NSD auktoritär DNS-server + strandvägg - SME-nätverk

Allmänt index för serien: Datornätverk för små och medelstora företag: introduktion

Den här artikeln är en fortsättning på:

• Squid + PAM-autentisering på CentOS 7.
• Lokal användar- och grupphantering

Hej vänner och vänner!

Gruppen Entusiaster köpte internetdomännamnet desdelinux.fläkt till din Internetleverantör eller ISP. Som en del av det förvärvet bad de sin ISP att inkludera alla DNS-poster som behövs för att relevanta frågor om deras domän ska kunna lösas från Internet.

De begärde även att SRV-journaler skulle ingå ang XMPP eftersom de planerar att installera en snabbmeddelandeserver baserad på Prosodi som kommer att ansluta sig till den befintliga federationen av kompatibla XMMP-servrar på Internet.

• Huvudsyftet med den här artikeln är att visa hur vi kan återspegla SRV-posterna relaterade till den XMPP-kompatibla snabbmeddelandetjänsten i en DNS-zonfil..
• Installationen av Strandvägg med ett enda nätverksgränssnitt kan det användas av de som bestämmer sig för att installera en server som denna för att hantera en delegerad DNS-zon. Om den servern ansluter till Enterprise LAN förutom Internet, måste de nödvändiga inställningarna göras för att använda två nätverksgränssnitt.

Basserver

Vi kommer att installera en NSD auktoritativ DNS-server på Debian "Jessie". Detta är rotservern för "fan"-domänen. Huvudparametrarna för servern är:

Namn:ns.fan IP-adress:172.16.10.30 root@ns:~# värdnamn
ns

root@ns:~# värdnamn --fqdn
ns.fan

root@ns:~# ip-adress visa
1: det: mtu 65536 qdisc knockout-tillstånd OKÄNT grupp standardlänk/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00 inet 127.0.0.1/8 scope host lo valid_lft forever inet_lft :: för alltid 6/1 scope host valid_lft forever prefered_lft forever 128: eth2: mtu 0 qdisc pfifo_fast state UP group default qlen 1500 link/ether 1000:00c:0:dc:d29:7b brd ff:ff:ff:ff:ff:ff inet 1/172.16.10.30 brd 24 valid global scope scope.172.16.10.255 forever prefered_lft forever inet0 fe6::80c:20ff:fedc:d29b/71 scope link valid_lft forever prefered_lft forever

Strandvägg

Innan du lämnar med en tjänst till WWW Village är det mycket positivt att skydda servern och de tjänster den tillhandahåller genom en kraftfull brandvägg – router. Shorewall är relativt lätt att sätta upp och är ett säkert alternativ för skydd.

• Den korrekta och fullständiga konfigurationen av en brandvägg är en uppgift för kännare eller experter, vilket vi inte är. Vi erbjuder endast en guide för en minimal och funktionell konfiguration.

Vi installerar shorewall-paketet och dess dokumentation.

root@ns:~# aptitude show shorewall
Paket: shorewall Nytt: ja Status: avinstallerat
Version: 4.6.4.3-2

root@ns:~# aptitude installera shorewall shorewall-doc

dokumentation

Du hittar rikligt med dokumentation i mapparna:

• /usr/share/doc/shorewall
• /usr/share/doc/shorewall/examples
• /usr/share/doc/shorewall-doc/html

Vi konfigurerar för ett nätverksgränssnitt

root@ns:~# cp /usr/share/doc/shorewall/examples/one-interface/interfaces \
/etc/shorewall/

root@ns:~# nano /etc/shorewall/interfaces
#ZONE INTERFACE OPTIONS net eth0 tcpflags,logmartians,nosmurfs,sourceroute=0

Vi deklarerar brandväggszoner

root@ns:~# cp /usr/share/doc/shorewall/examples/one-interface/zones \
/etc/shorewall/

root@ns:~# nano /etc/shorewall/zones
#ZONTYP ALTERNATIV IN UT # ALTERNATIV ALTERNATIV fw brandvägg net ipv4

Standardpolicyer för åtkomst till brandväggen

root@ns:~# cp /usr/share/doc/shorewall/examples/one-interface/policy \
/etc/shorewall/

root@ns:~# nano /etc/shorewall/policy
#KÄLLA DESTPOLICY LOGG NIVÅGRÄNS: BURST $FW netto ACCEPT
nät all DROP info
# FÖLJANDE POLICY MÅSTE VARA SISTA all all AVVISA info

Regler för åtkomst till brandväggen

root@ns:~# cp /usr/share/doc/shorewall/examples/one-interface/rules \
/etc/shorewall/

root@ns:~# nano /etc/shorewall/rules
#ACTION SOURCE DEST PROTO DEST KÄLLA ORIGINAL RATE ANVÄNDARE/ MARKERA KON$ # PORT PORT(AR) DEST LIMIT GROUP ?AVSNITT ALLA ?AVSNITT ETABLERAT ?AVSNITT RELATERAT ?AVSNITT OGILTIGT ?AVSNITT OSPÅRT ?AVSNITT NYTT # Kassera paket paket i ett ogiltigt tillstånd Invalid(DROP) net $FW tcp # Släpp ping från "bad" netto zon.. och förhindra att din stock blir översvämmad. # Kasta Ping från det "dåliga" zonnätet. # Förhindra översvämning av systemloggen (/var/log/syslog) Ping(DROP) net $FW # Tillåt all ICMP-trafik FRÅN brandväggen TILL nätzonen # Tillåt all ICMP-trafik FRÅN brandväggen TILL zonen netto. ACCEPTERA $FW net icmp

# Egna regler # Åtkomst via SSH från två datorer
SSH/ACCEPTERA netto:172.16.10.1,172.16.10.10 $FW tcp 22

# Tillåt trafik på portarna 53/tcp och 53/udp
ACCEPTERA net $FW tcp 53
ACCEPTERA netto $FW udp 53

Vi kontrollerar syntaxen för konfigurationsfilerna

root@ns:~# shorewall check
Kontrollerar... Bearbetar /etc/shorewall/params ... Bearbetar /etc/shorewall/shorewall.conf... Laddar moduler... Kontrollerar /etc/shorewall/zones... Kontrollerar /etc/shorewall/interfaces.. Fastställer värdar i zoner... Hittar åtgärdsfiler... Kontrollerar /etc/shorewall/policy... Lägger till anti-smurfregler Kontrollerar TCP-flaggorfiltrering... Kontrollerar kärnvägsfiltrering... Kontrollerar Martian-loggning... Kontrollerar Acceptera Källrouting... Kontrollerar MAC-filtrering -- Fas 1... Kontrollerar /etc/shorewall/rules... Kontrollerar /etc/shorewall/conntrack... Kontrollerar MAC-filtrering -- Fas 2... Tillämpar policyer.. Kontrollerar /usr/share/shorewall/action.Drop for chain Drop... Kontrollerar /usr/share/shorewall/action.Broadcast for chain Broadcast... Shorewall-konfiguration verifierad

root@ns:~# nano /etc/default/shorewall
# förhindra start med standardkonfiguration # ställ in följande variabel till 1 för att tillåta Shorewall att starta
uppstart =1
------

root@ns:~# tjänst shorewall start
root@ns:~# service shorewall omstart
root@ns:~# tjänst shorewall status
● shorewall.service - LSB: Konfigurera brandväggen vid uppstart Laddad: laddad (/etc/init.d/shorewall) Aktiv: aktiv (avslutad) sedan sön 2017-04-30 16:02:24 EDT; 31min sedan Process: 2707 ExecStop=/etc/init.d/shorewall stop (code=exited, status=0/SUCCESS) Process: 2777 ExecStart=/etc/init.d/shorewall start (code=exited, status=0/ FRAMGÅNG)

Det är mycket lärorikt att läsa kommandots utdata noggrant. iptables -L speciellt när det gäller standardpolicyerna för INPUT, FORWARD, OUTPUT och de som den avvisar – avvisa brandväggen för att skydda mot externa attacker. Du går åtminstone ut på Internet med lite skydd, eller hur? 😉

root@ns:~# iptables -L

NSD

root@ns:~# aptitude show nsd
Paket: nsd Nytt: ja Status: installerat Automatiskt installerat: nej
Version: 4.1.0-3

root@ns:~# aptitude installera nsd
root@ns:~# ls /usr/share/doc/nsd/
bidrag changelog.Debian.gz NSD-DIFFFILE KRAV.gz exempel changelog.gz NSD-FOR-BIND-USERS.gz TODO.gz copyright differences.pdf.gz README.gz UPPGRADERA KREDIT NSD-DATABASE RELNOTES.gz

root@ns:~# nano /etc/nsd/nsd.conf
# NSD-konfigurationsfil för Debian. # Se direkthjälpen för nsd.conf(5).
# Se /usr/share/doc/nsd/examples/nsd.conf för en kommentar
# referenskonfigurationsfil.
# Följande rad innehåller ytterligare konfigurationsfiler från katalogen # /etc/nsd/nsd.conf.d. # VARNING: Glob-stilen fungerar inte än... # include: "/etc/nsd/nsd.conf.d/*.conf" server: loggfil: "/var/log/nsd.log" ip-adress : 172.16.10.30 # lyssna på IPv4-anslutningar do-ip4: ja # lyssna på IPv6-anslutningar do-ip6: nej # port att svara på frågor på. standard är 53. port: 53 användarnamn: nsd # I zoner är alternativet provide-xfr för # axfr kontroller zon: namn: fläkt zonfil: /etc/nsd/fan.zon zon: namn: desdelinux.fläkt
    zonfil: /etc/nsd/desdelinux.fan.zone provide-xfr: 172.16.10.250 NOKEY zon: namn: 10.16.172.in-addr.harpa
    zonfil: /etc/nsd/10.16.172.arpa.zone provide-xfr: 172.16.10.250 NOKEY zon: namn: swl.fan zonfil: /etc/nsd/swl.fan.zone zon: namn: debian.fan zonfil: /etc/nsd/debian.fan.zone zon: namn: centos.fan zonfil: /etc/nsd/centos.fan.zone zon: namn: freebsd.fan zonfil: /etc/nsd/freebsd.fan.zone


root@ns:~# nsd-checkconf /etc/nsd/nsd.conf
root@ns:~#

Vi skapar zonfilerna

Rotzonen «Fan.» som konfigurerats nedan är ENDAST FÖR TESTNING och bör inte tas som exempel. Vi är inte administratörer av rotdomännamnsserver. 😉

root@ns:~# nano /etc/nsd/fan.zone
$ORIGIN fläkt. $TTL 3H @ IN SOA ns.fan. root.fan. (1; seriell 1D; uppdatera 1H; försök igen 1W; går ut 3H); minimum eller ; Negativ cachningstid att leva; @ IN NS ns.fan. @ IN A 172.16.10.30 ; ns IN A 172.16.10.30

root@ns:~# nano /etc/nsd/desdelinux.fanzon
$ORIGIN desdelinux.fläkt. $TTL 3H @ IN SOA nr.desdelinux.fläkt. rot.desdelinux.fläkt. (1; seriell 1D; uppdatera 1H; försök igen 1W; går ut 3H); minimum eller ; Negativ cachningstid att leva; @ IN NS ns.desdelinux.fläkt. @ IN MX 10 e-post.desdelinux.fläkt. @ IN TXT "v=spf1 a:mail.desdelinux.fan -all" ; ; Registrera dig för att lösa grävfrågor desdelinux.fan @ IN A 172.16.10.10 ; ns IN A 172.16.10.30 post IN CNAME   desdelinux.fläkt. chatta I CNAME   desdelinux.fläkt. www I CNAME   desdelinux.fläkt. ; ; SRV-poster relaterade till XMPP
_xmpp-server._tcp IN SRV 0 0 5269 desdelinux.fläkt.
_xmpp-client._tcp IN SRV 0 0 5222 desdelinux.fläkt.
_jabber._tcp IN SRV 0 0 5269 desdelinux.fläkt.

root@ns:~# nano /etc/nsd/10.16.172.arpa.zone
$ORIGIN 10.16.172.in-addr.arpa.
$TTL 3H @ IN SOA nr.desdelinux.fläkt. rot.desdelinux.fläkt. (1; seriell 1D; uppdatera 1H; försök igen 1W; går ut 3H); minimum eller ; Negativ cachningstid att leva; @ IN NS ns.desdelinux.fläkt. ; 30 IN PTR nr.desdelinux.fläkt. 10 I PTR     desdelinux.fläkt.

root@ns:~# nsd-checkzone desdelinux.fan /etc/nsd/desdelinux.fanzon
zon desdelinux.fan är ok
root@ns:~# nsd-checkzone 10.16.172.in-addr.arpa /etc/nsd/10.16.172.arpa.zone
zon 10.16.172.in-addr.arpa är ok # På Debian avslutar NSD sin installation aktiverad som standard
root@ns:~# systemctl starta om nsd
root@ns:~# systemctl status nsd
● nsd.service - Namnserverdaemon laddad: laddad (/lib/systemd/system/nsd.service; aktiverad) Aktiv: aktiv (körs) sedan sön 2017-04-30 09:42:19 EDT; 21 min sedan Huvud-PID: 1230 (nsd) CGroup: /system.slice/nsd.service ├─1230 /usr/sbin/nsd -d -c /etc/nsd/nsd.conf ├─1235 /usr/sbin/nsd - d -c /etc/nsd/nsd.conf └─1249 /usr/sbin/nsd -d -c /etc/nsd/nsd.conf

Kontroller från själva ns.fan-servern

root@ns:~# värd desdelinux.fläkt
desdelinux.fan har adress 172.16.10.10
desdelinux.fan mail hanteras av 10 mail.desdelinux.fläkt.

root@ns:~#hostmail.desdelinux.fläkt
e-post.desdelinux.fan är ett alias för desdelinux.fläkt.
desdelinux.fan har adress 172.16.10.10
desdelinux.fan mail hanteras av 10 mail.desdelinux.fläkt.

root@ns:~#hostchat.desdelinux.fläkt
chatt.desdelinux.fan är ett alias för desdelinux.fläkt.
desdelinux.fan har adress 172.16.10.10
desdelinux.fan mail hanteras av 10 mail.desdelinux.fläkt.

root@ns:~#host www.desdelinux.fläkt
www.desdelinux.fan är ett alias för desdelinux.fläkt.
desdelinux.fan har adress 172.16.10.10
desdelinux.fan mail hanteras av 10 mail.desdelinux.fläkt.

root@ns:~# värd ns.desdelinux.fläkt
ns.desdelinux.fan har adress 172.16.10.30

root@ns:~# värd 172.16.10.30
30.10.16.172.in-addr.arpa domännamnspekare ns.desdelinux.fläkt.

root@ns:~# värd 172.16.10.10
10.10.16.172.in-addr.arpa domännamnspekare desdelinux.fläkt.

root@ns:~# värd ns.fan
ns.fan har adress 172.16.10.30

Namnupplösningskontroller från Internet

• Detaljerade DNS-förfrågningar är aldrig onödiga, eftersom nätverkets korrekta funktion i hög grad beror på hur domännamnsupplösningen fungerar korrekt..

För att utföra DNS-frågor som jag anslutit till min switch – strömbrytare testning, en bärbar dator med IP 172.16.10.250 och gateway 172.16.10.1, IP-adress som motsvarar min arbetsstation sysadmin.desdelinux.fläkt som är känt från tidigare artiklar.

sandra@laptop:~$ sudo ip-adress show
1: det: mtu 16436 qdisc knockout-tillstånd OKÄND länk/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00 inet 127.0.0.1/8 omfattning värd lo inet6 ::1/128_lft värd giltig forever prefer_lft forever 2: eth0: mtu 1500 qdisc pfifo_fast state UP qlen 1000 länk/eter 00:17:42:8e:85:54 brd ff:ff:ff:ff:ff:ff inet 172.16.10.250/24 brd 172.16.10.255 globalt 0 fe6eth 80 fe217. :42:8ff:fe8554e:64/3 scope link valid_lft forever prefered_lft forever 0: wlan1500: mtu 1000 qdisc noop state DOWN qlen 00 länk/eter 1:0d:e88:09:5:d4 brd ff:ff:ff:ff:ff:ff 0: pan1500: mtu 0 qdisc noop state DOWN link/ether de:67b:52:69:XNUMX:ad brd ff:ff:ff:ff:ff:ff


sandra@laptop:~$ sudo rutt -n
Kernel IP-routningstabell Destination Gateway Genmask Flaggor Metrisk Ref Användning Iface 0.0.0.0 172.16.10.1 0.0.0.0 UG 0 0 0 eth0 172.16.10.0 0.0.0.0 255.255.255.0 0 eth 0.

sandra@laptop:~$ cat /etc/resolv.conf
namnserver 172.16.10.30

sandra@laptop:~$värd desdelinux.fläkt
desdelinux.fan har adress 172.16.10.10
desdelinux.fan mail hanteras av 10 mail.desdelinux.fläkt.

sandra@laptop:~$hostmail.desdelinux.fläkt
e-post.desdelinux.fan är ett alias för desdelinux.fläkt.
desdelinux.fan har adress 172.16.10.10
desdelinux.fan mail hanteras av 10 mail.desdelinux.fläkt.

sandra@laptop:~$ värd ns.desdelinux.fläkt
ns.desdelinux.fan har adress 172.16.10.30

sandra@laptop:~$host 172.16.10.30
30.10.16.172.in-addr.arpa domännamnspekare ns.desdelinux.fläkt.

sandra@laptop:~$värd 172.16.10.10
10.10.16.172.in-addr.arpa domännamnspekare desdelinux.fläkt.

sandra@laptop:~$ värd -t SRV _xmpp-server._tcp.desdelinux.fläkt
_xmpp-server._tcp.desdelinux.fan har SRV-rekord 0 0 5269 desdelinux.fläkt.

sandra@laptop:~$ värd -t SRV _xmpp-client._tcp.desdelinux.fläkt
_xmpp-client._tcp.desdelinux.fan har SRV-rekord 0 0 5222 desdelinux.fläkt.

sandra@laptop:~$ värd -t SRV _jabber._tcp.desdelinux.fläkt
_jabber._tcp.desdelinux.fan har SRV-rekord 0 0 5269 desdelinux.fläkt.

sandra@laptop:~$ värd -ett fan.
Försöker "fan" ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 57542 ;; flaggor: qr aa rd; FRÅGA: 1, SVAR: 3, MYNDIGHET: 0, YTTERLIGARE: 1 ;; FRÅGASDEL: ;fläkt. I NÅGON ;; SVARAVsnitt: fläkt. 10800 I SOA ns.fan. root.fan. 1 86400 3600 604800 10800 fläkt. 10800 IN NS ns.fan. fläkt. 10800 IN A 172.16.10.30 ;; YTTERLIGARE AVSNITT: ns.fan. 10800 IN A 172.16.10.30 Mottog 111 byte från 172.16.10.30#53 på 0 ms

• Vi har avsiktligt angett adressen 172.16.10.250  på den bärbara datorn, för att kontrollera ALLT med en AXFR DNS-fråga, eftersom zonerna var konfigurerade för att tillåta -utan någon nyckel- den här typen av fråga från den IP-adressen.

sandra@laptop:~$ dig desdelinux.fan axfr
; <<>> DiG 9.9.5-9+deb8u6-Debian <<>> desdelinux.fan axfr ;; globala alternativ: +cmd
desdelinux.fläkt. 10800 I SOA nr.desdelinux.fläkt. rot.desdelinux.fläkt. 1 86400 3600 604800 10800
desdelinux.fläkt. 10800 I NS nr.desdelinux.fläkt.
desdelinux.fläkt. 10800 IN MX 10 e-post.desdelinux.fläkt.
desdelinux.fläkt. 10800 IN TXT "v=spf1 a:mail.desdelinux.fan -all"
desdelinux.fläkt. 10800 IN A 172.16.10.10 _jabber._tcp.desdelinux.fläkt. 10800 IN SRV 0 0 5269 desdelinux.fläkt. _xmpp-client._tcp.desdelinux.fläkt. 10800 IN SRV 0 0 5222 desdelinux.fläkt. _xmpp-server._tcp.desdelinux.fläkt. 10800 IN SRV 0 0 5269 desdelinux.fläkt. chatt.desdelinux.fläkt. 10800 I CNAME   desdelinux.fläkt. e-post.desdelinux.fläkt. 10800 I CNAME   desdelinux.fläkt. ns.desdelinux.fläkt. 10800 IN A 172.16.10.30 www.desdelinux.fläkt. 10800 I CNAME   desdelinux.fläkt.
desdelinux.fläkt. 10800 I SOA nr.desdelinux.fläkt. rot.desdelinux.fläkt. 1 86400 3600 604800 10800 ;; Frågetid: 0 ms ;; SERVER: 172.16.10.30#53(172.16.10.30) ;; NÄR: Sön 30 april 10:37:10 EDT 2017 ;; XFR-storlek: 13 poster (meddelanden 1, byte 428)

sandra@laptop:~$ dig 10.16.172.in-addr.arpa axfr
; <<>> DiG 9.9.5-9+deb8u6-Debian <<>> 10.16.172.in-addr.arpa axfr ;; globala alternativ: +cmd 10.16.172.in-addr.arpa. 10800 I SOA nr.desdelinux.fläkt. rot.desdelinux.fläkt. 1 86400 3600 604800 10800 10.16.172.in-addr.arpa. 10800 I NS nr.desdelinux.fläkt. 10.10.16.172.in-addr.arpa. 10800 I PTR desdelinux.fläkt. 30.10.16.172.in-addr.arpa. 10800 IN PTR nr.desdelinux.fläkt. 10.16.172.in-addr.arpa. 10800 I SOA nr.desdelinux.fläkt. rot.desdelinux.fläkt. 1 86400 3600 604800 10800 ;; Frågetid: 0 ms ;; SERVER: 172.16.10.30#53(172.16.10.30) ;; NÄR: Sön 30 april 10:37:27 EDT 2017 ;; XFR-storlek: 5 poster (meddelanden 1, byte 193)

sandra@laptop:~$ ping ns.desdelinux.fläkt
PING nr.desdelinux.fan (172.16.10.30) 56(84) byte data.

De nödvändiga DNS-frågorna besvarades korrekt. Vi kontrollerar även att Shorewall fungerar korrekt och att den inte accepterar ping från datorer anslutna till internet.

Sammanfattning

• Vi såg hur man installerar och konfigurerar – med de grundläggande och minsta alternativen – en auktoritativ DNS-server baserad på NSD. Vi verifierade att syntaxen för zonfilerna är mycket lik den för BIND. Det finns mycket bra och komplett litteratur om NSD på Internet.
• Vi uppfyller målet att visa deklarationen av SRV-poster relaterade till XMPP.
• Vi hjälper till med installation och minimal konfiguration av en Shorewall-baserad brandvägg.

Nästa leverans

Förkasta IM och lokala användare.