Avtoritarni strežnik DNS NSD + Shorewall - Mreža MSP

Splošno kazalo serije: Računalniška omrežja za MSP: Uvod

Ta članek je nadaljevanje:

• Squid + PAM preverjanje pristnosti na CentOS 7.
• Lokalno upravljanje uporabnikov in skupin

Pozdravljeni prijatelji in prijatelji!

Skupina Navdušenci kupili ime internetne domene desdelinux.fan vaš ponudnik internetnih storitev oz ISP. Kot del te pridobitve so prosili svojega ponudnika internetnih storitev, da vključi vse zapise DNS, potrebne za reševanje ustreznih poizvedb v zvezi z njihovo domeno iz interneta.

Zahtevali so tudi vključitev evidenc SRV v zvezi z XMPP ker nameravajo namestiti strežnik za neposredna sporočila, ki temelji na Prozodija ki se bo pridružil obstoječi zvezi združljivih strežnikov XMMP v internetu.

• Glavni namen tega članka je pokazati, kako lahko v datoteki z območjem DNS prikažemo zapise SRV, povezane s storitvijo takojšnjega sporočanja, združljivo z XMPP..
• Namestitev obalna stena Z enim omrežnim vmesnikom lahko služi tistim, ki se odločijo za namestitev takšnega strežnika, za upravljanje delegirane cone DNS. Če se ta strežnik poleg interneta poveže tudi s LAN-om Enterprise, morate izvesti potrebne nastavitve za uporabo dveh omrežnih vmesnikov.

Osnovni strežnik

Namestili bomo verodostojni strežnik DNS NSD Debian "Jessie". To je korenski strežnik za "ventilator". Glavni parametri strežnika so:

Ime: IP-naslov ns.fan: 172.16.10.30 root @ ns: ~ # ime gostitelja
ns

root @ ns: ~ # ime gostitelja --fqdn
ns.fan

root @ ns: ~ # ip addr show
1: kaj: mtu 65536 qdisc noqueue stanje NEZNANO privzeta povezava / povratna zanka skupine 00: 00: 00: 00: 00: 00 brd 00: 00: 00: 00: 00: 00 inet 127.0.0.1/8 obseg gostitelj lo valid_lft za vedno prednost_lft za vedno inet6 :: 1/128 obseg gostitelj valid_lft za vedno prednost_lft za vedno 2: eth0: mtu 1500 qdisc pfifo_fast stanje UP skupina privzeto qlen 1000 povezava / eter 00: 0c: 29: dc: d7: 1b brd ff: ff: ff: ff: ff: ff inet 172.16.10.30/24 brd 172.16.10.255 obseg global eth0 valid_lft za vedno prefer_lft za vedno inet6 fe80 :: 20c: 29ff: fedc: d71b / 64 obseg povezava valid_lft za vedno prednost_lft za vedno

obalna stena

Pred odhodom s storitvijo v WWW Village je zelo pozitivno zaščititi strežnik in storitve, ki jih ponuja z zmogljivim usmerjevalnikom požarnega zidu. Shorewall je razmeroma enostavno konfigurirati in je varna možnost za zaščito.

• Pravilna in popolna konfiguracija požarnega zidu je naloga poznavalcev ali strokovnjakov, kar pa nismo. Ponujamo vam le navodila za minimalno in funkcionalno konfiguracijo.

Namestimo paket obalnega zidu in njegovo dokumentacijo.

root @ ns: ~ # aptitude show shorewall
Paket: obalni zid Novo: da Stanje: ni nameščeno
Različica: 4.6.4.3-2

root @ ns: ~ # aptitude namestite shorewall shorewall-doc

dokumentacijo

V mapah boste našli obilno dokumentacijo:

• / usr / share / doc / shorewall
• / usr / share / doc / shorewall / primeri
• / usr / share / doc / shorewall-doc / html

Konfiguriramo za omrežni vmesnik

root @ ns: ~ # cp / usr / share / doc / shorewall / examples / one-interface / interfaces \
/ etc / shorewall /

root @ ns: ~ # nano / etc / shorewall / vmesniki
# ZONE INTERFACE OPTIONS net eth0 tcpflags, logmartians, nosmurfs, sourceroute = 0

