NSD autoritaarne DNS-server + Shorewall - VKE võrgud

Seeria üldindeks: Arvutivõrgud VKEdele: sissejuhatus

See artikkel on jätk:

• Kalmaari + PAM-i autentimine CentOS 7-s.
• Kohalik kasutaja ja rühma haldamine

Tere sõbrad ja sõbrad!

Rühm Harrastajad ostis Interneti-domeeninime desdelinux.fänn Interneti-teenuse pakkuja või ISP. Selle omandamise osana palusid nad oma Interneti-teenuse pakkujal lisada kõik DNS-kirjed, mis on vajalikud nende domeeni asjakohaste päringute jaoks Internetist lahendamiseks.

Samuti taotlesid nad SRV dokumentide lisamist XMPP kuna neil on kavas installida kiirsuhtlusserver selle põhjal Prosoodia mis ühineb Internetis olevate ühilduvate XMMP-serverite olemasoleva föderatsiooniga.

• Selle artikli peamine eesmärk on näidata, kuidas saame DNS-tsoonifailis kajastada XMPP-ga ühilduva kiirsõnumiteenusega seotud SRV-kirjeid..
• Programmi installimine Kaldasein ühe võrguliidese abil saab see teenida neid, kes otsustavad delegeeritud DNS-i tsooni haldamiseks installida sellise serveri. Kui see server ühendub lisaks Internetile ka ettevõtte LAN-iga, tuleb kahe võrguliidese kasutamiseks teha vajalikud sätted.

Põhiserver

Paigaldame autoriteetse DNS-serveri NSD Debian "Jessie". See on "fänni" juurserver. Serveri peamised parameetrid on:

Nimi: ns.fan IP-aadress: 172.16.10.30 juur @ ns: ~ # hostinimi
ns

juur @ ns: ~ # hostinimi --fqdn
ns.fänn

juur @ ns: ~ # ip addr show
1: mida: mtu 65536 qdisc noqueue state Tundmatu grupi vaikelink / loopback 00: 00: 00: 00: 00: 00 brd 00: 00: 00: 00: 00: 00 inet 127.0.0.1/8 hatóala host lo valid_lft forever prefer_lft forever inet6 :: 1/128 ulatuse host valid_lft igavesti eelistatud_lft igavesti 2: eth0: mtu 1500 qdisc pfifo_fast olek UP grupi vaikimisi qlen 1000 link / eeter 00: 0c: 29: dc: d7: 1b brd ff: ff: ff: ff: ff: ff inet 172.16.10.30/24 brd 172.16.10.255 ulatus globaalne eth0 valid_lft igavesti eelistatud_lft igavesti inet6 fe80 :: 20c: 29ff: fedc: d71b / 64 ulatuse link valid_lft igavesti eelistatud_lft igavesti

Kaldasein

Enne lahkumist teenusega WWW külla on väga positiivne kaitsta serverit ja selle teenuseid võimsa tulemüüri - ruuteri kaudu. Shorewalli on suhteliselt lihtne konfigureerida ja see on turvaline võimalus kaitseks.

• Tulemüüri korrektne ja täielik seadistamine on teadjate või ekspertide ülesanne, mida me ei ole. Pakume juhendit ainult minimaalse ja funktsionaalse konfiguratsiooni jaoks.

Paigaldame kaldaseina paketi ja selle dokumentatsiooni.

root @ ns: ~ # sobivuse näitamine kaldasein
Pakett: kaldasein Uus: jah Seisund: paigaldamata
Versioon: 4.6.4.3-2

root @ ns: ~ # aptitude installi kaldasein shorewall-doc

dokumentatsioon

Kaustadest leiate palju dokumente:

• / usr / share / doc / shorewall
• / usr / share / doc / shorewall / näited
• / usr / share / doc / shorewall-doc / html

Seadistame võrguliidese jaoks

root @ ns: ~ # cp / usr / share / doc / shorewall / näited / one-interface / liidesed \
/ etc / shorewall /

root @ ns: ~ # nano / etc / shorewall / liidesed
# Tsooni liidese valikud net0 tcpflags, logmartians, nosmurfs, sourceroute = 0

