Tilläggs dokumentation 4069 Dns

Transkript

1 Tilläggs dokumentation 4069 Dns Magnus Larsson FMTS/UtbE/ElektrosystemA it-sektionen 4069 DNS- Tilläggsdokumentation 4069 DNS-Tilläggsdokumentation...2 Domäner och Zoner...3 C:\Mina Dokument\PowerFolders\Försvarsmakten,FMTS\Kurser\4069A, DNS Systemadministration\Kursunderlag\4069- tillägg.doc

2 Data 4069 DNS Sid 2 Delegering...5 DNS...6 SOA...7 NS-POSTEN...7 A-POSTEN...8 MX-POSTEN...8 PTR-POSTEN...9 CNAME (CANONICAL NAME)...9

3 Data 4069 DNS Sid 3 Domäner och Zoner En domän är ett virtuellt område. Det är inte riktigt sant men det är så nära jag kan hitta ett annat ord för det. Det innebär att en dator (nameserver) tar ansvar för detta område om inte någon delegering är gjord. Vi kommer senare till vad delegering innebär. Hädanefter kommer jag att använda ordet domän. Ur en nameservers perspektiv så skiljer sig brevdomäner och domäner åt. Skillnaden är den att de uppträder som olika poster i en zonfil. Vad de olika posterna heter och har för innebörd kommer vi till längre fram i materialet. En brevdomän anger vart vi vill skicka våra brev medan en domän anger ett område som vi är ansvariga för. Dessa kan skilja helt och hållet. Vi kan ha våran post någon helt annanstans än till den domän vi tillhör. Exempelvis så skulle Musse Pigg som jobbar i knatte domänen ha sin post i kalle domänen. Vilket skulle resultera i följande adress: musse.pigg@kalle.anka.se. De olika typerna har alltså inget med varandra att göra. Det är bara det att vi människor lätt blandar ihop dem eftersom de heter ungefär samma sak. För att skilja på dessa kallar vi den ena för domän och den andra för brevdomän. En domän består av ett antal zoner. Zoner hanteras bara inne i en nameserver. När du är ute och surfar och skriver en sökväg i Netscape så är det domäner som du anger. Domäner används för att bygga en struktur på internet precis som vi använder kataloger i vårt operativsystem. Den enda skillnaden är den, att vi börjar med root när vi skriver vår sökväg i dos ex. c:\windows\system. När vi skriver en sökväg med domäner så börjar vi från andra hållet och slutar på root eller punkt som det heter. Det betyder att när vi skriver så skulle det innebära att en punkt skulle komma efter com, men det skriver vi aldrig ut. Däremot så inte komma högre än högst d.v.s. punkt. När man namnger domäner så har man vissa regler. De är enkla men strikta man får bara använda bokstäverna A-Z och a-z och 0-9 samt ett specialtecken (bindestreck eller minustecknet). Ett domännamn får max bestå av 63 tecken och hela sökvägen får inte överstiga 255 tecken. Punkt (.) används för att dela av mellan olika domäner. Håller man sig till dessa regler så har vi en korrekt namngivning. För varje zon så finns det en zonfil. En zonfil innehåller information om vad som finns i just den zonen. För varje domän så finns det en framlängeszon och en baklängeszon. Framlängeszonen kopplar ett hostnamn (datornamn) till en ip-adress. Baklänges är som du säkert förstår precis det motsatta ip-adress till hostnamn. En zon är alltså en del av en domän och där finns ingen begränsning på hur stor en zon kan vara. Man måste inte lägga in alla maskiner som man har på nätverket utan man lägger bara in de maskinerna som man vill att andra ska kunna nå via vår nameserver. Lämpligen lägger vi in servrar och kanske skrivare om vi har någon skrivare som sitter direkt på nätet. Vi har säkert någon maskin som hanterar vår post. Den skall också in! Det finns ett mycket nära samarbete mellan DNS och andra tjänster. En av dem är bland annat posthanteringen. Har vi inte definierat rätt i vår DNS så kan vi glömma att posten fungerar. En zon definierar man i nameserverns konfigurationsfil, named.conf. Nameservern för denna domänen tar hand om och svarar på de inkommande frågor som kommer. De frågor kan vara ex. vilken ip-adress har du för Servern svarar då med den ip-adress som det har frågats efter. Informationen hämtas ur den zonfilen kalle.anka.se. Skulle det inte finnas någon information i den filen så kommer nameservern att svara med ett nekande svar. Den kommer då att returnera sin SOA post som visar att det är den nameservern som har svarat. Vad SOA post innebär kommer vi till längre fram. server.knatte.kalle.anka.se. 63 tecken 255 tecken

