Configuración del DNS

Transcripción

1 2016 Configuración del DNS Taller de Administración de Redes y Servicios de Comunicación Grupo 1 MARIO MACHADO, PABLO SOSA, JAVIER GONZÁLEZ, SABRINA CARABALLO

2 Introducción Domain Name System o DNS es un sistema de nomenclatura jerárquica para dispositivos conectados a Internet o a una red privada. Este sistema asocia información variada con nombres de dominios asignado a cada uno de los participantes. Su función más importante es "traducir" nombres inteligibles para las personas en identificadores binarios asociados con los equipos conectados a la red, esto con el propósito de poder localizar y direccionar estos equipos mundialmente. El servidor DNS utiliza una base de datos distribuida y jerárquica que almacena información asociada a nombres de dominio en redes como Internet. Aunque como base de datos el DNS es capaz de asociar diferentes tipos de información a cada nombre, los usos más comunes son la asignación de nombres de dominio a direcciones IP y la localización de los servidores de correo electrónico de cada dominio. Jerarquía DNS Los datos almacenados en el DNS se identifican por nombres de dominio, los cuales están organizados como un árbol. Cada nodo del árbol es un dominio, y a partir de él se extienden las hojas u otros nodos. Un nombre de dominio completo de un objeto consiste en la concatenación de todas las etiquetas de un camino. Las etiquetas individuales están separadas por puntos. Un nombre de dominio debe incluir todos los puntos, tiene una longitud máxima de 255 caracteres y se escribe siempre de derecha a izquierda. El punto en el extremo derecho de un nombre de dominio separa la etiqueta de la raíz de la jerarquía. Este primer nivel es también conocido como dominio de nivel superior. Los objetos de un dominio DNS se registran en un archivo de zona, ubicado en uno o más servidores de nombres. Tipos de servidores DNS Primarios o maestros: guardan los datos de un espacio de nombres en sus ficheros. Secundarios o esclavos: obtienen los datos de los servidores primarios a través de una transferencia de zona. Locales o caché: funcionan con el mismo software, pero no contienen la base de datos para la resolución de datos. Cuando se les realiza una consulta, estos a su vez consultan a los servicios DNS correspondientes, almacenando la respuesta en su base de datos para agilizar la repetición de estas peticiones en el futuro continuo o libre. Tipos de resolución de nombres de dominio Existen dos tipos de consultas que un cliente puede hacer a un servidor DNS, la iterativa y la recursiva. 1

3 Resolución iterativa: consisten en la respuesta completa que el servidor de nombres pueda dar. El servidor de nombres consulta sus datos locales buscando los datos solicitados. El servidor encargado de hacer la resolución realiza iterativamente preguntas a los diferentes DNS de la jerarquía asociada al nombre que se desea resolver, hasta descender en la máquina que contiene la zona autoritativa para el nombre que se desea resolver. Resolución recursiva: el servidor no tiene la información en sus datos locales, por lo que busca y se pone en contacto con un servidor DNS raíz, y en caso de ser necesario repite el mismo proceso básico hasta que obtiene la mejor respuesta a la pregunta. Cuando existe más de un servidor autoritario para una zona, Bind utiliza el menor valor en la métrica RTT para seleccionar el servidor. El RTT es una medida para determinar cuánto tarda un servidor en responder una consulta. Seguridad Las respuestas DNS tradicionalmente no están firmadas criptográficamente, permitiendo muchas posibilidades de ataque; las extensiones de seguridad del DNS lo modifican para agregar la posibilidad de tener respuestas firmadas criptográficamente. Otras extensiones, agregan soporte para autenticación criptográfica entre pares de confianza y se usan comúnmente para autorizar transferencias de zona u operaciones dinámicas de actualización. Configuración del servidor DNS La siguiente configuración se aplica específicamente al sistema operativo Debian. Berkeley Internet Name Domain (BIND) es una implementación del protocolo DNS. Si el computador está permanentemente conectado a Internet, puede resultar ventajoso instalar BIND para mantener una tabla local con todos los nombres que resuelve el DNS autoritativo de la red. Para configurarlo, comenzamos ingresando al root, por ejemplo, corriendo un "Terminal de <Root>" en el menú "Aplicaciones/Accesorios" o en el mismo menú, un "Terminal" y luego el comando su. Instalamos el paquete bind9 utilizando el siguiente comando: # apt-get install bind9 2

4 Configuración del servidor primario La configuración avanzada de BIND aquí presentada es apta para un servidor Debian con número IP estático y conectado permanentemente a Internet. Para definir un nuevo dominio y hacer que el servidor actúe como su DNS autoritativo, necesitas primero haber comprado un dominio en un registro de nombres de dominio y definir el servidor de nombres primario del nuevo dominio con el número IP y FQDN del servidor BIND. En nuestro caso el dominio que utilizamos es: tadmin.cure.edu.uy. BIND, a pesar de ser un servidor DNS, funciona en base a zonas y no dominios. Una zona es una parte del árbol de dominios sobre el cual el servidor tiene total información y autoridad. Contiene todos los nombres de dominio a partir de cierto punto del árbol. Por lo tanto, debemos agregar la zona que vamos a administrar en el archivo de configuración local de BIND (/etc/bind/named.conf.local) y su zona inversa, para que puede responder pedidos en ambos sentidos. Podemos ver en la imagen que llamamos a la zona como el dominio y es de tipo master, ya que esta zona contiene los datos de todos los dominios que cuelgan a partir de la etiqueta tadmin e indicamos el archivo donde se encontraran (/etc/bind/db.tadmin.cure.edu.uy). Se sigue el mismo procedimiento para crear la zona inversa. Una vez definidas nuestras zonas primarias, pasamos a crear sus correspondientes archivos donde detallaremos la zona. 3

