דגשים: הערות: John Bryce Linux Forum: (Linux) BIND Mini How-To (In Hebrew) על שרת Red Hat Enterprise Linux גרסא.5.

Transcription

1 הוכן ע " י דניאל מור A+) (RHCE, RHCI, MCP, MCDST, נוב' 2008 BIND Mini HowTo (In Hebrew) BIND Mini HowTo (In Hebrew) דגשים: מדריך זה מוגדר כ HowTo Mini שמראה כיצד ניתן להקים שרת DNS מבוסס BIND על שרת Red Hat Enterprise Linux גרסא.5.1 המדריך נכתב במטרה לעזור לתלמידי היקרים בהבנת הנושא הסבוך והכבד יחסית שנקרא.DNS מטרת המדריך אינה ללמד את כל מושגי עולם ה.DNS לא חסרים מאמרים באינטרנט שמסבירים מה זה,DNS מהן הרשומות שבו וכיצד מערך ה DNS עובד. לטעמי, מדריך זה ייחודי מאחר והוא מראה צעד אחרי צעד, תמונת מסך אחרי תמונת מסך כיצד "להרים" שרת DNS מבוסס BIND ושם את הדגשים על הפרטים החשובים. כמו כן, רוב המדריך חוץ מהפקודות כמובן, כתוב בשפת הקודש שלנו דבר שיכול להקל על הבנת הנושא הכללי. אנשים שמכירים,DNS אבל לא את,BIND מאד ייהנו ממדריך זה. הערות: את כל מה שכתוב במדריך יש לבצע בתור משתמש.root במידה ועל השרת מוטמעת טכנולוגיית SELinux יש לשים לב לדברים נוספים כגון File Contexts ו Booleans רלוונטיים. השרת במדריך זה הותקן ב Environment Chrooted (על כך עוד פרטים בהמשך) ועל כן, כל מיקומי הקבצים הרלוונטיים נמצאים תחת עץ התיקיות:. /var/named/chroot/ נתונים טכניים: Hostname: dns.example.com OS: Red Hat Enterprise Linux 5.1 IP Address: Subnet Mask: Default Gateway: Network: / BIND Version: el5 עמוד 1 מתוך 12

2 הוכן ע " י דניאל מור A+) (RHCE, RHCI, MCP, MCDST, נוב' 2008 BIND Mini HowTo (In Hebrew) המטרה: הגדרת השרת dns.example.com כ Server Authoritative Name עבור שם המתחם.example.com (domain name) הדרך להשגת המטרה: התקנה של חבילות ה BIND הרלוונטיות והגדרה של Forward Lookup Zone ו.Reverse Lookup Zone שם ה Zone Forward Lookup הינו: "example.com" שם ה Zone Reverse Lookup הינו: " inaddr.arpa" חבר'ה, אתם מוכנים? כי לי כבר ממש בא לבנות שרת :). DNS השלבים: ראשית, נבדוק \ נגדיר את הפרטים הבאים: נבדוק את שם FQDN של השרת ע"י הפקודה.hostname נבדוק את הגדרות הרשת של כרטיס הרשת. מאחר ומדובר בשרת DNS ושרת זה הוא אחד החשובים בארגון, נעדיף להגיד לשרת.Static IP Address כמו כן, שימו לב להגדרת PEERDNS=no שאומרת שגם במידה והשרת מקבל כתובת IP משרת,DHCP הקובץ /etc/resolv.conf לא יידרס ע"י תוכנת ה dhclient עם הגדרות שרתי ה DNS שמגיעות משרת ה.DHCP מאחר והשרת שלנו עתיד להפוך לשרת,DNS הוא יספק את ה Resolving לעצמו ולכן בקובץ /etc/resolv.conf נגדיר לשרת שהוא יפנה לעצמו כאשר יצטרך. שימו לב לשורה הראשונה בקובץ, search example.com שתעזור לנו להשלים שמות תחנות ברשת לשמות.FQDN עמוד 2 מתוך 12

