IP-adresser, DNS och BIND

Transkript

1 IP-adresser, DNS och BIND IP-adresser Alla datorer som är kopplade till ett lokalt nätverk måste ha en IP-adress som är unik för datorn. Om två datorer har samma IP-adress kan konflikter uppstå och göra så att ingen av datorerna kan nå nätverket. En IP-adress är uppbyggd av fyra bytes (tal mellan 0-255) med punkter mellan sig, t.ex som är IP-adressen för s labbserver. Eftersom en byte kan anta ett värde mellan så finns det alltså = möjliga värden för IPadresserna. Detta antal begränsar hur många datorer med egen IP-adress som kan kopplas till Internet, och faktum är att dessa adresser är på väg att ta slut. Sedan några år finns därför standarden IPv6 som ska använda 16 bytes istället (vilket skulle ge 256 = 3,4 10 möjliga adresser), men den har ännu inte införts i någon större utsträckning. Vi kommer därför i följande text enbart diskutera den nuvarande versionen, IPv4. Lokala IP-adresser De flesta lokala nätverk som finns på t.ex. skolor, företag o.s.v. delar inte ut en riktig IP-adress till varje dator. Istället använder man sig av s.k. lokala eller privata IP-adresser, d.v.s. nummerserier som inte får användas ute på Internet utan bara på lokala nätverk. Varje dator får en lokal IP-adress som bara kan nås av datorerna på det egna nätverket, men inte av någon dator ute på Internet. Om datorerna på det lokala nätverket vill komma ut på Internet måste de ansluta dit via en s.k. Default Gateway eller router, vilket i princip är en dator med två nätverkskort ett kort som har en lokal IPadress och är kopplat in mot det lokala nätverket, och ett kort som har en riktig IP-adress och är kopplat ut mot Internet. IP-ADRESSER ÄR RESERVERADE FÖR LOKALA NÄTVERK (klass A) (klass B) (klass C) Vilken av serierna man använder har främst att göra med hur många datorer man tänker ansluta till det lokala nätverket, men denna diskussion går utanför kursens gränser. Den som är intresserad kan t.ex. Googla på klass A-, B- och C-adresser. Figuren nedanför visar konfigurationen för vårt lokala kursnätverk. Vi använder en router med intern IP-adress som gateway ut till Internet, och routern är i sin tur kopplad till Internet med IP-adressen Arbetsstation Arbetsstation Arbetsstation Router Default Gateway Arbetsstation Internet 1 (10)

2 Anta t.ex. att vår arbetsstation på det lokala nätverket vill surfa in på sajten med namnet Via DNS (förklaras senare) och nätverksinställningarna inser arbetsstationen att denna dator inte finns inne på det lokala nätverket utan ute på Internet. Den ropar då till nätverkets router och ber den om hjälp. Routern gör anropet ut på Internet åt den lokala datorn, tar emot resultatet och vidarebefordrar det in till arbetsstationen. För dig som användare finns ingenting som visar vad som sker i bakgrunden, utan du upplever det som att du surfar direkt mot webben. Om man däremot tittar i loggfilerna för webbservern på så kommer den bara ha registrerat att det var datorn med IP-adressen som gjorde anropet. Nätmasker Hur vet då datorerna vilka anrop som ska göras på det lokala nätverket och vilka som ska göras via Default GW? Svaret ligger i den s.k. nätmasken, en nätverksinställning som vi gjorde när vi bytte till statiska IP-adresser för ett tag sedan. Du kommer kanske ihåg att vi ställde in våra statiska IPinställningar enligt IP-adress: x Nätmask: Default GW: Som synes består både IP-adressen och nätmasken av fyra bytes. Varje byte i IP-adressen motsvaras av en byte i nätmasken, den första positionen i IP-adressen motsvaras av den första positionen i nätmasken o.s.v. Enkelt förklarat är alla de bytes i IP-adressen som har 255 i motsvarande nätmaskbyte låsta för alla datorer på vårt lokala nätverk, medan de bytes som har 0 i nätmasken får variera. Det innebär i vårt exempel ovan att alla datorer med IP-adresser mellan ingår i vårt lokala nätverk och alltså kommer att anropas direkt. Alla datorer som börjar med andra sifferkombinationer kommer att anropas via routern. Eftersom de sista två byten i IP-adressen får variera (nätmasken är där 0) är det alltså dessa som varierar för de olika arbetsstationerna, t.ex. har vi datornumren 21.11, 21.12, 21.13, för våra Linuxmaskiner i B45. Det första och sista datornumret får inte användas, så vårt LAN kan maximalt ansluta s.k. hosts eller värdar. Med en host menar man en arbetsdator, skrivare, server eller någon annan nätverkskomponent som behöver ha en egen IP-adress. Om du undrar varför vi inte får använda datornumren 0.0 och så beror det på att de används till speciella ändamål är namnet på själva nätverket, och används för att skicka s.k. broadcasts - allmänna utrop till alla värdar på nätverket. DNS Som du har sett kan vi ju anropa en dator med dess IP-nummer, om du t.ex. skriver in i adressfältet på en webbläsare så surfar du in på din lokala dator (localhost), och om du skriver så surfar du in på Eftersom de flesta människor har lättare att komma ihåg texter än sifferserier brukar man ge datorer värdnamn (hostname) som komplement till sifferserien. För detta ändamål har det s.k. Domain Name System (systemet för domännamn) utarbetats. DNS är en samling serverdatorer som översätter domänadresser genom att ta emot frågor om domännamn som t.ex. slå upp rätt IP-adress i en förteckning och sedan skickar tillbaka svaret till den som frågade. Om man tittar lite under skalet på vad som händer när du försöker surfa till en webbadress med Firefox skulle en (lite förenklad) gång kunna se ut så här: 2 (10)

