abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
včera 17:53 | Bezpečnostní upozornění

Google na svém blogu věnovaném počítačové bezpečnost informuje o nalezení "reálného" způsobu generování kolizí hašovací funkce SHA-1. Podrobnosti a zdrojové kódy budou zveřejněny do 90 dnů. Již dnes lze ale na stránce SHAttered nalézt 2 pdf soubory, jejichž obsah se liší a SHA-1 otisk je stejný (infografika).

Ladislav Hagara | Komentářů: 2
včera 17:51 | Nová verze

Vyšla nová verzia open source software na správu a automatizáciu cloudových datacentier Danube Cloud 2.4. Danube Cloud je riešenie postavené na SmartOS, ZFS, KVM a zónach. Obsahuje vlastnosti ako integrovaný monitoring, DNS manažment, zálohy, a samozrejme rozsiahlu dokumentáciu.

dano | Komentářů: 0
včera 17:46 | Pozvánky

V Plzni se 3. až 5. března 2017 uskuteční AIMTEChackathon. Je to akce pro vývojáře, grafiky, webdesignéry i veřejnost. Akci provází zajímavé přednášky IT odborníků. Více o programu a možnosti přihlášení na stránkách akce.

cuba | Komentářů: 0
včera 01:00 | Nová verze

Známý šifrovaný komunikátor Signal od verze 3.30.0 již nevyžaduje Google Play Services. Autoři tak po letech vyslyšeli volání komunity, která dala vzniknout Google-free forku LibreSignal (dnes již neudržovaný). Oficiální binárky jsou stále distribuované pouze přes Google Play, ale lze použít neoficiální F-Droid repozitář fdroid.eutopia.cz s nezávislými buildy Signalu nebo oficiální binárku stáhnout z Google Play i bez Google účtu

… více »
xm | Komentářů: 5
22.2. 23:14 | Nová verze

Po třech týdnech od vydání první RC verze byla vydána první stabilní verze 17.01.0 linuxové distribuce pro routery a vestavěné systémy LEDE (Linux Embedded Development Environment), forku linuxové distribuce OpenWrt. Přehled novinek v poznámkách k vydání. Dotazy v diskusním fóru.

Ladislav Hagara | Komentářů: 6
22.2. 17:28 | Bezpečnostní upozornění

Byly zveřejněny informace o bezpečnostní chybě CVE-2017-6074 v Linuxu zneužitelné k lokální eskalaci práv. Jde o chybu v podpoře DCCP (Datagram Congestion Control Protocol). Do linuxového jádra se dostala v říjnu 2005. V upstreamu byla opravena 17. února (commit). Bezpečnostní chyba byla nalezena pomocí nástroje syzkaller [Hacker News].

Ladislav Hagara | Komentářů: 11
22.2. 15:00 | Zajímavý software

Společnost Valve vydala novou beta verzi SteamVR. Z novinek lze zdůraznit oficiální podporu Linuxu. Další informace o podpoře této platformy pro vývoj virtuální reality v Linuxu v diskusním fóru. Hlášení chyb na GitHubu.

Ladislav Hagara | Komentářů: 0
22.2. 06:00 | Nová verze

Po necelém roce od vydání verze 0.67 byla vydána verze 0.68 populárního telnet a ssh klienta PuTTY. Podrobnosti v přehledu změn. Řešeny jsou také bezpečnostní chyby.

Ladislav Hagara | Komentářů: 0
21.2. 21:32 | Nasazení Linuxu

Canonical představuje nejnovější verzi chytré helmy DAQRI s Ubuntu pro rozšířenou realitu. K vidění bude příští týden v Barceloně na veletrhu Mobile World Congress 2017.

