NSD autoritær DNS-server + kystvæg - SMV-netværk

Generelt serieindeks: Computernetværk til SMV'er: Introduktion

Denne artikel er en fortsættelse af:

• Squid + PAM-godkendelse på CentOS 7.
• Lokal bruger- og gruppestyring

Hej venner og venner!

Gruppen Entusiaster købte internetdomænenavnet desdelinux.ventilator til din internetudbyder eller ISP. Som en del af denne erhvervelse bad de deres internetudbyder om at inkludere alle de DNS-poster, der er nødvendige for, at de relevante forespørgsler vedrørende deres domæne kan løses fra Internettet.

De anmodede også om, at der medtages SRV-poster vedrørende XMPP fordi de planlægger at installere en instant messaging-server baseret på prosody der slutter sig til den eksisterende sammenslutning af kompatible XMMP-servere på Internettet.

• Hovedformålet med denne artikel er at vise, hvordan vi kan afspejle SRV-poster relateret til den XMPP-kompatible Instant Messaging-tjeneste i en DNS-zonefil..
• Installationen af kystvæg Med en enkelt netværksgrænseflade kan den tjene dem, der beslutter at installere en server som denne, til at administrere en delegeret DNS-zone. Hvis denne server opretter forbindelse til Enterprise LAN ud over Internettet, skal de nødvendige indstillinger foretages for at bruge to netværksgrænseflader.

Baseserver

Vi installerer en autoritativ DNS-server NSD på Debian "Jessie". Dette er rodserveren til "fan" -domænet. Serverens hovedparametre er:

Navn: ns.fan IP-adresse: 172.16.10.30 root @ ns: ~ # værtsnavn
ns

root @ ns: ~ # værtsnavn - fqdn
ns.fan

root @ ns: ~ # ip addr show
1: hvad: mtu 65536 qdisc noqueue state Ukendt gruppe standardlink / loopback 00: 00: 00: 00: 00: 00 brd 00: 00: 00: 00: 00: 00 inet 127.0.0.1/8 scope host lo valid_lft forever foretrukket_lft for evigt inet6 :: 1/128 scope host valid_lft forever foretrukket_lft forever 2: eth0: mtu 1500 qdisc pfifo_fast tilstand UP gruppe standard qlen 1000 link / ether 00: 0c: 29: dc: d7: 1b brd ff: ff: ff: ff: ff: ff inet 172.16.10.30/24 brd 172.16.10.255 scope global eth0 valid_lft evigt foretrukket_lft for evigt inet6 fe80 :: 20c: 29ff: fedc: d71b / 64 scope link valid_lft for evigt foretrukket_lft for evigt

kystvæg

Inden vi rejser med en tjeneste til WWW Village, er det meget positivt at beskytte serveren og de tjenester, den leverer gennem en kraftfuld Firewall - Router. Shorewall er relativt let at konfigurere og er en sikker mulighed for beskyttelse.

• Den korrekte og komplette konfiguration af en firewall er kendernes eller eksperters opgave, hvilket vi ikke er. Vi tilbyder kun en guide til en minimal og funktionel konfiguration.

Vi installerer shorewall-pakken og dens dokumentation.

root @ ns: ~ # aptitude show shorewall
Pakke: strandvæg Ny: ja Tilstand: ikke installeret
Version: 4.6.4.3-2

root @ ns: ~ # aptitude installer shorewall shorewall-doc

dokumentation

Du finder rigelig dokumentation i mapperne:

• / usr / share / doc / shorewall
• / usr / share / doc / shorewall / eksempler
• / usr / share / doc / shorewall-doc / html

Vi konfigurerer til et netværksinterface

root @ ns: ~ # cp / usr / share / doc / shorewall / eksempler / one-interface / interfaces \
/ etc / shorewall /

root @ ns: ~ # nano / etc / shorewall / interfaces
#ZONE INTERFACE OPTIONS net eth0 tcpflags, logmartians, nosmurfs, sourceroute = 0

