Configuración de servidor de nombres de dominio (DNS), parte II.

Transcripción

1 Configuración de servidor de nombres de dominio (DNS), parte II. Autor: Joel Barrios Dueñas Correo electrónico: darkshram en gmail punto com Sitio de Red: Jabber ID: Creative Commons Reconocimiento-NoComercial-CompartirIgual Joel Barrios Dueñas. Usted es libre de copiar, distribuir y comunicar públicamente la obra y hacer obras deriv adas bajo las condiciones siguientes: a) Debe reconocer y citar al autor original. b) No puede utilizar esta obra para fines comerciales (incluyendo su publicación, a través de cualquier medio, por entidades con fines de lucro). c) Si altera o transf orma esta obra o genera una obra deriv ada, sólo puede distribuir la obra generada bajo una licencia idéntica a ésta. Al reutilizar o distribuir la obra, tiene que dejar bien claro los términos de la licencia de esta obra. Alguna de estas condiciones puede no aplicarse si se obtiene el permiso del titular de los derechos de autor. Los derechos deriv ados de usos legítimos u otras limitaciones no se v en af ectados por lo anterior. Licencia completa en castellano. La inf ormación contenida en este documento y los deriv ados de éste se proporcionan tal cual son y los autores no asumirán responsabilidad alguna si el usuario o lector, hace mal uso de éstos. Continuación de Configuración de servidor de nombres de dominio (DNS), parte II. Seguridad adicional en DNS para uso público. Quienes hayan utilizado en recientes fechas los servicios de DNS Report, habrán notado que el diagnóstico en línea devuelve ahora un error que, en resumen, indica que el servidor puede ser susceptible de sufrir/participar en un ataque DDoS (Distributed Denail of Service o denegación de servicio distribuido). Un DDoS (Distributed Denial of Service) es una ampliación del ataque DoS, se efectúa con la instalación de varios agentes remotos en muchas computadoras que pueden estar localizadas en diferentes puntos del mundo. El atacante consigue coordinar esos agentes para así, de forma masiva, amplificar el volumen del saturación de información (flood), pudiendo darse casos de un ataque de cientos o millares de computadoras dirigido a una máquina o red objetivo. Esta técnica se ha revelado como una de las más eficaces y sencillas a la hora de colapsar servidores, la tecnología distribuida ha ido haciendo más sofisticada hasta el punto de otorgar poder de causar daños serios a personas con escaso conocimiento técnico. La falla reportada por la herramienta en línea de DNS Report, para un servidor DNS que permite consultas recursivas, indicará algo como lo siguiente: «ERROR: One or more of your nameservers reports that it is an open DNS server. This usually means that anyone

2 in the world can query it for domains it is not authoritative for (it is possible that the DNS server advertises that it does recursive lookups when it does not, but that shouldn't happen). This can cause an excessive load on your DNS server. Alos, it is strongly discouraged to have a DNS server be both authoritative for your domain and be recursive (even if it is not open), due to the potential for cache poisoning (with no recursion, there is no cache, and it is impossible to poison it). Alos, the bad guys could use your DNS server as part of an attack, by forging their IP address» Significa que el servidor DNS puede permitir a cualquiera realizar consultas recursivas. Si se trata de un DNS que se desea pueda ser consultado por cualquiera, como puede ser el caso del DNS de un ISP, esto es normal y esperado. Si se trata de un servidor que sólo debe consultar la red local o bien que se utiliza para propagar dominios alojados de manera local, si es conveniente tomar medidas al respecto. Solución al problema es modificar el archivo named.conf, donde se añade en la sección de vista local (view "local") la opción recursion yes; y una o más líneas que definan a la red o las redes que tendrán permitido realizar todo tipo de consultas.

3 options { directory "/var/named"; dump-file "/var/named/data/cache_dump.db"; statistics-file "/var/named/data/named_stats.txt"; memstatistics-file "/var/named/data/named_mem_stats.txt"; forwarders { ; forward first; dnssec-enable yes; dnssec-validation yes; dnssec-lookaside auto; bindkeys-file "/etc/named.iscdlv.key"; logging { channel default_debug { file "data/named.run"; severity dynamic; controls { inet allow { ; } keys { "rndc-key"; include "/etc/rndc.key"; view "local" { match-clients { /8; /8; /12; /16; recursion yes; include "/etc/named.rfc1912.zones";

