Bài giảng DNS (Domain Name System)

DOMAIN NAME SYSTEMNội dungDNS LÀ GÌ?CƠ CHẾ PHÂN GIẢI.CHỨNG NHẬN TÊN MIỀN.PHÂN LOẠI DOMAIN NAME SERVER.DELEGATION VÀ HOSTING DOMAIN.RESOURCE RECORD.HOẠT ĐỘNG CỦA NAME SERVER TRONG LINUX.CÀI ĐẶT.CÁC TẬP TIN CSDL CHO ZONE.CẤU HÌNH.BẢO MẬT DNS SERVER.KIỂM TRA CẤU HÌNH.1. DNS LÀ GÌ?Ban ñaàu do quy moâ maïng ARPAnet coøn nhoû chæ vaøi traêm maùy, neân chæ coù moät taäp tin ñôn HOSTS.TXT löu thoâng tin veà aùnh xaï teân maùy thaønh ñòa chæ IP. Tuy nhieân khi quy moâ maïng lôùn hôn, vieäc söû duïng file HOSTS.TXT coù caùc nhöôïc ñiểm nhö sau:Löu löôïng maïng vaø maùy chuû duy trì file HOSTS.TXT bò quaù taûi do hieäu öùng “coå chai”.Xung ñoät teân: Khoâng theå coù 2 maùy tính coù cuøng teân trong file HOSTS.TXTKhoâng ñaûm baûo söï toaøn veïn: vieäc duy trì 1 file treân maïng lôùn raát khoù khaên. Löu yù: Treân maùy Linux taäp tin coù teân laø hosts naèm trong /etc Do ñoù, ñaõ ra ñôøi dòch vuï DNS (Domain Name Service) nhaèm khaéc phuïc caùc nhöôïc ñieåm treân.- DNS laø 1 CSDL phaân taùn.- DNS hoaït ñoäng theo moâ hình Client-Server: + Server (Name Server): goïi laø maùy chuû phuïc vuï teân. + Client (Resolver): goïi laø trình phaân giaûi teân. - DNS ñöôïc thi haønh nhö moät giao thöùc taàng Application trong moâ hình TCP/IP.DNS phaân boå theo cô cheá phaân caáp töông töï nhö söï phaân caáp cuûa heä thoáng taäp tin Unix/Linux.DNS LÀ GÌ? (tt) Hình vẽ mô tả tên domain trong CSDL DNS so sánh với đường dẫn tuyệt đối của thư mục trong hệ thống file UNIXDNS LÀ GÌ? (tt)CSDL của DNS là một cây đảo ngược.Mỗi nút trên cây cũng lại là gốc của 1 cây con. Chiều sâu của cây tối đa là 127 cấp. Tên trên mỗi nút tối đa 63 ký tự. Mỗi cây con là một phân vùng con trong toàn bộ CSDL DNS gọi là Domain. Mỗi Domain có thể phân chia thành các phân vùng con nhỏ hơn gọi là các miền con Subdomian.DNS LÀ GÌ? (tt)DNS LÀ GÌ? (tt)Ñòa chæ teân mieàn (domain name) toång quaùt: host.subdomain.domain + host: teân maùy. + subdomain: teân mieàn phuï. + domain (top-level-domain): teân mieàn chính.Moät soá top-level-domain thoâng duïng: .com : Caùc toå chöùc, coâng ty thöông maïi. .org : Caùc toå chöùc phi lôïi nhuaän. .net : Caùc trung taâm hoã trôï veà maïng. .edu : Caùc toå chöùc giaùo duïng. .gov : Caùc toå chöùc thuoäc chính phuû. . . .Ngoaøi ra moãi nöôùc coù moät top-level-domain rieâng goàm 2 kyù töï. VD: .vn :Vieät Nam, .us :Myõ, .ca :Canada, .kr : Haøn Quoác, . . .DNS LÀ GÌ? (tt)DNS LÀ GÌ? (tt)Vì sự quá tải của domain name nên phát sinh thêm các domain name mới sau:DNS LÀ GÌ? (tt)Caùch phaân boå döõ lieäu quaûn lyù domain name: Nhöõng root name server (.) quaûn lyù nhöõng top-level domain treân Internet. Teân maùy vaø ñòa chæ IP cuûa nhöõng name server naøy ñöôïc coâng boá cho moïi ngöôøi bieát.Để xem tên máy và địa chỉ IP của những nameserver này ta mở file /var/named/named.caDNS LÀ GÌ? (tt)DNS LÀ GÌ? (tt)Söï khaùc nhau giöõa Zone vaø Domain: + Zone: bao goàm moät domain hay nhieàu subdomain.