Vi erklærer firewallzoner

root @ ns: ~ # cp / usr / share / doc / shorewall / eksempler / en-interface / zoner \
/ etc / shorewall /

root @ ns: ~ # nano / etc / shorewall / zoner
#ZONE TYPE INDSTILLINGER UD # OPTIONS INDSTILLINGER fw firewall net ipv4

Standardpolitikker for at få adgang til firewall

root @ ns: ~ # cp / usr / share / doc / shorewall / eksempler / one-interface / policy \
/ etc / shorewall /

root @ ns: ~ # nano / etc / shorewall / policy
#SOURCE DEST POLITIK LOG NIVEAUGRÆNSE: BURST $ FW netto ACCEPT
net al DROP info
# FØLGENDE POLITIK SKAL SENESTE alle afvise oplysninger

Regler for adgang til firewall

root @ ns: ~ # cp / usr / share / doc / shorewall / eksempler / one-interface / regler \
/ etc / shorewall /

root @ ns: ~ # nano / etc / shorewall / regler
# ACTION SOURCE DEST PROTO DEST SOURCE ORIGINAL RATE USER / MARK CON $ # PORT PORT (S) DEST LIMIT GROUP? SECTION ALL? SECTION ESTABLIZED? SECTION RELATED? SECTION INVALID? SECTION TRACKED? SECTION NEW # DROP packets in the INVALID state # Disc pakker i ugyldig tilstand Ugyldig (DROP) netto $ FW tcp # Drop Ping fra det "dårlige" netto zone .. og forhindre, at din log bliver oversvømmet .. # Kasser ping fra den "dårlige" netzone. # Forhindre oversvømmelse af systemloggen (/ var / log / syslog) Ping (DROP) netto $ FW # Tillad al ICMP-trafik FRA firewall TIL netzonen # Tillad al ICMP-trafik FRA firewall TIL zonen netto. ACCEPTER $ FW netto icmp

# Egne regler # Adgang via SSH fra to computere
SSH / ACCEPT netto: 172.16.10.1,172.16.10.10 $ FW TCP 22

# Tillad trafik på porte 53 / tcp og 53 / udp
ACCEPT netto $ FW TCP 53
ACCEPTER netto $ FW udp 53

Vi kontrollerer syntaxen for konfigurationsfilerne

root @ ns: ~ # shorewall check
Kontrol ... Behandling / etc / shorewall / params ... Processing /etc/shorewall/shorewall.conf ... Indlæser moduler ... Kontrol / etc / shorewall / zoner ... Kontrol / etc / shorewall / interfaces .. Bestemmelse af værter i zoner ... Lokalisering af handlingsfiler ... Kontrol / etc / shorewall / policy ... Tilføjelse af anti-smurf-regler Kontrol af TCP-flagfiltrering ... Kontrol af kernerute-filtrering ... Kontrol af Mars-logning ... Kontrol Accepter kildedirigering ... Kontrol af MAC-filtrering - fase 1 ... Kontrol / etc / shorewall / regler ... Kontrol / etc / shorewall / konntrack ... Kontrol af MAC-filtrering - fase 2 ... Anvendelse af politikker .. Kontrol /usr/share/shorewall/action.Drop for chain Drop ... Checking /usr/share/shorewall/action.Broadcast for chain Broadcast ... Shorewall configuration verified

root @ ns: ~ # nano / etc / default / shorewall
# forhindre opstart med standardkonfiguration # indstil følgende variabel til 1 for at tillade Shorewall at starte
opstart =1
------

root @ ns: ~ # service shorewall start
root @ ns: ~ # service shorewall genstart
root @ ns: ~ # service shorewall status
● shorewall.service - LSB: Konfigurer firewallen ved opstartstid Loaded: loaded (/etc/init.d/shorewall) Aktiv: aktiv (afsluttet) siden søn 2017-04-30 16:02:24 EDT; 31 minutter siden Process: 2707 ExecStop = / etc / init.d / shorewall stop (code = exited, status = 0 / SUCCESS) Process: 2777 ExecStart = / etc / init.d / shorewall start (code = exited, status = 0 / SUCCES)

