A Linux -järjestelmät TI09TIVE. Joni Ruotsalainen

Transkriptio

1 A Linux -järjestelmät TI09TIVE Joni Ruotsalainen DNS- ja DHCP-palvelut Linuxissa

2 SISÄLLYS 1 DNS Lähiverkon palveluna Autoritatiivinen nimipalvelu Nimipalvelimen konfigurointi Dnsmasq BIND (named) Konfigurointi A (Address Records) NS (Name Server Records) C (CName Records) MX (Mail Server Records) Konfigurointi Webminillä Nimipalvelun toiminnan tutkiminen Toimivuuden todentaminen Nimipalvelun nopeuden mittaus DHCP ISCDHCP LÄHTEET

3 1 DNS Domain Name Service, nimipalvelu, on internetin tärkeimpiä palveluita. Se muodostuu puumaisesta hajautetusta tietokannasta. Se palauttaa verkkotunnukselle IPosoitteen (Forward DNS) tai IP-osoitteelle verkkotunnuksen (Reverse DNS). IPosoitteiden rinnalle. Muunnokset suoritetaan aina puun juuresta lähtien etsimällä haluttu kohta. [1.] Nimipalvelu on erittäin kätevä työkalu myös lähiverkoissa, joissa on useita laitteita, käyttäjiä tai palveluita ja eri laitteille halutaan helposti muistettavat nimet, joilla niihin saa yhteyden. Tyypillisesti kaikki yritykset joilla on tietokoneita hyötyvät lähiverkon DNS-palvelusta. 1.1 Lähiverkon palveluna DNS-palvelinten osoitteet jaellaan yleensä DHCP-palvelimen avulla. Mikäli nimipalvelin toimii resolverina (välittävä nimipalvelin), sen täytyy tietää koko DNSpuun rakenne aina juurinimipalvelimille asti, jolloin se kykenee välittämään nimipalvelupyynnöt eteenpäin. Esimerkiksi Internet-operaattorit ylläpitävät tällaisia nimipalvelimia. Natattuun kotiverkkoon nimipalvelimen rooliin soveltuu hyvin yksinkertainen reititinlaite. 1.2 Autoritatiivinen nimipalvelu Autoritatiivinen nimipalvelin tarkoittaa sellaista nimipalvelinta, joka ylläpitää vähintään yhtä verkkotunnusta. Se vastaa paitsi lähiverkon, myös muiden nimipalvelinten välittämiin kyselyihin. Tällaisia ovat mm. Internetin juurinimipalvelimet ja eri maatunnuksia ylläpitävät palvelimet. Esimerkiksi FIverkkotunnuksen ylläpidosta vastaa Viestintävirasto. Autoritatiivinen nimipalvelu vaatii kaksi erillistä nimipalvelinta, fyysisesti mielellään eri paikoissa palvelun vikasietoisuuden parantamiseksi ja kuormantasausta varten. Näistä yksi (master) jakaa kopion domainista muille nimipalvelimille (slave).

4 1.3 Nimipalvelimen konfigurointi Dnsmasq Kuten palvelinkoneissa yleensä, on syytä tehdä staattiset IP-asetukset. Useissa Linuxjärjestelmissä /etc/network/interfaces tiedostoon seuraavanlaisesti: #LAN auto eth0 iface eth1 inet static address network netmask gateway broadcast Helpoin vaihtoehto palomuurin takana olevan pienen verkon nimipalveluiden tarjoamiseen on Dnsmasq, joka sisältää myös DHCP-palvelimen. Se löytyy useista reitittimiin tarkoitetuista Linux-jakeluista ja on suoraan saatavilla suosituimpien Linux-jakeluiden paketinhallinnasta. Jaettavat nimet voidaan määritellään /etc/hosts tiedostoon Asennus Fedorassa: su yum install dnsmasq chkconfig dnsmasq on /etc/init.d/dnsmasq start Ohjelmiston esimerkkikonfiguraatiotiedosto on hyvin kommentoitu, mutta yksinkertaisimmillaan toimiva DNS-palvelu saadaan muokkaamalla seuraavat kohdat omaan verkkoon sopivaksi: /etc/dnsmasq.conf - konfiguraatiotiedosto interface=eth0 liitynnät joissa DNS käytössä dhcp-option=3, default-gateway domain=domainin.nimi dhcp-range= , ,24h DHCP-osoitealue ja lease-aika dhcp-host=00:26:c6:10:fb:38,destiny, staattiset määritykset Mikäli staattisia määrityksiä tai muita asetuksia on runsaasti, kannattaa harkita niiden asettamista erillisiin tiedostoihin kansioon: /etc/dnsmasq.d/.