4 Lo anterior hace que sólo se puedan realizar consultas recursivas en el DNS desde /8, /8, /12 y /16, ya sea para un nombre de dominio alojado de manera local y otros dominios resueltos en otros servidores (ejemplo: etc). El resto del mundo sólo podrá realizar consultas sobre los dominios alojados de manera local y que estén configurado para permitirlo. En la siguiente configuración de ejemplo, se pretende lograr lo siguiente: Red Local: cualquier tipo de consulta hacia dominios externos y locales (es decir, alcancelibre.org, además de midominio.com). Resto del mundo: sólo puede hacer consultas para la zona de midominio.com De este modo se impide que haya consultas recursivas y con esto impedir la posibilidad de sufrir/participar de un ataque DDoS. options { directory "/var/named"; dump-file "/var/named/data/cache_dump.db"; statistics-file "/var/named/data/named_stats.txt"; memstatistics-file "/var/named/data/named_mem_stats.txt"; forwarders { ; forward first; dnssec-enable yes; dnssec-validation yes; dnssec-lookaside auto; bindkeys-file "/etc/named.iscdlv.key"; logging { channel default_debug { file "data/named.run"; severity dynamic; controls { inet allow { ; } keys { "rndc-key"; include "/etc/rndc.key";

5 view "publico" { match-clients { any; recursion no; zone "midominio.com" { file "data/midominio.com.zone"; allow-update { none; allow-transfer { ; ; view "local" { match-clients { /8; /8; /12; /16; recursion yes; include "/etc/named.rfc1912.zones"; zone "miredlocal" { file "data/miredlocal.zone"; allow-update { none; allow-transfer { ; Un DDoS (Distributed Denial of Service) es una ampliación del ataque DoS, se efectúa con la instalación de varios agentes remotos en muchas computadoras que pueden estar localizadas en diferentes puntos del mundo. El atacante consigue coordinar esos agentes para así, de forma masiva, amplificar el volumen del saturación de información (flood), pudiendo darse casos de un ataque de cientos o millares de computadoras dirigido a una máquina o red objetivo. Esta técnica se ha revelado como una de las más eficaces y sencillas a la hora de colapsar servidores, la tecnología distribuida ha ido haciendo más sofisticada hasta el punto

6 de otorgar poder de causar daños serios a personas con escaso conocimiento técnico. La falla reportada por la herramienta en línea de DNS Report, para un servidor DNS que permite consultas recursivas, indicará algo como lo siguiente: «ERROR: One or more of your nameservers reports that it is an open DNS server. This usually means that anyone in the world can query it for domains it is not authoritative for (it is possible that the DNS server advertises that it does recursive lookups when it does not, but that shouldn't happen). This can cause an excessive load on your DNS server. Alos, it is strongly discouraged to have a DNS server be both authoritative for your domain and be recursive (even if it is not open), due to the potential for cache poisoning (with no recursion, there is no cache, and it is impossible to poison it). Alos, the bad guys could use your DNS server as part of an attack, by forging their IP address» Significa que el servidor DNS puede permitir a cualquiera realizar consultas recursivas. Si se trata de un DNS que se desea pueda ser consultado por cualquiera, como puede ser el caso del DNS de un ISP, esto es normal y esperado. Si se trata de un servidor que sólo debe consultar la red local o bien que se utiliza para propagar dominios alojados de manera local, si es conveniente tomar medidas al respecto. Solución al problema es modificar el archivo named.conf, donde se añade en la sección de vista local (view "local") la opción recursion yes; y una o más líneas que definan la red o las redes que tendrán permitido realizar todo tipo de consultas.

7 options { directory "/var/named"; dump-file "/var/named/data/cache_dump.db"; statistics-file "/var/named/data/named_stats.txt"; memstatistics-file "/var/named/data/named_mem_stats.txt"; forwarders { ; forward first; dnssec-enable yes; dnssec-validation yes; dnssec-lookaside auto; bindkeys-file "/etc/named.iscdlv.key"; logging { channel default_debug { file "data/named.run"; severity dynamic; controls { inet allow { ; } keys { "rndc-key"; include "/etc/rndc.key"; view "local" { match-clients { /8; /8; /12; /16; recursion yes; include "/etc/named.rfc1912.zones";