+ Domain: goàm nhieàu subdomain vaø zone.DNS LÀ GÌ? (tt)Phaân giaûi teân thaønh IP. Vai troø cuûa Root name server: laø maùy chuû quaûn lyù caùc name server ôû möùc top-level domain. Khi coù truy vaán veà moät teân mieàn naøo ñoù thì root name server phaûi cung caáp teân vaø ñòa chæ IP cuûa name server quaûn lyù top-level domain maø teân mieàn naøy thuoäc vaøo.2. CƠ CHẾ PHÂN GIẢI. Hình veõ döôùi moâ taû quaù trình phaân giaûi girigiri.gbrmpa.gov.au treân maïng Internet hình trang 132. CƠ CHẾ PHÂN GIẢI.Coù hai loaïi truy vaán: + Truy vaán ñeä quy (recursive query) + Truy vaán töông taùcCƠ CHẾ PHÂN GIẢI (tt).Phaân giaûi IP thaønh teân. AÙnh xaï ñòa chæ vaøo teân ñöôïc duøng ñeå dieãn dòch caùc file log cho deã ñoïc hôn. Noù coøn duøng trong 1 soá tröôøng hôïp chöùng thöïc treân heä thoáng UNIX. Ñeå coù theå phaân giaûi teân maùy cuûa moätù ñòa chæ IP, trong khoâng gian teân mieàn ngöôøi ta boå sung theâm moät nhaùnh teân mieàn maø ñöôïc laäp chæ muïc theo ñòa chæ IP. Phaàn khoâng gian naøy coù teân laø mieàn in-addr.arpa. Moãi nuùt trong mieàn in-addr.arpa coù nhaõn laø chæ soá thaäp phaân cuûa ñòa chæ IP.CƠ CHẾ PHÂN GIẢI (tt).CƠ CHẾ PHÂN GIẢI (tt).3. CHỨNG NHẬN TÊN MIỀN.Fully Qualified Domain Name (FQDN): Moät teân mieàn ñaày ñuû cuûa 1 nuùt chính laø chuoãi tuaàn töï caùc teân goïi cuûa nuùt hieän taïi ñi ngöôïc leân nuùt goác, moãi teân goïi caùch ra bôûi daáu chaám. Teân tuyeät ñoái cuõng ñöôïc xem laø teân mieàn ñaày ñuû ñaõ ñöôïc chöùng nhaän (fully qualified domain name) FQDN4. PHÂN LOẠI DOMAIN NAME SERVER1. Primary Name Server: Moãi mieàn phaûi coù moät Primary Name Server. Ngöôøi quaûn trò DNS seõ toå chöùc nhöõng taäp tin CSDL treân Primary Name Server. Server naø coù nhieäm vuï phaân giaûi taát caù caùc maùy trong mieàn hay zone.2. Secondary Name Server: Secondary (hay slave) Name Server ñöôïc söû duïng ñeå backup cho Primary Name Server. Coù theå coù moät hay nhieàu Secondary Name Server. Theo moät chu kyø, Secondary seõ copy nhöõng file CSDL töø Primary Name Server. 3. Caching Name Server: Caching Name Server khoâng coù baát kyø file CSDL naøo. Noù ñöôïc söû duïng ñeå phaân giaûi teân maùy treân nhöõng maïng ôû xa thoâng qua nhöõng Name Server khaùc. Laøm taêng toác ñoä phaân giaûi baèng caùch söû duïng cache.Giaûm bôùt gaùnh naëng phaân giaûi teân maùy cho name server.Giaûm vieäc löu thoâng treân nhöõng maïng lôùn.5. DELEGATION VÀ HOSTING DOMAIN.+ Söï uyû quyeàn (Delegation domain):Thoâng thöôøng mieàn cha cung caáp caùc domain cho mieàn con döôùi hình thöùc uyû quyeàn cho mieàn con töï quaûn lyù vaø toå chöùc CSDL cho mieàn con.