4 Data 4069 DNS Sid 4 Delegering En domän delas in i ett antal zoner. Ur en nameserverssynvinkel så består en domän minst av 2 st zoner om en fullständig delegering är gjord plus de zoner som handhar localhost. Vi har dels en framlänges zon och en baklänges zon. Det är inte ett måste att det är en och samma nameserver som handhar båda. Det är inte heller ett måste att nameservern finns i just den domänen. Här kommer vi nu till en delegeringssak. Låt oss börja med en domän som heter kalle.anka.se. Domänen har en nameserver som heter server.kalle.anka.se. Domänen knatte som finns under kalle har också en nameserver som heter server. Jag har en helt otrolig fantasi eller hur? Den sk. Sökvägen till knattes nameserver blir således server.knatte.kalle.anka.se. Nameservern som handhar domänen kalle måste delegera ansvaret till nameservern som finns i knattedomänen. Det är inte ett måste att servern för knatte domänen just ska finnas i knatte domänen. Den kunde lika gärna ha tillhört någon annan domän. En delegering innebär att när en fråga kommer till min nameserver så kommer den att peka eller hänvisa till en annan nameserver. Den kommer alltså att svara att för ex. domänen knatte.kalle.anka.se är det nameservern som heter server.knatte.kalle.anka.se med ip-adressen som är ansvarig för informationen i den domänen. Det finns något som heter glue record. Det betyder att man sätter in en A-post som egentligen inte hör hemma i zonen men det måste vara där för att det skall kunna fungera. Gluerecord sätter man bara in när man delegerar till någon som finns direkt under en själv! Tumregeln lyder enligt följande: Postens namn (det som står till vänster) måste finnas i sin helhet i slutet av postens innehåll (till höger om NS) i zonfilen. Delegeringen görs i kalle.anka.se zonfil för zonen knatte.kalle.anka.se. Exempel för kalle.anka.se zonfil för framlängesuppslagning. kalle.anka.se. IN SOA server.kalle.anka.se. hostmaster.kalle.anka.se. ( ; Serial ; Refresh 3600 ; Retry ; Expire ) ; Min TTL kalle.anka.se. IN NS server.kalle.anka.se. server.kalle.anka.se. IN A mimmi.kalle.anka.se. IN A IN CNAME server.kalle.anka.se. ; Delegering till knatte.kalle.anka.se. börjar här knatte.kalle.anka.se. IN NS server.knatte.kalle.anka.se. server.knatte.kalle.anka.se. IN A ; OBS den kursiva stilen för knatte.kalle.anka.se. Här ser vi att ; vi behöver och måste ha ett gluerecord!!! När det gäller baklängesuppslagningen för knatte.kalle.anka.se så måste även en delegering göras i servern för kalle.anka.se. Detta för att knatte domänen har ett eget c-nät. Det man måste göra då är att skapa en zon för baklängesuppslagningen för knatte.kalle.anka.se. Detta definierar man i named.conf filen först och sedan skapar man zonfilen. Exempel på hur man skriver i named.conf -filen. zone in-addr.arpa ; in { type master; file in-addr.arpa ; }; Detta skapar en zon för baklängesuppslagningen för nätet. I den zonen delegerar vi ansvaret till server.knatte.kalle.anka.se.

