DNS (Domain Name Service)

Proč potřebujeme DNS?

Díky prudkému rozvoji počítačových sítí a vzniku Internetu se do popředí dostal síťový protokol TCP/IP. Pomocí tohoto protokolu se adresují jednotlivé počítače 4-bytovou (32-bitovou) adresou obvykle zapisovanou ve tvaru x.x.x.x (x je číslo 0-255). Takovéto adresy se však špatně pamatují, proto byly zavedeny adresy v tzv. doménovém tvaru. Adresa v doménovém tvaru se zapisuje jako několik slov, oddělených tečkami. Zápis je case-insensitive, kromě znaká může jméno obsahovat i znak '-'. Tomuto zápisu se také občas říká FQDN (= Fully Qualified Domain Name).

Princip DNS

Domain Name Service je služba pro převod doménových názvů na IP adresy a opačně. Můžeme ji rozdělit na tři logické části:

• Jmenný prostor (DNSpace)
• Nameservery
• Resolvery

Software

ISC BIND - konfigurace, chroot

Program se šíří jak ve tvaru balíčků pro nejrozšířenější distribuce, tak ve formě zdrojových kódů. K překompilování a nainstalování slouží standardní trojice příkazů - ./configure; make; make install

Protože provozovat named pod rootem není moc chytré z bezpečnostních důvodů, přidáme uživatele named se speciální skupinou named. Taky mu nedáme shell, protože se nikdy nebude logovat (resp. mu dáme shell např. /bin/false).
Dále je potřeba dodělat chrootovane prostředí:

• přidáme adresáře tak, abychom vytvořili následující podstrom:

     named
      +-- dev
      +-- etc
      |    +-- namedb
      |         +-- slave
      +-- var
           +-- run
    

• dále uděláme /dev/null v chroot-u (mknod /named/dev/null c 1 3) a díky potřebě času do logu zkopírujeme soubor /etc/localtime do chrootovaného /etc (cp /etc/localtime /named/etc/).
• Protože named poběží v chrootovaném prostředí, nemůže pro logování používat socket /dev/log. Pokud náš syslogd podporuje volbu -a, vyřešíme to tímto způsobem:
  

  V souboru se startovacím skriptem (v RedHatu /etc/rc.d/init.d/syslog) zaměníme řádku

  daemon syslogd -m 0

  za

  daemon syslogd -m 0 -a /chroot/named/dev/log

  Syslog restartujeme.

Konfigurace BIND

Hlavní konfigurační soubor BINDu (named démona) se nachází v souboru /etc/named.conf (v chrootovaném prostředí to může být jinde - dále budeme předpokládat, že BIND máme nainstalován bez chrootu). Tento soubor říká, jakého typu server bude a které domény bude obhospodařovat. V sekci options jsou uvedeny globální volby - ve kterém adresáři jsou informace o zóně (každá zóna má jeden soubor), kterým serverům má na dotazy odpovídat a kterým nikoliv, zda se chovat rekurzivně nebo ne, atd. Konfigurace může vypadat například takhle:

options {
    directory "/var/named";  // adresar se zonama
                             // POZOR, diky chrootu se jedna o /named/var/named !
    forwarders { 10.0.0.1; } // pokud nevis, ptej se stroje s IP 10.0.0.1
    check-names master fail; // urcuje, jak se ma chovat v pripade chyby
    check-names slave warn;
    forward-only;
    allow-query { any; }     // povolit dotazy odkudkoliv
    allow-transfer { none; } // zakazat zonove prenosy
};

Dále pro každou zónu, o kterou se bude named starat, je nutno vytvořit příslušnou zone sekci, ve které řekněme vztah našeho servere k této zóně (tzn. jestli ji děláme primární nebo sekundární server) a ze kterého souboru se má načíst soubor se zónou. Například:

zone "lab.fi.muni.cz" {
    type master;           // primarni server
    file "lab.fi.muni.cz"  // konfigurace v /var/named/lab.fi.muni.cz
}

Reverzní záznamy pro podsíť IP adres vypadají následovně:

zone "0.0.10.in-addr.arpa" {  // vlastne delame primarni server
    type master;              // pro 'fiktivni' domenu 0.0.10.in-addr
    file "10.0.0"
}

Pozn.: Podrobný přehled příkazů najdeme na příslušné manové stránce (man named.conf).