3 1. Du skriver in adressen och trycker på ENTER. 2. Webbläsaren försöker avgöra vilket protokoll som ska användas vid anropet. Om inget har skrivits så används (webbsideprotokollet HyperText Transfer Protocol). 3. Webbläsaren skickar en förfrågan till den DNS-server (namnserver) man ställt in, och ber om IP-adressen till Beroende på hur denna namnserver är inställd så svarar den själv eller skickar förfrågan vidare vi kommer mer in på detta senare. När frågan är besvarad ( ) så skickas IP-adressen tillbaka till webbläsaren. 4. Webbläsaren kontaktar webbservern med protokollet HTTP (egentligen :80). Root-domänen DNS är ett s.k. distribuerat system, vilket innebär att det är en hierarki där olika servrar har ansvar för varsin del av nätet, s.k. zoner. Högst upp finns 15 centrala domänservrar, de s.k. root-servrarna som administreras av organisationen IANA (Internet Assigned Numbers Authority). De har det övergripande ansvaret över den s.k. root-domänen. Toppdomäner IANA har sedan delegerat ansvaret genom att skapa flera toppdomäner. Vid tiden för Internets födelse ville man sortera sajter efter deras ägare, därför hade toppdomänerna namn som.com för company,.edu för educational (utbildningsmyndighet),.org för organization o.s.v. Senare har landstoppdomänerna tillkommit, t.ex..se,.no och.uk. Varje toppdomän styrs av en organisation som utsetts att administrera och dela ut allt som ligger under deras toppdomän. I Sverige har.se-adresserna tidigare administrerats av.se (Stiftelsen för Internetinfrastruktur), så den person som velat registrera en.se-adress måste gå genom dem. Domän Ett företag, en skola eller en privatperson kan registrera en domän (kallas ibland secondary level domain) under någon toppdomän. Exempelvis har registrerat domänen vgy.se hos.se. När man registrerat sin domän kan man i DNS-systemet lägga in olika adresser för domänen, t.ex. datoradresser och e-postadresser. En datoradress anger IP-adressen för en viss dator (t.ex. labb.vgy.se = ), medan en e-postadress talar om till vilken IP-adress som all e-post adresserad till domänen ska skickas (t.ex. att all post till vgy.se ska skickas till ). Subdomän På samma sätt som toppdomänerna kan dela ut domäner, kan en domäninnehavare dela ut s.k. subdomäner eller underdomäner. Exempelvis var gy.varmdo.se en subdomän till domänen varmdo.se (tills skolan registrerade sin egen domän, vgy.se). 3 (10)

