Temario. Introducción: Qué es DNS? Nociones básicas sobre redes Estructura y conceptos del DNS Resolución de nombres: consultas DNS Servidores DNS

Transcripción

1 DNS

2 Temario Introducción: Qué es DNS? Nociones básicas sobre redes Estructura y conceptos del DNS Resolución de nombres: consultas DNS Servidores DNS

3 DNS Base de datos distribuida Redundante Sin administración central Traducción IP nombre Delegación de Responsabilidad Cuatro funciones dentro del sistema Servidores con autoridad (parte de la cadena de autoridad) Primarios Secundarios Servidores sin autoridad (cache) Cliente: stub resolver en el S.O.

4 Nociones de Redes IP provee TCP y UDP, entre otros Direcciones IPv4 son 4 octetos: Direcciones IPv6 son 128 bits (16 octetos). DNS usa principalmente UDP (eficiencia) TCP es usado en diversas circunstancias: Transmisión de zonas (entre servidor maestro y esclavos Si la respuesta es demasiado grande Originalmente más de 512 bytes. En la actualidad depende del soporte a EDNS. Puerto 53 (tanto TCP como UDP)

5 Estructura. Nivel Raíz Nodo cl com net uchile puc ebay yahoo ripe php Dominios de Primer Nivel Dominios de Segundo Nivel die dcc noc Dominio

6 Estructura Organización jerárquica. En el tope se encuentra el nivel raíz (. ) Como hijos, todos los TLD, separados en dos grandes categorías: gtld o generic Top Level Domain y los cctld o country code Top Level Domain. Ejemplos de gtld son.net,.biz,.info Ejemplos de cctld son.de,.ch,.tv,.dj La administración de cada TLD está en manos de un NIC, que se encarga de los aspectos administrativos y técnicos asociados.

7 Estructura Cada subárbol de ésta jerarquía recibe el nombre de dominio. La información de cada dominio es descrita en zonas. Las zonas pueden ser archivos de texto, una base de datos o cualquier otro soporte lógico de datos. Para asegurar la descentralización, el sistema promueve la delegación de autoridad, así un padre puede entregar la responsabilidad de un nodo hijo a otra organización.

8 Información Cada nodo del árbol puede tener información (descrita en una zona). La información se describe usando los RR (Resource Records). Los RR tiene la siguiente estructura: <Name, Class, Type, TTL, Rdata> Name: Es el nombre del registro que se está definiendo. Puede ser de 255 bytes de largo máximo, puede tener 126 partes y cada parte no debe exceder los 63 bytes. Los caractéres válidos son A-Z, 0-9 y -. Class: Puede ser IN (Internet), CH (Chaos) o HS (Hesiod). La más común es IN. Type: Define el tipo de registro y puede ser A (address), MX (mail exchanger), SOA (start of authority), NS (name server), CNAME (canonical name), PTR (pointer), etc. TTL: Define el tiempo en segundos en que éste registro puede ser recordado dentro de un caché. Rdata: Describe el contenido del registro.

9 Información Ejemplos de RR s SOA (Start of Authority) MNAME: nombre de dominio de origen RNAME: dirección de mail del responsable (con '.' en vez de '@') SERIAL: usado para identificar cambios y actualizaciones REFRESH: período de refrescos entre servidores autoritativos de una zona. RETRY: tiempo a esperar si un refresco falla. EXPIRE: tiempo de falla después del cual se considera el dominio inexistente. MINIMUM: TTL mínimo para todos los registros de la zona

10 Consultas DNS El sistema está diseñado para generar/recibir consultas y darle respuestas. Las consultas tienen la estructura <Qname, Qclass, Qtype>. Las consultas pueden ser de dos tipos: iterativas (contéstame lo que sepas) o recursivas (búscame la respuesta). Desde el punto de vista del mensaje, van marcados con el flag QR, RD (si es recursiva), un ID, opcode QUERY, la consulta en la sección QUERY y el resto vacío.