A jak vlastně vypadají ony soubory se zónama, které můžeme nalézt v adresáři /named/var/named? Tyto soubory definují jednotlivé DNS záznamy vždy řádek po řádku v následujícím tvaru:
<domena> <platnost> <trida> <typ> <data>

<doména> musí začínat v prvním sloupci souboru a označuje jméno doménového záznamu. Pokud je prázdná, vezme se z předchozího řádku.

<platnost> udává, jak dlouho si server tuhle informací smí držet v cache.

<třída> je IN, říkající že záznam se týká Internetu. Touto volbou umožnili autoři použít DNS i mimo oblast převodu jmen na IP adresy.

Povinné položky <typ> a <data> popisují vlastní záznam; jako typ lze uvést:

• SOA - start of authority; tímto záznamem začíná každá definice domény. Popisuje například název domény, e-mail na správce a hlavně sériové číslo definice, které je nutné při každé změně souboru zvýšit. To umožňuje sekundárním serverům zjistit změnu a stáhnout si aktulalizovaný záznam o doméně.
• NS - záznam o dalších nameserverech pro tuto zónu.
• MX - odkaz na počítač starající se v dané doméně o poštu. Těchto záznamů smí být více, u každého se uvádí priorita (v inverzní podobě), podle které se MTA (= Mail Transfer Agent) rozhoduje, na který server poslat email, dojde-li u některého k výpadku.
• A - je ze všech nejdůležitější, stará se o vlastní převod jména na adresu. Pro jedno jméno může existovat více IP adres.
• CNAME - umožňuje definovat více jmen pro jednu IP adresu. Jedno jméno se zvolí za kanonické a další se určí záznamem ve tvaru: <alias> IN CNAME <canonical>
• PTR - reverzní PTR záznamy slouží k mapování IP adres na jména. PTR záznamy jsou ve tvaru <IP.in-addr> IN PTR <název>. <název> musí být plný název včetně doménové části, v IP podsíti můžou být IP adresy počítačů patřící různým doménám.

Pozn.: Je dobré si uvědomit, že síť IP adres nemá vůbec nic společného s hierarchií doménových jmen. Můžeme mít počítač, který má cizí IP adresu a spadá do naší domény (geograficky odlehlé pracoviště, jiný ISP provider, ..), ale i opačně...

Příklad, jak může vypadat takový soubor se zónou:

$ORIGIN domena.cz.
@             IN   SOA  @ root.domena.cz. (2002101000 3H 15M 2W 1D)
              IN   NS   ns               ; autoritativni name servery
              IN   NS   ns.provider.cz.
              IN   MX   0 mailserver.domena.cz.

www           IN   A    12.34.56.78      ; info. o pocitacich
ftp           IN   A    12.34.56.79      ; v teto domene
news          IN   CNAME  odyseus.domena.cz.
...

Reverzní záznam pro podsíť 12.34.56.0 by vypadal následovně:

$ORIGIN 56.34.12.in-addr.arpa.
@             IN  SOA  @ root.domena.cz. (2002101000 3H 15M 2W 1D)
              IN  NS   ns.domena.cz.
              IN  NS   ns.provider.cz.
78            IN  PTR  www.domena.cz.
79            IN  PTR  ftp.domena.cz.
...

Pozn.: Jak vidíme, komentáře se v souborech se zónami píšou za znak ';'. Dále je důležité, zda za doménovým jménem napíšeme znak '.' či nikoliv. Pokud ji vynecháme, přidá se za námi napsaný řetězec ještě doména (viz příklad výše). V reverzních záznamech však toto uplatnit nelze - přidávala by se nám doména 56.34.12.in-addr.arpa, což nechceme.

Ladící nástroje

dig (Domain Information Groper) - provádí dns dotazy buď na servery z /etc/resolv.conf nebo na konkrétní dig @server jmeno.
Reverzní dotaz: dig @server -x 147.251.48.1

host - jednoduchá utilitka pro DNS dotazy
host jmeno [server]
reverzní dotaz: host ip [server]

nslookup

Odkazy, užitečná literatura