C'est un effort énorme pour réduire en 5 petits articles les Connaissances Précédentes, l'Installation, la Configuration et la Création des Zones et des Vérifications d'un BIND, afin qu'il puisse être compris par le plus grand nombre de lecteurs ce qui est notre objectif fondamental .
Ceux qui ont eu la patience de lire attentivement les parties 1 et 2 de cet article sont maintenant prêts à poursuivre avec la configuration et la mise en place d'un serveur de noms de domaine pour un réseau local.
Aux Nouveaux et à ceux qui ne sont pas très clairs sur les concepts très résumés donnés dans les parties précédentes, nous vous recommandons de les lire et de les étudier avant de continuer. Suspects habituels de désespoir! retour si vous n'avez pas lu attentivement.
Nous verrons ensuite :
- Données principales du LAN
- Configurations d'hôtes minimales
- Modifications du fichier /etc/resolv.conf
- Modifications du fichier /etc/bind/named.conf
- Modifications du fichier /etc/bind/named.conf.option
- Modifications du fichier /etc/bind/named.conf.local
Données principales du LAN
Nom de domaine LAN: amigos.cu Sous-réseau LAN: 192.168.10.0/255.255.255.0 IP du serveur BIND: 192.168.10.10 Nom NetBIOS du serveur: ns
Bien que cela soit évident, n'oubliez pas de modifier les données précédentes pour vous-même.
Configurations d'hôtes minimales
Il est essentiel que les fichiers /etc/network/interfaces et /etc/hosts soient correctement configurés pour un fonctionnement DNS optimal. Si toutes les données ont été renseignées lors de l'installation, aucune modification n'est nécessaire. Le contenu de chaque fichier doit être le suivant :
# contenu du fichier / etc / network / interfaces # Ce fichier décrit les interfaces réseau disponibles sur votre système # et comment les activer. Pour plus d'informations, consultez interfaces (5). # L'interface réseau de bouclage auto lo iface lo inet loopback # L'interface réseau principale allow-hotplug eth0 iface eth0 inet static address 192.168.10.10 netmask 255.255.255.0 network 192.168.10.0 broadcast 192.168.10.255 gateway 192.168.10.2 # dns- * les options sont implémenté par le package resolvconf, si installé dns-nameservers 192.168.10.10 dns-search amigos.cu # content of / etc / hosts 127.0.0.1 localhost 192.168.10.10 ns.amigos.cu ns # Les lignes suivantes sont souhaitables pour les hôtes compatibles IPv6 :: 1 ip6-localhost ip6-loopback fe00 :: 0 ip6-localnet ff00 :: 0 ip6-mcastprefix ff02 :: 1 ip6-allnodes ff02 :: 2 ip6-allrouters
Modifications du fichier /etc/resolv.conf
Pour que nos requêtes et vérifications fonctionnent correctement, il est nécessaire de déclarer notre domaine de recherche et notre serveur DNS local dans la configuration locale de l'hôte. Sans ces paramètres, toute requête DNS échouera. C'est une erreur fréquente chez les débutants. Modifions donc le fichier `/etc/resolv.conf` et ajoutons-y le contenu suivant :
# contenu de /etc/resolv.conf recherche serveur de noms friends.cu 192.168.10.10
Sur l'ordinateur sur lequel nous avons installé le serveur DNS, nous pouvons écrire:
rechercher le serveur de noms amigos.cu 127.0.0.1
Dans le contenu ci-dessus, la déclaration du serveur de noms 127.0.0.1 indique que les requêtes seront effectuées vers localhost.
Une fois notre serveur BIND correctement configuré, nous pouvons effectuer n'importe quelle requête DNS depuis notre hôte, qu'il s'agisse du serveur bind9 lui-même ou d'un autre serveur connecté au réseau, appartenant au même sous-réseau et ayant le même masque de sous-réseau. Pour en savoir plus sur le fichier de configuration, consultez la page de manuel `man resolv.conf`.
Modifications du fichier /etc/bind/named.conf
Pour limiter les requêtes à notre serveur BIND afin qu'elles ne répondent qu'à notre sous-réseau et empêcher une attaque par usurpation d'identité , nous déclarons la liste de contrôle d'accès (ACL) dans le fichier named.conf et la nommons « mired » . Le fichier named.conf devrait ressembler à ceci :
// /etc/bind/named.conf // Il s'agit du fichier de configuration principal du serveur DNS BIND nommé. // // Veuillez lire /usr/share/doc/bind9/README.Debian.gz pour des informations sur // la structure des fichiers de configuration BIND dans Debian, * AVANT * de personnaliser // ce fichier de configuration. // // Si vous ajoutez simplement des zones, veuillez le faire dans /etc/bind/named.conf.local // // Les commentaires en espagnol sont les nôtres // Nous laissons les originaux en anglais // ATTENTION au copier-coller // NE LAISSEZ PAS D'ESPACES VIDES À LA FIN DE CHAQUE LIGNE // // Liste de contrôle d'accès: // Autorisera les requêtes du domaine local et de notre sous-réseau // Dans le fichier inclus named.conf.options, nous y ferons référence . acl mired {127.0.0.0/8; 192.168.10.0/24; }; inclure "/etc/bind/named.conf.options"; inclure "/etc/bind/named.conf.local"; inclure "/etc/bind/named.conf.default-zones"; // fin du fichier /etc/bind/named.conf
Vérifions la configuration de BIND jusqu'à présent et redémarrons le service:
named-checkconf -z service bind9 redémarrage
Modifications du fichier /etc/bind/named.conf.options
Dans la première section, « options », nous déclarerons uniquement les serveurs de transfert autorisés à interroger notre instance BIND. Ensuite, nous déclarerons la clé permettant de contrôler bind9 , et enfin, l'hôte depuis lequel nous pourrons la contrôler. Pour trouver la clé, exécutez la commande `cat /etc/bind/ rndc.key`. Copiez le résultat et collez-le dans le fichier `named.conf.options` . Au final, notre fichier devrait ressembler à ceci :
// /etc/bind/named.conf.options options {// ATTENTION AU COPIE ET AU COLLAGE, S'IL VOUS PLAÎT ... // Répertoire par défaut pour localiser notre répertoire de fichiers de Zones "/ var / cache / bind"; // S'il y a un pare-feu entre vous et les serveurs de noms auxquels vous souhaitez // parler, vous devrez peut-être réparer le pare-feu pour permettre à plusieurs // ports de parler. Voir http://www.kb.cert.org/vuls/id/800113 // Si votre FAI a fourni une ou plusieurs adresses IP pour les serveurs de noms // stables, vous voudrez probablement les utiliser comme redirecteurs. // Décommentez le bloc suivant et insérez les adresses en remplaçant // l'espace réservé du tout-0. // transitaires {// 0.0.0.0; // 0.0.0.0; //} // Les transitaires. Je n'ai pas de meilleure traduction // Les adresses proviennent des serveurs ceniai.net.cu // S'il n'a PAS d'accès Internet, il n'est PAS nécessaire // de les déclarer, sauf si vous avez un LAN plus complexe / / avec des serveurs DNS qui agissent en tant que redirecteurs en dehors // de la plage d'adresses IP de votre sous-réseau. Dans ce cas // vous devez déclarer la ou les adresses IP de ces serveurs. // Les requêtes des redirecteurs sont Cascade. transitaires {169.158.128.136, 169.158.128.88, 1035, 6; 5; }; // Dans un LAN bien configuré, TOUTES les requêtes DNS // doivent être adressées au serveur DNS local de ce LAN, // PAS aux serveurs en dehors du LAN. // Surtout lorsque vous avez accès à Internet, // que ce soit national ou international. Pour cela // nous déclarons les redirecteurs auth-nxdomain no; # conforme à RFC2 listen-on-v86 {any; }; // Protège contre l'usurpation d'identité allow-query {mired; }; }; // Contenu du fichier / etc / bind / rndc-key // obtenu via cat / etc / bind / rndc-key // N'oubliez pas de le changer si nous régénérons la clé "rndc-key" {algorithme hmac-md6; secret "dlOFESXTp127.0.0.1wYLaXNUMXvQNUXNUMXw =="; }; // À partir de quel hôte nous contrôlerons et à travers quels contrôles clés {inet XNUMX allow {localhost; } clés {rndc-key; }; }; // fin du fichier /etc/bind/named.conf.options
Vérifions la configuration de BIND jusqu'à présent et redémarrons le service:
named-checkconf -z service bind9 redémarrage
Nous avons décidé d'inclure en commentaires les aspects fondamentaux qui pourront servir de référence pour les consultations futures.
Le fait de déclarer les Forwarders, convertit notre serveur BIND Local en un serveur Caché, en conservant sa fonctionnalité Primary Master. Lorsque nous demandons un hôte ou un domaine externe, la réponse -si elle est positive- sera stockée dans son cache, de sorte que lorsque nous lui demandons à nouveau pour le même hôte ou pour le même domaine externe, nous obtenons une réponse rapide par non consulter les DNS externes.
Modifications du fichier /etc/bind/named.conf.local
Dans ce fichier, nous déclarons les zones locales de notre domaine. Nous devons inclure au minimum les zones directe et inverse. N'oubliez pas que dans le fichier de configuration `/etc/bind/ named.conf.options`, nous déclarons le répertoire où seront stockés les fichiers de zone à l'aide de la directive `directory`. Le fichier final devrait ressembler à ceci :
// /etc/bind/named.conf.local // // Faites n'importe quelle configuration locale ici // // Pensez à ajouter les zones 1918 ici, si elles ne sont pas utilisées dans votre // organisation // inclure "/ etc / bind /zones.rfc1918 "; // Les noms des fichiers dans chaque zone sont // au goût du consommateur. Nous avons choisi amigos.cu.hosts // et 192.168.10.rev parce qu'ils nous clarifient // leur contenu. Il n'y a plus de mystère // // Les noms des zones NE SONT PAS ARBITRAIRES // et correspondront au nom de notre domaine // et du sous-réseau LAN // Zone principale principale: tapez "Direct" zone "amigos.cu" {maître de type; fichier "amigos.cu.hosts"; }; // Zone principale principale: type "Inverse" zone "10.168.192.in-addr.arpa" {type master; fichier "192.168.10.rev"; }; // Fin du fichier named.conf.local
Pour vérifier la configuration de BIND jusqu'à présent:
nommé-checkconf -z
La commande précédente renverra une erreur jusqu'à ce que les fichiers de zone n'existent pas. L'essentiel est qu'il nous avertit que les zones déclarées dans named.conf.local ne seront pas chargées, car les fichiers d'enregistrements DNS n'existent tout simplement pas, ce qui est vrai pour le moment. Nous pouvons avancer.
Redémarrons le service pour que les modifications soient prises en compte:
redémarrage du service bind9
Comme nous ne voulons pas que chaque publication soit très longue, nous aborderons le problème de la création des fichiers de la zone locale dans la 4ème partie suivante. Jusque-là amis!