Servidor DNS Autoritario NSD + Shorewall – Redes PYMES

Índice general de la serie: Redes de Computadoras para las PYMES: Introducción

Este artículo es continuación de:

• Squid + Autenticación PAM en CentOS 7.
• Gestión de usuarios y grupos locales

¡Hola amigas y amigos!

El grupo Entusiastas compró el nombre de dominio de Internet desdelinux.fan a su Internet Services Provider o ISP. Como parte de esa adquisición, pidieron a su ISP que incluyera todos los registros DNS necesarios para que desde Internet se resolvieran las consultas pertinentes relativas a su dominio.

También solicitaron se incluyeran registros SRV relativos al XMPP porque planean instalar un servidor de mensajería instantánea basado en Prosody que unirán a la federación de servidores XMMP compatibles existente en Internet.

• El propósito principal de éste artículo es mostrar cómo podemos reflejar en una archivo de zona DNS los registros SRV relacionados con el servicio de Mensajería Instantánea compatible con XMPP.
• La instalación del Shorewall con una sola interfaz de red puede servir a los que decidan instalar un servidor como éste para administrar una Zona DNS delegada. Si ese servidor se conecta a la LAN Empresarial además de a Internet, se deberán hacer los ajustes necesarios para utilizar dos interfaces de red.

Servidor base

Vamos a instalar un servidor DNS autoritario NSD sobre Debian «Jessie». Se trata del servidor raíz del dominio «fan.» Los parámetros principales del servidor son:

Nombre      :ns.fan
Dirección IP    :172.16.10.30

root@ns:~# hostname
ns

root@ns:~# hostname --fqdn
ns.fan

root@ns:~# ip addr show
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default 
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 00:0c:29:dc:d7:1b brd ff:ff:ff:ff:ff:ff
    inet 172.16.10.30/24 brd 172.16.10.255 scope global eth0
       valid_lft forever preferred_lft forever
    inet6 fe80::20c:29ff:fedc:d71b/64 scope link 
       valid_lft forever preferred_lft forever

Shorewall

Antes de salir con un servicio a la Aldea WWW, es muy positivo proteger al servidor y los servicios que presta mediante un potente Firewall – Enrutador.  Shorewall es relativamente fácil de configurar y constituye una segura opción para la protección.

• La correcta y completa configuración de un Firewall es tarea de conocedores o de expertos, que no lo somos. Solamente ofrecemos una guía para una mínima y funcional configuración.

Instalamos el paquete shorewall y su documentación.

root@ns:~# aptitude show shorewall
Paquete: shorewall                               
Nuevo: sí
Estado: sin instalar
Versión: 4.6.4.3-2

root@ns:~# aptitude install shorewall shorewall-doc

Documentación

Encontrará abundante documentación en las carpetas:

• /usr/share/doc/shorewall
• /usr/share/doc/shorewall/examples
• /usr/share/doc/shorewall-doc/html

Configuramos para una interfaz de red

root@ns:~# cp /usr/share/doc/shorewall/examples/one-interface/interfaces \
/etc/shorewall/

root@ns:~# nano /etc/shorewall/interfaces
#ZONE   INTERFACE       OPTIONS
net     eth0            tcpflags,logmartians,nosmurfs,sourceroute=0

Declaramos las zonas del firewall

root@ns:~# cp /usr/share/doc/shorewall/examples/one-interface/zones \
/etc/shorewall/

root@ns:~# nano /etc/shorewall/zones
#ZONE   TYPE    OPTIONS                 IN                      OUT
#                                       OPTIONS                 OPTIONS
fw      firewall
net     ipv4

Políticas por defecto para acceder al firewall

root@ns:~# cp /usr/share/doc/shorewall/examples/one-interface/policy \
/etc/shorewall/

root@ns:~# nano /etc/shorewall/policy
#SOURCE         DEST            POLICY          LOG LEVEL       LIMIT:BURST
$FW             net             ACCEPT
net             all             DROP            info
# The FOLLOWING POLICY MUST BE LAST
all             all             REJECT          info

Reglas para acceder al firewall

root@ns:~# cp /usr/share/doc/shorewall/examples/one-interface/rules \
/etc/shorewall/

root@ns:~# nano /etc/shorewall/rules
#ACTION         SOURCE          DEST            PROTO   DEST    SOURCE          ORIGINAL        RATE            USER/   MARK    CON$
#                                                       PORT    PORT(S)         DEST            LIMIT           GROUP
?SECTION ALL
?SECTION ESTABLISHED
?SECTION RELATED
?SECTION INVALID
?SECTION UNTRACKED
?SECTION NEW