3 הוכן ע " י דניאל מור A+) (RHCE, RHCI, MCP, MCDST, נוב' 2008 BIND Mini HowTo (In Hebrew) כעת, יש להתקין את החבילות הרלוונטיות להקמת שרת ה DNS שלנו. להלן הפקודה: פירוט החבילות: חבילת bind חבילת שירות ה BIND עצמה. Chrooted חבילת bindchroot חבילה אשר תגדיר את שירות ה BIND שלנו לרוץ ב.Environment יעיל מאד ברמת אבטחת המידע. חבילת bindutils מספקת כלי DNS יעילים שישמשו אותנו לבדיקות השרת שלנו ושרתים אחרים (לדוגמא: host, dig ו.(nslookup חבילת BIND cachingnameserver הוא שירות שאי אפשר להפעילו ישר אחרי התקנה שלו. יש להגדיר עבורו קונפיגורציה בסיסית על מנת שנוכל להתחיל לעבוד איתו. התקנה של חבילה זו, תיתן לנו "בסיס טוב" להגדרת השרת, מאחר וחבילה זו מתקינה קבצים שבהם נוכל להשתמש כ Templates לצרכים שלנו (בנוסף, החבילה מגדירה Caching Name.(Server התקנת החבילה cachingnameserver יוצרת את קובץ ההגדרות של השרת /var/named/chroot/etc/named.cachingnameserver.conf לשם הגדרת השרת שלנו, אנו לא נערוך את הקובץ הזה, אלא נעתיק אותו לקובץ בשם named.conf תחת אותה תיקייה שבה נמצא הקובץ המקורי. שימו להעתיק את הקובץ בעזרת cp a כך שהקובץ החדש יהיה בעל אותם מאפיינים Group) Owner, ו.(Permissions כמו כן, לצורך התנהלות קלה יותר, מומלץ ליצור Symbolic Link לקובץ ההגדרות החדש שיצרנו בשם /etc/named.conf יצירתו של קישור זה, תקל עלינו ותחסוך מאיתנו את הקלדת הנתיב המלא לקובץ כל פעם שנרצה לערוך אותו. עמוד 3 מתוך 12

4 הוכן ע " י דניאל מור A+) (RHCE, RHCI, MCP, MCDST, נוב' 2008 BIND Mini HowTo (In Hebrew) עכשיו נעבור לחלק העיקרי שהוא עריכת קובץ ההגדרות (/etc/named.conf) והתאמתו לצרכים שלנו, שימו לב לצילומי המסך אחריהם יגיע ההסבר להגדרות הרלוונטיות: acl "internal_network" { /24; }; שורה זו מגדירה עבורנו acl בשם internal_network שכולל בתוכו את כתובת הרשת שלנו. הרעיון של acl הוא פשוט ומאד נחמד. במקום שכל פעם בקובץ ההגדרות נצטרך להקליד את כתובת הרשת שלנו, בנינו acl שנוכל להשתמש בו בכל הקובץ. במידה וביום בהיר אחד כתובת הרשת תשתנה, כל מה שיש לעשות הוא לשנות את הכתובת ב.acl השינוי "יתפוס" על כל מופעי ה acl שנמצאים בקובץ ההגדרות בצורה אוטומאטית. forwarders { ; ; }; במידה ומתבצעת שאילתא לשרת שלנו, והשרת שלנו לא יודע את התשובה או שהתשובה לא נמצאת ב Cache שלו, הוא יעביר את השאלה הלאה לשרתים שברשימה זו, לפי הסדר (רוב הפעמים השרתים הללו יהיו שרתי ה DNS של ספקית האינטרנט שלנו. בדוגמא, רשמתי את שרתי ה DNS של חברת.(Netvision forward first; הגדרה זו אומרת לשרת ה BIND שלנו קודם כל לחפש את התשובה אצל שרתי ה Forwarders ורק במידה ולהם אין תשובה, השרת שלנו ינסה לתת את התשובה בכוחות עצמו. לפני שנמשיך בואו נקדיש מס' מילים לנושא ה.view נושא ה view שהגיע עם BIND גרסא x.9 מאפשר מענה לשאילתות על פי מי שמבקש. לדוגמא, בעולם ה DNS קיים המושג Split DNS שבו השרת עונה תשובות שונות לגבי אותו ה Zone על פי מי ששאל את השאלה. לדוגמא, השרת שלנו יכול לתת עמוד 4 מתוך 12

