DNS-Server mit Bind - Revision history

Sunflower: /* Konfiguration des Servers */

2023-08-09T19:41:43Z

Konfiguration des Servers

← Older revision		Revision as of 19:41, 9 August 2023
Line 68:		Line 68:
	; Nameserver		; Nameserver
	IN NS server.example.de.		IN NS server.example.de.

			; auch example.de soll aufgeloest werden
			IN A <IP>

	; Rechnername zu zugehoeriger IP-Adresse		; Rechnername zu zugehoeriger IP-Adresse
	server IN A <IP>		server IN A <IP>
	client1 IN A <IP>		client1 IN A <IP>
	client2 IN A <IP>		client2 IN A <IP>

Sunflower: /* Definition DNS */

2023-03-14T15:48:42Z

Definition DNS

← Older revision		Revision as of 15:48, 14 March 2023
Line 1:		Line 1:
	= Definition DNS =		= Definition DNS =
	~~Domain~~ ~~Name~~ ~~System~~: Auflösung von Hostnamen in IP-Adressen und umgekehrt.		'''D'''omain '''N'''ame '''S'''ystem: Auflösung von Hostnamen in IP-Adressen und umgekehrt.

	= Möglichkeiten der Namensauflösung =		= Möglichkeiten der Namensauflösung =

Sunflower: /* TSIG */

2022-06-05T17:24:36Z

TSIG

← Older revision		Revision as of 17:24, 5 June 2022
Line 327:		Line 327:
	rndc.conf und rndc.key sollten nur von root gelesen werden dürfen!		rndc.conf und rndc.key sollten nur von root gelesen werden dürfen!

	(Näheres unter https://www.~~oreilly~~.~~com~~/~~library~~/~~view/dns~~-bind~~/0596004109/ch03s04.html~~ )		(Näheres unter https://www.cyberciti.biz/faq/unix-linux-bind-named-configuring-tsig )

	== Certification Authority Authorization (CAA) ==		== Certification Authority Authorization (CAA) ==

Sunflower: /* Überprüfen der Funktionalität */

2022-06-05T17:14:14Z

Überprüfen der Funktionalität

← Older revision		Revision as of 17:14, 5 June 2022
Line 293:		Line 293:
	Befehle zur Namensauflösung:		Befehle zur Namensauflösung:
	host (-a) <IP> oder <hostname>		host (-a) <IP> oder <hostname>

	zur Namensauflösung
	nslookup <IP> oder <hostname>		nslookup <IP> oder <hostname>
			(obsolete)
	tool zur Namensauflösung (Paketname: dnsutils)

	dig <IP> oder <FQDN>		dig <IP> oder <FQDN>
	~~reverse~~ ~~lookup~~ ~~mit dig~~ -~~x ... dasselbe, aber~~ etwas ausführlicherer Output		(aus dem Paket bind9-dnsutils; etwas ausführlicherer Output)

			reverse lookup mit dig -x <IP>

	= Noch mehr Security =		= Noch mehr Security =

Sunflower at 11:20, 5 June 2022

2022-06-05T11:20:13Z

← Older revision		Revision as of 11:20, 5 June 2022
Line 28:		Line 28:
	Die Konfigurationsdateien im Ordner /etc/bind editieren.		Die Konfigurationsdateien im Ordner /etc/bind editieren.

	Achtung: Kommentarzeichen in den Bind-config-files können „;“ „//“ oder „#“ sein.		Achtung: Kommentarzeichen in den Bind-config-files können „;“ „//“ oder „#“ sein. In der named.conf ist ''';''' als Kommentar nicht erlaubt!

			Idealerweise muss man in der named.conf nichts verändern, sondern nur weitere Dateien einsourcen:

			include "/etc/bind/named.conf.options";
			include "/etc/bind/named.conf.local";
			include "/etc/bind/named.conf.default-zones";

	Beispiel-Config vom Bind für die lokale Domain ''example.de'':		Beispiel-Config vom Bind für die lokale Domain ''example.de'':

	In der named.conf ~~müssen~~ sogenannte Zonefiles eingetragen ~~werden~~:		In der named.conf.local werden sogenannte Zonefiles eingetragen:

	zone “example.de“ {		zone “example.de“ {
Line 50:		Line 55:
	Als nächstes wenden wir uns den Hosteinträgen für das lokale Netz zu:		Als nächstes wenden wir uns den Hosteinträgen für das lokale Netz zu:

	''db.example'' als Kopie von db.local anlegen:		''db.example.de'' als Kopie von db.local anlegen:

	; Zonenfile fuer example.de		; Zonenfile fuer example.de
Line 73:		Line 78:
	'''Beachte immer den Punkt am Ende des FQDN/ der Domain !''' (z.B. server.example.de'''.''')		'''Beachte immer den Punkt am Ende des FQDN/ der Domain !''' (z.B. server.example.de'''.''')

	TTL (Time to live) drückt aus, wie lange sich ein abgefragtes Objekt im Cache befinden darf (Default: 1 Woche, ~~optionaler~~ ~~Parameter~~).		TTL (Time to live) sollte ganz oben im Zonefile stehen und drückt aus, wie lange sich ein abgefragtes Objekt im Cache befinden darf (Default: 1 Woche, ist i.d.R. zu lang).