8 Lo anterior hace que sólo se puedan realizar todo tipo de consultas en el DNS desde /8, /8, /12 y /16, ya sea para un nombre de dominio alojado de manera local y otros dominios resueltos en otros servidores (ejemplo: etc). El resto del mundo sólo podrá realizar consultas sobre los dominios alojados de maneja local y que estén configurado para permitirlo. En la siguiente configuración de ejemplo, se pretende lograr lo siguiente: Red Local: cualquier tipo de consulta hacia dominios externos y locales (es decir, alcancelibre.org, además de midominio.com). Resto del mundo: sólo puede hacer consultas para la zona de midominio.com De este modo se impide que haya consultas recursivas y con esto impedir la posibilidad de sufrir/participar de un ataque DDoS. options { directory "/var/named"; dump-file "/var/named/data/cache_dump.db"; statistics-file "/var/named/data/named_stats.txt"; memstatistics-file "/var/named/data/named_mem_stats.txt"; forwarders { ; forward first; dnssec-enable yes; dnssec-validation yes; dnssec-lookaside auto; bindkeys-file "/etc/named.iscdlv.key"; logging { channel default_debug { file "data/named.run"; severity dynamic; controls { inet allow { ; } keys { "rndc-key"; include "/etc/rndc.key";

9 view "publico" { match-clients { any; recursion no; zone "midominio.com" { file "data/midominio.com.zone"; allow-update { none; allow-transfer { ; ; ; view "local" { match-clients { /8; /8; /12; /16; recursion yes; include "/etc/named.rfc1912.zones"; zone "miredlocal" { file "data/miredlocal.zone"; allow-update { none; allow-transfer { ; Seguridad adicional en DNS para uso exclusivo en red local. Si se va a tratar de un servidor de nombres de dominio para uso exclusivo en red local y se quieren evitar problemas de seguridad de diferente índole, puede utilizarse el parámetro allow-query, el cual servirá para especificar que sólo ciertas direcciones podrán

10 realizar consultas al servidor de nombres de dominio. Se pueden especificar directamente direcciones IP, redes completas o listas de control de acceso que deberán definirse antes de cualquier otra cosa en el archivo /etc/named.conf. Archivo /etc/named.conf options { directory "/var/named/"; dump-file "/var/named/data/cache_dump.db"; statistics-file "/var/named/data/named_stats.txt"; memstatistics-file "/var/named/data/named_mem_stats.txt"; forwarders { ; ; forward first; dnssec-enable yes; dnssec-validation yes; dnssec-lookaside auto; bindkeys-file "/etc/named.iscdlv.key"; logging { channel default_debug { file "data/named.run"; severity dynamic; controls { inet allow { ; } keys { "rndc-key"; include "/etc/rndc.key"; view "local" { match-clients { /8; /8; /12; /16;

11 recursion yes; include "/etc/named.rfc1912.zones"; zone "red-local" { file "data/red-local.zone"; allow-update { none; zone " in-addr.arpa" { file "data/ in-addr.arpa.zone"; allow-update { none; Las zonas esclavas. Las zonas esclavas se refieren a aquellas hospedadas en servidores de nombres de dominio secundarios y que hacen las funciones de redundar las zonas maestras en los servidores de nombres de dominio primarios. El contenido del archivo de zona es el mismo que en servidor primario. La diferencia está en la sección de texto utilizada en named.conf, donde las zonas se definen como esclavas y definen los servidores donde está hospedada la zona maestra. Archivo named.conf Servidor DNS secundario.

12 view "publico" { match-clients { any; recursion no; zone "dominio.com" { type slave; file "dominio.com.zone"; masters { ; view "local" { match-clients { /8; /8; /12; /16; recursion yes; include "/etc/named.rfc1912.zones"; zone "red-local" { type slave; file "data/red-local.zone"; masters { ; zone " in-addr.arpa" { type slave; file "data/ in-addr.arpa.zone"; masters { ; Adicionalmente, si desea incrementar seguridad y desea especificar en el Servidor DNS Primario que servidores tendrán

13 permitido ser servidores de nombres de dominio secundario, es decir, hacer transferencias, puede utilizar el parámetro allowtransfer del siguiente modo: Archivo named.conf Servidor DNS Primario. view "publico" { match-clients { any; recursion no; zone "dominio.com" { file "dominio.com.zone"; allow-update { none; allow-transfer { ; ; view "local" { match-clients { /8; /8; /12; /16; recursion yes; include "/etc/named.rfc1912.zones"; zone "red-local" { file "data/red-local.zone"; allow-update { none;

