Jak už bylo řečeno dříve, různé DNS servery realizují různou funkčnost. V zásadě existují dva základní typy, rekurzivní a autoritativní. Rekurzivní DNS servery realizují pro své klienty vyhledávání v DNS stromu a poskytují jim odpovědi na jejich dotazy. Servery tohoto typu vám bývají poskytovány vaším ISP. Rekurzivní DNS servery provádějí také kešování odpovědí na dotazy.
Kromě rekurzivních serverů existují také tzv. autoritativní DNS servery, což jsou servery, které publikují DNS záznamy určité části DNS stromu, jejíž správa jim byla přidělena. Kupříkladu, pokud byste si zaregistrovali doménu example.org, měli byste kontrolu nad tím, které DNS servery budou obsahovat její autoritativní informace. Na tyto DNS servery by se pak obracely rekurzivní DNS servery, které od nich získají odpověď na DNS dotazy týkající se domény example.org a jejích subdomén.
Různé DNS servery realizují různou funkčnost. Server dnsmasq, probraný v minulém díle, je ve své podstatě pouze kešující DNS server, který nevyřizuje dotazy, pouze je přeposílá (forwarduje) definovaným rekurzivním DNS serverům. Unbound je primárně rekurzivní a kešující DNS server, i když do jisté míry se dá použít i jako autoritativní server. Bind je univerzální DNS server schopný fungovat jako rekurzor i jako autoritativní server. Jedná se o nejznámější DNS server vůbec. Jsou i čistě autoritativní servery, které neumí pracovat jako rekurzory a zaměřují se pouze na publikování autoritativních DNS informací. Příkladem může být KnotDNS, server z dílen CZ.NIC.
Připomínám, že výchozí port pro službu DNS je 53 a komunikace může probíhat jak přes UDP, tak přes TCP.
Unbound
Unbound je především rekurzivní a kešující DNS server. Je schopen provádět DNSSEC validaci, ale neprovádí ji ve výchozím stavu (alespoň v Debianu). Problematikou DNSSEC se zabýval minulý díl seriálu.
Instalaci serveru Unbound realizujete velmi jednoduše:
aptitude install unbound
Po instalaci se server rovnou rozběhne a začne fungovat. Jeho funkčnost si můžete snadno ověřit:
dig @localhost example.org
DNSSEC
Jako první by bylo dobré zapnout DNSSEC validaci. K tomu potřebujete do hlavního konfiguračního souboru /etc/unbound/unbound.conf přidat informace o souboru obsahujícím klíč kořenové zóny (fungující jako „trust anchor“, tedy „kotva důvěry“):
auto-trust-anchor-file: "/etc/unbound/root.key"
Tento soubor však ve výchozí instalaci neexistuje a je třeba jej vytvořit. Za tímto účelem je nutné si příslušný klíč opatřit a ověřit. Opatřit si jej můžete stažením následujícího souboru:
https://data.iana.org/root-anchors/root-anchors.xml
Jedná se o XML soubor s potřebnými hodnotami. Tyto hodnoty vložte do souboru /etc/unbound/root.key do jediné řádky, a to dle následujícího klíče:
. IN DS <KeyTag> <Algorithm> <DigestType> <Digest>
Výsledek může vypadat nějak takto:
.IN DS 19036 8 2 49AAC11D7B6F6446702E54A1607371607A1A41855200FD2CE1CDDE32F24E8FB5
Po uložení souboru Unbound restartujte:
service unbound restart
Následně zkontrolujte, že DNSSEC validace funguje, např. takto:
dig +dnssec org @localhost
Je-li DNSSEC aktivní, měli byste vidět příznak „AD“ v odpovědi:
;; flags: qr rd ra ad; QUERY: 1, ANSWER: 0, AUTHORITY: 4, ADDITIONAL: 1
Přizpůsobení nastavení Unboundu
Jak je z postupu výše patrné, soubor s konfigurací Unboundu je /etc/unbound/unbound.conf. Tento soubor je bohatě komentovaný, doporučuji si jej tedy projít a upravit podle vašich potřeb. Základní dvě věci pro úpravu jsou v první řadě rozhraní a IP adresy, na kterých Unbound poslouchá (ve výchozím stavu naslouchá pouze na lokální smyčce, tedy nikoliv na síti), a ve druhé řadě je to řízení přístupu, tj. kdo má právo na vyřizování DNS dotazů.
