Správa linuxového serveru: DNS a DHCP server dnsmasq

30.8.12

Správa linuxového serveru: DNS a DHCP server dnsmasq - Linux E X P R E S

Home » Články » Praxe » Správa linuxového serveru » Správa linuxového serveru: DNS a DHCP server... Předchozí kapitola

Zpět na obsah

Následující kapitola

Správa linuxového serveru: DNS a DHCP server dnsmasq Tento díl pokračuje v problematice DNS, věnuje se rekurzivním dotazům, PTR záznamům a DNSSEC. Představuje také server dnsmasq, který poslouží jako na zdroje nenáročný a snadno konfigurovatelný kešovací DNS a DHCP server.

Úterý, 7. srpen 2012 | Autor Michal Dočekal | známka 1,00

Rekurzivní dotazy Většina z vás bude jistě tušit (zejména po přečtení předchozího dílu), že pomocí DNS můžete získat ke jménu (např. wikipedia.org) konkrétní IP adresu (např. 208.80.152.201). DNS ale také podporuje „obrácené“, rekurzivní dotazy, tedy takové dotazy, které vám vrátí jméno ke konkrétní IP adrese. Využívají se k tomu záznamy typu PTR a speciální doména inaddr.arpa pro IPv4, ip6.arpa pro IPv6. Zkuste si to na nějakém příkladu. Můžete využít nástroj dig, který byl představen v minulém díle. Nejprve získejte IP adresu k nějakému jménu (tedy A záznam), třeba wikipedia.org: dig wikipedia.org ;; QUESTION SECTION: ;wikipedia.org. IN A ;; ANSWER SECTION: wikipedia.org. 3516 IN A 208.80.152.201

Chceteli provést rekurzivní DNS dotaz pomocí nástroje dig, použijte volbu x, takto: dig x 208.80.152.201 ;; QUESTION SECTION: ;201.152.80.208.inaddr.arpa. IN PTR ;; ANSWER SECTION: 201.152.80.208.inaddr.arpa. 3361 IN PTR wikipedialb.pmtpa.wikimedia.org.

Z odpovědi na tento dotaz by mělo být jasné, jak je vlastně rekurzivní dotaz realizován. Hledá se záznam typu PTR ke jménu 201.152.80.208.inaddr.arpa, přičemž toto jméno obsahuje číselnou reprezentaci IP adresy, ovšem jednotlivé oktety jsou uvedeny v opačném pořadí. Jak víte, systém DNS je tvořen stromovou strukturou, která má počátek na konci (toplevel doména), a pak se dále větví do domén druhého, třetího a dalších řádů. Každá větev nebo „podvětev“ tohoto stromu pak může být delegována jinému subjektu. Jak je patrné z příkladu výše, PTR záznamy nemusí mít stejnou hodnotu jako A záznamy. Dlužno dodat, že PTR záznamů pro jednu IP adresu může být více, nicméně není to obvyklé, často z obav, že nebude správně fungovat software očekávající pouze jedno jméno na rekurzivní dotaz.

www.linuxexpres.cz/praxe/sprava-linuxoveho-serveru-dns-a-dhcp-server-dnsmasq

1/5

30.8.12


PTR záznamy jsou důležité zejména v oblasti pošty, jelikož některé poštovní servery předpokládají a očekávají shodu A záznamu s PTR záznamem. Pokud se záznamy shodovat nebudou, pošta může být odmítnuta, klasifikována jako spam nebo se zvýší skóre nástrojů typu spamassassin. PTR záznamy obvykle nastavujete u svého ISP, který vám buď deleguje danou DNS větev na váš vlastní DNS server, nebo vám nastaví PTR záznamy na svém.

