Configurare un server DNS. Configurare un server DNS con CentOS 7

Transcript

1 con CentOS 7 1

2 2

3 Indice Introduzione..pag. 4 Lo scenario..pag. 4 Installare BIND su i server DNS..pag. 4 Configurare il server DNS primario..pag. 4 Configurare il file di forward.pag. 6 Configurare la reverse zonepag. 8 Controllare la configurazione di BIND.pag. 10 Avviare BIND.pag. 10 Configurare il server DNS secondario..pag. 10 Configurare i client con i server DNSpag. 13 Testare i clientpag. 13 Reverse lookup..pag. 14 Il mantenimento dei record DNS..pag. 14 Aggiungere host al DNSpag. 14 Rimuovere host dal DNS..pag. 15 Conclusioni.pag. 15 3

4 Introduzione Una parte importante della gestione della configurazione dell'infrastruttura include il mantenimento in un modo semplice per la ricerca in rete degli indirizzi IP in base al nome, attraverso la creazione di un vero e proprio Domain Name System (DNS). Utilizzando i nomi di dominio completi (FQDN), invece di indirizzi IP, per specificare gli indirizzi di rete e semplificare la configurazione di servizi e applicazioni. Configurare il proprio DNS per la rete privata è un ottimo modo per migliorare la gestione dell'infrastruttura. In questo tutorial, vedremo come configurare un server DNS interno, utilizzando BIND su CentOS 7. Questo fornisce un modo centralizzato per gestire i vostri indirizzi interni alla rete e gli indirizzi IP privati, indispensabile quando l'ambiente ha molti hosts. Lo Scenario All'interno della nostra infrastruttura utilizzeremo due server dns con questi dettagli partendo dalla subnet della nostra rete che in questo caso è /16 e il nostro dominio è test.lan PC di rete Host Ruolo Dominio privato IP server ns1 DNS primario ns1.test.lan ns2 DNS Secondario ns2.test.lan Host Ruolo Dominio privato IP server pc1 Host generico pc1.test.lan pc2 Host generico pc2.test.lan Iniziamo con l'installazione del DNS primario ns1. Installare BIND sui server DNS Su entrambi i DNS NS1 e NS2 installiamo BIND con yum: # yum install bind bind-utils Ora che BIND è installato iniziamo la configurazione del DNS primario. Configurare il server DNS Primario La configurazione di BIND è composta da più file, che sono inclusi dal file di configurazione principale, named.conf. Questi i nomi dei file iniziano con un "nome", perché questo è il nome del processo con la quale il servizio DNS lavora. Inizieremo con la configurazione del file delle 4

5 opzioni. Iniziamo con l'editare il file named.conf ed eseguire al suo interno le dovute modifiche per settarlo con la nostra rete # nano /etc/named.conf Prima del blocco delle opzioni, dobbiamo creare un nuovo blocco ACL che chiameremo trusted. Questo è dove andrà definito la lista dei client che ci permetterà le query sul DNS come ad esempio i nostri due server: acl "trusted" { ; # ns1 - can be set to localhost ; # ns ; # pc ; # pc2 }; Ora che abbiamo la nostra lista di client DNS di fiducia, vorremo modificare il blocco delle opzioni. Aggiungere l'indirizzo IP privato del NS1 alla porta tcp 53, e commentiamo la riga listen-on-v6: options { listen-on port 53 { ; ; }; # listen-on-v6 port 53 { ::1; }; Qui di seguito le voci, da modificare, iniziamo con la direttiva allow-transfer da no a ns2 con l'ip. Inoltre cambiamo allow-query da localhost a trusted options { allow-transfer { ; }; # disable zone transfers by default allow-query { trusted; }; # allows queries from "trusted" clients Spostiamoci poi infondo al file e aggiungiamo la seguente riga: include "/etc/named/named.conf.local"; Ora possiamo salvare ed uscire da named.conf. Questa configurazione permette solo ai vostri server di fiducia di interrogare il server DNS 5