# DROP packets in the INVALID state
# Desechar paquetes en un estado no válido
Invalid(DROP)  net              $FW             tcp

# Drop Ping from the "bad" net zone.. and prevent your log from being flooded..
# Desechar Ping desde la "mala" zona net. 
# Prevenir que la inundación del log del sistema (/var/log/syslog)
Ping(DROP)      net             $FW

# Permit all ICMP traffic FROM the firewall TO the net zone
# Permitir todo el tráfico ICMP DESDE el firewall HACIA la zona net.
ACCEPT          $FW             net             icmp

# Reglas propias
# Acceso mediante SSH desde dos equipos
SSH/ACCEPT      net:172.16.10.1,172.16.10.10    $FW     tcp     22

# Permitir el tráfico por los puertos 53/tcp y 53/udp
ACCEPT          net             $FW             tcp     53
ACCEPT          net             $FW             udp     53

Chequeamos la sintaxis de los archivos de configuración

root@ns:~# shorewall check
Checking...
Processing /etc/shorewall/params ...
Processing /etc/shorewall/shorewall.conf...
Loading Modules...
Checking /etc/shorewall/zones...
Checking /etc/shorewall/interfaces...
Determining Hosts in Zones...
Locating Action Files...
Checking /etc/shorewall/policy...
Adding Anti-smurf Rules
Checking TCP Flags filtering...
Checking Kernel Route Filtering...
Checking Martian Logging...
Checking Accept Source Routing...
Checking MAC Filtration -- Phase 1...
Checking /etc/shorewall/rules...
Checking /etc/shorewall/conntrack...
Checking MAC Filtration -- Phase 2...
Applying Policies...
Checking /usr/share/shorewall/action.Drop for chain Drop...
Checking /usr/share/shorewall/action.Broadcast for chain Broadcast...
Shorewall configuration verified

root@ns:~# nano /etc/default/shorewall
# prevent startup with default configuration
# set the following varible to 1 in order to allow Shorewall to start
startup=1
------

root@ns:~# service shorewall start
root@ns:~# service shorewall restart
root@ns:~# service shorewall status
● shorewall.service - LSB: Configure the firewall at boot time
   Loaded: loaded (/etc/init.d/shorewall)
   Active: active (exited) since dom 2017-04-30 16:02:24 EDT; 31min ago
  Process: 2707 ExecStop=/etc/init.d/shorewall stop (code=exited, status=0/SUCCESS)
  Process: 2777 ExecStart=/etc/init.d/shorewall start (code=exited, status=0/SUCCESS)

Es muy educativo leer con detenimiento la salida del comando iptables -L sobre todo en lo referente a las políticas por defecto para INPUT, FORWARD, OUTPUT, y las que rechaza – reject el Firewall para protegerse de ataques externos. Al menos, se sale a Internet con un poco de protección, ¿no?. 😉

root@ns:~# iptables -L

NSD

root@ns:~# aptitude show nsd
Paquete: nsd                                     
Nuevo: sí
Estado: instalado
Instalado automáticamente: no
Versión: 4.1.0-3

root@ns:~# aptitude install nsd
root@ns:~# ls /usr/share/doc/nsd/
contrib    changelog.Debian.gz  NSD-DIFFFILE           REQUIREMENTS.gz
examples   changelog.gz         NSD-FOR-BIND-USERS.gz  TODO.gz
copyright  differences.pdf.gz   README.gz              UPGRADING
CREDITS    NSD-DATABASE         RELNOTES.gz

root@ns:~# nano /etc/nsd/nsd.conf
# NSD configuration file for Debian.
# See the nsd.conf(5) man page.
# See /usr/share/doc/nsd/examples/nsd.conf for a commented
# reference config file.
# The following line includes additional configuration files from the
# /etc/nsd/nsd.conf.d directory.
# WARNING: The glob style doesn't work yet...
# include: "/etc/nsd/nsd.conf.d/*.conf"
server:
    logfile: "/var/log/nsd.log"
    ip-address: 172.16.10.30
    # listen on IPv4 connections
    do-ip4: yes
    # listen on IPv6 connections
    do-ip6: no 
    # port to answer queries on. default is 53.
    port: 53
    username: nsd