5 הוכן ע " י דניאל מור A+) (RHCE, RHCI, MCP, MCDST, נוב' 2008 BIND Mini HowTo (In Hebrew) תשובות לגבי שם המתחם example.com שתשובות מסוימות נענות לתחנות מה LAN ותשובות מסוימות נענות לתחנות מה.WAN כאשר מתקינים את חבילת ה BIND במערכת RHEL5.1 היא מגדירה עבורנו.view ברמה העקרונית, אפשר למחוק את ה view הזה ולעבוד בלעדיו, אבל אנחנו נשאיר אותו ונשתמש בו להשגת המטרה שלנו. מה שחשוב להגיד לגבי ה view זה שהרבה הגדרות שיכלנו להגדיר במקטע ה options שבקובץ ההגדרות, אפשר להגדיר גם ב.view במקרה כזה, ההגדרות שב view הן אלה שיתפסו (הגדרות אלו הן הפרטניות יותר). שתי אופציות רלוונטיות למקטע ה view הינן: matchclients { address_match_element;... }; בהגדרה זו אנו קובעים אילו Clients יכולים להגיע ל view שלנו על סמך ה IP Source Address שלהם (בשיטה זו השתמשנו בקובץ ההגדרות שלנו כפי שתכף תראו). matchdestinations { address_match_element;... }; בהגדרה זו אנו קובעים אילו Clients יכולים להגיע ל view שלנו על סמך ה Destination IP Address שלהם. לדוגמא, כאשר בשרת שלנו יש מס' כרטיסי רשת במס' רשתות שונות, אנו נוכל "לשלוח" כל Client ל view הנכון על פי כתובת היעד של שרת ה DNS שאליה הוא מנסה להגיע. כעת, בואו נמשיך בהבנת קובץ ההגדרות שלנו: allowquery { localhost; internal_network; }; בהגדרה זו אנו בעצם אומרים למי מותר לבצע שאילתות "פשוטות" Queries) (Iterative מול ה view שלנו. שימו לב שההגדרה הנ"ל "דורסת" את ההגדרה הגלובאלית ממקטע ה.options במקרה של השרת שלנו, אנו מאפשרים שאילתות משני.acls localhost הינו builtin acl שכולל בתוכו את כל כתובות ה IPv4/IPv6 של כרטיסי הרשת שמותקנים אצלנו במחשב, ובכך מתאפשר לשרת שלנו לתשאל את עצמו. internal_network הינו ה acl שהגדרנו בעצמנו בתחילת הקובץ אשר מייצג את הרשת הפנימית שלנו שאמורה לתשאל את שרת ה DNS שאנו בונים. matchclients { localhost; internal_network; }; מגדיר אילו Source IP Addresses יקבלו שירות מה view שלנו. שוב, מדובר על שני ה acls שהסברנו בסעיף הקודם. כל שאילתא שמגיעה מהשרת עצמו או מתחנות ברשת הפנימית /24 תקבל שירות מ view זה. עמוד 5 מתוך 12

6 הוכן ע " י דניאל מור A+) (RHCE, RHCI, MCP, MCDST, נוב' 2008 BIND Mini HowTo (In Hebrew) כעת הגיע אחד השלבים החשובים. בשלב זה, אנו מכריזים על שני ה Zones ששרת ה DNS שלנו יהיה אחראי עליהם.(Authoritative) כפי שציינו בהתחלת מדריך זה, אנו נגדיר שני :Zones.IP אשר יעזור לנו בתרגום שמות מחשב לכתובות Forward Lookup Zone Reverse Lookup Zone אשר יעזור לנו בתרגום כתובות IP לשמות מחשב. ניתן להבחין בהגדרת ה Zone הראשונה. הגדרה זו היא ההגדרה של ה Forward.example.com ששמו Lookup Zone אנו מגדירים את ה type כ master מאחר ומדובר ב Server Primary Name שעליו נמצא ה Copy Master של ה Data Zone וכמובן מאחר ש Zone זה יספק.Zone עבור ה Authoritative Answers ההגדרה file קובעת מהו שמו של ה File Zone Data שבו אנו נרשום בצורה ידנית את כל רשומות ה.Zone אפשר לקרוא לקובץ איך שרוצים, אבל במטרה "של להקל על חיינו" כדאי לקרוא לקובץ בשם שכולל בתוכו את שם ה.Zone כך לנו, יהיה קל יותר להבין ולדבג את המערכת במקרה של תקלה או תחזוקה שוטפת. שימו לב לרשום רק את שם הקובץ. הנתיב שבו אנו נצטרך ליצור את הקובץ הינו:.Chrooted Environment מאחר ואנו עובדים ב /var/named/chroot/var/named/ שימו לב להגדרת ה Zone השנייה, שבה אנו מגדירים את ה Lookup Reverse.Zone הדגשים הם אותם דגשים, רק שכמובן ששם ה Zone משתנה inaddr.arpa איך הגענו לקללה הזו אתם בטח שואלים? :) ההסבר הוא פשוט. במידה וכתובת הרשת שלנו היא אנו ניקח את שלושת האוקטטות הראשונות, נהפוך את סדרן ונוסיף עמוד 6 מתוך 12