6 Ora possiamo configurare il local file per specificare le nostre zone DNS. Sempre in ns1, editiamo il file named.conf.local # nano /etc/named/named.conf.local Il file è vuoto, qui specificheremo le zone di forward e le reverse zones. Iniziamo con la configurazione della zona di forward (sostituiamo il nome della zono con quello desiderato): zone "test.lab" { type master; file "/etc/named/zones/db.test.lan"; # percorso del file di zona }; Supponiamo che la nostra sotto rete è /16, per aggiungere la reverse zone, inserendo le seguenti righe (da notare che il nome della reverse zone inizia con 1.10, che è l'inversione dell'ottetto 10.1 ): zone "1.10.in-addr.arpa" { type master; file "/etc/named/zones/db.10.1"; # /16 subnet }; Se i server si estendono su più subnet private e sono nello stesso datacenter, assicuratevi di specificare la zona da aggiungere e dil file di zona per ogni sotto rete diversa. Finito di aggiungere le zone desiderate, salvare e chiudere il file. Ora che tutte le zone sono specificate in BIND, dobbiamo creare i file di zona corrispondenti nei path Creare il file della zona di Forward Il file di zona forward è dove vengono definiti i record DNS per le ricerche tramite nome, ovvero quando cerchiamo una macchina che abbia il nome pdc e che questo corrisponda all'ip Creiamo la directory dove i file i nostri file di zona risiederanno, secondo la nostra configurazione essa corrisponde a /etc/named/zones: # chmod 755 /etc/named # mkdir /etc/named/zones Ora modifichiamo il nostro file di zona # nano /etc/named/zones/db.test.lan In primo luogo, aggiungiamo il record SOA. Sostituire l' evidenziata NS1 FQDN con il proprio nome di dominio completo, sostituire il secondo "test.lan" con il proprio dominio. Ogni volta che si modifica un file di zona, si dovrebbe incrementare il valore seriale prima di riavviare il processo di 6

7 named - si incrementare a "3". Esso dovrebbe essere simile a IN SOA ns1.test.lan. Admin.test.lan. ( 3 ; Serial ; Refresh ; Retry ; Expire ) ; Negative Cache TTL Dopo di che, aggiungere i record nel server dei nomi con le seguenti righe (sostituire i nomi con il proprio). Si noti che la seconda colonna indica che si tratta di record "NS": ; name servers - NS records IN NS ns1.test.lan. IN NS ns2.test.lan. Quindi ora possiamo aggiungere i record A per le macchine che fanno parte di questa zona. Ciò include qualsiasi server o pc il cui nome termini con test.lan ; name servers - A records ns1.test.lan. IN A ns2.test.lan. IN A ; /16 - A records pc1.test.lan. IN A pc2.test.lan. IN A Salviamo e usciamo. Ecco come dovrebbe essere il nostro file di zona forward: $TTL IN SOA ns1.test.lan. admin.test.lan. ( ; 3 ; Serial ; Refresh ; Retry ; Expire ) ; Negative Cache TTL ; name servers - NS records 7

8 IN NS ns1.test.lan. IN NS ns2.test.lan. ; name servers - A records ns1.test.lan. IN A ns2.test.lan. IN A ; /16 - A records pc1.test.lan. IN A pc2.test.lan. IN A Ora passiamo a creare la reverse zone. Creare i file per la reverse zone La reverse zone è la zona dove si definiscono i record PTR DNS per le ricerche inverse del DNS, ovvero quando da un indirizzo IP vogliamo risolverlo in nome macchina. Su NS1, per ciascuna zona inversa specificata nel file named.conf.file si deve creare un suo file di zona aggiungendolo nel path creato prima. Editiamo il file di reverse zone che corrisponde alla zona inversa definita precedentemente in named.conf.local: # nano /etc/named/zones/db.10.1 Nello stesso modo in cui il file di zona di forward, sostituire il nome di dominio completo NS1 evidenziata con il proprio nome di dominio completo, quindi sostituire il secondo "test.lan" con il proprio dominio. Ogni volta che si modifica un file di zona, si dovrebbe incrementare il valore seriale prima di riavviare il processo named - si incrementa a "3". Esso dovrebbe essere simile a IN SOA ns1.test.lan. admin.test.lan. ( 3 ; Serial ; Refresh ; Retry ; Expire ) ; Negative Cache TTL Dopo di che, aggiungere i record server dei nomi con le seguenti righe (sostituire i nomi con il proprio). Si noti che la seconda colonna indica che si tratta di record "NS": ; name servers - NS records IN NS ns1.test.lan. 8

