Dotaz: Bind 9 a AD

[Punny]

Zdravim, rad bych zjistil, co je vse nutne udelat pro registraci AD do Bind...konkretne win2k3 a ubuntu 11.04...zkouseljsem jiz hodne navodu a zadny nezabral, allow-update nepomohl, pridani zaznamu take ne...DHCP server pouzivat nemohu...Dekuji za vsechny prispevky, pripadne konfiguraky klidne nahraji

---

---

Odpovědi

[NN]

Vubec jsem nepochopil o co se to pokousite..

NN

[Punny]

Potrebuji nakonfigurovat bind9 na ubuntu 10.04, tak aby na nej bylo mozne registrovat Active Directory...zatim mam zprovozneny pouze staticky preklad podle A zaznamu. A vse musi byt zprovoznene bez DHCP serveru.

[Ondar]

To nikdy nepujde - protoze klasicky bind uznava pouze TSIG podepsane updaty kdezto AD pouziva DNS updaty podepsane Kerberem. Jinymi slovy - muzes z Bindu udelat sekundarni server pro AD ale k tomu aby to fungovalo s AD tak bys musel zprovoznit i Kerberos. Ale kdybys neco takoveho fakt chtel, tak bych cele AD rovnou nahradil Sambou4.

[Punny]

How to implement GSS-TSIG on ISC BIND? Nechelo sa mi to citat, ale mozno je to k veci. :D

[Punny]

Ano...jeste predtim nez jste to sem hodil, jsem tenhle clanek take nasel...a pomohl... tak vam vsem moc dekuji :)

[Ondar]

Hmm, hezke.... ale moc slozite. Jen bych k tomu dodal:

1. Bind netreba kompilovat GSSAPI je bindu 9.5 a novějším takže v RHEL-6 už je a do RHEL-5 možno nainstalovat balík bind97
2. Ta opičárna s vytvářením účtu a mapováním uživatele pomocí ktpass je taky zbytečná. Stačí mašinku vložit do domény pomocí "net ads join".
3. Trochu blbé je, že musíme změnit vlastníka pro /etc/krb5.keytab

Ale jinak dík za tip, myslel jsem že to bude složitější

[jaroleto]

Ja jsem si dokonce jist, zes to vedel od sameho zacatku. Proste jsi nas jen zkousel, no.

[Nick]

To jako chcete přemístit AD DNS na Bind ??? Proč takové zbytečné komplikace, když to DNS může běžet nativně na win2k3 ??? Nechápu, proč si lidi takhle komplikují život. Zbytečně

[vasek]

Třeba proto, že má nějaké dns servery už zavedené? Nějaké, které se víceméně drží RFC a na které neexistuje milion návodů jak je hacknout (i když tady bind není dobrý kandidát na bezpečný dns, ale pořád lepší než MS). K dotazu - nejprve bych zkusil nakonfigurovat dns servery jako master a slave, ve chvíli kdy poběží replikace už máte prakticky návod jak zprovoznit update pro windowsy. Teda až na to, že je potřeba povolovat přístup k updatům zón na základě IP adres, nikoliv klíče. A widlí servery sypou do dns tuším záznamy jen při instalaci. Překonfigurování dns bude chtít trochu manuální práce na straně widlous. A pozor na to, že updatovat záznamy v dns se snaží i všechny stanice v doméně (alespoň jsem to vyčetl z odchycených paketů). Pro ty stanice to fungovat nebude, ale to je jedno, důležité je tam mít ty serverové záznamy.

[Punny]

Prave u update na zaklade adres se mi vubec nedari...uvedu jako parametr allow-update { xxx.xxx.xxx.xxx; }; a zadna zmena nenastane... Dalsi problem, ktery mozna souvisi z necim jinym je, ze pri pokusu o instalaci AD vyhodi tuto chybu: 0x0000232A "RCODE_SERVER_FAILURE" predpokladam, ze registraci musim nakonfigurovat rucne...pridanim _ldap._tcp._dc......a dalsich

Kdyzby to pomohlo k reseni problemu tak jsem klidne hodim i configy...