7 הוכן ע " י דניאל מור A+) (RHCE, RHCI, MCP, MCDST, נוב' 2008 BIND Mini HowTo (In Hebrew) בסוף את המחרוזת.inaddr.arpa כעת, כל מה שנותר לנו לעשות הוא להגדיר את קבצי ה Zones Data של שני ה Zones שהכרזנו עליהם. קבצי ה Zones Data הם הקבצים שכוללים את כל המידע וכל הרשומות על ה Zones שלנו. את קבצי ה Zones Data אנו צרכים ליצור תחת התיקייה. /var/named/chroot/var/named/ :TIP במקום להתחיל לבנות את הקובץ מאפס, אפשר להשתמש באחד מהקבצים הקיימים שהתקינה עבורנו החבילה cachingnameserver כ Template לקבצי ה Zones Data שלנו. ניתן לראות בדוגמא שאכן העתקתי קובץ קיים שבו אשתמש כ Template ל Zone שלי. שימו לב למס' דברים: שם קובץ ה Zone Data חייב להיות זהה לשם שעליו הכרזתם בהגדרת ה. /etc/named.conf בקובץ Zone כפי שנאמר מקודם, עדיף גם בשלב זה להעתיק את הקובץ בעזרת הפקודה cp a שתשמור על מאפייני הקובץ. שימו לב להרשאות על הקובץ. הקבוצה named חייבת להיות בעלת הרשאות קריאה לקבצי ה.Zone הנתיב המלא לקובץ הינו: /var/named/chroot/var/named/example.com.zone עמוד 7 מתוך 12

8 הוכן ע " י דניאל מור A+) (RHCE, RHCI, MCP, MCDST, נוב' 2008 BIND Mini HowTo (In Hebrew) כעת יש להיכנס לקובץ ולערוך אותו על פי ההגדרות שלנו: בין היתר אפשר למצוא בקובץ את ההגדרות הבאות: $TTL הגדרת TTL כללי לכל הרשומות ב Zone במקום להקליד את ה TTL עבור כל רשומה באופן נפרד. כמובן, שבמידה ורוצים, אפשר להקליד לרשומה ספציפית TTL ספציפי והוא זה שיתפוס. הוא סימן בעל משמעות מיוחדת בקובץ ה.Zone במקרה שלא הוגדר משתנה בשם $ORIGIN סימן מתרגם את עצמו לשם ה Zone כפי שכתוב בקובץ /etc/named.conf ובמקרה שלנו:.example.com שהנושא יהיה ברור: בכל מקום שבו היינו יכולים לכתוב example.com.. רשומת ה :SOA Start Of Authority היא אחת החשובות ומגדירה את ה Zone שלנו כ Zone האחראי ובעל המידע הטוב ביותר לגבי שם המתחם.example.com רשומת ה NS מגדירה מיהו שרת ה Server Name שידע לספק את התשובות בנוגע לשם המתחם.example.com רשומת ה MX מגדירה מיהו ה Exchanger Mail (שרת הדואר) של שם המתחם.example.com המס' 10 מייצג עדיפות. במידה ויש לנו מס' שרתי דואר, העדיפות מתבצעת מהמס' הקטן ביותר לגדול ביותר (המס' הקטן חזק יותר). וכמובן, רשומות ה A שתפקידן להגדיר כתובות IP עבור שמות המחשבים. שימו לב לרשומות מסוג,CNAME שמאפשרות לנו להגדיר מאין.Aliases לדוגמא, במידה ופונים לשרת ftp.example.com בעצם מגיעים לשרת.server1.example.com כמו כן, כמובן שנצטרך להגדיר קובץ נפרד ל Zone.Reverse Lookup גם במקרה זה, ניתן להשתמש בקובץ שכבר יצרנו כ.Template להלן קובץ ה Lookup Reverse /var/named/chroot/var/named/ zone שהנתיב המלא אליו הינו: Zone עמוד 8 מתוך 12