9 IN NS ns2.test.lan. Ora possiamo aggiungere i record PTR per tutti i server il cui indirizzo IP nella subnet del file di zona che si sta modificando. Nel nostro esempio, questo include tutti i nostri ospiti, perché sono tutti sul /16 come sotto rete. Si noti che la prima colonna consiste nelle ultime due ottetti di indirizzi IP privati tuoi server in ordine inverso. Assicurati di sostituire i nomi e gli indirizzi IP privati per abbinare i server: ; PTR Records IN PTR ns1.test.lan. ; IN PTR ns2.test.lan. ; IN PTR pc1.test.lan. ; IN PTR pc2.test.lan. ; Salviamo e usciamo (ripetere questa sezione per tutte le eventuali reverse zone). Il file finale dovrebbe essere simile a questo: $TTL IN SOA test.lan admin.test.lan. ( 3 ; Serial ; Refresh ; Retry ; Expire ) ; Negative Cache TTL ; name servers IN NS ns1.test.lan. IN NS ns2.test.lan. ; PTR Records IN PTR ns1.test.lan. ; IN PTR ns2.test.lan. ; IN PTR pc1.test.lan. ; IN PTR pc2.test.lan. ;

10 Controllare la configurazione di BIND e la sintassi Eseguire il seguente comando per controllare la sintassi del file named.conf *: # named-checkconf se i file di configurazione di named non hanno errori di sintassi, si tornerà al prompt della shell per visualizzare eventuali messaggi di errore. Se ci sono problemi con i file di configurazione, rivedere il messaggio di errore accedere alla sezione della configurazione DNS del server primario, e sistemare eventuali errori, quindi riprovare named-checkconf. Il comando di named-checkzone può essere utilizzato per controllare la correttezza dei file di zona. Il suo primo argomento specifica il nome di zona, il secondo argomento specifica il file della zona corrispondente, che sono entrambi definiti in named.conf.local. Ad esempio, per controllare la configurazione della zona forward "test.lan", eseguire il seguente comando (cambiare i nomi per abbinare il vostro zona in avanti e file): # named-checkzone test.lan /etc/named/zones/db.test.lan E di verificare la "1.10.in-addr.arpa" e verificare la configurazione reverse zone, eseguire il seguente comando (modificare i numeri per abbinare il vostro zona inversa e il file): # named-checkzone 1.10.in-addr.arpa /etc/named/zones/db.10.1 Quando tutti i file di zona non presentano più alcun errore allora si è pronti per riavviare il servizio di BIND Avviare BIND Per avviare BIND, digitare il seguente comando: # systemctl start named Facciamo in modo ora che il servizio si avvii automaticamente al boot: # systemctl enable named Il server primario è stato configurato facciamo qualche test, se tutto è come vogliamo possiamo passare alla configurazione del DNS secondario. Configurare un DNS server secondario Nella maggior parte degli ambienti, è una buona idea impostare un server DNS secondario che risponderà alle richieste se il primario non è più disponibile. Per fortuna, il server DNS secondario è molto più facile da configurare. 10

11 Accediamo al server ns2 e modifichiamo il file named.conf # nano /etc/named.conf Sopra il blocco delle opzioni esistente, creare un nuovo blocco ACL chiamato "trusted". Questo è dove definiremo lista dei client che ci permetterà di eseguire query DNS ricorsive (ovvero vale a dire i server che si trovano nello stesso data center come NS1). Usando il nostro esempio di indirizzi IP, aggiungeremo ns1, ns2, pc1 e pc2 alla nostra lista dei client di fiducia: acl "trusted" { ; # ns1 - can be set to localhost ; # ns ; # pc ; # pc2 }; Ora che abbiamo la nostra lista di client DNS di fiducia, vorremo modificare il blocco delle opzioni. Aggiungere l'indirizzo IP privato del NS2 alla porta tcp 53, e commentiamo la riga listen-on-v6: options { listen-on port 53 { ; ; }; # listen-on-v6 port 53 { ::1; }; Cambiare la direttiva allow-query da localhost a trusted options { allow-query { trusted; }; # allows queries from "trusted" clients Alla fine del file aggiungiamo questa riga: include "/etc/named/named.conf.local"; Ora salviamo ed usciamo da named.conf. La configurazione sopra specifica che solo i tuoi server (quelli "di fiducia") saranno in grado di interrogare il server DNS. Salviamo ed usciamo Ora possiamo configurare il local file per specificare le nostre zone, iniziamo con l'editare il file named.conf.local: 11

12 # chmod 755 /etc/named # nano /etc/named/named.conf.local Definiamo le zone slave che corrisponderanno alle zone di master sul server DNS primario. Si noti che il tipo è "slave", il file non contiene un percorso, e vi è una direttiva master che dovrebbe essere impostato per IP privato del server DNS primario. Se si è definito più zone inversa nel server DNS primario, assicurarsi di aggiungerle tutti qui: zone "test.lan" { type slave; file "slaves/db.test.lan"; masters { ; }; # ns1 private IP }; zone "1.10.in-addr.arpa" { type slave; file "slaves/db.10.1"; masters { ; }; # ns1 private IP }; Fatto questo possiamo salvare e uscire da named.conf.local. Avviamo il comando di check della configurazione dei file # named-checkconf Se il check è andato a buon fine allora possiamo avviare BIND: # systemctl start named e abilitare BIND all'avvio da boot # systemctl enable named Ora si dispone di server DNS primario e secondario per la nostra rete privata e la risoluzione degli indirizzi IP. Ora è necessario configurare i server per utilizzare i server DNS. 12