Ladislav Hagara | Komentářů: 0
21.2. 21:31 | Pozvánky

Pro zájemce o hlubší znalosti fungování operačních systémů připravila MFF UK nový předmět Pokročilé operační systémy, v rámci něhož se vystřídají přednášející nejen z řad pracovníků fakulty, ale dorazí také odborníci ze společností AVAST, Oracle, Red Hat a SUSE. Tento předmět volně navazuje na kurz Operační systémy ze zimního semestru, ale pokud máte praktické zkušenosti odjinud (například z přispívání do jádra Linuxu) a chcete si

… více »
Martin Děcký | Komentářů: 6
Jak se stavíte k trendu ztenčování přenosných zařízení (smartphony, notebooky)?
 (13%)
 (2%)
 (71%)
 (3%)
 (10%)
Celkem 691 hlasů
 Komentářů: 66, poslední 22.2. 18:57
    Rozcestník

    Dotaz: Jaký rekurzivní/cache DNS server?

    Petr Tomášek avatar 9.1.2015 12:50 Petr Tomášek | skóre: 36 | blog: Vejšplechty
    Jaký rekurzivní/cache DNS server?
    Přečteno: 753×

    Zdravím!

    Hledám náhradu za dnsmasq pro domácí síť. Moje požadavky:

    • Cachující nameserver, obsluhují lokální LAN.
    • Možnost nadefinovat hosty pro lokální síť (dnsmasq to má tak, že si je sosá přímo z /etc/hosts)
    • Podpora DNSSEC.
    • Možnost „přebít“ některé hosty (a nejlépe i domény) vlastním záznamem (typicky: blokování Facebooku a podobných bezpečnostních děr).
    • Dostupné v ofic. repozitářích Debianu 7.

    K BINDu nemám příliš důvěry (ani nevím, jestli umožňuje vše, co jsem výše napsal). Doporučíte nějaký moderní nameserver? Díky


    Řešení dotazu:


    Odpovědi

    9.1.2015 13:22 Milan Roubal | skóre: 25
    Rozbalit Rozbalit vše Re: Jaký rekurzivní/cache DNS server?
    mozna pomuze tento clanek
    9.1.2015 14:06 Filip Jirsák
    Rozbalit Rozbalit vše Re: Jaký rekurzivní/cache DNS server?
    Unbound, nebo si počkejte na KnotDNS Resolver.

    Nevím, jak moc bude podporováno přebití některých hostů nebo domén, zvlášť u serverů podporujících DNSSEC – protože klient validující DNSSEC pozná, že jste záznam zfalšoval. Navíc osobně si myslím, že DNS není vhodné místo, kde tohle řešit.
    Petr Tomášek avatar 9.1.2015 18:34 Petr Tomášek | skóre: 36 | blog: Vejšplechty
    Rozbalit Rozbalit vše Re: Jaký rekurzivní/cache DNS server?
    Nevím, jak moc bude podporováno přebití některých hostů nebo domén, zvlášť u serverů podporujících DNSSEC – protože klient validující DNSSEC pozná, že jste záznam zfalšoval.
    Vzhledem k tomu, že mým cílem je blokovat, tak je mi jedno, jestli se mi podaří docílit podstrčení adresy 0.0.0.0, nebo jestli to vrátní chybu "NO-HOST"...
    Navíc osobně si myslím, že DNS není vhodné místo, kde tohle řešit.
    Proč by nebylo?
    9.1.2015 19:23 Filip Jirsák
    Rozbalit Rozbalit vše Re: Jaký rekurzivní/cache DNS server?
    Vašim cílem to je. Ale cílem DNSSEC validujícího resolveru je poskytovat validní odpovědi... Je tedy otázka, zda na tuhle schizofrenii přistoupí autoři toho kterého serveru.

    Vodné místo to není proto, že tím přístupu k daným službám nezabráníte, pouze si uživatel bude muset IP adresu zjistit jinak. Nastaví si jiný DNS server, zadá si adresy do hosts, použije proxy server, bude používat IP adresu...
    Petr Tomášek avatar 9.1.2015 21:07 Petr Tomášek | skóre: 36 | blog: Vejšplechty
    Rozbalit Rozbalit vše Re: Jaký rekurzivní/cache DNS server?
    Vašim cílem to je. Ale cílem DNSSEC validujícího resolveru je poskytovat validní odpovědi... Je tedy otázka, zda na tuhle schizofrenii přistoupí autoři toho kterého serveru.