	Weitere Parameter:		Weitere Parameter:
Line 100:		Line 105:
	# named-checkzone example.de /etc/bind/db.example		# named-checkzone example.de /etc/bind/db.example

	''~~/etc/init.d/bind9''~~ restart startet den Nameserverdienst neu.		''service named restart'' startet den Nameserverdienst neu.

	== Reverse lookup einrichten ==		== Reverse lookup einrichten ==
	Reverse lookup: dient zur Auflösung von IP-Adressen in Namen.		Reverse lookup: dient zur Auflösung von IP-Adressen in Namen.

	Wie wird's gemacht?		Wie wird's gemacht?

	In die named.conf muss eingetragen werden, wo die Datei fürs Reverse-Lookup zu finden ist.		In die named.conf muss eingetragen werden, wo die Datei fürs Reverse-Lookup zu finden ist.
	zone "1.168.192.in-addr.arpa" {		zone "1.168.192.in-addr.arpa" {
Line 111:		Line 118:
	};		};
	in-addr.arpa ist die Domain für reverse lookup (unabhängig vom selbst gewählten Domainnamen)		in-addr.arpa ist die Domain für reverse lookup (unabhängig vom selbst gewählten Domainnamen)

	Das Format der Datei named.rev ist:		Das Format der Datei named.rev ist:

	; BIND data file for local loopback interface		; BIND data file for local loopback interface
	;		;
	$TTL ~~604800~~		$TTL 600
	@ IN SOA server.example.de. root.example.de. (		@ IN SOA server.example.de. root.example.de. (
	1 ; Serial		1 ; Serial
Line 146:		Line 154:
	30m ; Retry time		30m ; Retry time
	2d ; Expire time		2d ; Expire time
	1d ; ~~Negative TTL~~ (bind 8 ignores this, bind 9 needs it)		1d ; minimum-ttl (bind 8 ignores this, bind 9 needs it)
	)		)

Sunflower: /* Noch mehr Security */

2021-04-08T20:19:27Z

Noch mehr Security

← Older revision		Revision as of 20:19, 8 April 2021
Line 329:		Line 329:

	https://blog.qualys.com/ssllabs/2017/03/13/caa-mandated-by-cabrowser-forum		https://blog.qualys.com/ssllabs/2017/03/13/caa-mandated-by-cabrowser-forum

			== SSH Key Fingerprints im Zonefile ==

			Wer kennt nicht die (meist unbeachteten) Abfragen, die beim 1. Einloggen per ssh bei einem neuen Server gestellt werden?

			<console>
			The authenticity of host 'www.example.de (47.11.8.15)' can't be established.
			ECDSA key fingerprint is SHA256:dEGnbSELHvvr9Tzf6gHXuL3LL+uQsoC9rFz1clHRptM.
			Are you sure you want to continue connecting (yes/no)?
			</console>

			Abhilfe verschafft hier das Hinterlegen des Fingerprints des ssh-Keys im DNS:

			<console>
			###i## ssh-keygen -r www -f /etc/ssh/ssh_host_ed25519_key.pub >> example.de
			</console>

			Nun noch das Zonefile reloaden und der SSH Key wird beim Einloggen via DNS überprüft.

			Nähere Infos hier:

			https://simon.butcher.name/archives/2011/01/16/SSH-key-fingerprints-in-DNS

Sunflower: /* Noch mehr Security */

2018-10-30T17:27:52Z

Noch mehr Security

← Older revision		Revision as of 17:27, 30 October 2018
Line 317:		Line 317:

	(Näheres unter https://www.oreilly.com/library/view/dns-bind/0596004109/ch03s04.html )		(Näheres unter https://www.oreilly.com/library/view/dns-bind/0596004109/ch03s04.html )

			== Certification Authority Authorization (CAA) ==

			Im Prinzip kann jede CA für jede beliebige Domain Zertifikate ausstellen, was in der [https://security.googleblog.com/2015/10/sustaining-digital-certificate-security.html Vergangenheit] auch schon passiert ist. Ein Gegenmittel ist ein CAA-Eintrag im Zonefile.

			example.de. CAA 128 issue "letsencrypt.org"

			Eine CA, die sich an die Standards hält, sollte vor dem Erstellen eines Zertifikats an Hand des CAA-Eintrags im DNS prüfen, ob sie überhaupt berechtigt ist.

			Weiteres unter

			https://blog.qualys.com/ssllabs/2017/03/13/caa-mandated-by-cabrowser-forum

Sunflower at 21:07, 26 October 2018

2018-10-26T21:07:51Z

Show changes

Sunflower: Created page with "= Definition DNS = Domain Name System: Auflösung von Hostnamen in IP-Adressen und umgekehrt. = Möglichkeiten der Namensauflösung = a) lokal
Eine Möglichkeit der Name..."

2018-10-26T20:50:44Z

Created page with "= Definition DNS = Domain Name System: Auflösung von Hostnamen in IP-Adressen und umgekehrt. = Möglichkeiten der Namensauflösung = a) lokal<br> Eine Möglichkeit der Name..."