13 Configurare i Client con i server DNS Prima di tutto ricordiamo che solo i server o i client nella ACL "trusted" possono interrogare i server DNS, è necessario configurare ciascuno di essi per utilizzare NS1 e NS2 come nameserver. Questo processo varia a seconda del sistema operativo, ma per la maggior parte delle distribuzioni Linux si tratta di aggiungere i vostri name server nel file /etc/resolv.conf. Nelle macchine CentOS, RedHat e Fedora, ci basterà editare il file resolv.conf in questo modo: # nano /etc/resolv.conf a questo punto aggiungiamo i nostri server DNS: search test.lan # your private domain nameserver # ns1 private IP address nameserver # ns2 private IP address Una volta inseriti possiamo salvare e uscire i server DNS sono configurati sul client. Su Ubuntu e Debian il file resolv.conf lo troviamo qui: # nano /etc/resolvconf/resolv.conf.d/head ora non vi resta che digitare il comando # resolvconf -u i vostri client saranno cosi configurati con i nuovi DNS con Windows lo sapete tutti Testare i client Per testare il funzionamento dei server DNS, possiamo utilizzare nslookup-incluso nella "bindutils". Per esempio se volessimo testare il forward del DNS potremmo dare il comando: # nslookup pc1 oppure # nslookup pc1.test.lan 13

14 Interrogazione di "pc1" si espande a "pc1.test.lan a causa della opzione di ricerca sia impostato sotto il dominio privato, la query DNS tenterà la ricerca su tale dominio prima di cercare l'host altrove. L'output del comando sopra dovrebbe simile al seguente: Output: Server: Address: #53 Name: pc1.test.lan Address: Reverse Lookup Il test per il reverse lookup e simile invece del nome inseriremo l'indirizzo IP: # nslookup l'output dovrebbe assomigliare a questo: Output: Server: Address: # in-addr.arpa name = pc1.test.lan. se tutti i nomi e gli indirizzi IP da risolvere riportano valori corretti, significa che i file di zona sono configurate correttamente. Se si ricevono valori imprevisti, assicurarsi di ricontrollare i file di zona sul server DNS primario (ad esempio db.test.lan e db.10.1). Complimenti! I server DNS sono ora impostati correttamente! Ora ci occuperemo di mantenere i suoi record di zona. Il mantenimento dei record DNS Ora che disponete di un DNS interno, è necessario mantenere i record DNS in modo che riflettano con precisione il vostro ambiente. Aggiungere host al DNS Ogni volta che si aggiunge un host sul DNS necessario seguire questi passaggi: 14

15 Dns primario Per il file forward di zona: Quando si aggiungi un nuovo record "A" per un nuovo host, dobbiamo incrementare il valore del "seriale" Idem deve essere fato per la reverse zone quando si aggiunge un nuovo host Aggiungete l'ip del nuovo host nella ACL trusted in (named.conf.options) Quindi ricaricare BIND # systemctl reload named DNS secondario Aggiungete l'ip del nuovo host nella ACL trusted in (named.conf.options) Quindi ricaricare BIND # systemctl reload named Rimuovere Host dal DNS Se si rimuove un host dal proprio ambiente, è sufficiente rimuovere tutte quello che è stato aggiunto durante il suo inserimento nei server DNS. Conclusioni Ora si può fare riferimento al nome delle proprie, piuttosto che in base all'indirizzo IP. Questo rende la configurazione di servizi e applicazioni più facile perché non è più necessario ricordare gli indirizzi IP. Inoltre, ora è possibile modificare le configurazioni per puntare a un nuovo server in un unico luogo. Dopo aver impostato il vostro DNS interno, e i file di configurazione utilizzano un FQDN privato per specificare le connessioni di rete, è fondamentale che i server DNS siano adeguatamente mantenuti. Se entrambi non sono più disponibili, i servizi e applicazioni che si basano su di essi cesseranno di funzionare correttamente. Questo è il motivo per cui si raccomanda di impostare il DNS con almeno un server secondario. 15