11 Respuestas DNS Las respuestas de DNS se producen contestándo a las preguntas recibidas por el servidor. Vienen con el ID de la pregunta, opcode QUERY, QR=0, AA=1 (si la respuesta viene de un servidor autoritativo), RA=1 (si viene de un servidor caché), en la sección Answer o Authority la respuesta y en la sección Additional información extra de utilidad. Además incluyen el código de retorno de la consulta (RCODE), que puede ser: NOERROR: No hubo error procesando la consulta. NXDOMAIN: No existe ningún registro que calce con lo consultado. SERVFAIL: Se ha producido un error contestando la consulta. FORMERR: Mensaje con formato erroneo. NOTIMPL: No se ha implementado el mecanismo para contestar lo preguntado.

12 Resolución DNS Sin DNS: Internet basada solamente en direcciones IP (e.g en vez de ns.nic.cl) Existe un sistema DNS configurado y funcionando Objetivo: traducir nombres a direcciones IP Otros usos Resolución reversa (nombre -> IP) Listas negras (herramientas antispam) Información de contacto

13 Resolución (2) Consulta Iterativa Referal Root Server Consulta Recursiva Consulta Iterativa PC Cliente Respuesta Servidor Caché Referal Consulta Iterativa TLD Server Respuesta SLD Server

14 Resolución (3) 1. Una aplicación hace una consulta al Stub resolver o librería resolver de su S.O. 2. Éste genera una consulta DNS recursiva, que es envíada al servidor caché configurado que corresponda (configurado en el S.O.) 3. El servidor caché envía construye una consulta iterativa y la envía a algún root server (registros NS para. ) 4. Éstos contestan con una referencia al lugar donde encontrar la respuesta (generalmente los registros NS del TLD respectivo). 5. El servidor caché envía la misma pregunta, pero ahora a alguno de los servidores de nombre del TLD. 6. Éstos contestan con una referencia al lugar donde encontrar la respuesta (generalmente los registros NS del SLD respectivo) 7. El servidor caché envía la misma pregunta, a alguno de los registros NS entregados por el último servidor consultado. 8. El servidor debería entregar una respuesta definitiva a la pregunta y debería venir marcada con el bit AA. El caché toma la respuesta y guarda una copia (El tiempo que el caché guarda la copia depende del TTL). 9. El caché le envía la respuesta obtenida al cliente que hizo la consulta.

15 Resolución (4) Qué pasa si n segundos después (n < TTL) algún otro cliente le envía la misma consulta al cache? El caché entregará la respuesta que tiene memorizada. Esto dura mientras no se agote el TTL de los RR que venían en la respuesta. Esto produce un fenómeno conocido como propagación, que consiste entre el tiempo transcurrido desde un cambio en un dominio hasta que todos los caché lo conocen. Este tiempo varía y depende el TTL de la zona y del número de niveles de caché que existan.

16 Servidores de nombre Tipos Caché Primario Secundario Stealth

17 Servidores de nombre Algunas notas Alrededor del 80% de los servidores de nombre en el mundo utilizan BIND o algún derivado. Es conocida como la implementación por referencia del sistema DNS. Ningún TLD utiliza el DNS de Microsoft, y las autoridades así lo recomiendan (Draft BCP). Do not use Microsoft servers for DNS service; they behave oddly, scale poorly, and have very bad security problems. UNIX or Linux is recommended as the operating system of choice.

18 Servidores de nombre Introducción Dentro de la estructura de DNS existen diferentes funciones. Resolver: Cliente del DNS que busca información contenida en una zona usando protocolos de DNS. Caché: Servidor de DNS que es capaz de recibir consultas de parte de los resolvers y averiguar las respuestas. Generalmente guarda una copia de lo recibido. Servidor con autoridad: Un servidor que conoce el contenido de una zona a partir de una fuente local.

19 Servidores de nombre Introducción Funciones Servidor primario: Servidor con autoridad donde la información de zona está configurada localmente. Conocido también como maestro. Servidor secundario: Servidor con autoridad que obtiene la información de una zona desde el servidor primario, utilizando un mecanismo llamado transferencia de zona. Es también conocido como esclavo, pues depende de un maestro.