Dnsmasq: Jednoduchý DNS server Dnsmasq je vynikající nástroj, pokud potřebujete rychle nasadit kešující DNS (anebo také DHCP) server pro

malou síť (dle webu projektu zvládá i tisíc klientů). Dnsmasq není resolver, tzn. neprovádí vyhledávání neznámých domén sám, nýbrž jen předává dotazy místním DNS resolverům (viz /etc/resolv.conf). Vyřešené dotazy kešuje, což snižuje zátěž hlavních DNS resolverů a také mírně zvyšuje výkon. Můžete samozřejmě přidávat vlastní DNS záznamy pro místní nebo speciální domény. Dnsmasq

umí fungovat také jako jednoduchý DHCP server, IP adresy můžete přidělovat staticky nebo dynamicky. Jeho předností je nenáročnost na paměť a na konfiguraci. Instalaci nástroje dnsmasq provedete v Debianu klasickým způsobem, instalací příslušného balíčku z oficiálních repozitářů: aptitude install dnsmasq

Konfigurace Hlavním konfiguračním souborem je /etc/dnsmasq.conf. Tento konfigurační soubor je bohatě komentovaný, takže není problém dnsmasq rychle nastavit podle vašich představ. První věc, kterou byste měli upravit, je specifikace rozhraní, kde má dnsmasq naslouchat. Z bezpečnostních důvodů se nehodí, aby byl dostupný z internetu (ve výchozím stavu naslouchá na všech rozhraních): interface=eth1

Rozhraní můžete specifikovat více: interface=eth2 interface=eth3

DNS Kešování DNS a forwarding fungují automaticky, k tomu není třeba nic nastavovat. Můžete se sami přesvědčit tím, že se zeptáte na nějakou doménu : dig www.wikipedia.org @127.0.0.1

Dnsmasq využívá

vaše resolvery (viz /etc/resolv.conf) a odpovědi kešuje. Integruje také informace z /etc/hosts, což velmi usnadňuje pojmenování místních počítačů – odpadá nutnost tvořit zónový soubor. Například, pokud do /etc/hosts vložíte záznam: 10.0.1.15 kremilek.local

...můžete se po restartu programu dnsmasq rovnou přesvědčit, že od něj dostanete správnou odpověď (tedy, správnou dle /etc/hosts): dig @127.0.0.1 kremilek.local ;; ANSWER SECTION:


2/5

30.8.12


kremilek.local. 10800 IN A 10.0.1.15

Výchozí hodnota pro velikost keše je sto padesát záznamů, což není mnoho. Chceteli kešovat více záznamů, specifikujte příslušnou hodnotu v direktivě cachesize: cachesize=500

Vlastní DNS záznamy můžete vkládat nejenom do /etc/hosts, ale také do konfigurace samotné: hostrecord=laptop,laptop.local,10.0.1.60,1234::100

Výše uvedená řádka vytvoří A záznam pro jména laptop a laptop.local s IP adresou 10.0.1.60 a AAAA (IPv6) záznam s IPv6 adresou 1234::100. Potřebujeteli vložit vlastní MX záznam, můžete použít mxhost: mxhost=example.org,postovniserver.local,10

Výše uvedený řádek nastaví MX záznam pro doménu example.org o váze 10 s poštovním serverem postovniserver.local. Podobným způsobem můžete vytvářet i PTR nebo SRV záznamy. Více viz manuálová stránka a komentáře v konfiguračním souboru. Po úpravě konfigurace je třeba dnsmasq restartovat: service dnsmasq restart

DHCP Funkci DHCP serveru má dnsmasq ve výchozím stavu vypnutou. Pro její zprovoznění postačí specifikovat rozsah adres pro DHCP: dhcprange=10.0.1.50,10.0.1.150,12h

Tato řádka nastaví dynamické přidělování adres v rozsahu 10.0.1.50 až 10.0.1.150, přičemž přidělená IP adresa bude „pronajatá“ dvanáct hodin. Podobně jako v případě direktivy interface můžete dhcprange specifikovat vícekrát, pokaždé pro jiný rozsah: dhcprange=10.0.1.50,10.0.1.150,12h dhcprange=10.0.5.10,10.0.5.50,12h

IP adresy můžete specifikovat i staticky, pro konkrétní MAC síťové karty: dhcphost=11:22:33:44:55:66,10.10.10.10

Tato řádka přidělí MAC adrese 11:22:33:44:55:66 IP adresu 10.10.10.10. Konkrétní rozsahy můžete přidělovat i konkrétním síťovým rozhraním: dhcprange=eth1,10.0.1.50,10.0.1.150,12h dhcprange=eth2,10.0.5.10,10.0.5.50,12h

Potřebujeteli specifikovat některé další volby jako router apod., můžete použít dhcpoption: dhcpoption=option:router,10.10.10.10 dhcpoption=option:ntpserver,10.10.10.20,10.10.10.30

Výše uvedená řádka sdělí DHCP klientům, že router je na adrese 10.10.10.10 a NTP servery jsou na 10.10.10.20 a 10.10.10.30. Další příklady naleznete v konfiguračním souboru a v manuálu.


