Dotaz: debian autoritativní DNS

[f1lo]

Dobrý den,

chtěl bych se zeptat, zda někdo nemáte k dispozici nějaký spolehlivý návod na nastavení autoritativního/cache/rekurzivního DNS serveru na BINDu pod Debianem, nebo byste doporučovali jiný balíček?

Děkuji předem za odpověď.

---

---

Odpovědi

[*]

https://www.google.cz/search?q=bind9+debian+howto nestačí?

[f1lo]

Dobrý den,

google jsem samozřejmě prohledával, proto se záměrně ptám tady, abyste mi případně doporučili nějaký ověřený návod, který jsme například sami použili, jelikož se většina návodu poměrně liší a přímo na tuto konfiguraci jsem nic přesného nenašel.

[N]

Jaky mas konkretne problem?

[f1lo]

Konkrétně mi není jasné, jak nahodit zároveň autoritativní a cache DNS na jednom stroji. Dočetl jsem se, že to lze nějak přes instance bindu, ale nikde jsem se nedočetl podrobný postup.

[Filip Jirsák]

Pokud je to jenom trochu možné, udělejte to jako dvě různé služby, tj. aby to běželo alespoň na různých IP adresách. Konfigurace je pak jednoduchá, jednu službu nakonfigurujete jako autoritativní, druhou jako cache. A ano to nemusí být stejný program, třeba pro autoritativní server můžete použít místo Bindu NSD nebo KnotDNS, a pro cache místo Bindu Unbound nebo Dnsmasq.

[hates]

podivej se na nastaveni allow-query, allow-recursion, a dale pokud to chces nasadit napriklad pro firmu kde do internetu to vraci verejne a do intranetu lokalni, pro intranet dela rekurze atd na view. TOto je zakladni nastaveni.

Da se s tim delat prsi kusy, a musis mit v hlave nejaky navrh co to ma pro koho delat.

[graviton]

Má to autoritativno být veřejné (= servíruje to nějakou reálnou doménu?) nebo jen někde interní v síti?

Pokud je to veřejné, tak jmenovaná kombinace je poněkud obtížná i pro zkušené adminy. Ruce pryč. (autoritativní část musí být přístupná všem, rekurzivní omezená jen na někoho, protože veřejný rekurzivní server by se pak dal zneužít k různým zesilovacím útokům)

Pro interní účely to rekurzi a kešování dělá hned po nainstalování a pro servírování domény k tomu stačí dohodit správně napsaný zone soubor.

[R]

Napisat do konfiguraku nieco taketo je problem pre nejakeho admina?

allow-recursion { 192.168.0.0/24; };

[Filip Jirsák]

To stačí k tomu, aby se nedalo skrze cache útočit na autoritativní server nebo opačně? Pokud později změním jmenné servery pro doménu, pro kterou je ten server autoritativní (ale na tomto serveru příslušnou zónu zapomenu smazat), bude cache poskytovat údaje z nových serverů?

[f1lo]

To samozřejmě problém není, chápu to tedy správně, že allow-query by mělo být pro všechny a allow-recursion pro lokální síť?

[f1lo]

https://www.us-cert.gov/ncas/alerts/TA13-088A <- k samostudiu

Je samozřejmě vhodné si to zkusit na různých dotazech z nějaké cizí sítě. Pokud je odpověď větší než dotaz na některé z domén, na které to odpovídat nemá, tak je to blbě.