    A to se vylučuje? (Navíc, cílem DNS resolveru je poskytovat to, co si jeho administrátor přeje. BTW, i Unbound má volbu „domain-insecure“...)

    Vhodné místo to není proto, že tím přístupu k daným službám nezabráníte, pouze si uživatel bude muset IP adresu zjistit jinak. Nastaví si jiný DNS server, zadá si adresy do hosts, použije proxy server, bude používat IP adresu...

    No, např. použití proxy serveru asi těžko zabráníte (když je uživatel tak blbý, tak ať;-) ). Ale nevidím důvod, proč vedle např. blokování AS Facebooku(*) zároveň neblokovat taky DNS (pro případ, že by mi něco uniklo ;-) )...

    (*)Něco jako:

    #!/bin/bash
    
    FBFW=/etc/firewall/block-facebook.sh
    /usr/bin/whois -h whois.radb.net '!gAS32934' |
                    /usr/bin/head -n -1 |
                    /usr/bin/tail -n -1 |
                    /usr/bin/xargs --max-args=1 |
                    /bin/grep "^[0-9]*\.[0-9]*\.[0-9]*\.[0-9]\/[0-9]*$" |
                    /usr/bin/xargs -I {} --max-args=1 echo /sbin/iptables -t mangle -I POSTROUTING -d {} -j DROP \
                                    > $FBFW.new
    
    if [ -s $FBFW.new ]
    then
            /bin/chmod +x $FBFW.new
            /bin/mv -f $FBFW.new $FBFW
    else
            /bin/echo "Cannot generate rules for $FBFW!" 1>&2
    fi

    :-)

    9.1.2015 21:24 Filip Jirsák
    Rozbalit Rozbalit vše Re: Jaký rekurzivní/cache DNS server?
    Ano, vylučuje se to. DNSSEC slouží k tomu, aby nikdo nemohl manipulovat s DNS odpověďmi. A to přesně vy byste od serveru chtěl. Server by tedy měl manipulacím bránit, a zároveň je umožňovat.
    Petr Tomášek avatar 9.1.2015 23:25 Petr Tomášek | skóre: 36 | blog: Vejšplechty
    Rozbalit Rozbalit vše Re: Jaký rekurzivní/cache DNS server?
    To je pěkná blbost :-). Pokud chci blokovat určité DNS dotazy, tak to rozhodně nelze brát jako manipulace, prostě proto, že se tím nic nepodvrhuje. Jenom zabraňuje tomu, aby šla určitá doména/host resolvnout.

    Navíc, jak už jsem psal, server by měl umožňovat to, co chce jeho administrátor. Nevidím důvod, proč by server neměl umožňovat „manipulace“, když si to administrátor přeje...
    10.1.2015 09:07 Filip Jirsák
    Rozbalit Rozbalit vše Re: Jaký rekurzivní/cache DNS server?
    Blokování dotazů je manipulace. DNSSEC samozřejmě brání i proti takovémuto typu manipulací, takže i odpověď o neexistenci doménového jména je podepsaná.
    Petr Tomášek avatar 10.1.2015 09:47 Petr Tomášek | skóre: 36 | blog: Vejšplechty
    Rozbalit Rozbalit vše Re: Jaký rekurzivní/cache DNS server?
    No a?
    pavlix avatar 11.1.2015 11:13 pavlix | skóre: 53 | blog: pavlix
    Rozbalit Rozbalit vše Re: Jaký rekurzivní/cache DNS server?
    Validující resolver se technicky s blokováním určitých DNS jmen nevylučuje a současná praxe je taková, že manipulace je jednou ze základních funkcí resolvujících nameserverů. Na druhou stranu bych se osobně na blokování konkrétních DNS vykašlal, nevidím k tomu rozumný důvod.
    12.1.2015 09:35 Filip Jirsák
    Rozbalit Rozbalit vše Re: Jaký rekurzivní/cache DNS server?
    Technicky se to nevylučuje. Ale validace slouží mimo jiné k odhalení takového blokování. Takže je otázka, zda někdo chce klienty bránit před manipulací s DNS záznamy a zároveň s nimi sám manipulovat. Jistě, může si dotyčný myslet, že on je ten hodný manipulátor a ostatní jsou ti zlí, ale DNSSEC neumí mezi hodnými a zlými manipulátory rozlišovat.
    Petr Tomášek avatar 13.1.2015 15:44 Petr Tomášek | skóre: 36 | blog: Vejšplechty
    Rozbalit Rozbalit vše Re: Jaký rekurzivní/cache DNS server?
    Takže je otázka, zda někdo chce klienty bránit před manipulací s DNS záznamy a zároveň s nimi sám manipulovat.