# En las zonas, la opción provide-xfr es para
# comprobaciones axfr
zone:
    name: fan
    zonefile: /etc/nsd/fan.zone

zone:
    name: desdelinux.fan
    zonefile: /etc/nsd/desdelinux.fan.zone
    provide-xfr: 172.16.10.250 NOKEY

zone:
    name: 10.16.172.in-addr.arpa
    zonefile: /etc/nsd/10.16.172.arpa.zone
    provide-xfr: 172.16.10.250 NOKEY

zone:
    name: swl.fan
    zonefile: /etc/nsd/swl.fan.zone

zone:
    name: debian.fan
    zonefile: /etc/nsd/debian.fan.zone

zone:
    name: centos.fan
    zonefile: /etc/nsd/centos.fan.zone

zone:
    name: freebsd.fan
    zonefile: /etc/nsd/freebsd.fan.zone


root@ns:~# nsd-checkconf /etc/nsd/nsd.conf
root@ns:~#

Creamos los archivos de las Zonas

La Zona Raíz «fan.» configurada a continuación es SOLO PARA PRUEBAS y no debe tomarse como ejemplo. No somos Administradores de Servidores de Nombres de Dominios Raíces. 😉

root@ns:~# nano /etc/nsd/fan.zone
$ORIGIN fan.
$TTL 3H
@       IN      SOA     ns.fan.         root.fan. (
                                        1       ; serial
                                        1D      ; refresh
                                        1H      ; retry
                                        1W      ; expire
                                        3H )    ; minimum or
                                                ; Negative caching time to live
;
@       IN      NS      ns.fan.
@       IN      A       172.16.10.30
;
ns      IN      A       172.16.10.30

root@ns:~# nano /etc/nsd/desdelinux.fan.zone
$ORIGIN desdelinux.fan.
$TTL 3H
@       IN      SOA     ns.desdelinux.fan.      root.desdelinux.fan. (
                                        1       ; serial
                                        1D      ; refresh
                                        1H      ; retry
                                        1W      ; expire
                                        3H )    ; minimum or
                                                ; Negative caching time to live
;
@       IN      NS      ns.desdelinux.fan.
@       IN      MX      10 mail.desdelinux.fan.
@       IN      TXT     "v=spf1 a:mail.desdelinux.fan -all"
;
; Registro para resolver consultas dig desdelinux.fan
@       IN      A       172.16.10.10
;
ns      IN      A       172.16.10.30
mail    IN      CNAME   desdelinux.fan.
chat    IN      CNAME   desdelinux.fan.
www     IN      CNAME   desdelinux.fan.
;
; Registros SRV relativos al XMPP
_xmpp-server._tcp  IN SRV  0 0 5269 desdelinux.fan.
_xmpp-client._tcp    IN SRV  0 0 5222 desdelinux.fan.
_jabber._tcp     IN SRV  0 0 5269 desdelinux.fan.

root@ns:~# nano /etc/nsd/10.16.172.arpa.zone
$ORIGIN 10.16.172.in-addr.arpa.
$TTL 3H
@       IN      SOA     ns.desdelinux.fan.      root.desdelinux.fan. (
                                        1       ; serial
                                        1D      ; refresh
                                        1H      ; retry
                                        1W      ; expire
                                        3H )    ; minimum or
                                                ; Negative caching time to live
;
@       IN      NS      ns.desdelinux.fan.
;
30      IN      PTR     ns.desdelinux.fan.
10      IN      PTR     desdelinux.fan.

root@ns:~# nsd-checkzone desdelinux.fan /etc/nsd/desdelinux.fan.zone
zone desdelinux.fan is ok
root@ns:~# nsd-checkzone 10.16.172.in-addr.arpa /etc/nsd/10.16.172.arpa.zone
zone 10.16.172.in-addr.arpa is ok

# En Debian, el NSD termina su instalación habilitado por defecto
root@ns:~# systemctl restart nsd
root@ns:~# systemctl status nsd
● nsd.service - Name Server Daemon
   Loaded: loaded (/lib/systemd/system/nsd.service; enabled)
   Active: active (running) since dom 2017-04-30 09:42:19 EDT; 21min ago
 Main PID: 1230 (nsd)
   CGroup: /system.slice/nsd.service
           ├─1230 /usr/sbin/nsd -d -c /etc/nsd/nsd.conf
           ├─1235 /usr/sbin/nsd -d -c /etc/nsd/nsd.conf
           └─1249 /usr/sbin/nsd -d -c /etc/nsd/nsd.conf