4 Nodnamn En dator med egen IP-adress måste få ett s.k. nodnamn (kan också kallas datoradress eller pekare). En dator kan ha vilket namn som helst, antingen rent trams som exempelvis gollum eller fanta eller någonting som beskriver vad datorn erbjuder för tjänst, t.ex. www, dns eller mail. Labbservern har i domänen vgy.se fått datornamnet labb, så dess fullständiga nodnamn blir alltså labb.vgy.se. En dator kan ha flera nodnamn, t.ex. har labbservern också ett alias: diagnos (vilket ger nodnamnet diagnos.vgy.se). Figuren nedan visar DNS-hierarkin med exempel på skolans gamla domänadresser (gy.varmdo.se). Root-domänen. Toppdomäner com net se Domäner varmdo.se sunet.se Subdomäner gy.varmdo.se turist.varmdo.se Noder dns1.gy.varmdo.se Distribuerade zoner Den hierarki som vi just tittat på bygger DNS-systemet uppifrån och ner. Det smidiga är att ansvaret för olika delar av Internet är uppdelat på flera ställen. Root-servrarna innehåller adresserna till respektive toppdomänadministratörs DNS-servrar. Exempelvis finns här IP-adressen till.se:s DNS-server för.se-toppdomänen. Toppdomänernas DNS-servrar innehåller i sin tur uppgifter om alla sina registrerade domäner, d.v.s. IP-adressen till resp. domäns DNS-server. Alltså vet.se-dns-servern IP-adressen till s DNS-server. Alla som registrerar en domän måste också ha en DNS-server för den egna domänen. I denna server registreras IP-adresserna till alla värdar eller subdomäner. s DNS-server har t.ex. lagrat IP-adressen till värdarna labb och www. 4 (10)

5 Låt oss då titta på vad som händer när man på skolan försöker surfa till labb.vgy.se! 1. Du skriver in adressen och trycker på ENTER. 2. Webbläsaren skickar en förfrågan till skolans interna DNS-server ( ), och ber om adressen till labb.vgy.se. 3. DNS-servern kollar om den tidigare slagit upp labb.vgy.se och kommer fram till att den inte har det. Den skickar därför en förfrågan om vgy.se till en av Internets root-servrar. 4. Root-servern som har DNS-data för root-domänen slår upp och skickar tillbaka IP-adressen för namnservern som drivs av toppdomänen.se. 5. Vår interna DNS-server skickar en ny förfrågan, den här gången till NIC-SE:s DNS-server. Denna svarar med IP-adressen för den DNS-server som ansvarar för vgy.se (vilket i detta fall är s externa DNS-server, ). 6. Den interna DNS-servern skickar nu frågan till s externa DNS-server och får tillbaka IP-adressen till labb.vgy.se ( ). 7. IP-adressen skickas tillbaka till klientdatorn 8. så att webbläsaren nu kan anropa labbservern om rätt webbsida. Arbetsstation med webbläsare Intern namnserver Root-DNS (.) namnserver.se (NIC-SE) namnserver varmdo.se nameserver gy.varmdo.se namnserver Security-notering Detta exempel visar på en typ av namnuppslagning som kallas DNS Recursion. Detta kan om DNSservern är felkonfigurerad användas till s.k. DDoS-attacker (överbelastningsattacker) mot andra servrar på Internet. Man bör därför bara låta datorer från sitt eget nätverk ställa rekursiva frågor. labb.gy.varmdo.se Som du ser bygger DNS-systemet på att olika DNS-servrar håller reda på varsin mindre del av Internet (zoner), och att de i tur och ordning hänvisar till varandra. Man säger att ansvaret är distribuerat, d.v.s. att det är utspritt. 5 (10)