    Ano, to přesně chci a není na tom nic špatného :-). Jste moc zaslepenou to Vaší ideologií...

    13.1.2015 17:26 j
    Rozbalit Rozbalit vše Re: Jaký rekurzivní/cache DNS server?
    Japa by to moh poznat, kdyz se k jinemu nez memu DNS nedostane?
    13.1.2015 23:51 Filip Jirsák
    Rozbalit Rozbalit vše Re: Jaký rekurzivní/cache DNS server?
    Nebude sedět podpis s veřejným klíčem v nadřazené zóně. A pokud by zfalšoval vše až ke kořenové zóně, nebude sedět podpis kořenové zóny s veřejně známým klíčem kořenové zóny, který má uložen každý validující DNSSEC resolver.
    9.1.2015 14:17 NN
    Rozbalit Rozbalit vše Re: Jaký rekurzivní/cache DNS server?
    Bind, NSD. Knot neni v repozitari vyber si.. Btw. z ceho prameni ta neduverak Bind, spatna zkusenost?
    Petr Tomášek avatar 9.1.2015 15:13 Petr Tomášek | skóre: 36 | blog: Vejšplechty
    Rozbalit Rozbalit vše Re: Jaký rekurzivní/cache DNS server?
    Asi to, že je to na můj vkus moc starý SW, který se začal vyvíjet ještě v době, kdy se to „s tou bezpečností“ až zas tak „vážně nebralo“.
    12.1.2015 14:50 ET
    Rozbalit Rozbalit vše Re: Jaký rekurzivní/cache DNS server?
    hehe a jak je na tom (podle Vaseho nazoru) linux (kernel)?
    13.1.2015 17:32 j
    Rozbalit Rozbalit vše Re: Jaký rekurzivní/cache DNS server?
    A proto ho pouziva 60+% DNS po netu?
    Petr Tomášek avatar 13.1.2015 21:58 Petr Tomášek | skóre: 36 | blog: Vejšplechty
    Rozbalit Rozbalit vše Re: Jaký rekurzivní/cache DNS server?
    9.1.2015 14:23 pet
    Rozbalit Rozbalit vše Re: Jaký rekurzivní/cache DNS server?
    pdnsd ?
    Petr Tomášek avatar 9.1.2015 18:30 Petr Tomášek | skóre: 36 | blog: Vejšplechty
    Rozbalit Rozbalit vše Re: Jaký rekurzivní/cache DNS server?
    Tam nevidím podporu pro DNSSEC (tj. podporu pro validaci, žejo...).
    Řešení 1× (BigWrigley)
    9.1.2015 15:21 kato
    Rozbalit Rozbalit vše Re: Jaký rekurzivní/cache DNS server?
    Určitě Unbound.
    Petr Tomášek avatar 9.1.2015 18:26 Petr Tomášek | skóre: 36 | blog: Vejšplechty
    Rozbalit Rozbalit vše Re: Jaký rekurzivní/cache DNS server?
    Proč „určitě“? Argumenty si velmi rád poslechnu...
    9.1.2015 16:01 Sten
    Rozbalit Rozbalit vše Re: Jaký rekurzivní/cache DNS server?
    bind-dyndb-ldap
    Petr Tomášek avatar 9.1.2015 18:25 Petr Tomášek | skóre: 36 | blog: Vejšplechty
    Rozbalit Rozbalit vše Re: Jaký rekurzivní/cache DNS server?
    A co to má společného s mým dotazem?
    10.1.2015 00:41 Sten
    Rozbalit Rozbalit vše Re: Jaký rekurzivní/cache DNS server?
    Splňuje to požadavky
    Petr Tomášek avatar 10.1.2015 09:50 Petr Tomášek | skóre: 36 | blog: Vejšplechty
    Rozbalit Rozbalit vše Re: Jaký rekurzivní/cache DNS server?
    1) tohle je přece backend pro BIND, 2) opravdu nevím, proč bych měl ještě instalovat LDAP. Celá ta vaše odpověď je poněkud neplausibilní...
    BigWrigley avatar 9.1.2015 18:59 BigWrigley | skóre: 32
    Rozbalit Rozbalit vše Re: Jaký rekurzivní/cache DNS server?