5 Data 4069 DNS Sid 5 Exempel på hur man kan skriva en delegering på baklängesuppslagning in-addr.arpa. IN SOA server.kalle.anka.se. root.kalle.anka.se. ( ; Serial ; Refresh 3600 ; Retry ; Expire ) ; Min TTL in-addr.arpa. IN NS server.knatte.kalle.anka.se. Nu har vi talat om för vår DNS att det finns en domän under oss som heter knatte. Nameservern som finns i domänen knatte.kalle.anka.se heter server. Den har ansvaret för zonerna knatte.kalle.anka.se resp in-addr.arpa. Ansvaret för dessa två zoner har vi i server.kalle.anka.se delegerat till server.knatte.kalle.anka.se. DNS DNS är en central tjänst. Internet skulle bara krascha om inte DNS hade fungerat. Vi har blivit fullständigt beroende av att det fungerar. Vad är då DNS? Jo, det är en distibuerad databas som innehåller information om de hostar (datorer) som tillhör samma domän. Det är resolvern i din dator som automatiskt vill fråga din lokala nameserver. Låt oss säga att du vill kolla dina mail på följden blir då att, du skriver in adressen i adressfältet och trycker på enter. Då kommer din dator att ställa en fråga till din lokala DNS. Vilken ip-adress har datorn Hur detta går till sedan går jag inte in på här och nu. Vi ska istället titta på vilket protokoll som DNS använder. DNS används mycket som jag sagt tidigare och det är därför ipprotokollet används som bärare medan den använder UDP till transport. UDP är som bekant ett förbindelse fritt protokoll. Jag går inte djupare in på de olika protokollen för de anser jag att man ska kunna redan. Man pratar om klient och server i DNS sammanhang. En nameserver kan både vara en klient och server. Det är alltid den som frågar som är klient oberoende vad som finns på den datorn. När vi ville kolla vår mail på hotmailen så sa jag att resolvern gick ut och frågade vår lokala nameserver. Kan den inte svara så går den i sin tur vidare och frågar punkt-nameservrarna. Då är vår nameserver helt plötsligt klient till den punkt-nameservern. Den svarar då med att nameservern för com-domänen har ip-adressen bla bla Lägg märke till att den börjar att svara oss bakifrån för att sedan gå vidare. Resultatet blir som jag sagt tidigare vi utgår ifrån punkten som finns sist i sökvägen. Olika posttyper: Vi har ett antal olika posttyper. De används till lite olika saker. SOA-posten NS-posten A-posten PTR-posten CNAME-posten MX-posten talar om vem som är ansvarig för informationen i den här zonen. används till att tala om att för den här zonen så är den här nameservern ansvarig. talar om att för den hosten så är det den här ip-adressen. gör precis som A-posten fast tvärtom. är för att sätta ett alias (vad den egentligen heter). specificerar vart post skall skickas egentligen vilken är vår postserver. Dessa poster är de absolut vanligaste och det är de vi kommer att hantera här under denna kursen. SOA

6 Data 4069 DNS Sid 6 SOA står för Start Of Authority vilket betyder auktoritär. När vi pratar om SOA-posten skall den alltid stå överst i en zonfil. Den kan se ut enligt följande. kalle.anka.se. IN SOA server.kalle.anka.se. hostmaster.kalle.anka.se. ( ;serial ;refresh 3600 ;retry ;expire ) ;TTL Här ska du lägga märke till att översta raden skall sluta på en parentes. Vidare så stängs parentesen efter Semikolon används för att skriva in kommentarer. Detta bör man inte spara på i sina zonfiler eller konfigurationsfiler. En annan sak som är mycket vanlig att man missar när man skriver är punkterna som domänen skall avslutas med! ;serial = värdet här till vänster används av en ev. konfigurerad slavserver. Den hämtar då och då informationen ifrån sin masterserver. Det den gör för att kontrollera om det har blivit några uppdateringar sedan sist är att den jämför senast hämtade serienummer med det nuvarande hos mastern. Detta måste DU uppdatera själv! Lämpligt är att använda dagens datum plus ett löpnr som du kan ändra flera ggr på en dag om du nu skulle behöva det. Det enda kravet är att talet skall vara ett positivt heltal. ;refresh = anger hur ofta en slavserver ska gå och kontrollera serienr. Hos masterservern. Talet anges i sekunder, dvs i mitt ex. betyder det tre timmar. ;retry = om vår master inte svarar vid ett försök att kontrollera serienr. Hur länge skall vi i så fall vänta. Detta tal gäller precis som innan i antalet sekunder. ;expire = här anger vi hur länge slavservern har rätt att svara på frågor efter det att masterservern har slutat att svara. ;TTL = Time to live. Detta har med den dator som frågar att göra. Det betyder att så här många sekunder få du casha (spara) detta svaret. NS-POSTEN Den används till att definiera vilken nameserver som är auktoritär för en viss domän. Den måste komma direkt efter SOA-posten. Skulle den inte göra det så kan det komma felmeddelande som säger NS not at zone top. Det måste också finnas en A-post till servern. Skulle det inte göra det så kommer aldrig någon som frågar oss få reda på vilken ip-adress vår nameserver har. Så det är ju självklart att vi vill annonsera ut den! Skulle nu så vara att vi har en eller flera slavservrar till våran domän så använder vi NS-posten flera gånger. På det viset deklarerar vi att för domänen kalle.anka.se så finns det flera nameservrar. OBS skulle den eller de slavnameservrarna vara utanför vår domän skall inte någon A-post skrivas in för dessa!!! kalle.anka.se. IN SOA server.kalle.anka.se. hostmaster.kalle.anka.se. ( ;serial