Kuulutame välja tulemüüri tsoonid

root @ ns: ~ # cp / usr / share / doc / shorewall / näited / one-interface / zone \
/ etc / shorewall /

root @ ns: ~ # nano / etc / shorewall / tsoonid
#ZONE TYPE OPTIONS IN OUT # OPTIONS OPTIONS fw tulemüür net ipv4

Tulemüürile juurdepääsu vaikepoliitikad

juur @ ns: ~ # cp / usr / share / doc / shorewall / näited / one-interface / policy \
/ etc / shorewall /

root @ ns: ~ # nano / etc / shorewall / policy
# SOURCE DEST POLITIKA LOGI TASEME PIIR: BURST $ FW netovastuvõtu
net kogu DROPi teave
# JÄRGNEV POLIITIKA PEAB OLEMA KÕIK KÕIGE KÕIK KÕRGEMMINE

Tulemüürile juurdepääsu reeglid

root @ ns: ~ # cp / usr / share / doc / shorewall / näited / one-interface / rules \
/ etc / shorewall /

root @ ns: ~ # nano / etc / shorewall / reeglid
#ACTION SOURCE DEST PROTO DEST SOURCE ORIGINAL RATE USER / MARK CON $ # SADAMASADAMA (D) DEST LIMIT GROUP? JAGU KÕIK? JAGU LOODUD? JAGU SEOTUD? JAGU SEOTUD? JAGU JÄLGITAMATA? JAGU UUS # PAKENDA PAKETID KEHTIVAS olekus # visake vigases olekus olevad paketid Invalid (DROP) net $ FW tcp # Drop Ping from "bad" neto tsoon .. ja takista oma logi üleujutamist .. # Viska Ping "halva" võrgutsooni alt ära. # Süsteemilogi üleujutuste vältimine (/ var / log / syslog) Ping (DROP) net $ FW # Luba kogu ICMP-liiklus tulemüürist võrgutsooni # Luba kogu ICMP-liiklus tulemüürist tsooni neto. VASTU $ FW net icmp

# Oma reeglid # Juurdepääs SSH kaudu kahest arvutist
SSH / ACCEPT võrk: 172.16.10.1,172.16.10.10 $ FW tcp 22

# Lubage liiklus sadamates 53 / tcp ja 53 / udp
VASTU NET $ FW tcp 53
VASTU NET $ FW udp 53

Kontrollime konfiguratsioonifailide süntaksit

juur @ ns: ~ # kaldaseina kontroll
Kontrollimine ... / etc / shorewall / params töötlemine ... /etc/shorewall/shorewall.conf töötlemine ... Moodulite laadimine ... / etc / shorewall / tsoonide kontrollimine / etc / shorewall / liideste kontrollimine ... Hostide kindlaksmääramine tsoonides ... Tegevusfailide leidmine ... / etc / shorewall / policy kontrollimine ... Smurfivastaste reeglite lisamine TCP lippude filtreerimise kontrollimine ... Kerneli marsruudi filtreerimise kontrollimine ... Marsi logimise kontrollimine Allika marsruutimine ... MAC-i filtreerimise kontrollimine - 1. etapp ... / etc / shorewall / reeglite kontrollimine ... / etc / shorewall / conntracki kontrollimine ... MAC-i filtreerimise kontrollimine - 2. etapp ... Poliitikate rakendamine ... Kontrollimine / usr / share / shorewall / action. Kett Dropi langus ... Kontrollib /usr/share/shorewall/action. Broadcast kettülekande jaoks ... Shorewalli konfiguratsioon kontrollitud

juur @ ns: ~ # nano / etc / default / shorewall
# takistab käivitamist vaikekonfiguratsiooniga # määrake Shorewalli käivitamiseks järgmine muutuja väärtuseks 1
käivitus =1
------

root @ ns: ~ # teenuse kaldsein algab
root @ ns: ~ # teenuse kaldsein taaskäivitatakse
root @ ns: ~ # teenuse kaldaseina olek
● shorewall.service - LSB: tulemüüri konfigureerimine alglaadimise ajal Laaditud: laaditud (/etc/init.d/shorewall) Aktiivne: aktiivne (väljunud) alates pühapäevast 2017-04-30 16:02:24 EDT; 31min tagasi Protsess: 2707 ExecStop = / etc / init.d / shorewall stop (kood = exit, status = 0 / SUCCESS) Protsess: 2777 ExecStart = / etc / init.d / shorewall start (kood = exited, status = 0 / EDU)