    Nevim, jak pro domaci nasazeni. Ale mohu doporucit unbound, jak jiz zde bylo zmineno. Zkouseli jsme i PowerDNS, ma nektere zajimave vlastnosti (paketova cache), ale spatne odolava specifickym utokum, resp. odolaval. Presli jsme na unbound:

    • podpoda DNSSEC vcetne Lookaside validation
    • podpora DNS-0x20 draftu
    • robustnost
    • dobra konfigurovatelnost
    • ovladatenost (moznost doptat se na probihajici se dotazy, statistiky a pod)
    • lokalni zony
    • aktivni vyvoj

    Intalace na 1 stroji s 16 jadry ma pri cca 2.000 req/s zatez CPU asi 10% a to vetsinou na softirq. Neni problem ustat zatez radu desitek tisic req/s, obykle se zacnou varit prvky okolo. Bez problemu je to pouzitelne pro ISP.

    Linux is like a wigwam - no windows, no gates and Apache inside.
    9.1.2015 21:50 Daniel Čižinský | skóre: 28
    Rozbalit Rozbalit vše Re: Jaký rekurzivní/cache DNS server?
    Ja sice obvykle pouzivam BIND (v 8. a hlavne v 9. byl prepsany, takze argument o prilis starem designu je trochu mimo misu) a od te doby, co ISC upustilo od projektu BIND10, se uz ani tolik nebojim, ale tu a tam zkusim neco jineho. Unbound zkousim v posledni a prvni dojmy jsou velmi dobre, coz se mi u jinych projektu nestalo. Je tam nekolik veci snad az prilis "samo od sebe" (obvykle vyzadovane zony), ale asi to je pro vetsinu lidi vyhoda. Takze se pripojuji k doporuceni.
    Petr Tomášek avatar 10.1.2015 16:13 Petr Tomášek | skóre: 36 | blog: Vejšplechty
    Rozbalit Rozbalit vše Re: Jaký rekurzivní/cache DNS server?
    OK, tak jsem nainstaloval Unbound a vypadá to hezky, až přítulně :-D. Lokální zóna i blokování Facebooku funguje OK. Akorát přemýšlím, jestli ho mám nechat jako čistě rekurzivní DNS, nebo se napíchnout na nějaký "otevřený" DNS (DNS od providera je nepoužitelný, ale zase jediný, co znám jsou 8.8.8.8 a 8.8.4.4 - ale cpát gůglovi do chřtánu domény, který rezolvuju se mi opravdu nechce.) Takže asi nechám jenom čistě rekurzivní, i když to napoprvé chvíli trvá, než to probublá...
    BigWrigley avatar 10.1.2015 18:55 BigWrigley | skóre: 32
    Rozbalit Rozbalit vše Re: Jaký rekurzivní/cache DNS server?
    Asi bych to nedelal a nechal unbond v ciste rekursivnim modu. Pokud to mate na stroji, ktery je trvale zapnuty, brzo se cache naplni a bude to rychle. Oprit jej o nejaky jiny resolver by melo smysl, pokud by byl takovy dobre dostupny a s minimalni latenci. Navic si myslim, ze takove otevrene resolvery mohou byt casto pod utokem ruznych botnetu (amplification attack) a kdo vi, jake pak budou odezvy.
    Linux is like a wigwam - no windows, no gates and Apache inside.
    11.1.2015 02:03 Daniel Čižinský | skóre: 28
    Rozbalit Rozbalit vše Re: Jaký rekurzivní/cache DNS server?
    Ja se tez domnivam, ze resolver ma bezet co nejblize pouziti, tedy forwardovat pouze v pripade, ze to jinak nejde (pitoma politika ISP apod.).