20 Servidores de nombre Caché Toda infraestructura de red basada en protocolos de Internet (TCP/IP) necesita uno. También es llamado resolver. Se encarga de averiguar las respuestas a las preguntas que otros hacen. Guarda una copia de las respuestas que recibe: caching. La copia se recuerda durante la cantidad de segundos especificada en la respuesta: TTL. También se guarda copia de las consultas que no recibieron respuesta: negative caching.

21 Servidores de nombre Primario Se denomina maestro de una zona. DEBE entregar información con autoridad para una zona, sino cae en la categoría de Lame Delegation. La información de zona reside localmente en el servidor y es la copia maestra. La zona se puede almacenar en un archivo (BIND, NSD, MS DNS) o en una base de datos (PowerDNS, UltraDNS, ATLAS).

22 Servidores de nombre Definición de la es un caracter especial, que es reemplazado por el nombre de la zona. $TTL IN SOA nicolette.nic.cl. root.nic.cl. ( ; Serial ; Refresh 7200 ; Retry ; Expire ; TTL ) ; Incluimos solo un servidor de nombres IN NS nicolette.nic.cl. ; spooler IN A hpcolor IN A impresora IN A Un comentario, empieza con ";"

23 Servidores de nombre Primario Consideraciones generales Nunca usar un CNAME como NS (RFC 1912) Nunca usar un CNAME como MX (RFC 1034 y RFC 974) Elegir un número serial que sea siempre incremental. En particular se sugiere la norma YYYYMMDDHH El número serial no puede tener más de 10 dígitos, pues está representado por un entero de 32 bits. Su valor máximo es 2^32-1 y es cíclico.

24 Servidores de nombre Primario Recomendaciones No publicar en Internet direcciones IP privadas. Restringir el acceso a la zona sólo a los secundarios: seguridad a través de la obscuridad. Asegurarse que los secundarios hacen lo mismo. Incremente el serial en cada cambio. El tiempo transcurrido entre el momento en que se hace un cambio en el primario hasta que todos lo conocen se conoce como tiempo de propagación. Éste se puede disminuir habilitando los NOTIFY y disminuyendo el refresh y TimeToLive de la zona.

25 Servidores de nombre Secundario Se le denomina esclavo, pues depende de un maestro Mantiene una copia de una zona particular También entrega información con autoridad por el dominio. No reemplaza al primario o maestro, sino lo complementa. La copia se hace mediante una transferencia de zona

26 Servidores de nombre Secundario Consideraciones generales Importancia de un secundario Los secundarios apoyan y balancean carga con el primario, no actúan como failover. Derribar el mito del respaldo de los secundarios. Cómo elegir un secundario Service Level Agreement: Que calidad de servicio necesito y me entregarán. La elección de un secundario es equivalente a elegir un business partner. Responsabilidad por los secundarios: Debe realizar el primario verificaciones sobre sus secundarios?

27 Servidores de nombre Secundario Recomendaciones Deben ser elegidos de modo de asegurar que al menos uno de los servidores con autoridad sea alcanzable. Por lo mismo, es muy mala idea tener todos los servidores bajo en mismo enlace, en la misma sala o bajo la misma fuente de energía. El caso Microsoft es un vivo ejemplo. La desaparición de un dominio generalmente causa aumentos de tráfico. El estándar exige un mínimo de dos y recomienda un máximo de 5, salvo casos excepcionales. Es común acordar con una organización del mismo tamaño el intercambio de secundarios.

28 Servidores de nombre Stealth Aquellos servidores con autoridad, que no están listados en la delegación. Generalmente se usan para mejorar el rendimiento local del servidor. En otras ocasiones, se utiliza para ocultar al maestro, dejando a un secundario actuando como él.

29 Servidores de nombre Recomendaciones Finales Busque diversidad de plataforma En lo posible también de software de DNS. BIND 8, BIND 9 y NSD son buenas alternativas. No mezcle las funciones de servidor con autoridad (primario/secundario) con un caché. Asegúrese que sus secundarios responden por su dominio. Después de un cambio, asegúrese que el primario contesta adecuadamente y que los secundarios se han sincronizado. En la configuración inicial, verifique que sus servidores son alcanzables y consultables.

30 Ejemplos DNS Ejemplo 1: DNS de unex.es del responsable unex.es. IN SOA ( número de serie pizarro.unex.eses root.pizarro.unex.es DNS secundario deben conectar cada 24 horas si no lo consiguen deben reintentar cada 2 horas los datos en DNS secundario caducan a los 30 días )- tiempo de vida por defecto de los registros ;intercambiadores de correo disponibles en el dominio unex.es. MX 10 guadiana.unex.es. unex.es. MX 20 tajo.unex.es. unex.es. MX 40 mail.rediris.es. zeus A cum A ticatid CNAME patanegra.unex.es. unex.es. NS sun.rediris.es. ;DNS secundario NS pizarro.unex.es. ;DNS primario NS chico.rediris.es. ;DNS secundario NS espantaperros.unex.es. ;DNS secundario Aquí siempre se especifican Nombres absolutos

31 Ejemplos DNS Ejemplos:Servidor de Nombres Primario para red privada oculta por un Firewall. // File: /etc/named.conf:servidor Primario para webquito.dominio options { directory /var/named ; fake-iquery yes; query-source address * port 53; forward first; forwarders { } }; zone. { type hints; file root.hints ; };

32 Ejemplos DNS Ejemplos:Servidor de Nombres Primario para red privada oculta por un Firewall. // File: /etc/named.conf Servidor Primario para webquito.dominio zone webquito.dominio { type master; file zone.webquito.dominio ; }; zone 10.in-addr.arpa { type master; file zone.10 ; }; zone in-addr.arpa { type master; file zone ; };

33 Ejemplos DNS Servidor de Nombres Secundario. // File: /etc/named.conf. zone. { type hint; file root.hints ; }; zone unex.es {type slave; file /var/named/zone.unex.es ; masters { ; }; }; zone in-addr.arpa { type slave; file /var/named/zone rev ; masters { ; }; }; zone in-addr.arpa {

34 Cliente DNS. Resolvers : Librerías de rutinas que realizan solicitudes en el espacio de Nombres DNS. Fichero /etc/resolv.conf domain webquito.dominio search webquito.dominio unex.es; nameserver ; Fichero /etc/nsswitch.conf hosts : files nis dns ldap nisplus Probar resolución de Nombres y funcionamiento del server DNS usando nslookup, host y dig (domain information groper)

35 Consultas con nslookup B.ROOT-SERVERS.NET internet address = C.ROOT-SERVERS.NET internet address = D.ROOT-SERVERS.NET internet address = E.ROOT-SERVERS.NET internet address = I.ROOT-SERVERS.NET internet address = F.ROOT-SERVERS.NET internet address = G.ROOT-SERVERS.NET internet address = Los servidores raíz proporcionan referencias directas a servidores de los dominios de segundo nivel, como COM, EDU, GOV, etc.

36 Consultas con nslookup nslookup >set type=ns >unex.es o también con set query=ns Name Server: Address: unex.es nameserver= pizarro.unex.es unex.es nameserver= strogoff.unex.es unex.es nameserver= sun.rediris.es unex.es nameserver= chico.rediris.es unex.es nameserver= naranjo.unex.es Pizarro.unex.es internetaddress = sun.rediris.es internetaddress= chico.rediris.es internetaddress = naranjo.unex.es internet address = strogoff.unex.es internet address =