Razglasimo območja požarnega zidu

root @ ns: ~ # cp / usr / share / doc / shorewall / examples / one-interface / zone \
/ etc / shorewall /

root @ ns: ~ # nano / etc / shorewall / zone
# ZONE TYPE OPTIONS IN OUT # OPTIONS OPTIONS fw firewall net ipv4

Privzeti pravilniki za dostop do požarnega zidu

root @ ns: ~ # cp / usr / share / doc / shorewall / examples / one-interface / policy \
/ etc / shorewall /

root @ ns: ~ # nano / etc / shorewall / policy
# OMEJITEV NIVOA LOGA POLITIKE SUSTA: BURST $ FW net ACCEPT
net all DROP info
# NASLEDNJA POLITIKA MORA BITI ZADNJA, vse informacije o ZAVRNITVI

Pravila za dostop do požarnega zidu

root @ ns: ~ # cp / usr / share / doc / shorewall / examples / one-interface / rules \
/ etc / shorewall /

root @ ns: ~ # nano / etc / shorewall / rules
#ACTION VIR DEST PROTO DEST VIR ORIGINAL RATE USER / MARK CON $ # PORT PORT (S) DEST LIMIT GROUP? ODDELEK VSE? ODDELEK VZPOSTAVLJEN? ODDELEK POVEZAN? ODDELEK NESLOŽEN? ODDELEK NOVO # DROP paketi v INVALNO paketi v neveljavnem stanju Neveljaven (DROP) neto $ FW tcp # Spustite Ping iz "slabega" net zone .. in preprečite, da bi vaš dnevnik poplavljal .. # Zavrzite Ping iz "slabe" mrežne cone. # Prepreči poplavljanje sistemskega dnevnika (/ var / log / syslog) Ping (DROP) neto $ FW # Dovoli ves promet ICMP OD požarnega zidu DO omrežja # Dovoli ves promet ICMP OD POŽARNEGA ZIDA DO OBMOČJA net. SPREJEM $ FW neto icmp

# Lastna pravila # Dostop prek SSH iz dveh računalnikov
SSH / ACCEPT neto: 172.16.10.1,172.16.10.10 $ FW tcp 22

# Dovoli promet prek vrat 53 / tcp in 53 / udp
SPREJEM neto $ FW tcp 53
SPREJEM neto $ FW udp 53

Preverimo skladnjo konfiguracijskih datotek

root @ ns: ~ # preverjanje obalnega zidu
Preverjanje ... Obdelava / etc / shorewall / params ... Obdelava /etc/shorewall/shorewall.conf ... Nalaganje modulov ... Preverjanje / etc / shorewall / zone ... Preverjanje / etc / shorewall / vmesniki .. Določanje gostiteljev v conah ... Iskanje akcijskih datotek ... Preverjanje / etc / shorewall / policy ... Dodajanje pravil proti smrku Preverjanje filtriranja zastav TCP ... Preverjanje filtriranja poti jedra ... Preverjanje beleženja Martian ... Preverjanje sprejema Usmerjanje vira ... Preverjanje filtracije MAC - 1. faza ... Preverjanje / etc / shorewall / rules ... Preverjanje / etc / shorewall / conntrack ... Preverjanje filtracije MAC - 2. faza ... Uporaba pravil ... Preverjanje / usr / share / shorewall / action.Drop za verigo Drop ... Preverjanje /usr/share/shorewall/action.Broadcast za verigo Broadcast ... Konfiguracija Shorewall preverjena

root @ ns: ~ # nano / etc / default / shorewall
# preprečite zagon s privzeto konfiguracijo # nastavite naslednjo spremenljivko na 1, da omogočite zagon Shorewall-a
zagon =1
------

root @ ns: ~ # start shorewall storitve
root @ ns: ~ # ponovni zagon obalnega zidu storitve
root @ ns: ~ # stanje obalnega zidu storitve
● shorewall.service - LSB: Konfiguriranje požarnega zidu med zagonom Naloženo: naloženo (/etc/init.d/shorewall) Aktivno: aktivno (izhod) od ned 2017-04-30 16:02:24 EDT; Pred 31 minutami Proces: 2707 ExecStop = / etc / init.d / stop obalnega zidu (koda = izhod, status = 0 / USPEH) Proces: 2777 ExecStart = / etc / init.d / začetek obalnega zidu (koda = izhod, status = 0 / USPEH)