+ Hosting domain: Mieàn cha taïo hosting domain cho mieàn con. Mieàn cha töï toå chöùc vaø quaûn lyù CSDL cho mieàn con.6. RESOURCE RECORD.1. SOA (Start of Authority)Trong moãi zone file phaûi coù moät vaø chæ moät record SOA (start of authority). Record SOA chæ ra raèng maùy chuû name server laø nôi cung caáp thoâng tin tin caäy töø döõ lieäu coù trong zone. Cuù phaùp:[teân-mieàn] IN SOA [teân-server-dns] [ñòa chæ email] ( serial number; refresh number; retry number; experi number; time-to-live number; )a) serial number: Khi một slave name server kết nối với master server để lấy dữ liệu, trước tiên nó sẽ kiểm tra số serial, nếu số serial của master lớn hơn tức là dữ liệu đã hết hạn sử dụng và nó sẽ load lại dữ liệu mới. vì vậy khi ta cập nhật dữ liệu trên name server ta nên tăng số serial. Thông thường ta định dạng theo thời gian như sau: YYYYMMDDNN Ví dụ: 2004122901b) refresh number: Khoảng Thời gian (giây) mà slave biết phải kiểm tra lại dữ liệu có còn sử dụng được không. Ví dụ: 10800 ; Refresh sau 3 giờ.c) retry number: Nếu slave không thể kết nối với master name server sau một khoảng thời gian refresh thì nó sẽ cố gắng kết nối lại sau retry giây. Giá trị này nhỏ hơn giá trị refresh. Ví dụ: 3600 ; Retry sau 1 giờRESOURCE RECORD (tt).RESOURCE RECORD (tt).d) Expire number: Nếu slave không thể kết nối với master server sau khoảng thời gian expire (giây) này, thì slave sẽ không trả lời cho vùng dữ liệu đó khi được truy vấn, vì nó cho rằng dữ liệu này đã quá củ. Giá trị này phải lớn hơn giá trị refresh và retry. Ví dụ: 604800 ; Expire sau 1 tuần.e) time-to-live number: Time To Live, giá trị này được dùng cho tất cả các resource record trong file cơ sở dữ liệu. Giá trị này cho phép những server khác cache lại dữ liệu trong 1 khoảng thời gian xác định TTL. Ví dụ : 86400 ; TTL là 1 ngàyRESOURCE RECORD (tt).2. NS (Name Server) Record tieáp theo caàn coù trong zone laø NS (name server) record. Moãi name server cho zone seõ coù moät NS record. Cuù phaùp: [teân-domain] IN NS [maùy-DNS-Server] Ví dụ : movie.edu. IN NS terminator.movie.edu. movie.edu. IN NS wormhole.movie.edu. Chæ ra 2 name servers cho zone movie.edu.RESOURCE RECORD (tt).3. A (Address) Record A (Address) aùnh xaï teân vaøo ñòa chæ. Cuù phaùp: [teân maùy] IN A [ñòa chæ IP] Ví dụ : terminator.movie.edu. IN A 192.168.11.1004. CNAME (Canonical Name ) Record CNAME (canonical name) taïo teân bí danh alias troû vaøo moät teân canonical. Teân canonical laø teân host trong record A hoaëc laïi troû vaøo 1 teân canonical khaùc. Cuù phaùp: [teân maùy alias] IN CNAME [teân maùy goác] Ví dụ : server.movie.edu. IN CNAME terminator.movie.edu.RESOURCE RECORD (tt).5. MX (Mail Exchanger) DNS duøng record MX ñeå thöïc vieäc chuyeån mail treân maïng Internet Cú pháp: [teân-domain] IN MX [ñoä öu tieân] [teân mail server] Ví dụ : t3h.com IN MX 0 mail.t3h.com. 6. PTR (Pointer) Record PTR (pointer) duøng ñeå aùnh xaï ñòa chæ vaøo teân. Cú pháp: [ñòa chæ IP] IN PTR [teân maùy] Ví dụ : 1.11.29.172.in-addr.arpa IN PTR server.t3h.com. hoặc 1 IN PTR