On väga hariv käsu väljundit hoolikalt lugeda iptables -L eriti mis puudutab INPUT, FORWARD, OUTPUT ja nende poolt tagasi lükatud vaikepoliitikaid - tagasi lükkama välise rünnaku eest kaitsmiseks. Vähemalt läheb see väikese kaitsega Internetti, eks? 😉

juur @ ns: ~ # iptables -L

NSD

juur @ ns: ~ # sobivusnäitus nsd
Pakett: nsd Uus: jah Olek: installitud Paigaldatakse automaatselt: ei
Versioon: 4.1.0-3

root @ ns: ~ # aptitude installib nsd
juur @ ns: ~ # ls / usr / share / doc / nsd /
kaastöö changelog.Debian.gz NSD-DIFFIILSED NÕUDED.gz näited changelog.gz NSD-FOR-BIND-USERS.gz TODO.gz autoriõiguste erinevused.pdf.gz README.gz KREDIIDIDE UUENDAMINE NSD-ANDMEBAASI RELNOTES.gz

juur @ ns: ~ # nano /etc/nsd/nsd.conf
# Debiani NSD konfiguratsioonifail. # Vaadake mans lehte nsd.conf (5).
# Vaadake kommenteeritud kohta /usr/share/doc/nsd/examples/nsd.conf
# viide konfiguratsioonifailile.
# Järgmine rida sisaldab täiendavaid konfiguratsioonifaile kataloogist # /etc/nsd/nsd.conf.d. # HOIATUS: globaalne stiil ei tööta veel ... # sisaldab: "/etc/nsd/nsd.conf.d/*.conf" server: logifail: "/var/log/nsd.log" ip-aadress : 172.16.10.30 # kuulata IPv4-ühendusi do-ip4: jah # kuulata IPv6-ühendusi do-ip6: ei # porti, et päringutele vastata. vaikeväärtus on 53. port: 53 kasutajanimi: nsd # Tsoonides on valik pakkuda-xfr # axfr kontrolli tsooni jaoks: nimi: fännitsoonifail: /etc/nsd/fan.zone zone: name: desdelinux.fänn
    zonefile: /etc/nsd/desdelinux.fan.zone provide-xfr: 172.16.10.250 NOKEY tsoon: nimi: 10.16.172.aadres.arpa
    zonefile: /etc/nsd/10.16.172.arpa.zone pakkuda-xfr: 172.16.10.250 NOKEY tsoon: nimi: swl.fan zonefile: /etc/nsd/swl.fan.zone zone: nimi: debian.fan zonefile: /etc/nsd/debian.fan.zone zone: nimi: centos.fan zonefile: /etc/nsd/centos.fan.zone zone: nimi: freebsd.fan zonefile: /etc/nsd/freebsd.fan.zone


juur @ ns: ~ # nsd-checkconf /etc/nsd/nsd.conf
juur @ ns: ~ #

Loome Zones-failid

Juurevöönd «fänn.»Allpool on konfigureeritud AINULT TESTIMISEKS ja seda ei tohiks võtta näitena. Me ei ole kinnisvara nimeserverite administraatorid. 😉

juur @ ns: ~ # nano /etc/nsd/fan.zone
Fänn $ ORIGIN. $ TTL 3H @ IN SOA ns.fan. juur.fänn. (1; järjestikune 1D; värskenda 1H; proovige uuesti 1W; aegub 3H); minimaalselt või; Negatiivne vahemällu salvestamise aeg; @ IN NS ns.fan. @ IN A 172.16.10.30; ns IN A-s 172.16.10.30