Zelo poučno je natančno prebrati izhod ukaza iptables -L zlasti glede privzetih pravilnikov za VHOD, NAPRED, IZHOD in tistih, ki jih zavrača - zavrne požarni zid za zaščito pred zunanjimi napadi. Vsaj na internet gre z malo zaščite, kajne? 😉

root @ ns: ~ # iptables -L

NSD

root @ ns: ~ # aptitude show nsd
Paket: nsd Nov: da Stanje: nameščeno Nameščeno samodejno: ne
Različica: 4.1.0-3

root @ ns: ~ # aptitude namestite nsd
root @ ns: ~ # ls / usr / share / doc / nsd /
contrib changelog.Debian.gz NSD-DIFFFILE WORK.

root @ ns: ~ # nano /etc/nsd/nsd.conf
# Konfiguracijska datoteka NSD za Debian. # Glej stran s stranmi nsd.conf (5).
# Glejte /usr/share/doc/nsd/examples/nsd.conf za komentar
# referenčna konfiguracijska datoteka.
# V naslednjo vrstico so vključene dodatne konfiguracijske datoteke iz imenika # /etc/nsd/nsd.conf.d. # OPOZORILO: Slog globusa še ne deluje ... # vključuje: "/etc/nsd/nsd.conf.d/*.conf" strežnik: logfile: "/var/log/nsd.log" ip-naslov : 172.16.10.30 # poslušanje povezav IPv4 do-ip4: da # poslušanje povezav IPv6 do-ip6: ne # vrata za odgovor na poizvedbe. privzeto je 53. vrata: 53 uporabniško ime: nsd # V conah je možnost Provid-xfr za # axfr check zone: name: fan zonefile: /etc/nsd/fan.zone zone: name: desdelinux.fan
    conska datoteka: /etc/nsd/desdelinux.fan.zone provide-xfr: 172.16.10.250 Območje NOKEY: ime: 10.16.172.in-addr.harf
    zonefile: /etc/nsd/10.16.172.arpa.zone provide-xfr: 172.16.10.250 NOKEY zone: name: swl.fan zonefile: /etc/nsd/swl.fan.zone zone: name: debian.fan zonefile: /etc/nsd/debian.fan.zone cona: name: centos.fan zonefile: /etc/nsd/centos.fan.zone zone: name: freebsd.fan zonefile: /etc/nsd/freebsd.fan.zone


root @ ns: ~ # nsd-checkconf /etc/nsd/nsd.conf
root @ ns: ~ #

Ustvarimo datoteke z območji

Koreninsko območje «ventilator.»Spodnja nastavitev je SAMO ZA TESTIRANJE in je ne bi smeli jemati kot zgled. Nismo skrbniki strežnikov z imeni nepremičnin. 😉

root @ ns: ~ # nano /etc/nsd/fan.zone
$ ORIGIN ventilator. $ TTL 3H @ IN SOA ns.fan. root.fan. (1; serijski 1D; osveži 1H; poskusi 1W; poteče 3H); najmanj ali; Negativni čas predpomnjenja za življenje; @ IN NS ns.fan. @ V 172.16.10.30; ns V A 172.16.10.30

root@ns:~# nano /etc/nsd/desdelinux.fan.cona
$ORIGIN desdelinux.fan. $TTL 3H @ IN SOA št.desdelinux.fan. korenina.desdelinux.fan. (1; serijski 1D; osvežitev 1H; ponovni poskus 1W; potek 3H); najmanj ali ; Negativni življenjski čas predpomnjenja; @ IN NS ns.desdelinux.fan. @ IN MX 10 email.desdelinux.fan. @ IN TXT "v=spf1 a:mail.desdelinux.fan -all" ; ; Registrirajte se za razreševanje poizvedb za kopanje desdelinux.fan @ IN A 172.16.10.10 ; ns IN A 172.16.10.30 pošta IN CNAME   desdelinux.fan. klepet IN CNAME   desdelinux.fan. www IN CNAME   desdelinux.fan. ; ; Zapisi SRV, povezani z XMPP
_xmpp-server._tcp IN SRV 0 0 5269 desdelinux.fan.
_xmpp-client._tcp IN SRV 0 0 5222 desdelinux.fan.
_jabber._tcp IN SRV 0 0 5269 desdelinux.fan.