server.t3h.com.7. HOẠT ĐỘNG CỦA NAME SERVER TRONG LINUX.Chöông trình server cuûa DNS name server laø moät chöông trình Daemon (named).Trong quaù trình khôûi ñoäng named ñoïc caùc taäp tin döõ lieäu roài chôø caùc yeâu caàu phaân giaûi qua coång xaùc ñònh trong taäp tin /etc/services. Named duøng giao thöùc TCP.Moät truy vaán client-to-server: port nguoàn >1023, port ñích 53.Moät traû lôøi server-to-client: port nguoàn 53, port ñích > 1023.Moät truy vaán vaø traû lôøi server-to-server: vôùi giao thöùc UDP port nguoàn vaø ñích ñeàu laø 53, vôùi TCP truy vaán cuûa server seõ söû duïng port > 1023.8. CÀI ĐẶT.Chuùng ta caàn caøi ñaët caùc package sau: bind-9.8.2-0.10.rc1.el6_3.2.i686 bind-libs-9.8.2-0.10.rc1.el6_3.2.i686 bind-utils-9.8.2-0.10.rc1.el6_3.2.i6869. CÁC TẬP TIN CSDL CHO ZONE.Tập tin CSDL phân giải thuận :$TTL 86400@ IN SOA server.csc.com. root.csc.com. ( 2005022800 10800 1800 36000 86400 ) IN NS server.csc.com. IN MX 0 mail.csc.com.server IN A 172.29.11.1backup IN A 172.29.11.2ftp IN A 172.29.11.3www IN CNAME server.csc.com.mail IN CNAME server.csc.com.comp1 IN A 172.29.11.101comp2 IN A 172.29.11.102CÁC TẬP TIN CSDL (tt).Tập tin CSDL phân giải nghịch :$TTL 86400@ IN SOA server.csc.com. root.csc.com. ( 2005022800 10800 1800 36000 86400 ) IN NS server.csc.com.1 IN PTR server.csc.com.2 IN PTR backup.csc.com.3 IN PTR ftp.csc.com.101 IN PTR comp1.csc.com.102 IN PTR comp2.csc.com.10. CẤU HÌNH.Caùc böôùc caáu hình Name Server:1. Ñaêng kyù moät domain name (/etc/resolv.conf).2. Taïo moät danh saùch nhöõng teân vaø ñòa chæ IP töông öùng.3. Taïo taäp tin /etc/named.conf, tuyø theo loaïi Name server caàn caáu hình.4. Taïo nhöõng taäp tin cô sôû döõ lieäu cho zone (/var/named). + Taäp tin CSDL phaân giaûi thuaän. + Taäp tin CSDL phaân giaûi ngöôïc.5. Khôûi ñoäng laïi named #/etc/init.d/named restart6. Caáu hình DNS Client ñeå kieåm tra nhöõng Name Server ñaõ caáu hình baèng coâng cuï nslookup. Ñaët caáu hình trong taäp tin: /etc/resolv.confCẤU HÌNH (tt).Tập tin cấu hình /etc/named.conf Options: Định nghĩa những cấu hình toàn cục cho Bind options { directory “thư_mục_chứa_csdl"; mặc định là thư mục /var/named forwarders {Địa_chỉ IP_name_server;}; }; Zone: Định nghĩa một zone để quản lý CSDL cho miền hay miền con. zone “tên_miền" { type master/slave/hint/stub; masters {Đ/c IP của Primary Name server;}; file “tên_file_CSDL"; };Type: + master: server có bản copy chính csdl. + slave: lưu bản sao csdl từ master. + stub: tương tự như slave chỉ cho phép record NS từ Master + hint: zone chỉ ra những root name server.CẤU HÌNH (tt).CẤU HÌNH PRIMARY NAME SERVER:Tạo tập tin /etc/named.conf Theâm vaøo 2 zone: Ví dụ :zone “domain_name" { type master; file "named.hosts";};zone “domain ngược" { type master; file "named.rev";};zone “net.com" { type master; file “zone.thuan";};zone “11.168.192.in-addr.arpa" { type master; file “zone.nghich";};CẤU HÌNH (tt).Ví dụ : Taäp tin /etc/named.confoptions { directory "/var/named"; forwarders {172.29.2.2;};};zone “net.com" { type master; file “zone.thuan";};zone “11.168.192.in-addr.arpa" { type master; file "zone.nghich";};CẤU HÌNH (tt).CẤU HÌNH SECONDARY NAME SERVER:Chức năng của Secondary Name Server là backup dữ liệu từ Primary Name Server.Không cần tạo các tập tin CSDL.Chỉ khai báo 2 zone trong tập tin cấu hình như sau: zone “tên_miền" { type slave; masters {Đ/c IP của Primary Name server;}; file “tên_file_CSDL thuận"; };Khởi động lại namedLưu ý: một máy tính có thể vừa làm chức năng Primary và Secondary Name Server, nếu cùng đường mạng thì chỉ khai báo zone thuận.CẤU HÌNH (tt).Tạo tập tin /etc/named.confThêm vào 2 zone: VD:zone “domain name" { type slave; masters {IP Primary NS;}; file "named2.hosts";};zone “domain ngược" { type slave; masters {IP Primary NS;}; file "named2.rev";};zone “net.com" { type slave; masters {192.168.11.1;}; file "named2.hosts";};zone “11.168.192.in-addr.arpa" { type slave; masters {192.168.11.1;}; file "named2.rev";};CẤU HÌNH (tt).CẤU HÌNH DNS CLIENT:Cấu hình DNS Client nhằm sử dụng công cụ nslookup để kiểm tra những Name Server vừa được cấu hình.Trong Linux, những thông số cấu hình DNS Client được lưu trong tập tin /etc/resolv.conf.Nội dung tập tin này : nameserver domain Ví dụ : nameserver 172.29.50.1 domain net01.comCẤU HÌNH (tt).CẤU HÌNH HOSTING DOMAIN: Mieàn cha taïo hosting domain cho mieàn con. Mieàn cha töï toå chöùc vaø quaûn lyù CSDL cho mieàn con hoặc một miền khaùc. Caùc böôùc caáu hình töông töï nhö caáu hình Primary Name Server. 1. Taïo taäp tin /etc/named.conf + Khai baùo caùc zone cuûa mieàn caàn hosting. 2. Taïo 2 taäp tin CSDL cho zone ñoù. + Taäp tin phaân giaûi thuaän. + Taäp tin phaân giaûi ngöôïc. 3. Khởi động lại namedCẤU HÌNH (tt).Ví dụ :Maùy 3Maùy 4Maùy 2Maùy 5Maùy 1.Maùy 3Maùy 4Maùy 2Maùy 5Maùy 1.Maùy 3Maùy 4Maùy 2Maùy 5Maùy 1.netXX.comb1.netXX.comb2.netXX.comSubnet2Subnet1Maïng chínhHosting172.29.10.0/24192.168.11.0/24203.162.98.0/24CẤU HÌNH (tt).CẤU HÌNH DELEGATION DOMAIN: Thoâng thöôøng mieàn cha cung caáp caùc domain cho mieàn con döôùi hình thöùc uyû quyeàn cho mieàn con töï quaûn lyù vaø toå chöùc CSDL cho mieàn con. Thöïc hieän caùc böôùc sau ñaây : + Môû file phaân giaûi thuaän cuûa mieàn cha vaø moâ taû nhö sau: [mieàn_con] IN NS [teân_maùy] [teân_maùy] IN A [ñòa_chæ_IP] + Môû file phaân giaûi ngöôïc cuûa mieàn cha moâ taû nhö sau: [Ñ/c Host_ID] IN PTR [teân_maùy] + Môû file /etc/named.conf theâm tuyø choïn: forwarders {Ñ/c_IP_Name_ Server_cuaû_mieàn_cha};CẤU HÌNH (tt). Ví dụ : Treân Name Server quaûn lyù mieàn netXX.com uyû quyeàn cho mieàn con b1.netXX.com cho maùy coù teân laø: comb1 vaø coù IP laø: 172.29.10.102 + Môû file phaân giaûi thuaän cuûa mieàn netXX.com vaø moâ taû : b1 IN NS comb1.net.com. comb1 IN A 