6 Olika sorters DNS-servrar En namnserver kan agera på olika sätt beroende på vilka uppgifter den förväntas lösa. Vi ska diskutera tre typer av funktion, primära servrar, sekundära servrar och cacheservrar. PRIMÄR NAMNSERVER En primär namnserver är huvudnamnserver för en domän. Det betyder att den är den server där man matar in alla IP-data om domänens noder och subdomäner, den s.k. zondatan. Vill man skapa en ny nod eller domän gör man detta i den primära namnservern. Därför måste man för att driva en egen domän ha en egen primär namnserver (eller få någon att agera primär namnserver åt dig). En primär namnserver sägs vara av typen (type) master; SEKUNDÄR NAMNSERVER En sekundär namnserver är mer eller mindre en backup av en primär namnserver. Den sekundära servern kopierar med jämna mellanrum zondatan från sin primära namnserver. Fördelen med detta är dels att man har en säkerhetskopia och blir driftsäkrare, dels att man kan minska belastningen på den primära namnservern ifall den sekundära kan göra en del av jobbet. En sekundär namnserver har typen slave; CACHESERVER En cache-namnserver sköter inga egna zoner (domäner), men kan kontakta alla Internets DNSservrar och sköta uppslagningen av en IP-adress. När den fått ett svar så lagrar den resultatet (cachar) i sina lokala filer så att en uppslagning av samma adress kan gå snabbare nästa gång den efterfrågas. Om du har ett lokalt nätverk och vill sätta upp en lokal DNS-server för att dina DNSfrågor ska gå snabbare, eller om du bara vill ha funktionen internt på nätverket är detta ett bra alternativ. En cache-namnserver har typen hint; Namnservern BIND Den DNS-server som medföljer Fedora är en av Internets vanligaste, nämligen Berkeley Internet Name Daemon (BIND) ursprungligen utvecklad på Berkeley University i Kalifornien. Den installeras på samma sätt som de servrar vi tidigare jobbat med (yum, rpm), och dess filer ska placeras på samma ställen som vi är vana vid. Exempelvis finns det alltså ett startskript (med namnet named) i /etc/rc.d/init.d, serverns konfigurationsfil ska läggas i /etc o.s.v. Vi ska nu gå igenom vad som behöver göras för att starta och konfigurera en BIND-server som registrerar våra datorer i den lokala domänen namn.local (där tanken är att du ska byta ut namn mot ditt eget förnamn). Att sätta igång servern görs i princip i fyra steg: 1. Redigera BINDs konfigurationsfil, /etc/named.conf genom att skriva in vilka olika zoner (domäner) som servern ska känna igen som sina egna, respektive vilka den ska skicka vidare till root-domänen. Ange i vilka filer DNS-data för resp. zon finns (filerna kallas zonfiler). 2. Skapa zonfiler för varje zon (domän) som vår namnserver ska ansvara för. 3. Starta om DNS-servern. 4. Ställ om våra arbetsstationer så att de använder vår dator som DNS-server. 6 (10)

7 I mina exempel nedan kommer jag att utgå från att min dator har adressen och värdnamnet baloo, men du ska naturligtvis byta ut detta mot din dators IP-adress och ditt önskade värdnamn. Vårt nätverk heter i exemplet / EDITERA KONFIGURATIONSFILEN Öppna BINDs konfigurationsfil, /etc/named.conf. I denna finns redan ett antal standardinställningar, vi ska titta på dem som är nödvändiga för att servern ska fungera. Ni som har programmerat C++ känner i BINDs konfigurationfil igen syntaxen från C++-källkod. Alla instruktioner avslutas t.ex. med semikolon, programblock skrivs inom måsvingeparenteser etc. Allting som står till höger om ett semikolon eller dubbla snedstreck räknas som en kommentar. OBS! En varning här: Missar du ett enda semikolon eller stavar ett enda ord fel så kommer din server inte att starta! Vi är egentligen bara intresserad av två sorters kodblock, dels det som börjar med options { xxx och dels de som börjar med zone xxx { xxx. Blocket som börjar med options anger olika inställningar som gäller för alla domäner och zoner som servern har angivna. Vi ska bortse från det mesta som står här (inklusive en bunt kommentarer), och bara fördjupa oss i direktivet directory: options { directory /var/named ; Direktivet directory anger i vilken mapp servern kommer att leta efter zonfilerna (filerna med listan över IP-adresser till våra domäner och noder). I detta fall ser vi att servern vill att alla filer ska sparas i mappen /var/named. Ett block som börjar med zone definierar en domän eller underdomän. Här ska minst tre saker anges: Namnet på zonen som definieras. Som vilken typ (type) av namnserver (primär/sekundär/cache) BIND agerar åt denna zon. Namnet på zonfilen (file) för den zon som definieras. Vi tittar först lite på några zoner som redan finns i konfigurationsfilen: zone. IN { type hint; file named.root ; Inom citationstecknen står namnet på domänen (zonen) namnet punkt betyder root-domänen. Texten IN betyder att zonen ligger på Internet. Typen hint betyder cacheserver, och IP-adresserna till denna zon (d.v.s. IP-adresserna till de 15 root-servrarna) finns i filen /var/named/named.root. Här kan vi alltså läsa ut att alla anrop till zonen. (alltså Internet eftersom. är root-domänen, d.v.s. toppen på DNS-hierarkin) ska DNS-översättas av serverlistan i filen named.root. Denna fil innehåller faktiskt IP-adresserna till root-domänens 15 namnservrar, titta gärna i filen! När vår dator slår upp en IP-adress via någon av root-servrarna så cachas resultatet i vår servers databas, så att när en uppslagning på t.ex..se-domänen gjorts så vet vår server IP-adressen till.se och kan nästa gång gå direkt dit istället för att ta omvägen runt root-domänen. 7 (10)