root @ ns: ~ # nano /etc/nsd/10.16.172.arpa.zone
$ IZVOR 10.16.172.in-addr.arpa.
$TTL 3H @ IN SOA št.desdelinux.fan. korenina.desdelinux.fan. (1; serijski 1D; osvežitev 1H; ponovni poskus 1W; potek 3H); najmanj ali ; Negativni življenjski čas predpomnjenja; @ IN NS ns.desdelinux.fan. ; 30 V PTR št.desdelinux.fan. 10 V PTR     desdelinux.fan.

root@ns:~# nsd-kontrolno območje desdelinux.fan /etc/nsd/desdelinux.fan.cona
cona desdelinux.fan je v redu
root @ ns: ~ # nsd-checkzone 10.16.172.in-addr.arpa /etc/nsd/10.16.172.arpa.zone
zone 10.16.172.in-addr.arpa je v redu # V Debianu NSD prekine namestitev, ki je privzeto omogočena
root @ ns: ~ # systemctl znova zaženite nsd
root @ ns: ~ # systemctl status nsd
● nsd.service - Naložen demon strežnika imen: naložen (/lib/systemd/system/nsd.service; omogočen) Aktiven: aktiven (teče) od ned 2017-04-30 09:42:19 EDT; Pred 21 minutami Glavni PID: 1230 (nsd) CGroup: /system.slice/nsd.service ├─1230 / usr / sbin / nsd -d -c /etc/nsd/nsd.conf ├─1235 / usr / sbin / nsd - d -c /etc/nsd/nsd.conf └─1249 / usr / sbin / nsd -d -c /etc/nsd/nsd.conf

Preverja strežnik ns.fan

root@ns:~# gostitelj desdelinux.fan
desdelinux.fan ima naslov 172.16.10.10
desdelinux.fan mail obravnava 10 mail.desdelinux.fan.

root@ns:~#hostmail.desdelinux.fan
pošte.desdelinux.fan je vzdevek za desdelinux.fan.
desdelinux.fan ima naslov 172.16.10.10
desdelinux.fan mail obravnava 10 mail.desdelinux.fan.

root@ns:~#hostchat.desdelinux.fan
klepet.desdelinux.fan je vzdevek za desdelinux.fan.
desdelinux.fan ima naslov 172.16.10.10
desdelinux.fan mail obravnava 10 mail.desdelinux.fan.

root@ns:~#gostitelj www.desdelinux.fan
www.desdelinux.fan je vzdevek za desdelinux.fan.
desdelinux.fan ima naslov 172.16.10.10
desdelinux.fan mail obravnava 10 mail.desdelinux.fan.

root@ns:~# gostiteljski ns.desdelinux.fan
ns.desdelinux.fan ima naslov 172.16.10.30

root @ ns: ~ # gostitelj 172.16.10.30
30.10.16.172.in-addr.arpa kazalec imena domene ns.desdelinux.fan.

root @ ns: ~ # gostitelj 172.16.10.10
10.10.16.172.in-addr.arpa kazalec imena domene desdelinux.fan.

root @ ns: ~ # gostitelj ns.fan
ns.fan ima naslov 172.16.10.30

Preverjanje ločljivosti imen z interneta

• Podrobnih poizvedb DNS ni nikoli preveč, ker bo pravilno delovanje ločljivosti domenskih imen v veliki meri odvisno od pravilnega delovanja omrežja.