5 1.4 BIND (named) Internetissä yleisimmin käytössä oleva DNS-palvelinohjelmisto, jonka kehitys alkoi 1980-luvulla Berkeleyn yliopistossa. Nykyisin BIND:ia kehittää ISC. [5.] Ohjelmisto tukee mm. IPv6:tta ja zone-tietojen tallentamista tietokantoihin. BIND:iin on myös eniten hallintatyökaluja, joiden käytettävyys ja monipuolisuus vaihtelee. Muutamia vaihtoehtoja web-hallintaan: MySQLBind/unxsBind (vielä keskeneräinen) ISPConfig3 -binäärit vain.rpm-paketeissa (Yum -paketinhallinta, mm. Red Hat, Fedora Core, CentOS) -asiakkaiden luonti ja erillinen kirjautuminen admin/asiakkaat asiakas voi hallita omia muuttuvia tietojaan (alidomainit, -osoitteet, tilastot) -ilmainen open source, dokumentaatio maksaa Konfigurointi Uutta domainia varten on luotava DNS master zone. Esimerkki /etc/named.conf konfiguraatiotiedostosta yksinkertaisimmillaan: $ttl yourdomain.com. IN SOA ns1.yourdomain.com. webmaster.yourdomain.com. ( H 1H 5D 20M ) yourdomain.com. IN A mysql.yourdomain.com. IN A IN CNAME yourdomain.com. ns1.yourdomain.com. IN A ns2.yourdomain.com. IN A yourdomain.com. IN NS ns1.yourdomain.com. yourdomain.com. IN NS ns2.yourdomain.com. mail.yourdomain.com. IN MX 1 yourdomain.com A (Address Records) Domainin IP-osoitteet - pakollinen tieto.

6 NS (Name Server Records) Domainin nimipalvelinten osoitteet. Näitä väihntään kaksi C (CName Records) Aliakset eri palveluille joilla sama IP. Tyypillisesti WWW- ja FTP-palvelimet. CNAME-alias ei saa esiintyä muissa tietueissa[4] MX (Mail Server Records) Myös postipalvelimen osoite on domainille pakollinen tieto Konfigurointi Webminillä Webminin asentaminen vaatii toimivan web-palvelimen ja PHP:n. Useimpien jakeluiden paketinhallinta hoitaa riippuvuussuhteet kuntoon. Kuva 1Servers> BIND> Create Master Zone Refresh time: kauanko sekundäärinimipalvelin odottaa päivitysten välillä Transfer retry time: Odotusaika epäonnistuneen zone-siirron jälkeen Expiry time: Sekundääripalvelimen zone-tietojen vanhenemisaika Negative cache time: Kertoo muille nimipalvelimille, kauanko tietoja pitää säilyttää

7 Kuva 2Address > add address record Kuva 3Mail server > add mail server record

8 Kuva 4Name server> lisätään toissijaiset DNS-palvelimet Kuva 5lisätään toissijaiset DNS-palvelimet

9 Kuva 6Määritellään zone transfer asetukset Kuva 7Määritellään zone transfer asetukset Sallitaan ns1.varadns.com ( ) ja ilmoitetaan sille myös muutoksista Sekundääripalvelimelta on myös muistettava tehdä vastaavat asetukset

10 1.5 Nimipalvelun toiminnan tutkiminen Toimivuuden todentaminen Nimipalvelun toimivuuden voi todeta vaikkapa seuraavasti: ~]# nslookup > reititin Server: Address: #53 Name: reititin.chevron Address: > destiny Server: Address: #53 Name: destiny.chevron Address: Edellä kysyttiin nimipalvelimelta reititin ja destiny nimille ip-osoitteita. Koska isännät ovat samassa lähiverkossa, osasi oma nimipalvelimemme osoitteessa vastata tähän. > google.com Server: Address: #53 Non-authoritative answer: Name: google.com Address: Name: google.com Address: Name: google.com Address: Name: google.com Address: Name: google.com Address: Internetissä olevalle osoitteelle lähiverkon palvelimemme ei osannut palauttaa osoitetta, joten kysely ohjattiin ylöspäin palveluntarjoajan DNS-palvelimelle.