8 Efter detta finns flera fördefinierade zoner som anger att vår dator själv är ansvarig för sin egen IPadress och dess alias localhost och localhost.localdomain. zone localdomain. IN { type master; file localdomain.zone ; allow-update {none; Detta kodblock ordnar DNS-uppslagning för loopback-interfacet (localhost, d.v.s ). Här anges att vår DNS-server är primär namnserver (master) för zonen localhost, att IP-data finns i filen /var/named/localhost.zone och att ingen annan server får ändra i vår zonfil. zone in-addr.arpa IN { type master; file named.local ; allow-update {none; Detta block anger reverse DNS för samma zon. Reverse DNS är motsatsen till vanlig DNS och används som namnet antyder för att översätta från en IP-adress till ett domännamn. Reverse DNSzoner ska alltid anges för alla zoner man är primär namnserver för. Zonnamnet sätts oftast till näteller IP-adress baklänges, följt av den speciella toppdomänen.in-addr.arpa (som är Internets allmänna Reverse DNS-domän). Reverse DNS är ganska knepigt, så vi försöker minimera våra insatser inom det området. Det finns även flera andra zoner definierade från start, där vissa är förberedelser för IPv6 medan andra är specialfunktioner för att DNS ska fungera. Om du vill fördjupa dig i dessa zoner rekommenderar jag BINDs dokumentation (/usr/share/doc/bind-9.4.x/arm/bv9arm.html) eller en sökning på webben för mer information. Vårt främsta intresse är vår nya, egna domän namn.local som vi nu ska skapa. Om man ska ha en egen domän måste man definiera en ny zon enligt: zone namn.local IN { type master; file namn.local.hosts ; Här anger vi att vår DNS-server ska vara primär namnserver för (d.v.s. ha hand om och administrera) domänen namn.local, och att IP-adresserna till domänens alla värdar ligger i filen som heter /var/named/namn.local.hosts. zone in-addr.arpa IN { type master; file rev ; Här anges Reverse DNS för vårt nätverk ( baklänges plus texten från diskussionen ovan). Översättningstabellen som anger relationen mellan IP-adresser och nodnamn finns enligt filedirektivet i filen /var/named/ rev. Notera: Om du använder det grafiska konfigurationsverktyget för DNS-servern så kommer zonfilsnamnen i exemplen ovan att bli bjorn.local.db respektive db. 8 (10)