root@ns:~# nano /etc/nsd/desdelinux.fännitsoon
$ ORIGIN desdelinux.fänn. $TTL 3H @ IN SOA nr.desdelinux.fänn. juur.desdelinux.fänn. (1; seeria 1D; värskenda 1H; proovi uuesti 1W; aegu 3H); minimaalne või ; Negatiivne vahemällu salvestamise aeg ; @ IN NS ns.desdelinux.fänn. @ IN MX 10 e-kiri.desdelinux.fänn. @ IN TXT "v=spf1 a:mail.desdelinux.fan -all" ; ; Registreerige kaevamispäringute lahendamiseks desdelinux.fan @ IN A 172.16.10.10 ; ns IN A 172.16.10.30 mail IN CNAME   desdelinux.fänn. vestelda CNAME'is   desdelinux.fänn. www IN CNAME   desdelinux.fänn. ; ; XMPP-ga seotud SRV kirjed
_xmpp-server._tcp IN SRV 0 0 5269 desdelinux.fänn.
_xmpp-client._tcp IN SRV 0 0 5222 desdelinux.fänn.
_jabber._tcp SRV-s 0 0 5269 desdelinux.fänn.

juur @ ns: ~ # nano /etc/nsd/10.16.172.arpa.zone
$ ORIGIN 10.16.172.in-addr.arpa.
$TTL 3H @ IN SOA nr.desdelinux.fänn. juur.desdelinux.fänn. (1; seeria 1D; värskenda 1H; proovi uuesti 1W; aegu 3H); minimaalne või ; Negatiivne vahemällu salvestamise aeg ; @ IN NS ns.desdelinux.fänn. ; 30 IN PTR nr.desdelinux.fänn. 10 IN PTR     desdelinux.fänn.

root@ns:~# nsd-checkzone desdelinux.fan /etc/nsd/desdelinux.fännitsoon
tsoon desdelinux.fänniga on kõik korras
root @ ns: ~ # nsd-checkzone 10.16.172.in-addr.arpa /etc/nsd/10.16.172.arpa.zone
tsoon 10.16.172.in-addr.arpa on korras # Debianis lõpetab NSD installimise vaikimisi lubatud
root @ ns: ~ # systemctl taaskäivitage nsd
juur @ ns: ~ # systemctl olek nsd
● nsd.service - nimeserveri deemon laaditud: laaditud (/lib/systemd/system/nsd.service; lubatud) Aktiivne: aktiivne (töötab) alates P 2017-04-30 09:42:19 EDT; 21min tagasi PID: 1230 (nsd) CGroup: /system.slice/nsd.service ├─1230 / usr / sbin / nsd -d -c /etc/nsd/nsd.conf ├─1235 / usr / sbin / nsd - d -c /etc/nsd/nsd.conf └─1249 / usr / sbin / nsd -d -c /etc/nsd/nsd.conf

Kontrollib serverit ns.fan ise

root@ns:~# host desdelinux.fänn
desdelinux.fänni aadress on 172.16.10.10
desdelinux.fännipostiga tegeleb 10 kiri.desdelinux.fänn.

root@ns:~#hostmail.desdelinux.fänn
mail.desdelinux.fan on pseudonüüm desdelinux.fänn.
desdelinux.fänni aadress on 172.16.10.10
desdelinux.fännipostiga tegeleb 10 kiri.desdelinux.fänn.

root@ns:~#hostchat.desdelinux.fänn
vestlus.desdelinux.fan on pseudonüüm desdelinux.fänn.
desdelinux.fänni aadress on 172.16.10.10
desdelinux.fännipostiga tegeleb 10 kiri.desdelinux.fänn.

root@ns:~#host www.desdelinux.fänn
www.desdelinux.fan on pseudonüüm desdelinux.fänn.
desdelinux.fänni aadress on 172.16.10.10
desdelinux.fännipostiga tegeleb 10 kiri.desdelinux.fänn.

root@ns:~# host ns.desdelinux.fänn
ns.desdelinux.fänni aadress on 172.16.10.30

juur @ ns: ~ # host 172.16.10.30
30.10.16.172.in-addr.arpa domeeninime osuti ns.desdelinux.fänn.

juur @ ns: ~ # host 172.16.10.10
10.10.16.172.in-addr.arpa domeeninime kursor desdelinux.fänn.

juur @ ns: ~ # host ns.fan
ns.fani aadress on 172.16.10.30

Nimede lahendamise kontroll Internetist

• Üksikasjalikke DNS-päringuid pole kunagi liiga palju, sest domeeninime eraldusvõime õige toimimine sõltub suurel määral võrgu õigest toimimisest.