    pavlix avatar 11.1.2015 11:04 pavlix | skóre: 53 | blog: pavlix
    Rozbalit Rozbalit vše Re: Jaký rekurzivní/cache DNS server?
    Důvod?
    pavlix avatar 11.1.2015 11:06 pavlix | skóre: 53 | blog: pavlix
    Rozbalit Rozbalit vše Re: Jaký rekurzivní/cache DNS server?
    Otevřeným bych se teda taky vyhnul, ale pokud by byl slušný u providera, tak nevidím důvod ho nepoužít.
    Petr Tomášek avatar 11.1.2015 12:52 Petr Tomášek | skóre: 36 | blog: Vejšplechty
    Rozbalit Rozbalit vše Re: Jaký rekurzivní/cache DNS server?
    Což v mém případě není :-/
    pavlix avatar 11.1.2015 12:59 pavlix | skóre: 53 | blog: pavlix
    Rozbalit Rozbalit vše Re: Jaký rekurzivní/cache DNS server?
    Sám jsem v tom případě používal plnou rekurzi aniž bych nad tím nějak zvlášť uvažoval.
    Petr Tomášek avatar 11.1.2015 21:04 Petr Tomášek | skóre: 36 | blog: Vejšplechty
    Rozbalit Rozbalit vše Re: Jaký rekurzivní/cache DNS server?
    Jj, po cca 1.5 dni testování zjišťuji, že sice gůglí servery jsou při prvním přístupu o kapičku rychlejší, ale celkově se to všechno zdá přijatelně svižné. (Navíc stejně nakonec ty další přístupy budou o latenci linky - v tomto případě DSL - vždycky rychlejší...)
    BigWrigley avatar 12.1.2015 12:37 BigWrigley | skóre: 32
    Rozbalit Rozbalit vše Re: Jaký rekurzivní/cache DNS server?
    Zkuste Namebench Hezky nastroj na testovani vykonu DNS. Google nam vychazel take o malicko rychlejsi. IMHO je to kvuli tomu, ze Google ma asi kvalitnejsi zahranicni konektivitu (s mensi latenci) a proto vychazel lepe pro zahr. sajty.
    Linux is like a wigwam - no windows, no gates and Apache inside.
    11.1.2015 12:07 Daniel Čižinský | skóre: 28
    Rozbalit Rozbalit vše Re: Jaký rekurzivní/cache DNS server?
    1. Validace.

    2. Nedostatek vyhod pro pouziti forwarderu.

    3. Rad se vyhnu hledani zbytecnych chyb, ktere zpusobuji manipulace s DNS u provideru. Uz jsem to musel absolvovat nekolikrat a je to IMHO cas (a prace) vyhozeny z okna.
    pavlix avatar 11.1.2015 12:31 pavlix | skóre: 53 | blog: pavlix
    Rozbalit Rozbalit vše Re: Jaký rekurzivní/cache DNS server?
    Možná jsem trochu deformovaný tím, že se s ISP znám osobně :).
    11.1.2015 16:52 bigBRAMBOR | skóre: 30
    Rozbalit Rozbalit vše Re: Jaký rekurzivní/cache DNS server?
    Taky se s nasim ISP znam osobne a stejne bych jeho DNS nepouzil.
    11.1.2015 20:19 Daniel Čižinský | skóre: 28
    Rozbalit Rozbalit vše Re: Jaký rekurzivní/cache DNS server?
    Ja mam tedy vice ISP, a zrovna ten, co ho znam osobne to prekrucuje nejvic.
    pavlix avatar 10.1.2015 22:09 pavlix | skóre: 53 | blog: pavlix
    Rozbalit Rozbalit vše Re: Jaký rekurzivní/cache DNS server?
    Unbound. Osobně pracuju na integraci unboundu, dnssec-triggeru a NetworkManageru, používám denně.

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.