Comprobaciones desde el propio servidor ns.fan

root@ns:~# host desdelinux.fan
desdelinux.fan has address 172.16.10.10
desdelinux.fan mail is handled by 10 mail.desdelinux.fan.

root@ns:~# host mail.desdelinux.fan
mail.desdelinux.fan is an alias for desdelinux.fan.
desdelinux.fan has address 172.16.10.10
desdelinux.fan mail is handled by 10 mail.desdelinux.fan.

root@ns:~# host chat.desdelinux.fan
chat.desdelinux.fan is an alias for desdelinux.fan.
desdelinux.fan has address 172.16.10.10
desdelinux.fan mail is handled by 10 mail.desdelinux.fan.

root@ns:~# host www.desdelinux.fan
www.desdelinux.fan is an alias for desdelinux.fan.
desdelinux.fan has address 172.16.10.10
desdelinux.fan mail is handled by 10 mail.desdelinux.fan.

root@ns:~# host ns.desdelinux.fan
ns.desdelinux.fan has address 172.16.10.30

root@ns:~# host 172.16.10.30
30.10.16.172.in-addr.arpa domain name pointer ns.desdelinux.fan.

root@ns:~# host 172.16.10.10
10.10.16.172.in-addr.arpa domain name pointer desdelinux.fan.

root@ns:~# host ns.fan
ns.fan has address 172.16.10.30

Comprobaciones de la resolución de nombres desde Internet

• Las detalladas consultas DNS nunca están demás, porque del buen funcionamiento de la Resolución de Nombres de Dominios dependerá en sumo grado el correcto funcionamiento de la red.

Para realizar las consultas DNS conecté a mi conmutador – switch de pruebas, una Laptop con la IP 172.16.10.250 y gateway 172.16.10.1, dirección IP que corresponde a mi estación de trabajo sysadmin.desdelinux.fan como se sabe de artículos anteriores.

sandra@laptop:~$ sudo ip addr show
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 16436 qdisc noqueue state UNKNOWN 
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
    link/ether 00:17:42:8e:85:54 brd ff:ff:ff:ff:ff:ff
    inet 172.16.10.250/24 brd 172.16.10.255 scope global eth0
    inet6 fe80::217:42ff:fe8e:8554/64 scope link 
       valid_lft forever preferred_lft forever
3: wlan0: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN qlen 1000
    link/ether 00:1d:e0:88:09:d5 brd ff:ff:ff:ff:ff:ff
4: pan0: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN 
    link/ether de:0b:67:52:69:ad brd ff:ff:ff:ff:ff:ff


sandra@laptop:~$ sudo route -n
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
0.0.0.0         172.16.10.1     0.0.0.0         UG    0      0        0 eth0
172.16.10.0     0.0.0.0         255.255.255.0   U     0      0        0 eth0

sandra@laptop:~$ cat /etc/resolv.conf
nameserver 172.16.10.30

sandra@laptop:~$ host desdelinux.fan
desdelinux.fan has address 172.16.10.10
desdelinux.fan mail is handled by 10 mail.desdelinux.fan.

sandra@laptop:~$ host mail.desdelinux.fan
mail.desdelinux.fan is an alias for desdelinux.fan.
desdelinux.fan has address 172.16.10.10
desdelinux.fan mail is handled by 10 mail.desdelinux.fan.

sandra@laptop:~$  host ns.desdelinux.fan
ns.desdelinux.fan has address 172.16.10.30

sandra@laptop:~$ host 172.16.10.30
30.10.16.172.in-addr.arpa domain name pointer ns.desdelinux.fan.

sandra@laptop:~$ host 172.16.10.10
10.10.16.172.in-addr.arpa domain name pointer desdelinux.fan.

sandra@laptop:~$ host -t SRV _xmpp-server._tcp.desdelinux.fan
_xmpp-server._tcp.desdelinux.fan has SRV record 0 0 5269 desdelinux.fan.

sandra@laptop:~$ host -t SRV _xmpp-client._tcp.desdelinux.fan
_xmpp-client._tcp.desdelinux.fan has SRV record 0 0 5222 desdelinux.fan.

sandra@laptop:~$ host -t SRV _jabber._tcp.desdelinux.fan
_jabber._tcp.desdelinux.fan has SRV record 0 0 5269 desdelinux.fan.

sandra@laptop:~$ host -a fan.
Trying "fan"
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 57542
;; flags: qr aa rd; QUERY: 1, ANSWER: 3, AUTHORITY: 0, ADDITIONAL: 1