3/5

30.8.12


DNSSEC DNS je velmi starý protokol, který nebyl navržen s ohledem na bezpečnost (což samozřejmě neplatí jen o DNS). Existuje možnost podvržení DNS záznamů, které není možné spolehlivě zabránit, což otevírá prostor pro známý maninthemiddle útok. Podaříli se útočníkovi podvrhnout odpověď na váš DNS dotaz, dojde k „otrávení“ vaší DNS keše podvrženým záznamem (proto se tyto útoky označují jako DNS cache poisoning ). Snad nemusím zdůrazňovat, jaké důsledky může mít podvržení DNS záznamů – místo komunikace se svou bankou můžete komunikovat s útočníkem, který pak může zaútočit přímo na vaše bankovní konto. Obranou vůči těmto útokům je DNSSEC, což je systém, který DNS záznamy digitálně podepisuje (používá se asymetrické šifrování), a DNS resolvery podpisy kontrolují. Digitální podpisy mají svou hierarchii (tzv. chain of trust model), která začíná u kořenové zóny (počáteční bod hierarchie se označuje jako „trust anchor“, kotva důvěry – její podpis byste měli pečlivě ověřit, jelikož s jeho důvěryhodností stojí a padá důvěryhodnost celého ověřování). Tento systém je poměrně komplexní a komplikovaný – více o principech fungování DNSSEC se dozvíte v odkazech pod článkem. DNSSEC je třeba implementovat na straně resolvujících DNS serverů, které využíváte. Nepodporujeli tedy váš ISP DNSSEC, můžete si postavit vlastní resolver se zprovozněným DNSSECem. Zda váš ISP používá DNSSEC (resp. zda vámi použité resolvující DNS servery používají DNSSEC), zjistíte dotazem na špatně podepsanou doménu, kterou je např. rhybar.cz: dig www.rhybar.cz ;; Got answer: ;; >>HEADER<< opcode: QUERY, status: NOERROR, id: 56068 ;; QUESTION SECTION: ;www.rhybar.cz. IN A ;; ANSWER SECTION: www.rhybar.cz. 504 IN A 217.31.205.51

Pokud vám na tento dotaz vrátí server bezchybnou odpověď (status: NOERROR), pak DNSSEC implementovaný nemá a vy jste zranitelní. Dostaneli se vám odpovědi se statusem SERVFAIL: dig www.rhybar.cz ;; Got answer: ;; >>HEADER<< opcode: QUERY, status: SERVFAIL, id: 18561 ;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 1 ;; OPT PSEUDOSECTION: ; EDNS: version: 0, flags:; udp: 4096 ;; QUESTION SECTION: ;www.rhybar.cz. IN A

...pak je všechno v pořádku a DNSSEC je aktivní. Jednoduchý test přímo z webového prohlížeče můžete realizovat třeba na stránce www.dnssec.cz . Jak si postavit vlastní resolvující a DNSSEC validující server, se dozvíte v příštím díle. Předchozí kapitola

Zpět na obsah


Následující kapitola

4/5

30.8.12


Odkazy Pokud si chcete přečíst více o této problematice, navštivte tyto odkazy: dnsmasq: web projektu dnsmasq: Debian HOWTO Anglická Wikipedie: Rekurzivní dotazy Český web o DNSSEC Root.cz: Jak funguje DNSSEC? Anglická Wikipedie: DNSSEC Česká Wikipedie: DNS Anglická Wikipedie: DNS DiG HOWTO DNS HOWTO (česky)

Přidat názor Nejsou podporovány žádné značky, komentáře jsou jen čistě textové. Více o diskuzích najdete v nápovědě. Diskuzi můžete sledovat pomocí RSS kanálu


5/5

Správa linuxového serveru: DNS a DHCP server dnsmasq

Recommend Documents