Det er meget lærerigt at læse omhyggeligt output af kommandoen iptables -L især med hensyn til standardpolitikkerne for INPUT, FORWARD, OUTPUT og dem, den afviser - afvise Firewall for at beskytte mod eksterne angreb. I det mindste går det til Internettet med lidt beskyttelse, ikke? 😉

root @ ns: ~ # iptables -L

NSD

root @ ns: ~ # aptitude show nsd
Pakke: nsd Ny: ja Status: installeret Installeret automatisk: nej
Version: 4.1.0-3

root @ ns: ~ # aptitude installer nsd
root @ ns: ~ # ls / usr / share / doc / nsd /
bidrag changelog.Debian.gz NSD-DIFFFILE KRAV.gz eksempler changelog.gz NSD-FOR-BIND-BRUGERE.gz TODO.gz copyright-forskelle.pdf.gz README.gz OPGRADERENDE KREDITER NSD-DATABASE RELNOTES.gz

root @ ns: ~ # nano /etc/nsd/nsd.conf
# NSD-konfigurationsfil til Debian. # Se mnsiden nsd.conf (5).
# Se /usr/share/doc/nsd/examples/nsd.conf for en kommentar
# reference konfigurationsfil.
# Den følgende linje inkluderer yderligere konfigurationsfiler fra mappen # /etc/nsd/nsd.conf.d. # ADVARSEL: Globstilen fungerer endnu ikke ... # inkluderer: "/etc/nsd/nsd.conf.d/*.conf" server: logfil: "/var/log/nsd.log" ip-adresse : 172.16.10.30 # lyt på IPv4-forbindelser do-ip4: ja # lyt på IPv6-forbindelser do-ip6: nej # -port at besvare forespørgsler på. standard er 53. port: 53 brugernavn: nsd # I zoner er indstillingen give-xfr for # axfr kontrolzone: navn: fan zonefil: /etc/nsd/fan.zone zone: navn: desdelinux.ventilator
    zonefil: /etc/nsd/desdelinux.fan.zone provide-xfr: 172.16.10.250 NOKEY zone: navn: 10.16.172.i-addr.arpa
    zonefile: /etc/nsd/10.16.172.arpa.zone give-xfr: 172.16.10.250 NOKEY zone: navn: swl.fan zonefile: /etc/nsd/swl.fan.zone zone: navn: debian.fan zonefile: /etc/nsd/debian.fan.zone zone: navn: centos.fan zonefile: /etc/nsd/centos.fan.zone zone: navn: freebsd.fan zonefile: /etc/nsd/freebsd.fan.zone


root @ ns: ~ # nsd-checkconf /etc/nsd/nsd.conf
root @ ns: ~ #

Vi opretter zoner-filer

Root Zone «ventilator.»Konfigureret nedenfor er KUN TESTET og bør ikke tages som et eksempel. Vi er ikke administratorer af ejendomsservere. 😉

root @ ns: ~ # nano /etc/nsd/fan.zone
$ ORIGIN fan. $ TTL 3H @ IN SOA ns.fan. root.fan. (1; seriel 1D; opdater 1H; prøv igen 1W; udløber 3H); minimum eller; Negativ cachetid for at leve; @ IN NS ns.fan. @ IN A 172.16.10.30; ns I A 172.16.10.30

root@ns:~# nano /etc/nsd/desdelinux.fan.zone
$ORIGIN desdelinux.ventilator. $TTL 3H @ IN SOA nr.desdelinux.ventilator. rod.desdelinux.ventilator. (1; seriel 1D; opdatering 1H; prøv igen 1W; udløber 3H); minimum eller ; Negativ caching tid til at leve; @ IN NS ns.desdelinux.ventilator. @ IN MX 10 e-mail.desdelinux.ventilator. @ IN TXT "v=spf1 a:mail.desdelinux.fan -all" ; ; Registrer for at løse graveforespørgsler desdelinux.fan @ IN A 172.16.10.10 ; ns IN A 172.16.10.30 mail IN CNAME   desdelinux.ventilator. chat I CNAME   desdelinux.ventilator. www I CNAME   desdelinux.ventilator. ; ; SRV-poster relateret til XMPP
_xmpp-server._tcp IN SRV 0 0 5269 desdelinux.ventilator.
_xmpp-client._tcp IN SRV 0 0 5222 desdelinux.ventilator.
_jabber._tcp IN SRV 0 0 5269 desdelinux.ventilator.