New page

= Definition DNS =
Domain Name System: Auflösung von Hostnamen in IP-Adressen und umgekehrt.

= Möglichkeiten der Namensauflösung =

a) lokal<br>
Eine Möglichkeit der Namensauflösung ist eine Eintragung von Hostnamen und zugehörigen IP-Adressen in die ''/etc/hosts''. <br>
Dies ist aber allenfalls ein temporärer Workaround, z.B. für Hosts in abgeschotteten Umgebungen.

b) zentral<br>
In größeren Netzwerken sollte dies zur Entlastung der Clients und Reduzierung des Konfigurationsaufwandes zentral durch (einen) Nameserver erfolgen. Die Namensauflösung sollte vorwärts (Name -> IP-Adresse) und rückwärts (IP-Adresse -> Name) funktionieren. Als zugehörige Software wird hier BIND in der aktuellen Version (9) besprochen.

= Varianten =
* Caching-Only-Nameserver: Der Nameserver verwaltet selbst keine Zonen, sondern cached nur Informationen anderer Nameserver zwischen.
* Stand-Alone-Nameserver: Ein DNS-Server hält alle Zonendaten alleine vor.
* Master-Slave: Zur Lastverteilung oder Ausfallsicherheit. Der Master überträgt die Zonendaten an den/die Slave(s).

= Einrichten des Servers =

In unserem Beispiel wird ein Standalone-Server besprochen.

1.) Installation der Software

# aptitude install bind9

2.) Die Konfigurationsdateien im Ordner /etc/bind editieren

Achtung: Kommentarzeichen in den Bind-config-files können „;“ „//“ oder „#“ sein.

Beispiel-Config vom Bind für die lokale Domain ''example.de'':

In der named.conf müssen sogenannte Zonefiles eingetragen werden:

zone “example.de“ {
type master;
file “/etc/bind/db.example“;
};

Falls der Nameserver außerhalb der eigenen Domain auf andere definierte Nameserver zugreifen muss, muss zusätzlich ein Forwarder in die named.conf.options eingetragen werden (der Eintrag muss innerhalb des options-Abschnitts erfolgen):

forwarders {
10.0.1.4;
};

wobei 10.0.1.4 i.d. Fall die IP des übergeordneten Nameservers ist.

Als nächstes wenden wir uns den Hosteinträgen für das lokale Netz zu:

''db.example'' als Kopie von db.local anlegen:

; Zonenfile fuer example.de
;
$TTL 604800
example.de. IN SOA server. root.example.de. (
1 ; Serial
604800 ; Refresh
86400 ; Retry
2419200 ; Expire
600 ) ; Negative Cache TTL (default 604800)
; Nameserver
IN NS server.example.de.

; Rechnername zu zugehoeriger IP-Adresse
server IN A <IP>
client1 IN A <IP>
client2 IN A <IP>
..... (weitere Rechner)
router IN A 192.168.100.254

'''Beachte immer den Punkt am Ende des FQDN/ der Domain !''' (z.B. server.example.de'''.''')

TTL (Time to live) drückt aus, wie lange sich ein abgefragtes Objekt im Cache befinden darf (Default: 1 Woche, optionaler Parameter).

Weitere Parameter:
* serial /seriell
Seriennummer, die nach jeder Änderung hochgezählt werden sollte (Zonentransfer an eventuelle Slaves)
* refresh = aktualisieren
Intervall, in dem sich die Slaves mit dem Master abstimmen sollen, ob sich an der Seriennummer etwas geändert hat
* retry = wiederholen
Wenn der Master nicht antwortet, versucht es der Slave nach Ablauf dieser Zeit nochmal.
* expire = ablaufen
Antwortet der Master innerhalb dieser Zeit nicht, erkennt der Slave, dass seine Zonendaten nicht mehr aktuell sind und stellt sie nicht mehr zur Verfügung
* Negative cache TTL
Minimum, in dem negative Antworten (z.B. NS nicht erreicht) im Cache gehalten werden. Es empfiehlt sich, den Default von 1 Woche auf einen geringeren Wert (z.B. 10 Minuten) herunterzudrehen, weil es sonst im Fehlerfall sehr lange dauern kann, bis der Cache expired.

DNS-Server mit Bind - Revision history

Sunflower: /* Konfiguration des Servers */

Sunflower: /* Definition DNS */

Sunflower: /* TSIG */

Sunflower: /* Überprüfen der Funktionalität */

Sunflower at 11:20, 5 June 2022

Sunflower: /* Noch mehr Security */

Sunflower: /* Noch mehr Security */

Sunflower at 21:07, 26 October 2018

Sunflower: Created page with "= Definition DNS = Domain Name System: Auflösung von Hostnamen in IP-Adressen und umgekehrt. = Möglichkeiten der Namensauflösung = a) lokal Eine Möglichkeit der Name..."

Sunflower: Created page with "= Definition DNS = Domain Name System: Auflösung von Hostnamen in IP-Adressen und umgekehrt. = Möglichkeiten der Namensauflösung = a) lokal
Eine Möglichkeit der Name..."