;; QUESTION SECTION:
;fan.               IN  ANY

;; ANSWER SECTION:
fan.            10800   IN  SOA ns.fan. root.fan. 1 86400 3600 604800 10800
fan.            10800   IN  NS  ns.fan.
fan.            10800   IN  A   172.16.10.30

;; ADDITIONAL SECTION:
ns.fan.         10800   IN  A   172.16.10.30

Received 111 bytes from 172.16.10.30#53 in 0 ms

• Intencionalmente configuramos la dirección 172.16.10.250  en la Laptop, para comprobar TODO mediante una consulta DNS AXFR, pues las Zonas se configuraron para permitir -sin clave alguna- éste tipo de consulta desde esa IP.

sandra@laptop:~$ dig desdelinux.fan axfr
; <<>> DiG 9.9.5-9+deb8u6-Debian <<>> desdelinux.fan axfr
;; global options: +cmd
desdelinux.fan.     10800   IN  SOA ns.desdelinux.fan. root.desdelinux.fan. 1 86400 3600 604800 10800
desdelinux.fan.     10800   IN  NS  ns.desdelinux.fan.
desdelinux.fan.     10800   IN  MX  10 mail.desdelinux.fan.
desdelinux.fan.     10800   IN  TXT "v=spf1 a:mail.desdelinux.fan -all"
desdelinux.fan.     10800   IN  A   172.16.10.10
_jabber._tcp.desdelinux.fan. 10800 IN   SRV 0 0 5269 desdelinux.fan.
_xmpp-client._tcp.desdelinux.fan. 10800 IN SRV  0 0 5222 desdelinux.fan.
_xmpp-server._tcp.desdelinux.fan. 10800 IN SRV  0 0 5269 desdelinux.fan.
chat.desdelinux.fan.    10800   IN  CNAME   desdelinux.fan.
mail.desdelinux.fan.    10800   IN  CNAME   desdelinux.fan.
ns.desdelinux.fan.  10800   IN  A   172.16.10.30
www.desdelinux.fan. 10800   IN  CNAME   desdelinux.fan.
desdelinux.fan.     10800   IN  SOA ns.desdelinux.fan. root.desdelinux.fan. 1 86400 3600 604800 10800
;; Query time: 0 msec
;; SERVER: 172.16.10.30#53(172.16.10.30)
;; WHEN: Sun Apr 30 10:37:10 EDT 2017
;; XFR size: 13 records (messages 1, bytes 428)

sandra@laptop:~$ dig 10.16.172.in-addr.arpa axfr
; <<>> DiG 9.9.5-9+deb8u6-Debian <<>> 10.16.172.in-addr.arpa axfr
;; global options: +cmd
10.16.172.in-addr.arpa. 10800   IN  SOA ns.desdelinux.fan. root.desdelinux.fan. 1 86400 3600 604800 10800
10.16.172.in-addr.arpa. 10800   IN  NS  ns.desdelinux.fan.
10.10.16.172.in-addr.arpa. 10800 IN PTR desdelinux.fan.
30.10.16.172.in-addr.arpa. 10800 IN PTR ns.desdelinux.fan.
10.16.172.in-addr.arpa. 10800   IN  SOA ns.desdelinux.fan. root.desdelinux.fan. 1 86400 3600 604800 10800
;; Query time: 0 msec
;; SERVER: 172.16.10.30#53(172.16.10.30)
;; WHEN: Sun Apr 30 10:37:27 EDT 2017
;; XFR size: 5 records (messages 1, bytes 193)

sandra@laptop:~$ ping ns.desdelinux.fan
PING ns.desdelinux.fan (172.16.10.30) 56(84) bytes of data.

Se respondieron las consultas DNS necesarias de forma correcta. También comprobamos que el Shorewall funciona correctamente y que no acepta ping desde equipos conectados a Internet.

Resumen

• Vimos como instalar y configurar – con las opciones básicas y mínimas- un servidor DNS Autoritario basado en el NSD. Comprobamos que la sintaxis de los archivos de las zonas es muy parecida a la del BIND. En Internet se encuentra muy buena y completa literatura sobre el NSD.
• Cumplimos con el objetivo de mostrar la declaración de registros SRV relacionados con XMPP.
• Asistimos a la instalación y mínima configuración de un firewall basado en Shorewall.

Próxima entrega

Prosody IM y usuarios locales.