root @ ns: ~ # nano /etc/nsd/10.16.172.arpa.zone
$ OPRINDELSE 10.16.172.in-addr.arpa.
$TTL 3H @ IN SOA nr.desdelinux.ventilator. rod.desdelinux.ventilator. (1; seriel 1D; opdatering 1H; prøv igen 1W; udløber 3H); minimum eller ; Negativ caching tid til at leve; @ IN NS ns.desdelinux.ventilator. ; 30 I PTR-nr.desdelinux.ventilator. 10 I PTR     desdelinux.ventilator.

root@ns:~# nsd-checkzone desdelinux.fan /etc/nsd/desdelinux.fan.zone
zone desdelinux.fan er ok
root @ ns: ~ # nsd-checkzone 10.16.172.in-addr.arpa /etc/nsd/10.16.172.arpa.zone
zone 10.16.172.in-addr.arpa er ok # På Debian afslutter NSD sin installation aktiveret som standard
root @ ns: ~ # systemctl genstart nsd
root @ ns: ~ # systemctl status nsd
● nsd.service - Navneserver-dæmon indlæst: indlæst (/lib/systemd/system/nsd.service; aktiveret) Aktiv: aktiv (kører) siden sø 2017-04-30 09:42:19 EDT; 21 minutter siden Hoved-PID: 1230 (nsd) CGroup: /system.slice/nsd.service 1230─1235 / usr / sbin / nsd -d -c /etc/nsd/nsd.conf 1249─XNUMX / usr / sbin / nsd - d -c /etc/nsd/nsd.conf XNUMX─XNUMX / usr / sbin / nsd -d -c /etc/nsd/nsd.conf

Kontrol fra selve ns.fan-serveren

root@ns:~# vært desdelinux.ventilator
desdelinux.fan har adresse 172.16.10.10
desdelinux.fan mail håndteres af 10 mail.desdelinux.ventilator.

root@ns:~#hostmail.desdelinux.ventilator
mail.desdelinux.fan er et alias for desdelinux.ventilator.
desdelinux.fan har adresse 172.16.10.10
desdelinux.fan mail håndteres af 10 mail.desdelinux.ventilator.

root@ns:~#hostchat.desdelinux.ventilator
snak.desdelinux.fan er et alias for desdelinux.ventilator.
desdelinux.fan har adresse 172.16.10.10
desdelinux.fan mail håndteres af 10 mail.desdelinux.ventilator.

root@ns:~#host www.desdelinux.ventilator
www.desdelinux.fan er et alias for desdelinux.ventilator.
desdelinux.fan har adresse 172.16.10.10
desdelinux.fan mail håndteres af 10 mail.desdelinux.ventilator.

root@ns:~# vært ns.desdelinux.ventilator
ns.desdelinux.fan har adresse 172.16.10.30

root @ ns: ~ # vært 172.16.10.30
30.10.16.172.in-addr.arpa domænenavn pointer ns.desdelinux.ventilator.

root @ ns: ~ # vært 172.16.10.10
10.10.16.172.in-addr.arpa domænenavn pointer desdelinux.ventilator.

root @ ns: ~ # vært ns.fan
ns.fan har adresse 172.16.10.30

Kontrol af navneopløsning fra Internettet

• De detaljerede DNS-forespørgsler er aldrig for meget, fordi den korrekte funktion af domænenavnopløsningen i høj grad vil afhænge af den korrekte drift af netværket.