9 הוכן ע " י דניאל מור A+) (RHCE, RHCI, MCP, MCDST, נוב' 2008 BIND Mini HowTo (In Hebrew) שימו לב הקובץ מאד דומה לקובץ ה Zone.Forward Lookup ההבדל המשמעותי הוא שכשמדובר ב Zone,Reverse Lookup אנו מגדירים רשומות (Pointer) PTR ולא רשומות A. רשומות PTR הן הרשומות שבעזרתן ניתן לקשר בין כתובת IP לשם מחשב. כמו כן, מייצג כעת את שם ה Zone :Reverse Lookup inaddr.arpa שמגיע מהקובץ /etc/named.conf כפי שהוסבר קודם לכן. חשוב מאד: שימו לב לעיקרון הנקודה בשני קבצי ה.Zones במידה ורושמים שם domain מלא, יש לסיימו בתו נקודה. במידה ולא נסיים את שם ה domain בתו נקודה, שם ה Zone יתווסף באופן אוטומאטי אחרי השם שאנחנו כתבנו בקובץ. ניתן לראות בדוגמאות שהדבר שימושי בחלק מהמקרים, כי במקום לכתוב את כל ה,FQDN אפשר פשוט לרשום את שם המכונה ללא נקודה, והשרת ה BIND ישלים את החסר בכוחות עצמו דבר שחוסך מאיתנו כתיבה מרובה. כמובן, שצריך להיזהר מהמקרה השני, שבו כן נרשום את השם המלא, אבל נשכח לסיים בנקודה, ואז השרת יוסיף לשם המלא, שוב את שם ה.Zone דבר שיגרום לתוצאות פחות נעימות. לפני אתחול השירות ניתן להריץ את הפקודה: service named configtest שתבצע בדיקה לקובץ ההגדרות. כמו כן, רצוי להכיר את כלי הבדיקה: namedcheckconf ו namedcheckzone (לפרטים נוספים, ניתן לעיין ב man הרלוונטי). חברים, כל מה שנשאר לעשות כעת הוא להריץ את השירות, להחזיק אצבעות ולראות שכל התהליך עבר בהצלחה. המלצה שלי: גם אם אתחול השרת ע"י הפקודה service named start הראתה תוצאה של,OK הייתי ממליץ לכם להציץ ב /var/log/messages ולראות שהשירות "עלה" בהצלחה. במידה וכל התהליך עבר בצורה חלקה, מזל טוב! זה עתה הגדרתם שרת DNS מבוסס!BIND עמוד 9 מתוך 12

10 הוכן ע " י דניאל מור A+) (RHCE, RHCI, MCP, MCDST, נוב' 2008 BIND Mini HowTo (In Hebrew) עדיין מוקדם לפתוח את בקבוק השמפניה. אנו אנשים רציניים ולכן בואו נבדוק ביחד האם השרת עונה תשובות תקינות כפי שאנו מצפים ממנו. את הבדיקות בחרתי לעשות ממחשב חלונות בעזרת הפקודה nslookup (כך תוכלו ללמוד על הפקודה הנחמדה שקיימת גם בחלונות וגם במערכות.(Linux/Unix שאילתא לרשומת ה :SOA שאילתא לרשומת ה :NS עמוד 10 מתוך 12

11 הוכן ע " י דניאל מור A+) (RHCE, RHCI, MCP, MCDST, נוב' 2008 BIND Mini HowTo (In Hebrew) שאילתא לרשומת ה :MX שאילתא לרשומות A: עמוד 11 מתוך 12

12 הוכן ע " י דניאל מור A+) (RHCE, RHCI, MCP, MCDST, נוב' 2008 BIND Mini HowTo (In Hebrew) שאילתא לשמות שרתים שהם בעצם רשומת :CNAME שאילתא לרשומות :PTR השאילתות הנ"ל לשרת ה DNS שלנו מחזירות לנו את הרשומות שאנו במוידינו רשמנו בקבצי ה Zones.Data נכון שזה יפה? :). חברים יקרים עברנו דרך ארוכה עד שורה זו, אבל, במידה וקיבלתם תוצאות דומות הדרך השתלמה לכם, ועכשיו אפשר להגיד מזל טוב באופן סופי. שמפניה,?Anyone :). אשמח לקבל הערות \ הארות וכדומה למדריך זה, ניתן להשיג אותי בפורום ה Linux של ג'ון ברייס הדרכה בע"מ בכתובת הבאה: עמוד 12 מתוך 12