Dotaz: Jak pojmenovat server?

[petrfm]

Ahoj, mam uz nejaky ten patek server ve firme a resim, jak ho vlastne SPRAVNE pojmenovat a nastavit mu DNS. Mam domenu firma.cz a server se jmenuje treba plechovka. V soucasnosti to mam tak, ze mam nastaveno plechovka.firma.cz

Mam pevne nastaveny CNAME a A zaznam na domene, takze vede na muj router mikrotik a tam mam povolene porty 80 a dalsi na server v mistni siti. Trochu to komplikuje fakt, ze ta plechovka je virtualni instance fyzickeho serveru s proxmoxem, ale to asi na dns nema vliv.

Premyslim, jestli to tak mam spravne a co se bude dit, kdyz na tom serveru rozjedu postovni postfix, dovecot atd. pro domenu treba mojestranky.cz Predpokladam, ze nic, ze nastavim CNAME a MX mojestranky.cz na plechovka.firma.cz a na apachi, postfixu a dovecotu jen virtualni servery pro mojestranky.cz , je tak?

Jeste jsem premyslel, zamotat do toho lokalitu. Abych se jednoduse vyznal v te adrese. Treba praha.firma.cz by vedlo na IP pripojky do firmy. Pak by server mel nazev plechovka.praha.firma.cz - je to v pohode?

Jak nastavujete sve DNS a nazvy vy? Nikde jsem na zadny clanek na tohle tema nenarazil, P.

Odpovědi

[petrfm]

a jeste jedna vec mi neni jasna - musim mit stejny i hostname?

Mam v /etc/hostname jenom plechovka nema tam byt tedy plechovka.firma.cz?

a co /etc/hosts? tam mam :

127.0.0.1 localhost a 127.0.0.1 plechovka

Nema tam byt taky cela adresa?

[Sten]

Hostname bývá první část DNS, ale není to nutnost, jen si v tom vytvoříte dost bordel.

V /etc/hosts se běžně uvádí:

pevnáIP plechovka.firma.cz plechovka

(FQDN jako první)

Pokud stroj nemá pevnou IP adresu (u serveru trochu divné, ale možné), dává se tam 127.0.0.1. Pokud jste IPv6 enthusiast, můžete použít i IPv6 adresy, fungovat to bude.

[kyekros]

Nemá být 127.0.0.1 localhost a 127.0.1.1 plechovka.

[pavlix]

Někdy se používá, ale nemusí být.

[Sten]

Obecně neexistuje žádný pevně daný systém, můžete to pojmenovávat tak, jak uznáte za vhodné. Spojení serveru s lokalitou má výhody (z názvu víte, kde server je) i nevýhody (když se přesune jinam, musíte to změnit na všech klientech). Někteří správci tyhle dva způsoby kombinují tak, že služby mají jména ve stylu fileserver.firma.cz, která jsou CNAME na jména serverů, která již obsahují lokalitu, takže při změně lokality se změní CNAME a klienti fungují dál, ale na serveru stále musíte nastavení změnit.

Jména služeb přes CNAME používám taky, protože zjednodušuje budoucí oddělování služeb na samostatné servery, ale pro servery používám plechovka.firma.cz, takže při přemístění se nastavení nemusí měnit, a umístění dávám do LOC záznamů, či pokud nestačí nebo nejsou vhodné, tak do TXT záznamů dle RFC 1464 (např. jeden záznam room=101 a druhý rack=42).

[petrfm]

OK, diky, tak to tedy nejak delam a funguje to, jen jsem si nebyl jisty, jestli to delam "spravne", at si pak treba necim nezkomplikuju zivot. Nebudu tedy pouzivat lokality (to jsem mel v planu), protoze je fakt, ze kdybych urcitou sluzbu chtel z fyzickeho serveru prestehovat treba na VPS, musel bych to pak vsude menit.

Nekdy opravdu plati, ze mene je vice. Kdysi jsem si treba nasekal spoustu subdomen tretiho radu, na kazdou blbost jinou, bohuzel jsou uz zavedene a dost lidi je pouziva, takze je nemuzu jen tak smazat a ted mi to zbytecne komplikuje zivot, protoze je musim smerovat a visi mi v DNS, atd.

[rADOn]

Na to stehovani se prave vyplati pouzivat CNAME. Idealni je kdyz mas na kazdou sluzbu kterou masina poskytuje vlastni cname a pak to muzes prehazovat libovolne a staci to otocit v dns. Jakmile mas kdekoliv v konfiguraku jmeno masiny (tj. Ackovej zaznam) tak sis sice usetril zrizovani aliasu ale zkomplikoval budouci presuny.

[petrfm]

Diky za rady, clovek si v tom musi delat system hned od zacatku, protoze to pomalu a jiste narusta a pak uz se k tomu nedostane, aby to cele prekopaval

Jak to vubec je s temi DNS zaznamy? Daji se nejak zobrazit? Myslim tim pro celou domenu naraz... Davam si jako A nebo cname i sluzby, ktere vyuzivam jen ja, ale rikam si, jestli to je dobry napad, jestli si to nekdo nemuze cele zobrazit a pak cilit utok?

Jde o to, ze klasicky web + mail mam pro firma.cz na hostingu. A pak mam svoje sluzby na serveru, kde testuju ruzne veci, tak jestli kdyz nastavim treba uloziste.firma.cz, ktere budou smerovat na svuj serverovy nas tim neukazu utocnikovi, kde mam data...

Je mi celkem zahadou, jestli se da nekde ziskat seznam VSECH DNS zaznamu k dane domene? Vim, ze se da zadat dotaz, treba dotaz na MX pro domenu, nebo dotaz pro A na neco.firma.cz, ale to musi ten clovek zkouset, resp. se dotazovat na BEZNE sluzby.

P.

[Sten]

Seznam všech subdomén získá jen slave DNS server, nikdo jiný ne. Stará verze DNSSEC umožňovala iterovat subdomény, novější používají hashe. Z bezpečnostního hlediska v tom ale nevidím jakýkoliv problém, skrývat služby pod podivná jména je security by obscurity a nic nebrání případnému útočníkovi najít ty služby přímo oskenováním serverů a servery skenováním rozsahů IP adres. Třeba útoky na SSH a SMTP se běžně začnou objevovat tak do hodiny po připojení serveru do sítě i bez zadání toho serveru do DNS.

[vev]

No mě se jako nejlepší nakonec osvědčilo pojmenovávat servery podle služeb (pokud to jde). V případě virtualizace pro každou službu vlastní stroj, vlastní název - např. mail1, web3, dns1 apod. Výhodou je to, že se v tom vyzná i někdo jiný krom mne a že pod názvem si člověk dokáže představit co na tom běží (teď ponechávám stranou i další výhody jako vyšší bezpečpečnost a spolehlivost - když padne stroj z jakéhokoliv důvodu, pak padne jen jedna či několik málo služeb).

[petrfm]

Ono to ale taky znamena x krat vice aktualizaci, zabezpeceni, spravovani, kontrolovani logu, zalohovani, apod. Je to o kompromisu. Bud mam jednu masinu a na ni vsechno, kde aktualizuju a spravuju jeden system, ale kdyz to padne, je prusvih, nebo mam pro kazdou sluzbu jinou.

Zatim se to snazim kumulovat na jedne dobre zalohovane masine, s tim, ze oddelim kriticke sluzby. Cili sdilene uloziste, weby, apod. na jednom stroji a mejly dam na druhy.