1 (pretende-se obter um RR do tipo A endereço IP) O servidor verifica se possui informação sobre a zona correspondente ao nome que se pretende traduzir: Pode existir em cache ou numa zona localmente suportada Caso afirmativo responde imediatamente ao cliente usando UDP. Se for primário para a zona a resposta terá o bit de autoritário a 1. Caso contrario contactará outros servidores para obter a informação.

23 Mapeamento Reverso É possível obter o nome correspondente a um endereço IP através da função gethostbyaddr() Para este efeito existe o domínio in-addr.arpa. As varias classes de endereços IP atribuídas podem ser registadas como sub-domínios debaixo deste domínio. Para efectuar o mapeamento inverso da rede / 24 é necessária a delegação do domínio in-addr.arpa a um servidor de DNS. O servidor deve usar registos PTR para efectuar o mapeamento entre os endereços IP e o nome correspondente. O mapeamento reverso é frequentemente usado pelos servidores (por ex. o SSH) para verificar que os clientes têm origem em domínios de confiança Um cliente que não tenha um mapeamento reverso é frequentemente considerado suspeito

24 Exemplo com um Servidor Um servidor de DNS local recebe uma questão: pedido com recursividade obtenção de um endereço IP referente a uma zona que não é local( Resolução: O servidor local usa a sua lista de root name servers para seleccionar um servidor que será interrogado para determinar os endereços IP dos servidores de DNS responsáveis por ch. O servidor root responde com registos autoritários para os nomes dos servidores de DNS de ch e informação adicional com os endereços IP destes servidores. O servidor local questiona um dos servidores de DNS de ch para obter os endereços IP dos servidores responsáveis pelo domínio cern.ch. O servidor ch responde com registos autoritários para os nomes dos servidores de DNS de cern.ch e informação adicional com os seus endereços IP. Finalmente um servidor de DNS de cern.ch é interrogado para obter o endereço IP de O servidor de cern.ch responde com o endereço IP ou com a indicação de que o RR não existe.

25 DNS Em sistemas *NIX a configuração do cliente de DNS é efectuada no ficheiro /etc/resolv.conf search lip.pt nameserver nameserver Atenção alguns utilitários de configuração podem reescrever o /etc/resolv.conf Em RH se o NetworkManager estiver activo a configuração do DNS poderá ser reescrita A configuração faz-se também através dos scripts /etc/sysconfig/network-scripts/ifcfg-ethx DOMAIN=lip.pt DNS1= DNS2=

26 DNS Em sistemas *NIX o ficheiro de configuração do servidor de DNS chama-se /etc/named.conf Um servidor de DNS responde a queries na porta 53 Um servidor de DNS efectua queries: Inicialmente a porta 53 era usada A partir de uma qualquer porta pré-definida pelo sysadm Usando portas alocadas dinamicamente (mais difícil de passar nas firewalls)

27 acl ns { ; }; acl my-net { /24; }; options { directory /etc/namedb ; query-source address * port 5678; recursion yes; allow-transfer { ns; my-net; }; allow-recursion { my-net; }; }; zone. { type hint; file named.root ; }; zone blabla.net { type master; file master/blabla.net ; }; zone in-addr.arpa { type master; file master/ ; };

28 ; ; Ficheiro de configuração para a zona blabla.net ; $TTL IN SOA dns1.blabla.net. sysadm.blabla.net. ( ; Serial number yymmddss, xx zone change ; Refresh 4 hours 7200 ; Retry 2 hours ; Expire 7 days ) ; minimum time-to-live 1 day IN NS dns1.blabla.net. IN NS dns2.blabla.net. IN MX 10 mail1.blabla.net. IN MX 20 mail2.blabla.net. frog IN NS dns1.frog.blabla.net. frog IN NS dns2.frog.blabla.net. dns1.frog IN A dns2.frog IN A alfa IN A beta IN A delta IN A mail1 IN A mail2 IN CNAME alfa.blabla.net. dns1 IN A dns2 IN A

29 ; ; Ficheiro de configuração para a zona in-addr.arpa ; $TTL IN SOA dns1.blabla.net. sysadm.blabla.net. ( ; Serial number yymmddss, xx zone change ; Refresh 4 hours 7200 ; Retry 2 hours ; Expire 7 days ) ; minimum time-to-live 1 day IN NS dns1.blabla.net. IN NS dns2.blabla.net. 12 IN PTR mail1.blabla.net. 14 IN PTR dns1.blabla.net. 56 IN PTR alfa.blabla.net. 92 IN PTR beta.blabla.net.