Specifikace rozhraní, popřípadě IP adres, na kterých Unbound naslouchá, se realizuje takto:
interface: 1.2.3.4 interface: 1.2.3.4@5000 interface: 0.0.0.0 interface: ::0
První řádka zajistí, že Unbound bude naslouchat na IP adrese 1.2.3.4 na standardním portu. Druhá řádka ukazuje, jak byste Unboundu sdělili, aby naslouchal na nestandardním portu (v tomto případě portu 5000). Třetí řádka zajistí, že Unbound bude naslouchat na všech IPv4 rozhraních a adresách. Čtvrtá pak provede totéž, ale v rámci protokolu IPv6.
Druhou podstatnou oblastí je řízení přístupu. Ve výchozím stavu je totiž veškerý přístup zakázán, kromě místní smyčky (localhostu).
access-control: 10.0.1.15 refuse access-control: 10.0.1.0/24 allow
Syntaxe je zde na první pohled jasně patrná – v první řádce se zamítá přístup počítači 10.0.1.15, druhá řádka pak povoluje přístup ze sítě 10.0.1.0/24.
Unbound umožňuje i tvorbu místních zón, popřípadě úpravu odpovědí na specifické dotazy. Místní zónu můžete snadno a rychle vytvořit takto:
local-zone: "local." static local-data: "typhoon.local. IN A 10.0.1.27"
První řádek definuje doménu „local“, druhý pak vytváří A záznam pro počítač 10.0.1.27 se jménem typhoon.local.
Nastavení Unboundu jako výchozího rekurzoru pro server
Máte-li funkční rekurzivní DNS server, můžete pro příslušný počítač zajistit, aby DNS dotazy vyřizoval přímo místní rekurzor (na místo DNS serverů poskytovatele). To zajistíte úpravou /etc/resolv.conf a vložením následujícího záznamu na první řádek:
nameserver 127.0.0.1
Tato úprava zajistí, že se běžící aplikace budou ptát nejprve místního DNS serveru, který bude odpovídat rychleji než servery vašeho ISP. Nevyřadíte-li ostatní záznamy v resolv.conf, zajistíte tak „fallback“ na některý z dalších serverů, pokud bude váš místní DNS server mimo provoz.
Bind
Bind je univerzální DNS server, umí pracovat jako rekurzor a vyřizovat DNS dotazy (podpora DNSSEC je samozřejmostí), ale umí pracovat také jako autoritativní server.