14 allow-transfer { ; ; zone " in-addr.arpa" { file "data/ in-addr.arpa.zone"; allow-update { none; allow-transfer { ; ; Seguridad adicional para transferencias de zona. Cuando se gestionan dominios a través de redes públicas, es importante considerar que si se tienen esquemas de servidores maestros y esclavos, siempre será más conveniente utilizar una clave cifrada en lugar de una dirección IP, debido a que esta última puede ser falsificada bajo ciertas circunstancias. Comúnmente se definen las direcciones IP desde las cuales se permitirá transferencias de zonas, utilizando una configuración en el archivo /etc/named.conf como la ejemplificada a continuación, donde los servidores esclavos corresponden a los servidores con direcciones IP y : zone "mi-dominio.org" { file "data/mi-dominio.org.zone"; allow-update { none; }: allow-transfer { ; ; Lo anterior permite la transferencia de zona para los servidores con direcciones IP y , los cuales utilizan la siguiente configuración en el archivo /etc/named.conf, ejemplificada a continuación, donde el servidor primario (zonas maestras) corresponde al servidor con dirección IP :

15 zone "mi-dominio.org" { type slave; file "data/mi-dominio.org.zone"; masters { ; El inconveniente del esquema anterior es que es fácil falsificar las direcciones IP. A fin de evitar que esto ocurra, el método recomendado será utilizar una clave cifrada que será validada en lugar de la dirección IP. La llave se crea con el mandato dnssec-keygen, especificando un algoritmo, que puede ser RSAMD5 o RSA, DSA, DH (Diffie Hellman) o HMAC-MD5, el tamaño de la llave en octetos (bits), el tipo de la llave, que puede ser ZONE, HOST, ENTITY o USER y el nombre específico para la clave cifrada. DSA y RSA se utilizan para DNS Seguro (DNSSEC), en tanto que HMAC-MD5 se utiliza para TSIG (Transfer SIGnature o transferencia de firma). Lo más común es utilizar TSIG. En el siguiente ejemplo, se generará en el directorio de trabajo actual la clave mi-dominio.org, utilizando /dev/random como fuente de datos aleatorios, un algoritmo HMAC-MD5 tipo HOST de 128 octetos (bits): dnssec-keygen -r /dev/random -a HMAC-MD5 -b 128 -n HOST mi-dominio.org Lo anterior devuelve una salida similar a la siguiente: Kmi-dominio.org Al mismo tiempo se generaran dos archivos en el directorio /var/named/, que corresponderían a Kmidominio.org key y Kmi-dominio.org private. Kmi-dominio.org key deberá tener un contenido como el siguiente, el cual corresponde al registro que se añade dentro del archivo de zona: mi-dominio.org. IN KEY NPuNuxvZAjtd3mriuygT8Q== Kmi-dominio.org private deberá tener un contenido como el siguiente:

16 Private-key-format: v1.2 Algorithm: 157 (HMAC_MD5) Key: NPuNuxvZAjtd3mriuygT8Q== En ambos casos, NPuNuxvZAjtd3mriuygT8Q== corresponde a la clave cifrada. Ambos deben tener la misma clave. Los dos archivos sólo deben tener atributos de lectura para el usuario named. chmod 400 Kmi-dominio.org * chown named.named Kmi-dominio.org * A fin de poder ser utilizados, ambos archivos deben ser movidos hacia el directorio /var/named/data/. mv Kmi-dominio.org */var/named/data/ A continuación, restaure los atributos predeterminados para estos archivos utilizando el mandato restorecon, del siguiente modo: restorecon -R /var/named/data/ En el servidor primario (zonas maestras), se añade la siguiente configuración en el archivo /etc/named.conf:

17 key mi-dominio.org { algorithm HMAC-MD5; secret "NPuNuxvZAjtd3mriuygT8Q=="; zone "mi-dominio.org" { file "data/mi-dominio.org.zone"; allow-update { none; allow-transfer { key mi-dominio.org; Los servidores esclavos utilizarían la siguiente configuración en el archivo /etc/named.conf, en donde se define la clave y que ésta será utilizada para realizar conexiones hacia el servidor primario (zonas maestras) ( , en el ejemplo): key mi-dominio.org { algorithm HMAC-MD5; secret "NPuNuxvZAjtd3mriuygT8Q=="; server { keys { mi-dominio.org; zone "mi-dominio.org" { type slave; masters { ; Comprobaciones. Tanto en el servidor primario (zonas maestras) como en los servidores esclavos, utilice el mandato tail para ver la salida del archivo /var/log/messages, pero sólo aquello que contenga la cadena de caracteres named:

18 tail -f /var/log/messages grep named Al reiniciar el servicio named en servidor primario (zonas maestras), se debe mostrar una salida similar a la siguiente cuando un servidor esclavo realiza una transferencia: Sep1001:57:40servidornamed[6042]:listeningonIPv4interfaceeth0, #53 Sep1001:57:40servidornamed[6042]:commandchannellisteningon #953 Sep1001:57:40servidornamed[6042]:zone0.in-addr.arpa/IN:loadedserial42 Sep1001:57:40servidornamed[6042]:zone in-addr.arpa/IN:loadedserial Sep1001:57:40servidornamed[6042]:zone255.in-addr.arpa/IN:loadedserial42 Sep1001:57:40servidornamed[6042]:zone ip6.arpa/IN:loadedserial Sep1001:57:40servidornamed[6042]:zonelocaldomain/IN:loadedserial42 Sep1001:57:40servidornamed[6042]:zonelocalhost/IN:loadedserial42 Sep1001:57:40servidornamed[6042]:zonemi-dominio.org/IN:loadedserial Sep1001:57:40servidornamed:Iniciacióndenamedsucceeded Sep1001:57:40servidornamed[6042]:running Sep1001:57:40servidornamed[6042]:zonemi-dominio.org/IN:sendingnotifies(serial ) Sep1001:59:49servidornamed[6042]:client #32817:transferof'mi-dominio.org/IN':AXFRstarted Al reiniciar el servicio named en los servidores esclavos, se debe mostrar una salida similar a la siguiente: Sep1001:58:15servidornamed[5080]:listeningonIPv4interfaceeth0, #53 Sep1001:58:15servidornamed[5080]:commandchannellisteningon #953 Sep1001:58:15servidornamed[5080]:zone0.in-addr.arpa/IN:loadedserial42 Sep1001:58:15servidornamed[5080]:zone in-addr.arpa/IN:loadedserial Sep1001:58:15servidornamed[5080]:zone255.in-addr.arpa/IN:loadedserial42 Sep1001:58:15servidornamed[5080]:zone ip6.arpa/IN:loadedserial Sep1001:58:15servidornamed[5080]:zonelocaldomain/IN:loadedserial42 Sep1001:58:15servidornamed[5080]:zonelocalhost/IN:loadedserial42 Sep1001:58:15servidornamed[5080]:running Sep1001:58:15servidornamed:Iniciacióndenamedsucceeded Sep1001:58:15servidornamed[5080]:zonemi-dominio.org/IN:transferredserial Sep1001:58:15servidornamed[5080]:transferof'mi-dominio.org/IN'from #53:endoftransfer Sep1001:58:15servidornamed[5080]:zonemi-dominio.org/IN:sendingnotifies(serial )

19 Reiniciar servicio y depuración de configuración. Al terminar de editar todos los archivos involucrados, sólo bastará reiniciar el servidor de nombres de dominio. service named restart Si queremos que el servidor de nombres de dominio quede añadido entre los servicios en el arranque del sistema, deberemos realizar lo siguiente a fin de habilitar named junto con el arranque del sistema: chkconfig named on Realice prueba de depuración y verifique que la zona haya cargado con número de serie: tail -80 /var/log/messages grep named Lo anterior, si está funcionando correctamente, debería devolver algo parecido a lo mostrado a continuación: Sep1002:15:15servidornamed[30618]:startingBIND9.2.2-unamed Sep1002:15:15servidornamed[30618]:using1CPU Sep1002:15:15servidornamed:Iniciacióndenamedsucceeded Sep1002:15:15servidornamed[30622]:loadingconfigurationfrom'/etc/named.conf' Sep1002:15:15servidornamed[30622]:noIPv6interfacesfound Sep1002:15:15servidornamed[30622]:listeningonIPv4interfacelo, #53 Sep1002:15:15servidornamed[30622]:listeningonIPv4interfaceeth0, #53 Sep1002:15:15servidornamed[30622]:commandchannellisteningon #953 Sep1002:15:16servidornamed[30622]:zone in-addr.arpa/IN:loadedserial3 Sep1002:15:16servidornamed[30622]:zone in-addr.arpa/IN:loadedserial Sep1002:15:16servidornamed[30622]:zonelocalhost/IN:loadedserial1 Sep1002:15:16servidornamed[30622]:zonemi-dominio.com.mx/IN:loadedserial Sep1002:15:16servidornamed[30622]:running Sep1002:15:16servidornamed[30622]:zone in-addr.arpa/IN:sendingnotifies(serial ) Sep1002:15:16servidornamed[30622]:zonemi-dominio.com.mx/IN:sendingnotifies(serial )

20