Za izvajanje poizvedb DNS sem se povezal s stikalom - stikalo test, prenosnik z IP-jem 172.16.10.250 in prehod 172.16.10.1, Naslov IP, ki ustreza moji delovni postaji sistemski skrbnik.desdelinux.fan kot je znano iz prejšnjih člankov.

sandra @ prenosnik: ~ $ sudo ip addr show
1: kaj: mtu 16436 qdisc noqueue state NEZNANO link / loopback 00: 00: 00: 00: 00: 00 brd 00: 00: 00: 00: 00: 00 inet 127.0.0.1/8 obseg gostitelj lo inet6 :: 1/128 obseg gostitelj valid_lft za vedno prednost_lft za vedno 2: eth0: mtu 1500 qdisc pfifo_fast stanje UP qlen 1000 povezava / eter 00: 17: 42: 8e: 85: 54 brd ff: ff: ff: ff: ff: ff inet 172.16.10.250/24 brd 172.16.10.255 globalni obseg eth0 inet6 fe80: : 217: 42ff: fe8e: 8554/64 povezava obsega valid_lft za vedno prednost_lft za vedno 3: wlan0: mtu 1500 qdisc noop stanje DOL qlen 1000 povezava / eter 00: 1d: e0: 88: 09: d5 brd ff: ff: ff: ff: ff: ff 4: pan0: mtu 1500 qdisc noop stanje DOL povezava / eter de: 0b: 67: 52: 69: ad brd ff: ff: ff: ff: ff: ff


sandra @ prenosnik: ~ $ sudo route -n
Usmerjevalna tabela IP jedra Ciljni prehod Genmask Zastave Metrika Ref Uporaba Iface 0.0.0.0 172.16.10.1 0.0.0.0 UG 0 0 0 eth0 172.16.10.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0

sandra @ prenosnik: ~ $ cat /etc/resolv.conf
nameserver 172.16.10.30

sandra@prenosni računalnik:~$gostitelj desdelinux.fan
desdelinux.fan ima naslov 172.16.10.10
desdelinux.fan mail obravnava 10 mail.desdelinux.fan.

sandra @ prenosnik:~$hostmail.desdelinux.fan
pošte.desdelinux.fan je vzdevek za desdelinux.fan.
desdelinux.fan ima naslov 172.16.10.10
desdelinux.fan mail obravnava 10 mail.desdelinux.fan.

sandra @ prenosnik:~$ gostitelj ns.desdelinux.fan
ns.desdelinux.fan ima naslov 172.16.10.30

sandra @ prenosnik: ~ $ gostitelj 172.16.10.30
30.10.16.172.in-addr.arpa kazalec imena domene ns.desdelinux.fan.

sandra @ prenosnik: ~ $ gostitelj 172.16.10.10
10.10.16.172.in-addr.arpa kazalec imena domene desdelinux.fan.

sandra@laptop:~$ host -t SRV _xmpp-server._tcp.desdelinux.fan
_xmpp-strežnik._tcp.desdelinux.fan ima zapis SRV 0 0 5269 desdelinux.fan.

sandra @ prenosnik:~$ gostitelj -t SRV _xmpp-client._tcp.desdelinux.fan
_xmpp-client._tcp.desdelinux.fan ima zapis SRV 0 0 5222 desdelinux.fan.

sandra @ prenosnik:~$ gostitelj -t SRV _jabber._tcp.desdelinux.fan
_jabber._tcp.desdelinux.fan ima zapis SRV 0 0 5269 desdelinux.fan.

sandra @ prenosnik: ~ $ gostitelj-oboževalec.
Poskus "fan" ;; - >> HEADER << - opcode: QUERY, status: NOERROR, id: 57542 ;; zastave: qr aa rd; VPRAŠANJE: 1, ODGOVOR: 3, ORGAN: 0, DODATNI: ​​1 ;; ODDELEK VPRAŠANJA:; ventilator. V KAKRŠNEM ;; ODDELEK ODGOVORA: ventilator. 10800 V SOA ns.fan. root.fan. 1 86400 3600 604800 10800 ventilator. 10800 V NS ns.fan. ventilator. 10800 V A 172.16.10.30 ;; DODATNI ODDELEK: ns.fan. 10800 V A 172.16.10.30 Prejeto 111 bajtov od 172.16.10.30 # 53 v 0 ms