5 Creamos el archivo de la zona tadmin.cure.edu.uy, (/etc/bind/db.tadmin.cure.edu.uy): Los archivos de zona contienen información sobre un espacio de nombres particular y es nombrado de acuerdo a la opción file en la declaración zone en el archivo de configuración local. Cada archivo de zona contiene directivas y registro de recursos. Las directivas le dicen al servidor de nombre que realice tareas o aplique configuraciones especiales a la zona, las mismas son opcionales. Los registros de recursos son obligatorios para proporcionar los servicios, definen los parámetros de la zona y asignan identidades a hosts individuales. Los comentarios se realizan después del símbolo ;. Las directivas comienzan con el símbolo $, seguido de su respectivo nombre. En este caso agregamos la directiva $TTL la cual ajusta el valor Time to Live predeterminado para la zona. Es el tiempo, en segundos, que un registro de recurso de zona es válido. Luego pasamos a definir el registro de recursos de la zona. El registro SOA (Start of Authority) es el primero en el archivo de zona, el cual declara la información de autoridad. El equivale a la directiva $ORIGIN o al nombre de la zona como el espacio que está siendo definido por el registro SOA. Seguido colocamos el nombre del host del servidor de nombres que tendrá autoridad para este dominio y su administrador. Una directiva a tener en cuenta es la serial (<serial-number>). La misma es un valor numérico que se debe incrementar a medida que se realizan cambios en este archivo para así indicar al named.conf.local que debe recargar la zona. También es usado en el caso de tener esclavos para avisarles que deben refrescar su información. Utilizamos otras directivas como: Refresh: <time-to-refresh>, es el tiempo que los servidores esclavos deben esperar para preguntar al servidor maestro por cambios en la zona. 4

6 Retry: <time-to-retry>, es el tiempo que los servidores esclavos deben esperar antes de emitir una petición de actualización de datos en caso de que el servidor maestro no responda. Expire: <time-to-expire>, en caso de que el servidor maestro no responda las peticiones al llegar a este intervalo de tiempo, los servidores esclavos dejan de responder a peticiones relacionadas con esta zona. Negative cache TTL: <minimun-ttl>, es el tiempo que otros servidores de nombres guardaran en caché la información de la zona. Una vez definido el registro SOA, agregamos los demás registros. Para ello colocamos el nombre del host, seguido del tipo de registro y su IP correspondiente. Otros tipos de registros utilizados son: NS: Name Server, define la asociación que existe entre un nombre de dominio y los servidores de nombres que almacenan la información de dicho dominio. A: Address, se usa para traducir nombres de servidores de alojamiento a direcciones IPv4. CNAME: Canonical Name, se usa para crear nombres de servidores de alojamiento adicionales o alias para un dominio. MX: Mail Exchange, asocia un nombre de dominio a una lista de servidores de intercambio de correo. PTR: Pointer, también conocido como registro inverso, funciona a la inversa del registro A. De ese modo estaría terminado el archivo de la zona tadmin.cure.edu.uy. Pasamos a crear el archivo de la zona inversa, el cual se utiliza para traducir una dirección IP en un nombre de dominio. Es muy similar a un archivo de zona estándar, excepto que se usan registros de recursos de tipo PTR para relacionar las direcciones IP a un nombre de dominio completamente cualificado (FQDN). Archivo /etc/bind/db in-addr.arpa: 5

7 Nótese que la zona de resolución de nombres inversa requiere que los primeros tres bloques de la dirección IP estén invertidos y seguidos por.in-addr.arpa (db in-addr.arpa). Esto permite asociar la zona a un único bloque de números IP usados en el archivo. Reiniciamos el servicio con el comando que se muestra a continuación y ya queda funcionando. Habilitar el DNS asignado por el ISP # /etc/init.d/bind9 restart ISP son las siglas en inglés de Internet Service Provider; es decir, un proveedor de servicios en Internet el cual nos permite utilizar un DNS público para el exterior. Esta configuración es opcional, pero nos pareció interesante utilizarla ya que tiene ciertas ventajas como la velocidad de respuesta y su estabilidad. Para utilizarlo, configuramos el archivo /etc/bind/named.conf.options. Descomentamos la línea forwarders y agregamos los servidores de nombres, que en nuestro caso elegimos Google Public DNS. Aparte de habilitar el ISP, agregamos una condición para permitir únicamente que las máquinas internas realicen consultas del DNS, y así estar más protegidos y no ser visibles en el exterior de nuestra red. Se pueden mantener ambos servicios de DNS, el primario es necesario para que nuestra red funcione, el ISP es opcional. 6

8 Fuentes es.wikipedia.org/wiki/domain_name_system ftp://ftp.isc.org/isc/bind9/cur/9.10/doc/arm/bv9arm.pdf 7