DNS-päringute tegemiseks ühendasin oma lülitiga - lüliti test, IP-ga sülearvuti 172.16.10.250 ja värav 172.16.10.1, IP-aadress, mis vastab minu tööjaamale sysadmin.desdelinux.fänn nagu on teada varasematest artiklitest.

sandra @ sülearvuti: ~ $ sudo ip addr show
1: mida: mtu 16436 qdisc noqueue state Tundmatu link / loopback 00: 00: 00: 00: 00: 00 brd 00: 00: 00: 00: 00: 00 inet 127.0.0.1/8 hatóala host lo inet6 :: 1/128 hatóala host valid_lft igavesti eelistatud_lft igavesti 2: eth0: mtu 1500 qdisc pfifo_fast state UP qlen 1000 link / eeter 00: 17: 42: 8e: 85: 54 brd ff: ff: ff: ff: ff: ff inet 172.16.10.250/24 brd 172.16.10.255 globaalne ulatus eth0 inet6 fe80: : 217: 42ff: fe8e: 8554/64 ulatuse link valid_lft igavesti eelistatud_lft igavesti 3: wlan0: mtu 1500 qdisc noop olek DOWN qlen 1000 link / eeter 00: 1d: e0: 88: 09: d5 brd ff: ff: ff: ff: ff: ff 4: pan0: mtu 1500 qdisc noop olek DOWN link / eeter de: 0b: 67: 52: 69: ad brd ff: ff: ff: ff: ff: ff


sandra @ sülearvuti: ~ $ sudo marsruut -n
Tuuma IP-marsruutimistabel Sihtkäigu lüüsi genmaski lipud mõõdikud Ref Kasuta Iface 0.0.0.0 172.16.10.1 0.0.0.0 UG 0 0 0 eth0 172.16.10.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0

sandra @ sülearvuti: ~ $ kass /etc/resolv.conf
nimeserverite 172.16.10.30

sandra@sülearvuti:~$host desdelinux.fänn
desdelinux.fänni aadress on 172.16.10.10
desdelinux.fännipostiga tegeleb 10 kiri.desdelinux.fänn.

sandra @ sülearvuti:~$hostmail.desdelinux.fänn
mail.desdelinux.fan on pseudonüüm desdelinux.fänn.
desdelinux.fänni aadress on 172.16.10.10
desdelinux.fännipostiga tegeleb 10 kiri.desdelinux.fänn.

sandra @ sülearvuti:~$ host ns.desdelinux.fänn
ns.desdelinux.fänni aadress on 172.16.10.30

sandra @ sülearvuti: ~ $ host 172.16.10.30
30.10.16.172.in-addr.arpa domeeninime osuti ns.desdelinux.fänn.

sandra @ sülearvuti: ~ $ host 172.16.10.10
10.10.16.172.in-addr.arpa domeeninime kursor desdelinux.fänn.

sandra@sülearvuti:~$ host -t SRV _xmpp-server._tcp.desdelinux.fänn
_xmpp-server._tcp.desdelinux.fännil on SRV rekord 0 0 5269 desdelinux.fänn.

sandra @ sülearvuti:~$ host -t SRV _xmpp-client._tcp.desdelinux.fänn
_xmpp-klient._tcp.desdelinux.fännil on SRV rekord 0 0 5222 desdelinux.fänn.

sandra @ sülearvuti:~$ host -t SRV _jabber._tcp.desdelinux.fänn
_jabber._tcp.desdelinux.fännil on SRV rekord 0 0 5269 desdelinux.fänn.

sandra @ laptop: ~ $ host -a fänn.
"Ventilaatori" proovimine ;; - >> HEADER << - opcode: QUERY, staatus: NOERROR, id: 57542 ;; lipud: qr aa rd; Päring: 1, VASTUS: 3, AUTORITEET: 0, TÄIENDAV: 1 ;; KÜSIMUSJAGU :; ventilaator. KÕIGES ;; VASTUSJAGU: ventilaator. 10800 SOA-s. Ventilaator. juur.fänn. 1 86400 3600 604800 10800 ventilaator. 10800 IN NS ns.fan. fänn. 10800 IN A 172.16.10.30 ;; TÄIENDAV JAOTIS: ns.fan. 10800 IN A 172.16.10.30 Sai 111 baiti 172.16.10.30 # 53-st 0 ms jooksul