37 Consultas con nslookup Consultas con nslookup DNS de es. (1/2) Cuando se buscan servidores de nombres para un código de país, la base de datos raíz de InterNIC devuelve una lista de nombres y direcciones de servidores raíz de ese país. Así, si en el dialogo anterior podemos preguntar por la lista de servidores españoles. >es. Name Server: pizarro.unex.es Address: Non-authoritative answer: es nameserver = SUN.REDIRIS.ES es nameserver = CHICO.REDIRIS.ES es nameserver = PRADES.CESCA.ES es nameserver = NS.EUNET.ES es nameserver = SUNIC.SUNET.SE es nameserver = NS.EU.NET es nameserver = RS0.INTERNIC.NET es nameserver = NS.UU.NET Authoritative answers can be found from:

38 Consultas con nslookup DNS de es. (2/2) Authoritative answers can be found from: SUN.REDIRIS.ES internet address = CHICO.REDIRIS.ES internet address = PRADES.CESCA.ES internet address = NS.EUNET.ES internet address = SUNIC.SUNET.SE internet address = NS.EU.NET internet address = RS0.INTERNIC.NET internet address = NS.UU.NET internet address =

39 Ejercicio : Montar un servidor DNS en el aula con IPs internas. Ventajas Simplificar la administración de la red local: Al contar con un DNS propio es posible definir zonas locales (no válidas ni accesibles desde Internet) para asignar nombres a cada uno de los ordenadores de la red. Por ejemplo, podemos referirnos al servidor de correo como en vez de y a nuestra impresora de red como impresora.cum.es en vez Esto nos permitirá cambiar las direcciones IP de nuestra red interna de forma mas fácil) Agilizar el acceso a Internet: Al tener un servidor de nombres en nuestra propia red local (que acceda al DNS de nuestro proveedor o directamente a los root servers) se agiliza el mecanismo de resolución de nombres, manteniendo en caché los nombres recientemente usados en la red y disminuyendo el tráfico hacia/desde Internet.

40 Ejercicio : Montar un servidor DNS en el aula con IPs internas. Pasos a seguir: Instalación de BIND sudo apt-get install bind9 Configuración de los archivos de BIND Los archivos de configuración que tendremos que modificar en el servidor DNS son los siguientes: /etc/bind/named.conf /etc/bind/named.conf.options /etc/bind/named.conf.local /etc/bind/db.infoiib.com /etc/bind/db En el resto de ordenadores de la red, sólo habrá que modificar el archivo /etc/resolv.conf.

41 Ejercicio : Montar un servidor DNS en el aula con IPs internas. Modificación de named.conf.local: #Valores de definición de la zona. zone infoiib.com { type master; file /etc/bind/db.infoiib.com ; }; Modificamos el fichero /etc/bind/named.conf.options. options { directory /var/cache/bind ; forwarders { ; ; }; }; #Definimos la zona de resolución inversa. zone in-addr.arpa { type master; file /etc/bind/db ?; };

42 Ejercicio : Montar un servidor DNS en el aula con IPs internas. Modificación de /etc/bind/db.infoiib.com $TTL IN SOA server.infoiib.com. victor@infoiib.com ( ) IN NS server.infoiib.com. //Cambia los nombres de las máquinas y direcciones IP por las de tu red server IN A serviftp IN A pc3 IN A pc4 IN A pc5 IN A //Lo siguiente es un alias. Para que desde el navegador podamos poner en lugar de //server.infoiib.com www IN CNAME server ftp in CNAME serviftp

43 Ejercicio : Montar un servidor DNS en el aula con IPs internas. Creación del fichero /etc/bind/db $TTL IN SOA server.infoiib.com. victor@infoiib.com ( ; 28800; 3600; ; 38400) //El número que aparece delante de IN PTR es el último octeto de la dirección IP //de la máquina // para servidor, para servidor2, para pc03. //Cambia las direcciones IP y nombres por los de tu IN NS server.infoiib.com. 1 IN PTR server.infoiib.com. 2 IN PTR serviftp.infoiib.com. 3 IN PTR pc3.infoiib.com. 4 IN PTR pc4.infoiib.com. 5 IN PTR pc5.infoiib.com. Ahora solo queda arrancar el demonio con /etc/init.d/bind9 restart