7 Data 4069 DNS Sid ;refresh 3600 ;retry ;expire ) ;TTL kalle.anka.se. IN NS server.kalle.anka.se. kalle.anka.se. IN NS server.comics.se. server.kalle.anka.se. IN A ; Vi har en slavserver till oss. Den finns i domänen comics.se. Det vi var tvungna att göra, när vi satte upp den var att meddela till nivån ovanför oss. Dvs till anka domänen. Dit talar vi om att för kalle.anka.se så finns en ny nameserver för domänen kalle.anka.se som heter server.comics.se. Någon A-post skall vi inte skriva in i vår databas, eller?? Nej det ska vi inte. Tänk på tumregeln. Skulle vi inte tala om för anka domänen att vi har en alternativ nameserver så har vi inte någon större nytta av den. Frågorna hamnar ju förr eller senare hos anka servern och kan inte den tala om för de som frågar att det finns 2 st nameservrar. Ja, då får de inte veta det och är vår server nere just då så kommer de inte att få svar även om det finns en maskin som faktiskt skulle kunna svara på frågor. Slutsatsen av detta är att när du har två nameservrar så måste ovanliggande veta detta. A-POSTEN A-post står för address-post. Vilket betyder adress post och med adress menas ip-adress. Den används till att koppla hostnamn till ip-adresser. Dvs kommer det in en fråga om vad server.knatte.kalle.anka.se har för ipadress, så letar nameservern i zonfilen för knatte.kalle.anka.se efter A-posten till server.knatte.kalle.anka.se. Servern kommer då att svara; server.knatte.kalle.anka.se A Exempel för hur det kan se ut. server.knatte.kalle.anka.se. IN A MX-POSTEN MX står för Mail Exchange. Det innebär att man pekar ut vem som är postansvarig för domänen. I en domän kan man ha flera datorer som hanterar post. Det man gör för att skilja på dessa är att man lägger till ett vikt nummer till MX-posten. Det är ett värde vilket som hels men det måste uppfylla vissa krav. Det måste vara ett positivt heltal samt att det inte finns två med samma nummer till samma domän. Som du ser så har jag skrivit in talen 10 och 20 men jag kunde lika gärna ha skrivit 100 och 150. Det spelar alltså ingen roll bara de är olika stora. Exempel för hur det kan se ut. knatte.kalle.anka.se. IN MX 10 mail.knatte.kalle.anka.se. knatte.kalle.anka.se. IN MX 20 mail2.knatte.kalle.anka.se. mail.knatte.kalle.anka.se. IN A mail2.knatte.kalle.anka.se. IN A Här pekar vi ut att för knatte.kalle.anka.se. finns det två postansvariga och den primära heter mail. Vår sekundära heter således mail2. Genom att titta på viktnummret så ser vi att mail har lägre nummer jämfört med mail2. Det innebär att brev ska i första hand levereras till mail. Skulle nu vara fallet att mail.knatte.kalle.anka.se ligger nere så kommer mailen att levereras till mail2 istället. Sedan är det mail2 s ansvar att leverera brevet till mail.knatte.kalle.anka.se. När mail2 levererar brevet har inget med DNS att göra. Utan det hänger fullt på Sendmail. DNS har gjort sitt eftersom vi har levererat svaret att vi har 2 st post ansvariga i vår domän. Därefter är det klientens sak att vikta och försöka att nå någon ansvarig.