• Namenoma smo nastavili naslov 172.16.10.250  Na prenosnem računalniku VSE preveriti s pomočjo poizvedbe DNS AXFR, saj so bila območja konfigurirana tako, da omogočajo - brez kakršnega koli gesla - to vrsto poizvedbe iz tega IP-ja..

sandra@laptop:~$ dig desdelinux.fan axfr
; <<>> DiG 9.9.5-9+deb8u6-Debian <<>> desdelinux.fan axfr ;; globalne možnosti: +cmd
desdelinux.fan. 10800 IN SOA št.desdelinux.fan. korenina.desdelinux.fan. 1 86400 3600 604800 10800
desdelinux.fan. 10800 V NS št.desdelinux.fan.
desdelinux.fan. 10800 V MX 10 e-pošti.desdelinux.fan.
desdelinux.fan. 10800 IN TXT "v=spf1 a:mail.desdelinux.fan -vse"
desdelinux.fan. 10800 IN A 172.16.10.10 _jabber._tcp.desdelinux.fan. 10800 IN SRV 0 0 5269 desdelinux.fan. _xmpp-client._tcp.desdelinux.fan. 10800 IN SRV 0 0 5222 desdelinux.fan. _xmpp-strežnik._tcp.desdelinux.fan. 10800 IN SRV 0 0 5269 desdelinux.fan. klepet.desdelinux.fan. 10800 V CNAME   desdelinux.fan. E-naslov.desdelinux.fan. 10800 V CNAME   desdelinux.fan. ns.desdelinux.fan. 10800 IN A 172.16.10.30 www.desdelinux.fan. 10800 V CNAME   desdelinux.fan.
desdelinux.fan. 10800 IN SOA št.desdelinux.fan. korenina.desdelinux.fan. 1 86400 3600 604800 10800 ;; Čas poizvedbe: 0 msec ;; STREŽNIK: 172.16.10.30#53(172.16.10.30) ;; KDAJ: nedelja, 30. april, 10:37:10 EDT 2017 ;; Velikost XFR: 13 zapisov (1 sporočilo, 428 bajtov)

sandra @ prenosnik: ~ $ dig 10.16.172.in-addr.arpa axfr
; <<>> DiG 9.9.5-9+deb8u6-Debian <<>> 10.16.172.in-addr.arpa axfr ;; globalne možnosti: +cmd 10.16.172.in-addr.arpa. 10800 IN SOA št.desdelinux.fan. korenina.desdelinux.fan. 1 86400 3600 604800 10800 10.16.172.in-addr.arpa. 10800 V NS št.desdelinux.fan. 10.10.16.172.in-addr.arpa. 10800 IN PTR desdelinux.fan. 30.10.16.172.in-addr.arpa. 10800 V PTR št.desdelinux.fan. 10.16.172.in-addr.arpa. 10800 IN SOA št.desdelinux.fan. korenina.desdelinux.fan. 1 86400 3600 604800 10800 ;; Čas poizvedbe: 0 msec ;; STREŽNIK: 172.16.10.30#53(172.16.10.30) ;; KDAJ: nedelja, 30. april, 10:37:27 EDT 2017 ;; Velikost XFR: 5 zapisov (1 sporočilo, 193 bajtov)

sandra @ prenosnik:~$ ping ns.desdelinux.fan
PING št.desdelinux.fan (172.16.10.30) 56(84) bajtov podatkov.

Na ustrezne poizvedbe DNS smo pravilno odgovorili. Prav tako preverimo, ali Shorewall deluje pravilno in ali ga ne sprejema ping iz računalnikov, povezanih z internetom.

Povzetek

• Videli smo, kako - z osnovnimi in minimalnimi možnostmi - namestiti in konfigurirati avtoritativni strežnik DNS, ki temelji na NSD. Preverimo, ali je sintaksa datotek con zelo podobna sintaksi datotek BIND. Na internetu obstaja zelo dobra in popolna literatura o NSD.
• Dosegli smo cilj, da prikažemo deklaracijo zapisov SRV, povezanih z XMPP.
• Pomagamo pri namestitvi in ​​minimalni konfiguraciji požarnega zidu, ki temelji na Shorewall-u.

Naslednja dostava

Prosody IM in lokalni uporabniki.