[vasek]

Při instalaci active directory se všechny záznamy v dns nastavují automaticky, instalátor mi dával na výběr, jaký dns server má použít. Je ale fakt, že jsem instaloval windows 2008 R2 a stejnou úroveň domény, nicméně fungovat by to mělo. Později přiložím svoje konfigy.

[vasek]

acl "ADservers" {
  192.168.1.3; 192.168.1.4;
};

zone "domenawindows.cz" IN {
        type master;
        file "/etc/bind/zone/domenawindows.cz";
        check-names ignore;
        notify yes;
        allow-transfer {
                192.168.1.10;
        };
        allow-update { ADservers; };
};

Kde pro AD důležité parametry jsou allow-update a check-names z toho důvodu, že MS kašle na RFC respektive názvy domén a bindu se to nelíbí.

[Punny]

Prave velmi podobne to mam nastavene...pouze misto ACL mam v allow-update primo IP adresy...totez s check-names a notify, jen allow-trasfer chybi, ale druhy dns server jeste nemam...

moje conf:

zone "swf.acn" { type master; file "/etc/bind/zones/swf.acn.db"; check-names ignore; notify yes; allow-update { 192.168.1.0/24; }; };

file /zones/swf.acn.db

$TTL 84600 swf.acn. IN SOA dns.acn. admin.acn. ( 2011201002; 28800; 3600; 604800; 38400 )

swf.acn. IN NS dns.acn.

Pri vytvareni AD nejaky diagnosticky test vyhodi chybu: error code 0x0000232A RCODE_SERVER_FAILURE

[Punny]

sakra...nejak se pokazilo formatovani...vse by melo byt syntaxi spravne ale

[vasek]

Mrknul bych se do logů samotného bindu, příp. zvýšil úroveň logování. Potom bys mohl zkusmo stáhnout 60 dennní verzi windows 2008r2 a zkusit to s ní - jen pro sych že problém je na straně bindu.

[Punny]

Příloha:

• dns.jpg (477692 bytů)

Tak jsem si hral s logy a radeji sem uploadnu screeny.

[Punny]

tak uz vim kde byla chyba...zapomel jsem na jeden udaj :) ale nevyresilo tu uplne muj problem... vse ukladam do /etc/bind/ prava na soubory o zonach ma uzivatel bind:bind nastaveny na 777 a v logu se objevi the working directory is not witable

[homunkulus]

a je?

[Punny]

Příloha:

• dns.jpg (559249 bytů)

Cele jsem to ted predelal a zony presunul do /var/cache/bind/ kde maji soubory a slozky nastavena prava na uzivatele "bind" a v logu se vse zda jiz v poradku...bohuzel, ale ani pote registrace klientu nefunguje.

posilam nove screeny nastaveni a chybove hlasky. A dekuji vsem za ochotu

[NN]

Jste si jisty, ze Vam ten resolver vubec lokalne funguje ?

NN

[Punny]

Doufam...adresu dns1.swf.acn prelozim odkudkoliv po dotazani na server

[homunkulus]

Jste si jist, ze se to nemusi kryptograficky podepisovat? Nezkoumal jsem to, ale pokud se dobre pamatuji, tak tam neco takoveho bylo. Musi se to bud vypnout na strane Windows nebo zprovoznit na strane bindu. Ani jedno nevim, jak se dela.

[Punny]

Tohle slysim prvne...ani sem to nikde nevidel nastavovat v zadnem obdobnem nastaveni co jsem videl na internetu...

[homunkulus]

http://technet.microsoft.com/en-us/library/cc961412.aspx

[Punny]

No jenze tohle je pouze v pripade, ze DNS bezi na win2k v bindu bezi secure myslim na portu 953, ktery mam take povolen

[jaroleto]

Evidentne na to nemas. To neni nic proti nicemu. Budes si jen muset najit nekoho znaleho ve svem okoli.

[Punny]

Kdyz na to nemam, muzes mi odpovedet, kde tedy mam chybu?

[linuxik]

Jsi si jisty, ze je to vubec mozne? Podle me to fungovalo s Windows 2000 v mixed modu. K cemu to vlastne potrebujes? Pokud je to jen pro zvyseni bezpecnosti, urcite by se nasla jednodussi cesta.

[Punny]

nikoho dalsiho nic nenapada uz? :/