8 Data 4069 DNS Sid 8 PTR-POSTEN PTR-post står för pointer. Vilket betyder pekare. PTR-posten används i baklänges-uppslagningen. Av någon anledning så brukar det vara just i baklängesuppslagningen som vi människor tycker att det är krångligt. Vi ska se om jag kan röra till det eller det blir någorlunda förståligt. Vi börjar att tänka in oss i ett fall där vi av någon anledning vill kontrollera vilken dator som har en viss ip-adress. Vi har ip-adressen och vill veta vilken dator som har den adressen. Men innan vi går in på det så måste jag klargöra en annan sak. Det är nämligen så att man har valt att samla alla datorer under en gren. För länge sedan fanns det något som hette ARPA nätet. Jag kommer inte till att förklara mer än så men det utnyttjar man idag. Alla datorer säger man att de tillhör in-addr.arpa men i själva verket så finns inte den grenen. Konstigt vad?? Jo visst är det kanske det. Men kan du bara acceptera det så kommer du nog att förstå. Grenen alltså in-addr.arpa existerar inte men vi säger att vi ligger under den ändå, och det gör alla andra också. Hm vad konstigt. Men hur kan det fungera? Måste den inte finnas någonstans? Nej den måste inte finnas någonstans. Bara texten stämmer överens så är DNS nöjd. Hur det kan fungera, jo om du lägger märke till det på laborationen så finns inte hela den sökvägen heller. Jag tänker då på vhx.144.its.mil.se. Lärarmaskinen som står som root nameserver hanterar punkt och 144 domänen. Detta resulterar att its och mil samt se existerar inte. Men de finns ändå. Summa och sumarum DNS kräver inte att domänen skall existera bara domännamnen stämmer överens. Nu tillbaka till vad vi egentligen skulle få veta, vem har ip-adressen Frågan lyder då in-addr.arpa PTR Vi hänvisar till en ip-adress som är skriven baklänges. Dessutom så säger vi att den ip-adressen ligger under en annan zon. Zonen in-addr.arpa skall alltid finnas med när det gäller baklängesuppslagning!!! Svaret vi kommer att få blir förhoppningsvis följande in-addr.arpa PTR server.knatte.kalle.anka.se. CNAME (CANONICAL NAME) kalle.anka.se. IN SOA server.kalle.anka.se. hostmaster.kalle.anka.se. ( ; Serial ; Refresh 3600 ; Retry ; Expire ) ; Min TTL kalle.anka.se. IN NS server.kalle.anka.se. server.kalle.anka.se. IN A mimmi.kalle.anka.se. IN A IN CNAME server.kalle.anka.se. Vi tänker oss att någon ställer en fråga som lyder så här: Query A Vår nameserver skulle börja söka efter en post som heter den skulle finna den men se att den är ett CNAME för server.kalle.anka.se. Dvs ett alias för server.kalle.anka.se. Därefter så skulle den försöka att slå upp server.kalle.anka.se och leta efter dess A-post. Ip-adressen skulle den finna. Svaret skulle ges att för är ett CNAME för server.kalle.anka.se. som förresten har ipadressen Vi ser här att vår nameserver söker igenom vår databas flera gånger tills den inte hittar mera.

9 Data 4069 DNS Sid 9 CNAME använder man till att ha flera olika namn till en och samma maskin. Det har visat sig att det finns en säkerhetslucka i detta så man har infört en restriktion ang denna posten i Bind 8. Regeln säger följande; en CNAME post får inte finnas som någon annan post i en DNS databas. Vad innebär detta? Jo, har du en post med typen CNAME då måste den vara unik. Om du tittar i vänsterled i databasen här under så ser du vad det innebär. är inte unikt!!! Den kryssade posten kunde ha varit av vilken typ som helst det hade ändå varit förbjudet. kalle.anka.se. IN NS server.kalle.anka.se. server.kalle.anka.se. IN A mimmi.kalle.anka.se. IN A IN CNAME server.kalle.anka.se. IN CNAME mimmi.kalle.anka.se.