NSD autoritær DNS-server + strandvegg - SME-nettverk

Generell indeks for serien: Datanettverk for SMB: Introduksjon

Denne artikkelen er en fortsettelse av:

• Squid + PAM-autentisering på CentOS 7.
• Lokal bruker- og gruppeledelse

Hei venner og venner!

Gruppen Entusiaster kjøpte domenenavnet på internett desdelinux.fan til Internett-leverandøren din eller ISP. Som en del av dette anskaffelsen ba de ISP om å ta med alle DNS-postene som er nødvendige for at de aktuelle spørsmålene angående domenet deres skal løses fra Internett.

De ba også om at SRV-poster ble inkludert om XMPP fordi de planlegger å installere en direktemeldingsserver basert på prosodi som vil bli med i den eksisterende sammenslutningen av kompatible XMMP-servere på Internett.

• Hovedformålet med denne artikkelen er å vise hvordan vi kan gjenspeile SRV-postene relatert til den XMPP-kompatible direktemeldingstjenesten i en DNS-sonefil..
• Installasjonen av Strandvegg med et enkelt nettverksgrensesnitt kan det tjene de som bestemmer seg for å installere en server som denne for å administrere en delegert DNS-sone. Hvis denne serveren kobles til Enterprise LAN i tillegg til Internett, må du gjøre de nødvendige innstillingene for å bruke to nettverksgrensesnitt.

Baseserver

Vi skal installere en autoritativ DNS-server NSD på Debian "Jessie". Dette er rotserveren for "fanen". Hovedparametrene til serveren er:

Navn: ns.fan IP-adresse: 172.16.10.30 root @ ns: ~ # vertsnavn
ns

root @ ns: ~ # vertsnavn - fqdn
ns.fan

root @ ns: ~ # ip addr show
1: hva: mtu 65536 qdisc noqueue state Ukjent gruppe standardlink / loopback 00: 00: 00: 00: 00: 00 brd 00: 00: 00: 00: 00: 00 inet 127.0.0.1/8 scope host lo valid_lft forever foretrukket_lft for alltid inet6 :: 1/128 omfang vert valid_lft for alltid foretrukket_lft for alltid 2: eth0: mtu 1500 qdisc pfifo_fast state UP group standard qlen 1000 link / eter 00: 0c: 29: dc: d7: 1b brd ff: ff: ff: ff: ff: ff inet 172.16.10.30/24 brd 172.16.10.255 scope global eth0 valid_lft for alltid foretrukket_lft for alltid inet6 fe80 :: 20c: 29ff: fedc: d71b / 64 scope link valid_lft for alltid foretrukket_lft for alltid

Strandvegg

Før du reiser med en tjeneste til WWW Village, er det veldig positivt å beskytte serveren og tjenestene den tilbyr gjennom en kraftig brannmur - ruter. Shorewall er relativt enkelt å konfigurere og er et trygt alternativ for beskyttelse.

• Den riktige og komplette konfigurasjonen av en brannmur er oppgaven til kjennere eller eksperter, noe vi ikke er. Vi tilbyr bare en guide for en minimal og funksjonell konfigurasjon.

Vi installerer strandveggpakken og dens dokumentasjon.

root @ ns: ~ # aptitude show shorewall
Pakke: strandvegg Ny: ja Tilstand: ikke installert
Versjon: 4.6.4.3-2

root @ ns: ~ # aptitude installer shorewall shorewall-doc

dokumentasjon

Du finner rikelig med dokumentasjon i mappene:

• / usr / del / doc / strandvegg
• / usr / del / doc / strandvegg / eksempler
• / usr / share / doc / shorewall-doc / html

Vi konfigurerer for et nettverksgrensesnitt

root @ ns: ~ # cp / usr / share / doc / strandvegg / eksempler / ett-grensesnitt / grensesnitt \
/ etc / strandvegg /

root @ ns: ~ # nano / etc / shorewall / interfaces
#ZONE INTERFACE OPTIONS net eth0 tcpflags, logmartians, nosmurfs, sourceroute = 0

Vi erklærer brannmurssonene

root @ ns: ~ # cp / usr / share / doc / strandvegg / eksempler / ett-grensesnitt / soner \
/ etc / strandvegg /

root @ ns: ~ # nano / etc / strandvegg / soner
#ZONE TYPE ALTERNATIVER UT # ALTERNATIV ALTERNATIV fw brannmur nett ipv4

Standard policyer for tilgang til brannmuren

root @ ns: ~ # cp / usr / share / doc / strandvegg / eksempler / ett-grensesnitt / policy \
/ etc / strandvegg /

root @ ns: ~ # nano / etc / strandvegg / policy
#SOURCE DEST POLICY LOG LEVEL LIMIT: BURST $ FW netto ACCEPT
netto all DROP info
# FØLGENDE RETNINGSLINJER MÅ VÆRE SISTE alle avvise info

Regler for tilgang til brannmuren

root @ ns: ~ # cp / usr / share / doc / strandvegg / eksempler / ett-grensesnitt / regler \
/ etc / strandvegg /

root @ ns: ~ # nano / etc / strandvegg / regler
# ACTION SOURCE DEST PROTO DEST SOURCE ORIGINAL RATE USER / MARK CON $ # PORT PORT (S) DEST LIMIT GROUP? SECTION ALL? SECTION ESTABLIZED? SECTION RELATED? SECTION INVALID? SECTION UNTRACKED pakker i ugyldig tilstand Ugyldig (DROP) netto $ FW tcp # Drop Ping fra "dårlig" nett sone .. og hindre at loggen din blir oversvømmet .. # Kast ping fra den "dårlige" netsonen. # Forhindre oversvømmelse av systemloggen (/ var / log / syslog) Ping (DROP) netto $ FW # Tillat all ICMP-trafikk FRA brannmuren TIL nettsonen # Tillat all ICMP-trafikk FRA brannmuren TIL sonen nett. Aksepter $ FW netto icmp

# Egne regler # Tilgang via SSH fra to datamaskiner
SSH / ACCEPT netto: 172.16.10.1,172.16.10.10 $ FW tcp 22

# Tillat trafikk på portene 53 / tcp og 53 / udp
Aksepterer netto $ FW tcp 53
Aksepterer netto $ FW udp 53

Vi sjekker syntaksen til konfigurasjonsfilene

root @ ns: ~ # strandveggsjekk
Kontrollerer ... Behandler / etc / strandvegg / params ... Behandler /etc/shorewall/shorewall.conf ... Laster inn moduler ... Kontrollerer / etc / strandvegg / soner ... Kontrollerer / etc / strandvegg / grensesnitt .. Bestemme verter i soner ... Finne handlingsfiler ... Kontrollere / etc / strandvegg / policy ... Legge til anti-smurf-regler Kontrollere TCP-flaggfiltrering ... Kontrollere kjernerutefiltrering ... Kontrollerer marslogging ... Kontrollerer Godta kildesending ... Kontrollere MAC-filtrering - fase 1 ... Kontrollere / etc / strandvegg / regler ... Kontrollere / etc / strandvegg / tilkobling ... Kontrollere MAC-filtrering - fase 2 ... Bruke retningslinjer .. Kontrollerer /usr/share/shorewall/action.Drop for chain Drop ... Kontrollerer /usr/share/shorewall/action.Broadcast for chain Broadcast ... Shorewall konfigurasjon bekreftet

root @ ns: ~ # nano / etc / default / strandvegg
# forhindre oppstart med standardkonfigurasjon # sett følgende varible til 1 for å tillate Shorewall å starte
oppstart =1
------

root @ ns: ~ # service strandvegg start
root @ ns: ~ # service shorewall restart
root @ ns: ~ # service strandvegg status
● shorewall.service - LSB: Konfigurer brannmuren ved oppstartstid Lastet: lastet (/etc/init.d/shorewall) Aktiv: aktiv (avsluttet) siden søn 2017-04-30 16:02:24 EDT; 31 minutter siden Prosess: 2707 ExecStop = / etc / init.d / shorewall stop (code = exited, status = 0 / SUCCESS) Process: 2777 ExecStart = / etc / init.d / shorewall start (code = exited, status = 0 / SUKSESS)

Det er veldig lærerikt å lese utdataene fra kommandoen nøye iptables -L spesielt når det gjelder standardpolicyene for INPUT, FORWARD, OUTPUT og de de avviser - avvise brannmuren for å beskytte mot eksterne angrep. I det minste går det til Internett med litt beskyttelse, ikke sant? 😉

root @ ns: ~ # iptables -L

NSD

root @ ns: ~ # aptitude show nsd
Pakke: nsd Ny: ja Status: installert Installert automatisk: nei
Versjon: 4.1.0-3

root @ ns: ~ # aptitude installer nsd
root @ ns: ~ # ls / usr / share / doc / nsd /
bidrag changelog.Debian.gz NSD-DIFFFILE KRAV.gz eksempler changelog.gz NSD-FOR-BIND-USERS.gz TODO.gz copyright Differences.pdf.gz README.gz OPPDATERING AV KREDITTER NSD-DATABASE RELNOTES.gz

root @ ns: ~ # nano /etc/nsd/nsd.conf
# NSD-konfigurasjonsfil for Debian. # Se mannssiden til nsd.conf (5).
# Se /usr/share/doc/nsd/examples/nsd.conf for en kommentar
# referansekonfigurasjonsfil.
# Følgende linje inkluderer flere konfigurasjonsfiler fra katalogen # /etc/nsd/nsd.conf.d. # ADVARSEL: Globstilen fungerer ikke ennå ... # inkluderer: "/etc/nsd/nsd.conf.d/*.conf" server: logfile: "/var/log/nsd.log" ip-adresse : 172.16.10.30 # lytt på IPv4-tilkoblinger do-ip4: ja # lytt på IPv6-tilkoblinger do-ip6: nei # port å svare på spørsmål på. standard er 53. port: 53 brukernavn: nsd # I soner er alternativet supply-xfr for # axfr sjekker sone: navn: vifte zonefil: /etc/nsd/fan.zone sone: navn: desdelinux.fan
    sonefil: /etc/nsd/desdelinux.fan.zone provide-xfr: 172.16.10.250 NOKEY sone: navn: 10.16.172.in-addr.harpe
    sonefile: /etc/nsd/10.16.172.arpa.zone supply-xfr: 172.16.10.250 NOKEY sone: navn: swl.fan zonefile: /etc/nsd/swl.fan.zone sone: navn: debian.fan zonefile: /etc/nsd/debian.fan.zone zone: name: centos.fan zonefile: /etc/nsd/centos.fan.zone zone: name: freebsd.fan zonefile: /etc/nsd/freebsd.fan.zone


root @ ns: ~ # nsd-checkconf /etc/nsd/nsd.conf
root @ ns: ~ #

Vi oppretter sonefilene

Rotsonen «fan.»Konfigurert nedenfor er KUN FOR TESTING og skal ikke tas som et eksempel. Vi er ikke administratorer av eiendomsservere. 😉

root @ ns: ~ # nano /etc/nsd/fan.zone
$ ORIGIN vifte. $ TTL 3H @ IN SOA ns.fan. root.fan. (1; seriell 1D; oppdater 1H; prøv 1W på nytt; utløper 3H); minimum eller; Negativ bufringstid for å leve; @ IN NS ns.fan. @ IN A 172.16.10.30; ns IN A 172.16.10.30

root@ns:~# nano /etc/nsd/desdelinux.fansone
$ORIGIN desdelinux.fan. $TTL 3H @ IN SOA nr.desdelinux.fan. rot.desdelinux.fan. (1; seriell 1D; oppdater 1H; prøv igjen 1W; utløper 3H); minimum eller ; Negativ caching tid å leve; @ IN NS ns.desdelinux.fan. @ IN MX 10 e-post.desdelinux.fan. @ IN TXT "v=spf1 a:mail.desdelinux.fan -all" ; ; Registrer deg for å løse gravespørsmål desdelinux.fan @ IN A 172.16.10.10 ; ns IN A 172.16.10.30 post IN CNAME   desdelinux.fan. chat I CNAME   desdelinux.fan. www I CNAME   desdelinux.fan. ; ; SRV-poster relatert til XMPP
_xmpp-server._tcp IN SRV 0 0 5269 desdelinux.fan.
_xmpp-client._tcp IN SRV 0 0 5222 desdelinux.fan.
_jabber._tcp IN SRV 0 0 5269 desdelinux.fan.

root @ ns: ~ # nano /etc/nsd/10.16.172.arpa.zone
$ ORIGIN 10.16.172.in-addr.arpa.
$TTL 3H @ IN SOA nr.desdelinux.fan. rot.desdelinux.fan. (1; seriell 1D; oppdater 1H; prøv igjen 1W; utløper 3H); minimum eller ; Negativ caching tid å leve; @ IN NS ns.desdelinux.fan. ; 30 I PTR-nr.desdelinux.fan. 10 I PTR     desdelinux.fan.

root@ns:~# nsd-checkzone desdelinux.fan /etc/nsd/desdelinux.fansone
sonen desdelinux.viften er ok
root @ ns: ~ # nsd-checkzone 10.16.172.in-addr.arpa /etc/nsd/10.16.172.arpa.zone
sone 10.16.172.in-addr.arpa er ok # På Debian avslutter NSD installasjonen aktivert som standard
root @ ns: ~ # systemctl start nsd
root @ ns: ~ # systemctl status nsd
● nsd.service - Navneserverdemon lastet: lastet (/lib/systemd/system/nsd.service; aktivert) Aktiv: aktiv (kjører) siden sø 2017-04-30 09:42:19 EDT; 21 minutter siden Hoved PID: 1230 (nsd) CGroup: /system.slice/nsd.service ├─1230 / usr / sbin / nsd -d -c /etc/nsd/nsd.conf ├─1235 / usr / sbin / nsd - d -c /etc/nsd/nsd.conf 1249─XNUMX / usr / sbin / nsd -d -c /etc/nsd/nsd.conf

Sjekker fra selve ns.fan-serveren

root@ns:~# vert desdelinux.fan
desdelinux.fan har adresse 172.16.10.10
desdelinux.fanpost håndteres av 10 post.desdelinux.fan.

root@ns:~#hostmail.desdelinux.fan
post.desdelinux.fan er et alias for desdelinux.fan.
desdelinux.fan har adresse 172.16.10.10
desdelinux.fanpost håndteres av 10 post.desdelinux.fan.

root@ns:~#hostchat.desdelinux.fan
chatte.desdelinux.fan er et alias for desdelinux.fan.
desdelinux.fan har adresse 172.16.10.10
desdelinux.fanpost håndteres av 10 post.desdelinux.fan.

root@ns:~#vert www.desdelinux.fan
www.desdelinux.fan er et alias for desdelinux.fan.
desdelinux.fan har adresse 172.16.10.10
desdelinux.fanpost håndteres av 10 post.desdelinux.fan.

root@ns:~# vert ns.desdelinux.fan
ns.desdelinux.fan har adresse 172.16.10.30

root @ ns: ~ # vert 172.16.10.30
30.10.16.172.in-addr.arpa domenenavnpeker ns.desdelinux.fan.

root @ ns: ~ # vert 172.16.10.10
10.10.16.172.in-addr.arpa domenenavnpeker desdelinux.fan.

root @ ns: ~ # vert ns.fan
ns.fan har adresse 172.16.10.30

Navneoppløsningskontroller fra Internett

• De detaljerte DNS-spørsmålene er aldri for mye, fordi riktig drift av Domain Name Resolution vil i stor grad avhenge av riktig drift av nettverket.

For å utføre DNS-spørsmål, koblet jeg til bryteren min - bryter test, en bærbar PC med IP 172.16.10.250 og gateway 172.16.10.1, IP-adresse som tilsvarer arbeidsstasjonen min sysadmin.desdelinux.fan som kjent fra tidligere artikler.

sandra @ laptop: ~ $ sudo ip addr show
1: hva: mtu 16436 qdisc noqueue state Ukjent lenke / loopback 00: 00: 00: 00: 00: 00 brd 00: 00: 00: 00: 00: 00 inet 127.0.0.1/8 scope verts lo inet6 :: 1/128 scope verts valid_lft for alltid foretrukket_lft for alltid 2: eth0: mtu 1500 qdisc pfifo_fast state UP qlen 1000 link / eter 00: 17: 42: 8e: 85: 54 brd ff: ff: ff: ff: ff: ff inet 172.16.10.250/24 brd 172.16.10.255 scope global eth0 inet6 fe80: : 217: 42ff: fe8e: 8554/64 scope link valid_lft forever foretrukket_lft forever 3: wlan0: mtu 1500 qdisc noop state NED qlen 1000 link / eter 00: 1d: e0: 88: 09: d5 brd ff: ff: ff: ff: ff: ff 4: pan0: mtu 1500 qdisc noop state NED-link / eter de: 0b: 67: 52: 69: ad brd ff: ff: ff: ff: ff: ff


sandra @ laptop: ~ $ sudo rute -n
Kjernens IP-rutetabell Destinasjon Gateway Genmaskeflagg Metrisk ref Bruk Iface 0.0.0.0 172.16.10.1 0.0.0.0 UG 0 0 0 eth0 172.16.10.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0

sandra @ laptop: ~ $ cat /etc/resolv.conf
nameserver 172.16.10.30

sandra@laptop:~$vert desdelinux.fan
desdelinux.fan har adresse 172.16.10.10
desdelinux.fanpost håndteres av 10 post.desdelinux.fan.

sandra @ laptop:~$hostmail.desdelinux.fan
post.desdelinux.fan er et alias for desdelinux.fan.
desdelinux.fan har adresse 172.16.10.10
desdelinux.fanpost håndteres av 10 post.desdelinux.fan.

sandra @ laptop:~$ vert ns.desdelinux.fan
ns.desdelinux.fan har adresse 172.16.10.30

sandra @ laptop: ~ $ vert 172.16.10.30
30.10.16.172.in-addr.arpa domenenavnpeker ns.desdelinux.fan.

sandra @ laptop: ~ $ vert 172.16.10.10
10.10.16.172.in-addr.arpa domenenavnpeker desdelinux.fan.

sandra@laptop:~$ vert -t SRV _xmpp-server._tcp.desdelinux.fan
_xmpp-server._tcp.desdelinux.fan har SRV-rekord 0 0 5269 desdelinux.fan.

sandra @ laptop:~$ vert -t SRV _xmpp-client._tcp.desdelinux.fan
_xmpp-client._tcp.desdelinux.fan har SRV-rekord 0 0 5222 desdelinux.fan.

sandra @ laptop:~$ vert -t SRV _jabber._tcp.desdelinux.fan
_jabber._tcp.desdelinux.fan har SRV-rekord 0 0 5269 desdelinux.fan.

sandra @ laptop: ~ $ vert -en fan.
Prøver "fan" ;; - >> HEADER << - opcode: QUERY, status: NOERROR, id: 57542 ;; flagg: qr aa rd; SPØRSMÅL: 1, SVAR: 3, MYNDIGHET: 0, EKSTRA: 1 ;; SPØRSMÅL: vifte. I NOEN ;; SVAR-AVSNITT: vifte. 10800 I SOA ns.fan. root.fan. 1 86400 3600 604800 10800 vifte. 10800 IN NS ns.fan. fan. 10800 IN A 172.16.10.30 ;; TILLEGGSSNITT: ns.fan. 10800 IN A 172.16.10.30 Mottatt 111 byte fra 172.16.10.30 # 53 i 0 ms

• Vi setter bevisst adressen 172.16.10.250  På den bærbare datamaskinen, for å sjekke ALT ved hjelp av et DNS AXFR-spørsmål, siden sonene ble konfigurert til å tillate - uten passord - denne typen spørsmål fra den IP.

sandra@laptop:~$ dig desdelinux.fan axfr
; <<>> DiG 9.9.5-9+deb8u6-Debian <<>> desdelinux.fan axfr ;; globale alternativer: +cmd
desdelinux.fan. 10800 I SOA nr.desdelinux.fan. rot.desdelinux.fan. 1 86400 3600 604800 10800
desdelinux.fan. 10800 I NS nr.desdelinux.fan.
desdelinux.fan. 10800 IN MX 10 e-post.desdelinux.fan.
desdelinux.fan. 10800 IN TXT "v=spf1 a:mail.desdelinux.fan -alle"
desdelinux.fan. 10800 IN A 172.16.10.10 _jabber._tcp.desdelinux.fan. 10800 IN SRV 0 0 5269 desdelinux.fan. _xmpp-client._tcp.desdelinux.fan. 10800 IN SRV 0 0 5222 desdelinux.fan. _xmpp-server._tcp.desdelinux.fan. 10800 IN SRV 0 0 5269 desdelinux.fan. chatte.desdelinux.fan. 10800 I CNAME   desdelinux.fan. e-post.desdelinux.fan. 10800 I CNAME   desdelinux.fan. ns.desdelinux.fan. 10800 IN A 172.16.10.30 www.desdelinux.fan. 10800 I CNAME   desdelinux.fan.
desdelinux.fan. 10800 I SOA nr.desdelinux.fan. rot.desdelinux.fan. 1 86400 3600 604800 10800 ;; Spørretid: 0 msek ;; SERVER: 172.16.10.30#53(172.16.10.30) ;; NÅR: Søn 30. april 10:37:10 EDT 2017 ;; XFR-størrelse: 13 poster (meldinger 1, byte 428)

sandra @ laptop: ~ $ dig 10.16.172.in-addr.arpa axfr
; <<>> DiG 9.9.5-9+deb8u6-Debian <<>> 10.16.172.in-addr.arpa axfr ;; globale alternativer: +cmd 10.16.172.in-addr.arpa. 10800 I SOA nr.desdelinux.fan. rot.desdelinux.fan. 1 86400 3600 604800 10800 10.16.172.in-addr.arpa. 10800 I NS nr.desdelinux.fan. 10.10.16.172.in-addr.arpa. 10800 I PTR desdelinux.fan. 30.10.16.172.in-addr.arpa. 10800 I PTR-nr.desdelinux.fan. 10.16.172.in-addr.arpa. 10800 I SOA nr.desdelinux.fan. rot.desdelinux.fan. 1 86400 3600 604800 10800 ;; Spørretid: 0 msek ;; SERVER: 172.16.10.30#53(172.16.10.30) ;; NÅR: Søn 30. april 10:37:27 EDT 2017 ;; XFR-størrelse: 5 poster (meldinger 1, byte 193)

sandra @ laptop:~$ ping ns.desdelinux.fan
PING-nr.desdelinux.fan (172.16.10.30) 56(84) byte med data.

De nødvendige DNS-spørsmålene ble besvart riktig. Vi sjekker også at Shorewall fungerer som den skal, og at den ikke godtar det ping fra datamaskiner som er koblet til Internett.

Oppsummering

• Vi så hvordan du installerer og konfigurerer - med de grunnleggende og minimale alternativene - en autoritativ DNS-server basert på NSD. Vi bekrefter at syntaksen til sonefilene er veldig lik BIND. På Internett er det veldig god og komplett litteratur om NSD.
• Vi nådde målet om å vise erklæringen om SRV-poster knyttet til XMPP.
• Vi hjelper til med installasjon og minimal konfigurasjon av en Shorewall-basert brannmur.

Neste levering

Løs IM og lokale brukere.