• Panime aadressi tahtlikult paika 172.16.10.250  Sülearvutil, et kontrollida KÕIKI DNS-i AXFR-päringu abil, kuna tsoonid olid konfigureeritud lubama seda tüüpi IP-päringuid ilma paroolita.

sandra@sülearvuti:~$ dig desdelinux.fänn axfr
; <<>> DiG 9.9.5-9+deb8u6-Debian <<>> desdelinux.fan axfr ;; globaalsed valikud: +cmd
desdelinux.fänn. 10800 IN SOA nr.desdelinux.fänn. juur.desdelinux.fänn. 1 86400 3600 604800 10800 XNUMX
desdelinux.fänn. 10800 IN NS nr.desdelinux.fänn.
desdelinux.fänn. 10800 IN MX 10 meil.desdelinux.fänn.
desdelinux.fänn. 10800 IN TXT "v=spf1 a:mail.desdelinux.fänn -kõik"
desdelinux.fänn. 10800 IN A 172.16.10.10 _jabber._tcp.desdelinux.fänn. 10800 SRV 0 0 5269 desdelinux.fänn. _xmpp-klient._tcp.desdelinux.fänn. 10800 SRV 0 0 5222 desdelinux.fänn. _xmpp-server._tcp.desdelinux.fänn. 10800 SRV 0 0 5269 desdelinux.fänn. vestlus.desdelinux.fänn. 10800 IN CNAME   desdelinux.fänn. email.desdelinux.fänn. 10800 IN CNAME   desdelinux.fänn. ns.desdelinux.fänn. 10800 IN A 172.16.10.30 www.desdelinux.fänn. 10800 IN CNAME   desdelinux.fänn.
desdelinux.fänn. 10800 IN SOA nr.desdelinux.fänn. juur.desdelinux.fänn. 1 86400 3600 604800 10800 ;; Päringu aeg: 0 msek ;; SERVER: 172.16.10.30#53(172.16.10.30) ;; MILLAL: P 30. aprill 10:37:10 EDT 2017 ;; XFR suurus: 13 kirjet (sõnumeid 1, baiti 428)

sandra @ sülearvuti: ~ $ dig 10.16.172.in-addr.arpa axfr
; <<>> DiG 9.9.5-9+deb8u6-Debian <<>> 10.16.172.in-addr.arpa axfr ;; globaalsed valikud: +cmd 10.16.172.in-addr.arpa. 10800 IN SOA nr.desdelinux.fänn. juur.desdelinux.fänn. 1 86400 3600 604800 10800 10.16.172.in-addr.arpa. 10800 IN NS nr.desdelinux.fänn. 10.10.16.172.in-addr.arpa. 10800 IN PTR desdelinux.fänn. 30.10.16.172.in-addr.arpa. 10800 IN PTR nr.desdelinux.fänn. 10.16.172.in-addr.arpa. 10800 IN SOA nr.desdelinux.fänn. juur.desdelinux.fänn. 1 86400 3600 604800 10800 ;; Päringu aeg: 0 msek ;; SERVER: 172.16.10.30#53(172.16.10.30) ;; MILLAL: P 30. aprill 10:37:27 EDT 2017 ;; XFR suurus: 5 kirjet (sõnumeid 1, baiti 193)

sandra @ sülearvuti:~$ ping ns.desdelinux.fänn
PING nr.desdelinux.fan (172.16.10.30) 56(84) baiti andmeid.

Vajalikele DNS-päringutele vastati õigesti. Samuti kontrollime, kas Shorewall töötab õigesti ja kas see ei aktsepteeri ping Internetiga ühendatud arvutitest.

Kokkuvõte

• Nägime, kuidas installida ja konfigureerida - põhi- ja miinimumvõimalustega - autoriteetne DNS-server, mis põhineb NSD-l. Kontrollime, et tsoonifailide süntaks on väga sarnane BIND-i süntaksiga. Internetis on NSD kohta väga head ja täielikku kirjandust.
• Saavutasime eesmärgi kuvada XMPP-ga seotud SRV-kirjete deklaratsioon.
• Aitame Shorewallil põhineva tulemüüri installimisel ja minimaalsel seadistamisel.

Järgmine kohaletoimetamine

Prosody IM ja kohalikud kasutajad.