For at udføre DNS-forespørgsler tilsluttede jeg min switch - skifte test, en bærbar computer med IP 172.16.10.250 og gateway 172.16.10.1, IP-adresse, der svarer til min arbejdsstation sysadmin.desdelinux.ventilator som kendt fra tidligere artikler.

sandra @ laptop: ~ $ sudo ip addr show
1: hvad: mtu 16436 qdisc noqueue state Ukendt link / loopback 00: 00: 00: 00: 00: 00 brd 00: 00: 00: 00: 00: 00 inet 127.0.0.1/8 scope host lo inet6 :: 1/128 scope host valid_lft evigt foretrukket_lft for evigt 2: eth0: mtu 1500 qdisc pfifo_fast tilstand UP qlen 1000 link / ether 00: 17: 42: 8e: 85: 54 brd ff: ff: ff: ff: ff: ff inet 172.16.10.250/24 brd 172.16.10.255 global scope eth0 inet6 fe80: : 217: 42ff: fe8e: 8554/64 scope link valid_lft for altid foretrukket_lft for evigt 3: wlan0: mtu 1500 qdisc noop-tilstand NED qlen 1000 link / ether 00: 1d: e0: 88: 09: d5 brd ff: ff: ff: ff: ff: ff 4: pan0: mtu 1500 qdisc noop-tilstand NED-link / ether de: 0b: 67: 52: 69: ad brd ff: ff: ff: ff: ff: ff


sandra @ laptop: ~ $ sudo rute -n
Kernel IP-routingtabel Destination Gateway Genmaske Flag Metrisk ref Brug Iface 0.0.0.0 172.16.10.1 0.0.0.0 UG 0 0 0 eth0 172.16.10.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0

sandra @ laptop: ~ $ cat /etc/resolv.conf
navneserver 172.16.10.30

sandra@laptop:~$vært desdelinux.ventilator
desdelinux.fan har adresse 172.16.10.10
desdelinux.fan mail håndteres af 10 mail.desdelinux.ventilator.

sandra @ laptop:~$hostmail.desdelinux.ventilator
mail.desdelinux.fan er et alias for desdelinux.ventilator.
desdelinux.fan har adresse 172.16.10.10
desdelinux.fan mail håndteres af 10 mail.desdelinux.ventilator.

sandra @ laptop:~$ vært ns.desdelinux.ventilator
ns.desdelinux.fan har adresse 172.16.10.30

sandra @ laptop: ~ $ vært 172.16.10.30
30.10.16.172.in-addr.arpa domænenavn pointer ns.desdelinux.ventilator.

sandra @ laptop: ~ $ vært 172.16.10.10
10.10.16.172.in-addr.arpa domænenavn pointer desdelinux.ventilator.

sandra@laptop:~$ vært -t SRV _xmpp-server._tcp.desdelinux.ventilator
_xmpp-server._tcp.desdelinux.fan har SRV-record 0 0 5269 desdelinux.ventilator.

sandra @ laptop:~$ vært -t SRV _xmpp-client._tcp.desdelinux.ventilator
_xmpp-client._tcp.desdelinux.fan har SRV-record 0 0 5222 desdelinux.ventilator.

sandra @ laptop:~$ vært -t SRV _jabber._tcp.desdelinux.ventilator
_jabber._tcp.desdelinux.fan har SRV-record 0 0 5269 desdelinux.ventilator.

sandra @ laptop: ~ $ vært -en fan.
Forsøger "fan" ;; - >> HEADER << - opcode: QUERY, status: NOERROR, id: 57542 ;; flag: qr aa rd; FORESPØRGSEL: 1, SVAR: 3, MYNDIGHED: 0, YDERLIGERE: 1 ;; SPØRGSMÅL: ventilator. I ALLE ;; SVAR-AFSNIT: ventilator. 10800 IN SOA ns.fan. root.fan. 1 86400 3600 604800 10800 blæser. 10800 IN NS ns.fan. ventilator. 10800 IN A 172.16.10.30 ;; EKSTRA SEKTION: ns.fan. 10800 IN A 172.16.10.30 Modtaget 111 bytes fra 172.16.10.30 # 53 i 0 ms

• Vi indstiller bevidst adressen 172.16.10.250  På den bærbare computer for at kontrollere ALT ved hjælp af en DNS AXFR-forespørgsel, da zoner blev konfigureret til at tillade - uden ethvert kodeord - denne type forespørgsel fra den IP.