11 1.5.2 Nimipalvelun nopeuden mittaus Linuxilla käytössä olevan DNS-palvelun nopeuden testaamiseksi on yksinkertaisinta yhdistää time ja nslookup komennot. Tehdään kysely: time nslookup Tämä tulostaa esimerkiksi seuraavanlaisen tuloksen: Server: Address: #53 Non-authoritative answer: Name: Address: real user sys 0m0.013s 0m0.004s 0m0.008s Mikäli tarvitaan seurantaa omien nimipalvelinten suorituskyvylle, voidaan ottaa käyttöön esimerkiksi smokeping-ohjelmisto, jolle on mahdollista kertoa seurattavien palvelinten osoitteet ja muokata esimerkiksi kyselyiden tiheyttä. Ohjelma kerää kiistatonta statistiikkaa nimipalvelun laadusta ja piirtää kuvaajia, jotka ovat kätevästi selattavissa web-selaimella.

12 Windowsilla DNS-palvelinten vasteaikoja voidaan mitata seuraavanlaisella ohjelmalla. Ohjelma sisältää suuren listan avoimia DNS-palvelinosoitteita ja omien lisäys on myös mahdollista: Kuva 8

13 2 DHCP 2.1 ISCDHCP Dynamic Host Configuration Protocol jakelee verkon laitteille tietoja, kuten nimipalvelimet, domainin ja IP-osoitteet. Asennus tuttuun tapaan Fedora Corella: su yum install dhcp chkconfig dhcpd tai dhcpd6 on Konfigurointi hyvin samaan tapaan kuin Dnsmasq:ssa, joka käsiteltiin kohdassa DHCP:lle aktiiviset interfacet määritellään /etc/sysconfig/dhcpd tai dhcpd6 riippuen siitä, kumpaa IP-protokollan versiota halutaan käyttää. Molempia voidaan käyttää rinnakkain. Pääkonfiguraatiotiedosto on myös protokollan version mukaan joko /etc/dhcpd.conf tai dhcpd6.conf. Seuraavassa esimerkki yksinkertaisesta dhcpd.conf-tiedostosta, jossa on määritelty aliverkolle /24 DHCP:n avulla jaettaviksi osoitteiksi väli ja staattinen ip-osoite nimipalvelimelle destiny. # # DHCP Server Configuration file. # see /usr/share/doc/dhcp*/dhcpd.conf.sample # see dhcpd.conf(5) man page # # sisaverkko subnet netmask { range ; # destiny, the name server host destiny { hardware ethernet 00:26:C6:10:FB:38; fixed-address ; } }

14 IPv6:n DHCP:n toiminta eroaa merkittävästi versioon 4 verrattuna, mutta itse konfiguraatio on hyvin samantapainen. default-lease-time 600; max-lease-time 7200; log-facility local7; subnet6 2001:db8:0:1::/64 { # Range for clients range6 2001:db8:0:1:: :db8:0:1::254; # Additional options option dhcp6.name-servers fec0:0:0:1::1; option dhcp6.domain-search "domain.example"; # Prefix range for delegation to sub-routers prefix6 2001:db8:0:100:: 2001:db8:0:f00:: /56; # Example for a fixed host address host specialclient { host-identifier option dhcp6.client-id 00:01:00:01:4a:1f:ba:e3:60:b9:1f:01:23:45; fixed-address6 2001:db8:0:1::127; } [6] LÄHTEET 1. Internetin juurinimipalvelimet, Ficix. Viitattu Saatavissa: 2. Fi-verkkotunnusten whois-palvelun ohjeet, Ficora. Viitattu Saatavissa: nnustenwhoispalvelu/whoispalvelunohjeet.html 3. Domain Name System, Wikipedia. Viitattu Saatavissa: 4. CNAME record, Wikipedia. Viitattu Saatavissa: 5. What is BIND and what does it do?, ISC. Viitattu Saatavissa: 6. Linux IPv6 HOWTO, TLDP. Viitattu Saatavissa: Kuva 1-7: Joni Ruotsalainen, 2011 Kuva 8: