Авторитарний DNS-сервер NSD + Shorewall - мережі МСП

Загальний покажчик серії: Комп’ютерні мережі для МСП: Вступ

Ця стаття є продовженням:

• Аутентифікація Squid + PAM на CentOS 7.
• Локальне управління користувачами та групами

Привіт друзі та друзі!

Група Ентузіастів купив доменне ім’я Інтернету desdelinux.fan вашого постачальника послуг Інтернету або ISP. В рамках цього придбання вони попросили свого провайдера включити всі записи DNS, необхідні для вирішення відповідних запитів щодо їх домену з Інтернету.

Вони також просили включити записи SRV щодо XMPP оскільки вони планують встановити сервер обміну миттєвими повідомленнями на базі Просодія що приєднається до існуючої федерації сумісних серверів XMMP в Інтернеті.

• Основна мета цієї статті - показати, як ми можемо відображати у файлі зони DNS записи SRV, пов’язані із службою обміну миттєвими повідомленнями, сумісною з XMPP..
• Встановлення Берегова стіна Завдяки єдиному мережевому інтерфейсу він може служити тим, хто вирішить встановити такий сервер, для управління делегованою зоною DNS. Якщо цей сервер підключається до Enterprise LAN на додаток до Інтернету, необхідно зробити необхідні налаштування для використання двох мережевих інтерфейсів.

Базовий сервер

Ми збираємось встановити авторитетний DNS-сервер NSD на Debian "Джессі". Це кореневий сервер для домену "вентилятор". Основними параметрами сервера є:

Ім'я: IP-адреса ns.fan: 172.16.10.30 root @ ns: ~ # ім'я хосту
ns

root @ ns: ~ # ім'я хоста --fqdn
ns.fan

root @ ns: ~ # ip addr show
1: що: mtu 65536 qdisc noqueue стан НЕВІДОМИЙ група за замовчуванням посилання / петля 00: 00: 00: 00: 00: 00 brd 00: 00: 00: 00: 00: 00 inet 127.0.0.1/8 область хосту lo valid_lft назавжди бажаний_lft назавжди inet6 :: 1/128 область хосту valid_lft назавжди бажана_lft назавжди 2: eth0: mtu 1500 qdisc pfifo_fast стан UP група за замовчуванням qlen 1000 link / ether 00: 0c: 29: dc: d7: 1b brd ff: ff: ff: ff: ff: ff inet 172.16.10.30/24 brd 172.16.10.255 сфера глобального eth0 valid_lft назавжди вподобаний_лифт назавжди inet6 fe80 :: 20c: 29ff: fedc: d71b / 64 сфера посилання valid_lft назавжди вподобаний_lft назавжди

Берегова стіна

Перш ніж виїхати із сервісом до WWW Village, дуже важливо захистити сервер та послуги, які він надає, за допомогою потужного брандмауера - маршрутизатора. Shorewall відносно легко налаштовувати і є безпечним варіантом захисту.

• Правильна та повна конфігурація брандмауера - це завдання поціновувачів або експертів, а ми ними не є. Ми пропонуємо лише інструкцію щодо мінімальної та функціональної конфігурації.

Ми встановлюємо пакет shorewall та його документацію.

root @ ns: ~ # aptitude show shorewall
Пакет: shorewall Нове: так Стан: не встановлено
Версія: 4.6.4.3-2

root @ ns: ~ # aptitude встановити shorewall shorewall-doc

документація

Ви знайдете велику документацію в папках:

• / usr / share / doc / shorewall
• / usr / share / doc / shorewall / приклади
• / usr / share / doc / shorewall-doc / html

Ми налаштовуємо на мережевий інтерфейс

root @ ns: ~ # cp / usr / share / doc / shorewall / examples / one-interface / interfaces \
/ etc / shorewall /

root @ ns: ~ # nano / etc / shorewall / interfaces
# ОПЦІЇ ІНТЕРФЕЙСУ ЗОН net net0 tcpflags, logmartians, nosmurfs, sourceroute = 0

Ми оголошуємо зони брандмауера

root @ ns: ~ # cp / usr / share / doc / shorewall / examples / one-interface / zone \
/ etc / shorewall /

root @ ns: ~ # nano / etc / shorewall / zone
# ОПЦІЯ ТИПУ ЗОНИ ВИХІД # ОПЦІЇ ОПЦІЇ fw firewall net ipv4

Політика за замовчуванням для доступу до брандмауера

root @ ns: ~ # cp / usr / share / doc / shorewall / examples / one-interface / policy \
/ etc / shorewall /

root @ ns: ~ # nano / etc / shorewall / policy
# ЛІМІТ РІВНЯ ПОЛІТИЧНОЇ ПОЛІТИКИ ПОТУЖНОСТІ: ВИБОРЬ $ FW чистий ПРИЙМ
чиста вся інформація про DROP
# НАСТУПНА ПОЛІТИКА МАЄ БУТИ ОСТАННЬОЮ всією інформацією ПРО ВІДМОВУ

Правила доступу до брандмауера

root @ ns: ~ # cp / usr / share / doc / shorewall / examples / one-interface / rules \
/ etc / shorewall /

root @ ns: ~ # nano / etc / shorewall / rules
# ДЕЙСТВІННЯ ДЖЕРЕЛО ПРОСТО ДЕСТУРНЕ ДЖЕРЕЛО ОРИГІНАЛЬНА ЦІНА КОРИСТУВАЧ / МАРКА CON $ # ПОРТ ПОРТ (-И) ГРУПА ГРАНИЦІ ГРУПИ? РОЗДІЛ ВСЕ? РОЗДІЛ ВСТАНОВЛЕНИЙ? РОЗДІЛ ПОВ'ЯЗАНИЙ? РОЗДІЛ НЕВІДСТАНОВЛЕНИЙ? пакети у неприпустимому стані Недійсний (DROP) чистий $ FW tcp # Видалити пінг із "поганого" мережу zone .. і запобігайте затопленню вашого журналу .. # Видаліть Ping з "поганої" зони мережі. # Запобігання затопленню системного журналу (/ var / log / syslog) Ping (DROP) net $ FW # Дозволити весь ICMP-трафік З брандмауера В зону мережі # Дозволити весь ICMP-трафік З Брандмауера В Зона мережу. ACCEPT $ FW net icmp

# Власні правила # Доступ через SSH з двох комп’ютерів
SSH / ACCEPT нетто: 172.16.10.1,172.16.10.10 $ FW tcp 22

# Дозволити трафік через порти 53 / tcp та 53 / udp
ПРИЙНЯТИ чистий $ FW tcp 53
ПРИЙНЯТИ чистий $ FW udp 53

Ми перевіряємо синтаксис файлів конфігурації

root @ ns: ~ # перевірка берегової стіни
Перевірка ... Обробка / etc / shorewall / params ... Обробка /etc/shorewall/shorewall.conf ... Завантаження модулів ... Перевірка / etc / shorewall / зони ... Перевірка / etc / shorewall / інтерфейси .. Визначення хостів у зонах ... Пошук файлів дій ... Перевірка / etc / shorewall / policy ... Додавання правил захисту від smurf Перевірка фільтрації прапорів TCP ... Перевірка фільтрації маршрутів ядра ... Перевірка марсіанського журналювання ... Перевірка прийняття Маршрутизація джерела ... Перевірка фільтрації MAC - Фаза 1 ... Перевірка / etc / shorewall / rules ... Перевірка / etc / shorewall / conntrack ... Перевірка фільтрації MAC - Фаза 2 ... Застосування політик ... Перевірка / usr / share / shorewall / action.Drop for chain Drop ... Checking /usr/share/shorewall/action.Broadcast for chain Broadcast ... Конфігурація берегової стіни перевірена

root @ ns: ~ # nano / etc / default / shorewall
# запобігти запуску з конфігурацією за замовчуванням # встановіть наступну змінну на 1, щоб дозволити Shorewall запускатися
запуск =1
------

root @ ns: ~ # старт берегової стіни служби
root @ ns: ~ # перезапуск службової берегової стіни
root @ ns: ~ # статус берегової стіни служби
● shorewall.service - LSB: Налаштування брандмауера під час завантаження Завантажено: завантажено (/etc/init.d/shorewall) Активний: активний (вийшов) з нд 2017-04-30 16:02:24 EDT; 31 хв тому Процес: 2707 ExecStop = / etc / init.d / зупинка берегової стіни (код = вийшов, статус = 0 / УСПІХ) Процес: 2777 ExecStart = / etc / init.d / start shorewall (код = вийшов, статус = 0 / УСПІХ)

Дуже навчально уважно читати результати команди iptables -L особливо щодо політик за замовчуванням для ВХОДУ, ВПЕРЕД, ВИХОДУ та тих, які вона відхиляє - відкидати брандмауер для захисту від зовнішніх атак. Принаймні, він надходить до Інтернету з невеликим захистом, так? 😉

root @ ns: ~ # iptables -L

NSD

root @ ns: ~ # aptitude show nsd
Пакет: nsd Новий: так Стан: встановлений Встановлюється автоматично: ні
Версія: 4.1.0-3

root @ ns: ~ # aptitude встановити nsd
root @ ns: ~ # ls / usr / share / doc / nsd /
contrib changelog.Debian.gz NSD-DIFFFILE ВИМОГИ. gz приклади changelog.gz NSD-FOR-BIND-USERS.gz TODO.gz авторські відмінності.

root @ ns: ~ # nano /etc/nsd/nsd.conf
# Файл конфігурації NSD для Debian. # Див. Сторінку довідки nsd.conf (5).
# Див. /Usr/share/doc/nsd/examples/nsd.conf для коментаря
# посилальний конфігураційний файл.
# Наступний рядок містить додаткові конфігураційні файли з каталогу # /etc/nsd/nsd.conf.d. # ПОПЕРЕДЖЕННЯ: Стиль glob ще не працює ... # включає: "/etc/nsd/nsd.conf.d/*.conf" сервер: файл журналу: "/var/log/nsd.log" ip-адреса : 172.16.10.30 # прослуховування з'єднань IPv4 do-ip4: так # прослуховування з'єднань IPv6 do-ip6: немає # порт для відповіді на запити. за замовчуванням - 53. порт: 53 ім'я користувача: nsd # У зонах опція provide-xfr призначена для # axfr перевіряє зону: name: вентилятор zonefile: /etc/nsd/fan.zone zone: name: desdelinux.fan
    файл зони: /etc/nsd/desdelinux.fan.zone provide-xfr: 172.16.10.250 Зона NOKEY: назва: 10.16.172.в-аддр.арпа
    zonefile: /etc/nsd/10.16.172.arpa.zone provide-xfr: 172.16.10.250 NOKEY zone: name: swl.fan zonefile: /etc/nsd/swl.fan.zone zone: name: debian.fan zonefile: /etc/nsd/debian.fan.zone zone: name: centos.fan zonefile: /etc/nsd/centos.fan.zone zone: name: freebsd.fan zonefile: /etc/nsd/freebsd.fan.zone


root @ ns: ~ # nsd-checkconf /etc/nsd/nsd.conf
root @ ns: ~ #

Ми створюємо файли Зони

Коренева зона «вентилятор»Наведене нижче призначене ТІЛЬКИ ДЛЯ ТЕСТУВАННЯ, і його не слід брати за приклад. Ми не є адміністраторами серверів імен нерухомості. 😉

root @ ns: ~ # nano /etc/nsd/fan.zone
$ ORIGIN вентилятор. $ TTL 3H @ IN SOA ns.fan. корінь.вентилятор. (1; послідовний 1D; оновити 1H; повторити спробу 1W; закінчиться 3H); мінімальний або; Негативний час кешування для життя; @ IN NS ns.fan. @ В 172.16.10.30; нс В А 172.16.10.30

root@ns:~# nano /etc/nsd/desdelinux.фан.зона
$ПОХОДЖЕННЯ desdelinux.fan. $TTL 3H @ IN SOA №.desdelinux.fan. корінь.desdelinux.fan. (1; серійний номер 1D; оновлення 1H; повторна спроба 1W; закінчення 3H); мінімум або ; Негативний час життя кешування; @ В НС нс.desdelinux.fan. @ IN MX 10 електронною поштою.desdelinux.fan. @ IN TXT "v=spf1 a:mail.desdelinux.fan -all" ; ; Зареєструйтеся, щоб вирішувати запити dig desdelinux.fan @ IN A 172.16.10.10 ; ns IN A 172.16.10.30 mail IN CNAME   desdelinux.fan. чат В CNAME   desdelinux.fan. www IN CNAME   desdelinux.fan. ; ; Записи SRV, пов’язані з XMPP
_xmpp-сервер._tcp IN SRV 0 0 5269 desdelinux.fan.
_xmpp-client._tcp IN SRV 0 0 5222 desdelinux.fan.
_jabber._tcp IN SRV 0 0 5269 desdelinux.fan.

root @ ns: ~ # nano /etc/nsd/10.16.172.arpa.zone
$ ПОХОДЖЕННЯ 10.16.172.in-addr.arpa.
$TTL 3H @ IN SOA №.desdelinux.fan. корінь.desdelinux.fan. (1; серійний номер 1D; оновлення 1H; повторна спроба 1W; закінчення 3H); мінімум або ; Негативний час життя кешування; @ В НС нс.desdelinux.fan. ; 30 В ПТР №№desdelinux.fan. 10 В ПТР     desdelinux.fan.

root@ns:~# nsd-checkzone desdelinux.fan /etc/nsd/desdelinux.фан.зона
зона desdelinux.фан в порядку
root @ ns: ~ # nsd-checkzone 10.16.172.in-addr.arpa /etc/nsd/10.16.172.arpa.zone
зона 10.16.172.in-addr.arpa в порядку # На Debian NSD припиняє встановлення, увімкнене за замовчуванням
root @ ns: ~ # systemctl перезапустити nsd
root @ ns: ~ # systemctl статус nsd
● nsd.service - Завантажений демон сервера імен: завантажено (/lib/systemd/system/nsd.service; увімкнено) Активний: активний (працює) з НД 2017-04-30 09:42:19 EDT; 21 хв тому Основний PID: 1230 (nsd) CGroup: /system.slice/nsd.service ├─1230 / usr / sbin / nsd -d -c /etc/nsd/nsd.conf ├─1235 / usr / sbin / nsd - d -c /etc/nsd/nsd.conf └─1249 / usr / sbin / nsd -d -c /etc/nsd/nsd.conf

Перевірки з самого сервера ns.fan

root@ns:~# хост desdelinux.fan
desdelinux.fan має адресу 172.16.10.10
desdelinuxПошта .fan обробляється 10 поштою.desdelinux.fan.

root@ns:~#hostmail.desdelinux.fan
пошта.desdelinux.fan — це псевдонім для desdelinux.fan.
desdelinux.fan має адресу 172.16.10.10
desdelinuxПошта .fan обробляється 10 поштою.desdelinux.fan.

root@ns:~#hostchat.desdelinux.fan
балакати.desdelinux.fan — це псевдонім для desdelinux.fan.
desdelinux.fan має адресу 172.16.10.10
desdelinuxПошта .fan обробляється 10 поштою.desdelinux.fan.

root@ns:~#хост www.desdelinux.fan
WWW.desdelinux.fan — це псевдонім для desdelinux.fan.
desdelinux.fan має адресу 172.16.10.10
desdelinuxПошта .fan обробляється 10 поштою.desdelinux.fan.

root@ns:~# хост ns.desdelinux.fan
нс.desdelinux.fan має адресу 172.16.10.30

root @ ns: ~ # хост 172.16.10.30
30.10.16.172.in-addr.arpa покажчик доменного імені ns.desdelinux.fan.

root @ ns: ~ # хост 172.16.10.10
10.10.16.172.in-addr.arpa покажчик доменного імені desdelinux.fan.

root @ ns: ~ # хост ns.fan
ns.fan має адресу 172.16.10.30

Перевірка дозволу імен з Інтернету

• Детальних запитів DNS ніколи не буває занадто багато, тому що правильна робота дозволу доменних імен значною мірою залежатиме від коректної роботи мережі.

Для виконання запитів DNS, які я підключився до свого комутатора - перемикання тест, ноутбук з ІР 172.16.10.250 і шлюз 172.16.10.1, IP-адреса, яка відповідає моїй робочій станції системний адміністратор.desdelinux.fan як відомо з попередніх статей.

Сандра @ ноутбук: ~ $ sudo ip addr show
1: що: mtu 16436 qdisc noqueue стан НЕВІДОМЕ посилання / зворотний зв'язок 00: 00: 00: 00: 00: 00 brd 00: 00: 00: 00: 00: 00 inet 127.0.0.1/8 область хосту lo inet6 :: 1/128 область хосту valid_lft назавжди бажаний_ліфт назавжди 2: eth0: mtu 1500 qdisc pfifo_fast state UP qlen 1000 link / ether 00: 17: 42: 8e: 85: 54 brd ff: ff: ff: ff: ff: ff inet 172.16.10.250/24 brd 172.16.10.255 глобальний обсяг eth0 inet6 fe80: : 217: 42ff: fe8e: 8554/64 посилання на область valid_lft назавжди бажано_lft назавжди 3: wlan0: mtu 1500 qdisc noop стан ВНИЗ qlen 1000 link / ether 00: 1d: e0: 88: 09: d5 brd ff: ff: ff: ff: ff: ff 4: pan0: mtu 1500 qdisc noop стан ВНИЗ посилання / ефір de: 0b: 67: 52: 69: ad brd ff: ff: ff: ff: ff: ff


sandra @ ноутбук: ~ $ sudo route -n
Таблиця маршрутизації ІР ядра Призначення Шлюз Генмаска Прапори Метричний Посилання Використання Iface 0.0.0.0 172.16.10.1 0.0.0.0 UG 0 0 0 eth0 172.16.10.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0

Сандра @ ноутбук: ~ $ cat /etc/resolv.conf
сервер імен 172.16.10.30

sandra@laptop:~$host desdelinux.fan
desdelinux.fan має адресу 172.16.10.10
desdelinuxПошта .fan обробляється 10 поштою.desdelinux.fan.

Сандра @ ноутбук:~$hostmail.desdelinux.fan
пошта.desdelinux.fan — це псевдонім для desdelinux.fan.
desdelinux.fan має адресу 172.16.10.10
desdelinuxПошта .fan обробляється 10 поштою.desdelinux.fan.

Сандра @ ноутбук:~$ хост ns.desdelinux.fan
нс.desdelinux.fan має адресу 172.16.10.30

Сандра @ ноутбук: ~ $ хост 172.16.10.30
30.10.16.172.in-addr.arpa покажчик доменного імені ns.desdelinux.fan.

Сандра @ ноутбук: ~ $ хост 172.16.10.10
10.10.16.172.in-addr.arpa покажчик доменного імені desdelinux.fan.

sandra@laptop:~$ хост -t SRV _xmpp-сервер._tcp.desdelinux.fan
_xmpp-сервер._tcp.desdelinux.fan має запис SRV 0 0 5269 desdelinux.fan.

Сандра @ ноутбук:~$ host -t SRV _xmpp-client._tcp.desdelinux.fan
_xmpp-клієнт._tcp.desdelinux.fan має запис SRV 0 0 5222 desdelinux.fan.

Сандра @ ноутбук:~$ хост -t SRV _jabber._tcp.desdelinux.fan
_jabber._tcp.desdelinux.fan має запис SRV 0 0 5269 desdelinux.fan.

sandra @ ноутбук: ~ $ хост - фанат.
Спроба "вентилятора" ;; - >> HEADER << - код операції: QUERY, статус: NOERROR, id: 57542 ;; прапори: qr aa rd; ЗАПИТ: 1, ВІДПОВІДЬ: 3, ВЛАДА: 0, ДОДАТКОВА: 1 ;; РОЗДІЛ ПИТАНЬ:; вентилятор. БУДЬ-ЯКИМ ;; РОЗДІЛ ВІДПОВІДІ: вентилятор. 10800 В SOA ns.fan. корінь.вентилятор. 1 86400 3600 604800 10800 вентилятор. 10800 В НС ns.fan. вентилятор. 10800 В 172.16.10.30 ;; ДОДАТКОВИЙ РОЗДІЛ: ns.fan. 10800 В A 172.16.10.30 Отримав 111 байт з 172.16.10.30 # 53 за 0 мс

• Ми навмисно встановили адресу 172.16.10.250  На ноутбуці перевірити ВСЕ за допомогою запиту DNS AXFR, оскільки зони були налаштовані так, щоб дозволити - без будь-якого пароля - цей тип запиту з цього IP.

sandra@laptop:~$ dig desdelinux.fan axfr
; <<>> DiG 9.9.5-9+deb8u6-Debian <<>> desdelinux.fan axfr ;; глобальні параметри: +cmd
desdelinux.fan. 10800 IN SOA №.desdelinux.fan. корінь.desdelinux.fan. 1 86400 3600 604800 10800
desdelinux.fan. 10800 В НС №№desdelinux.fan.
desdelinux.fan. 10800 IN MX 10 електронною поштою.desdelinux.fan.
desdelinux.fan. 10800 IN TXT "v=spf1 a:mail.desdelinux.fan -все"
desdelinux.fan. 10800 IN A 172.16.10.10 _jabber._tcp.desdelinux.fan. 10800 IN SRV 0 0 5269 desdelinux.fan. _xmpp-клієнт._tcp.desdelinux.fan. 10800 IN SRV 0 0 5222 desdelinux.fan. _xmpp-сервер._tcp.desdelinux.fan. 10800 IN SRV 0 0 5269 desdelinux.fan. чат.desdelinux.fan. 10800 IN CNAME   desdelinux.fan. електронною поштою.desdelinux.fan. 10800 IN CNAME   desdelinux.fan. нс.desdelinux.fan. 10800 В А 172.16.10.30 www.desdelinux.fan. 10800 IN CNAME   desdelinux.fan.
desdelinux.fan. 10800 IN SOA №.desdelinux.fan. корінь.desdelinux.fan. 1 86400 3600 604800 10800 ;; Час запиту: 0 мс ;; СЕРВЕР: 172.16.10.30#53(172.16.10.30) ;; КОЛИ: нд, 30 квітня, 10:37:10 EDT 2017 р. ;; Розмір XFR: 13 записів (1 повідомлення, 428 байтів)

Сандра @ ноутбук: ~ $ dig 10.16.172.in-addr.arpa axfr
; <<>> DiG 9.9.5-9+deb8u6-Debian <<>> 10.16.172.in-addr.arpa axfr ;; глобальні параметри: +cmd 10.16.172.in-addr.arpa. 10800 IN SOA №.desdelinux.fan. корінь.desdelinux.fan. 1 86400 3600 604800 10800 10.16.172.in-addr.arpa. 10800 В НС №№desdelinux.fan. 10.10.16.172.in-addr.arpa. 10800 В ПТР desdelinux.fan. 30.10.16.172.in-addr.arpa. 10800 В ПТР №desdelinux.fan. 10.16.172.in-addr.arpa. 10800 IN SOA №.desdelinux.fan. корінь.desdelinux.fan. 1 86400 3600 604800 10800 ;; Час запиту: 0 мс ;; СЕРВЕР: 172.16.10.30#53(172.16.10.30) ;; КОЛИ: нд, 30 квітня, 10:37:27 EDT 2017 р. ;; Розмір XFR: 5 записів (1 повідомлення, 193 байтів)

Сандра @ ноутбук:~$ ping ns.desdelinux.fan
Номери PINGdesdelinux.fan (172.16.10.30) 56(84) байт даних.

На необхідні запити DNS було дано правильну відповідь. Ми також перевіряємо, чи правильно працює Shorewall, і що він не приймає пінг з комп’ютерів, підключених до Інтернету.

Резюме

• Ми побачили, як встановити та налаштувати - з основними та мінімальними параметрами - авторитетний DNS-сервер на основі NSD. Ми перевіряємо, що синтаксис файлів зон дуже схожий на синтаксис BIND. В Інтернеті є дуже хороша та повна література про НСД.
• Ми досягли мети показати декларацію записів SRV, пов’язаних із XMPP.
• Ми допомагаємо в установці та мінімальній конфігурації брандмауера на базі Shorewall.

Наступна доставка

Просодія обміну миттєвими повідомленнями та місцеві користувачі.