9 2. SKRIV ZONFILER FÖR VÅR DOMÄN Vi har nu definierat två nya zoner (namn.local och in-addr.arpa), och därför måste vi skapa en ny zonfil för varje zon (med filnamn enligt resp. file-kommando ovan). Vi kommer ihåg från inställningsfilen named.conf att alla zonfilerna ska ligga i mappen /var/named. Vi börjar med zonen namn.local. Använd en texteditor för att skapa filen /var/named/namn.local.hosts. Kom ihåg att byta ut baloo mot ditt värdnamn, och att byta ut mot din IP-adress. Minst följande inställningar måste finnas i filen: ; zondatafil för namn.local (namn.local.hosts) $TTL 3D ; Ovanstående rad måste alltid finnas med i alla zonfiler ; Ange SOA (Start of Authority), dvs data om vem som är primär DNS-server ; för domänen och vem som är kontaktperson för den enligt standarden ; domän.toppdomän. IN SOA dns-server. e-post. namn.local. IN SOA baloo.namn.local. root.namn.local. ( ;Serienummer 5H ;Uppdatering 1H ;Nytt försök 2D ;Upphöra 3D ) ;TTL ; Ange vem som är primär namnserver (NS, Name Server) för domänen namn.local. IN NS baloo.namn.local. ; Ange vilken dator som tar hand om domänens e-post (MX, Mail Exchanger) ; Om man anger flera mejlservrar kan man rangordna dem med hjälp av siffran ; framför nodnamnet. En andra mejlserver skulle kunna få t.ex. värdet 20. namn.local. IN MX 10 baloo.namn.local. ; Adresspekare (A-record), anger IP-adresser för respektive nodnamn baloo.namn.local. IN A mowgli.namn.local. IN A ; Aliasnamn (CNAME Canonical Name), anger IP-adresser för ett andra ; nodnamn till någon av datorerna på domänen ; Här ställs baloo in att lyssna även till namnen mail, ftp och www mail.namn.local. IN CNAME baloo.namn.local. ftp.namn.local. IN CNAME baloo.namn.local. IN CNAME baloo.namn.local. Observera att alla domännamn i denna fil måste sluta på en punkt (vilket betyder root-domänen). Som synes är de flesta raderna ganska lika till vänster står ett namn som ska kunna slås upp, och till höger står den adress eller det datornamn som hänvisningen ska gå till. De minst förståeliga raderna är kanske det som står inuti SOA. Kort om dem: Serienummer Versionsnummer på zonfilen så att sekundära namnservrar vet om någonting har ändrats. Består oftast av dagens datum + ett löpnummer ( ). Uppdatering Hur ofta sekundära namnservrar ska kolla efter uppdateringar (5H, fem timmar) Nytt försök Hur länge den sekundära servern ska vänta innan den försöker göra om en misslyckad uppdatering (1H, en timme) Upphöra Hur länge det ska dröja innan den raderar DNS-data om en server som inte svarat på uppdateringsförsöken (2D, två dygn) TTL Time To Live, hur länge svar från denna server får cachas (3D, tre dygn) Vi måste nu skapa Reverse DNS-filen för vår zon. Eftersom vårt nätverk heter så blev namnet på vår fil /var/named/ rev (vilket vi angav i BINDs konfigurationsfil). 9 (10)

10 Reverse DNS-filen är i princip samma fil som den vanliga zonfilen, fast vänster och höger kolumner byter plats. Nedan kommer en zonfil för vår Reverse DNS-zon: ; zondatafil för in-addr.arpa ( rev) $TTL 3D ; ovanstående rad måste alltid finnas med i alla zonfiler ; Ange SOA (Start of Authority), data om vem som är DNS-server ; för domänen och vem som är kontaktperson för domänen ; enligt standarden ; domän.toppdomän. IN SOA dns. e-post. ; Observera att alltid ersätts med en punkt in-addr.arpa. IN SOA baloo.namn.local. root.namn.local. ( ;Serienummer 5H ;Uppdatering 1H ;Nytt försök 2D ;Upphöra 3D ) ;TTL ; Ange vem som är primär namnserver (NS, Name Server) för domänen in-addr.arpa. IN NS baloo.namn.local. ; Ange alla A-records baklänges med direktivet PTR (pointer, pekare) 31 IN PTR baloo.namn.local. 34 IN PTR mowgli.namn.local. 3. STARTA OM NAMNSERVERN Görs på vanligt sätt som root med kommandot # service named restart och permanentas genom att ändra SysV-skripten så att BIND (named) alltid startas vid bootning. Om du får felmeddelande vid omstarten får du titta på den första raden som inte pratar om att ett serial har lästs in. På denna rad står ett filnamn och en siffra radnumret i denna fil är fel. Gå tillbaka och rätta felaktigheterna och försök starta servern igen. 4. ÄNDRA DNS-INSTÄLLNINGAR PÅ ARBETSSTATIONERNA När du ser att servern startar kan du ändra dina datorers inställningar på nätverket så att de använder din dator som DNS-server. Det kan du antingen göra genom att gå på X-menyn Skrivbord>Administration>Nätverk och välja fliken DNS, eller genom att manuellt ändra i textfilen /etc/resolv.conf. Ändra den så att direktivet search ser ut så här: search namn.local och att det översta nameserver-direktivet är nameserver Prova nu att surfa eller pinga till någon av de nodnamn du definierat i zonfilerna, t.ex. baloo.namn.local. Du har en fungerande DNS-server och en lokal domän! 10 (10)