sandra@laptop:~$ dig desdelinux.fan axfr
; <<>> DiG 9.9.5-9+deb8u6-Debian <<>> desdelinux.fan axfr ;; globale muligheder: +cmd
desdelinux.ventilator. 10800 I SOA nr.desdelinux.ventilator. rod.desdelinux.ventilator. 1 86400 3600 604800 10800
desdelinux.ventilator. 10800 I NS-nr.desdelinux.ventilator.
desdelinux.ventilator. 10800 IN MX 10 e-mail.desdelinux.ventilator.
desdelinux.ventilator. 10800 IN TXT "v=spf1 a:mail.desdelinux.fan -alle"
desdelinux.ventilator. 10800 IN A 172.16.10.10 _jabber._tcp.desdelinux.ventilator. 10800 IN SRV 0 0 5269 desdelinux.ventilator. _xmpp-client._tcp.desdelinux.ventilator. 10800 IN SRV 0 0 5222 desdelinux.ventilator. _xmpp-server._tcp.desdelinux.ventilator. 10800 IN SRV 0 0 5269 desdelinux.ventilator. snak.desdelinux.ventilator. 10800 I CNAME   desdelinux.ventilator. e-mail.desdelinux.ventilator. 10800 I CNAME   desdelinux.ventilator. ns.desdelinux.ventilator. 10800 IN A 172.16.10.30 www.desdelinux.ventilator. 10800 I CNAME   desdelinux.ventilator.
desdelinux.ventilator. 10800 I SOA nr.desdelinux.ventilator. rod.desdelinux.ventilator. 1 86400 3600 604800 10800 ;; Forespørgselstid: 0 msek ;; SERVER: 172.16.10.30#53(172.16.10.30) ;; HVORNÅR: Søn 30. apr 10:37:10 EDT 2017;; XFR-størrelse: 13 poster (meddelelser 1, bytes 428)

sandra @ laptop: ~ $ dig 10.16.172.in-addr.arpa axfr
; <<>> DiG 9.9.5-9+deb8u6-Debian <<>> 10.16.172.in-addr.arpa axfr ;; globale muligheder: +cmd 10.16.172.in-addr.arpa. 10800 I SOA nr.desdelinux.ventilator. rod.desdelinux.ventilator. 1 86400 3600 604800 10800 10.16.172.in-addr.arpa. 10800 I NS-nr.desdelinux.ventilator. 10.10.16.172.in-addr.arpa. 10800 I PTR desdelinux.ventilator. 30.10.16.172.in-addr.arpa. 10800 I PTR-nr.desdelinux.ventilator. 10.16.172.in-addr.arpa. 10800 I SOA nr.desdelinux.ventilator. rod.desdelinux.ventilator. 1 86400 3600 604800 10800 ;; Forespørgselstid: 0 msek ;; SERVER: 172.16.10.30#53(172.16.10.30) ;; HVORNÅR: Søn 30. apr 10:37:27 EDT 2017;; XFR-størrelse: 5 poster (meddelelser 1, bytes 193)

sandra @ laptop:~$ ping ns.desdelinux.ventilator
PING nr.desdelinux.fan (172.16.10.30) 56(84) bytes data.

De nødvendige DNS-forespørgsler blev besvaret korrekt. Vi kontrollerer også, at Shorewall fungerer korrekt, og at den ikke accepterer ping fra computere, der er forbundet til internettet.

Resumé

• Vi så, hvordan man installerer og konfigurerer - med de grundlæggende og minimale muligheder - en autoritativ DNS-server baseret på NSD. Vi bekræfter, at syntaxen for zonefilerne er meget lig den for BIND. På Internettet er der meget god og komplet litteratur om NSD.
• Vi nåede målet om at vise erklæringen om SRV-poster relateret til XMPP.
• Vi hjælper med installation og minimal konfiguration af en Shorewall-baseret firewall.

Næste levering

Forudsæt IM og lokale brugere.