Jeho instalaci provedete opět velmi jednoduše:
aptitude install bind9
Po instalaci se Bind rozběhne a začne fungovat jako rekurzivní DNS server, což si opět můžete snadno ověřit:
dig @localhost example.org
DNSSEC
Základem je opět opatřit si klíč ke kořenové zóně. Tento klíč můžete získat DNS dotazem:
dig . dnskey . 172758 IN DNSKEY 256 3 8 AwEA AbW4qUZUxSRqUntM9u0pvmkqRB9Z+WRPghllsekdgp8ksT5bwRBE3xwVWJJp JgVYGvFGgLIutrGyZDJVLQX+tu+qe6HJbA8XRZsL2aA6e4MZeD4TOUlIH/c Vlof3y4gFibjwzuuondVku9ia2MSRYnrBl+LMSRftBkVa4OvS+dij . 172758 IN DNSKEY 257 3 8 AwEA AagAIKlVZrpC6Ia7gEzahOR+9W29euxhJhVVLOyQbSEW0O8gcCjFFVQUTf6v 58fLjwBd0YI0EzrAcQqBGCzh/RStIoO8g0NfnfL2MTJRkxoXbfDaUeVPQuYE hg37NZWAJQ9VnMVDxP/VHL496M/QZxkjf5/Efucp2gaDX6RS6CXpoY68LsvP VjR0ZSwzz1apAzvN9dlzEheX7ICJBBtuA6G3LQpzW5hOA2hzCTMjJPJ8LbqF 6dsV6DoBQzgul0sGIcGOYl7OyQdXfZ57relSQageu+ipAdTTJ25AsRTAoub8 ONGcLmqrAmRLKBP1dfwhYB4N7knNnulq QxA+Uk1ihz0=
Ve výpisu budou patrné dva klíče, vy chcete ten delší (257). Klíč a hodnoty převeďte do následující podoby:
managed-keys {
"." initial-key 257 3 8
"AwEAAagAIKlVZrpC6Ia7gEzahOR+9W29euxhJhVVLOyQbSEW0O8gcCjF
FVQUTf6v58fLjwBd0YI0EzrAcQqBGCzh/RStIoO8g0NfnfL2MTJRkxoX
bfDaUeVPQuYEhg37NZWAJQ9VnMVDxP/VHL496M/QZxkjf5/Efucp2gaD
X6RS6CXpoY68LsvPVjR0ZSwzz1apAzvN9dlzEheX7ICJBBtuA6G3LQpz
W5hOA2hzCTMjJPJ8LbqF6dsV6DoBQzgul0sGIcGOYl7OyQdXfZ57relS
Qageu+ipAdTTJ25AsRTAoub8ONGcLmqrAmRLKBP1dfwhYB4N7knNnulq
QxA+Uk1ihz0=";
};
A tu vložte třeba do souboru /etc/bind/named.conf.managed. Následně vložte potřebnou include direktivu do /etc/bind/named.conf:
include "/etc/bind/named.conf.managed";
Toto samo o sobě by mělo stačit (DNSSEC validace je povolená, ale fungovat začne teprve po výše uvedené operaci). Bind tedy restartujte:
service bind9 restart
A následně použijte stejný postup uvedený výše pro ověření, že DNSSEC validace funguje.
Pozor! Opět zde platí, že výše uvedený klíč si musíte v každém případě nějakým způsobem ověřit, protože na něm stojí celá bezpečnost ověřování DNSSEC.
Přizpůsobení nastavení Bindu
Bind se umí chovat úplně stejně jako dnsmasq, tedy jako forwardující (přeposílá dotazy na jiný server) a kešující DNS server. Chcete-li ho takto nastavit, vložte do /etc/bind/named.conf.options, mezi složené závorky direktivy options, následující řádky (servery, které se mají dotazovat, se specifikují v proměnné forwarders):
forward only;
forwarders { 1.2.3.4; 4.3.2.1;};
Nastavení síťových rozhraní, kde má Bind naslouchat, se realizuje následovně (stejný soubor, stejné umístění jako v příkladu výše):
listen-on-v6 { any; };
listen-on { 127.0.0.1; 10.0.1.254; };
První řádka specifikuje naslouchání na IPv6 adresách. Klíčové slovo any zajistí, že se bude naslouchat na všech. Druhá řádka řídí naslouchání na IPv4, kde jsou specifikovány v tomto případě dvě adresy, adresa místní smyčky (localhostu) a privátní adresa 10.0.1.254.
allow-query { 10.0.1.0/24; };
Proměnná allow-query definuje, kdo se smí serveru dotazovat. V tomto příkladu se serveru smí dotazovat síť 10.0.1.0/24.
allow-recursion { 10.0.1.0/24; };
Tato proměnná definuje, kdo smí pokládat rekurzivní dotazy. Syntax je totožná jako u allow-querry.
Pokud nechcete provozovat rekurzivní DNS server, rekurzi jako takovou je možné vypnout:
recursion no;
Tím bych pro tentokrát skončil. Příště bude osvětlena problematika tvorby zón a zónových souborů.