30 UDP e TCP O DNS suporta UDP e TCP: Ambos os protocolos usam o mesmo numero de porta (53). Por norma é usado UDP: Quando uma resposta é recebida com o bit TC a 1 indicando que a mensagem foi truncada a 512 bytes, então o TCP é usado para efectuar a transferência. As transferências de zona entre servidores primários e secundários são sempre efectuadas usando TCP: Para garantir maior fiabilidade. Por existir probabilidade elevada da transferência precisar mais de 512 bytes.

31 Exemplos Traduzir via DNS o nome de um host $ host lnlip01.lip.pt lnlip01.lip.pt has address $ host is an alias for webr4.cern.ch. webr4.cern.ch has address Traduzir via DNS o endereço de um host $ host in-addr.arpa domain name pointer lnlip01.lip.pt. $ host in-addr.arpa domain name pointer webr4.cern.ch.

32 Exemplos Obter via DNS o nome dos servidores de mail para um domínio: $ host -t MX cern.ch cern.ch mail is handled by 10 cernmxgwlb.cern.ch. $ host -t MX fct.mctes.pt fct.mctes.pt mail is handled by 5 anubis.fct.mctes.pt. $ host -t MX lip.pt lip.pt mail is handled by 10 smtp.lip.pt. Obter os servidores de DNS para um domínio: $ host -t NS lip.pt lip.pt name server ns02.lip.pt. lip.pt name server ns01.lip.pt.

33 $ host vt Exemplos Trying " ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 5145 ;; flags: qr rd ra; QUERY: 1, ANSWER: 2, AUTHORITY: 3, ADDITIONAL: 6 ;; QUESTION SECTION: ; IN A ;; ANSWER SECTION: IN CNAME webr4.cern.ch. webr4.cern.ch IN A ;; AUTHORITY SECTION: cern.ch. 555 IN NS scsnms.switch.ch. cern.ch. 555 IN NS ext-dns-1.cern.ch. cern.ch. 555 IN NS ext-dns-2.cern.ch. ;; ADDITIONAL SECTION: scsnms.switch.ch IN A scsnms.switch.ch IN A scsnms.switch.ch IN AAAA 2001:620::1 ext-dns-1.cern.ch IN A ext-dns-2.cern.ch IN A ext-dns-2.cern.ch IN AAAA 2001:1458:e008:1::2 Received 261 bytes from #53 in 0 ms

34 $ dig +trace +tcp Exemplos ; <<>> DiG <<>> +trace +tcp ;; global options: printcmd IN NS C.ROOT-SERVERS.NET IN NS D.ROOT-SERVERS.NET IN NS E.ROOT-SERVERS.NET IN NS F.ROOT-SERVERS.NET IN NS G.ROOT-SERVERS.NET IN NS H.ROOT-SERVERS.NET IN NS I.ROOT-SERVERS.NET IN NS J.ROOT-SERVERS.NET IN NS K.ROOT-SERVERS.NET IN NS L.ROOT-SERVERS.NET IN NS M.ROOT-SERVERS.NET IN NS A.ROOT-SERVERS.NET IN NS B.ROOT-SERVERS.NET. ;; Received 508 bytes from #53( ) in 1 ms pt IN NS NS.DNS.BR. pt IN NS NS.DNS.pt. pt IN NS AUTH200.NS.UU.NET. pt IN NS NS2.NIC.FR. pt IN NS NS-EXT.ISC.ORG. pt IN NS AUTH210.NS.UU.NET. pt IN NS NS2.DNS.pt. ;; Received 363 bytes from #53(C.ROOT- SERVERS.NET) in 24 ms lip.pt IN NS ns02.fccn.pt. lip.pt IN NS lnnet02.lip.pt. lip.pt IN NS afnet01.lip.pt. ;; Received 215 bytes from #53(NS.DNS.BR) in 235 ms IN CNAME lnnet08.lip.pt. lnnet08.lip.pt IN A lip.pt IN NS afnet01.lip.pt. lip.pt IN NS ns02.fccn.pt. lip.pt IN NS lnnet02.lip.pt. ;; Received 210 bytes from #53(ns02.fccn.pt) in 5 ms