172.29.10.102 + Môû file phaân giaûi ngöôïc cuûa mieàn netXX.com vaø moâ taû : 102 IN PTR comb1.net.com. + Sau đó cấu hình DNS server trong subnet2 để quản lý domain b2.netXX.comCẤU HÌNH (tt).Ví dụ :Maùy 3Maùy 4Maùy 2Maùy 5Maùy 1.Maùy 3Maùy 4Maùy 2Maùy 5Maùy 1.Maùy 3Maùy 4Maùy 2Maùy 5Maùy 1.netXX.comb1.netXX.comb2.netXX.comSubnet2Subnet1Maïng chínhDelegation172.29.10.0/24192.168.11.0/24203.162.98.0/2411. BẢO MẬT DNS SERVER.1. Notify : Giữa DNS Slave và Master có cơ chế tự động cập nhật khi có sự thay đổi dữ liệu trong zone file, dựa trên thông số refresh (thời gian làm tươi) Tuy nhiên có thể mô tả tham số “notify” để khi máy Master thay đổi dữ liệu zone,có thể thông báo ngay cho các slave biết để cập nhật theo. Có hai khai báo notify cho một zone: notify yes/no; //thông báo cho các name server liệt kê bởi các record NS của zone này. also-notify {danh sách các Slave name server cần thông báo đến để cập nhật}; allow-update {danh sách IP update tự động lên name server;};BẢO MẬT DNS SERVER(tt).Ví dụ :zone “net.com” { type master; file "named2.hosts"; notify yes; also-notify {192.168.11.1; 192.168.11.4; 192.168.10.1;} allow-update{none;};};zone “12.168.192.in-addr.arpa" { type master; file "named2.rev"; notify yes; allow-update{none;};};BẢO MẬT DNS SERVER(tt).2. Allow-transfer : Thông thường DNS cho phép copy các zone file giữa Master và Slave Name server. Do DNS có thể chứa các thông tin nhạy cảm, nên chỉ cho phép một số máy có thể copy được zone file từ máy master. Cú pháp của allow-transfer như sau: allow-transfer {danh sách địa chỉ IP cho phép copy dữ liệu;}; Ví dụ : zone “net.com" { type master; file "named2.hosts"; notify yes; also-notify {192.168.11.1; 192.168.11.4; 192.168.10.1;}; allow-transfer {192.168.11.1; 192.168.11.4; 192.168.10.1;}; };BẢO MẬT DNS SERVER(tt).3. Allow-query : Mặc định các dữ liệu DNS phổ biến công cộng cho mọi người có thể truy cập. Tuy nhiên trong một số trường hợp có thể cần giới hạn việc truy cập dữ liệu DNS cho một số địa chỉ IP nào đó. Cú pháp của allow-query như sau: allow-query {danh sách địa chỉ IP cho phép truy cập dữ liệu;}; Ví dụ : zone “net.com" { type master; file "named2.hosts"; notify yes; also-notify {192.168.11.1; 192.168.11.4; 192.168.10.1;}; allow-transfer {192.168.11.1; 192.168.11.4; 192.168.10.1;}; allow-query {192.168.11/24}; };BẢO MẬT DNS SERVER(tt).4. Chạy DNS Server với quyền của user thường : BIND phiên bản 8.1.2 có chức năng cho phép thay đổi username và group khi chạy name server. Điều này cho phép chạy Name server với cơ chế gọi là “least privilege”: quyền tối thiểu đủ để làm việc, không dư thừa. Khi đó hacker có tấn công chiếm được quyền điều khiển tiến trình named thì chúng cũng không có quyền root, tác hại khi đó sẽ nhỏ hơn. Tính năng này được bật thông qua các tuỳ chọn dòng lệnh chạy named: -u: chỉ ra username hoặc user ID mà name server chuyển sang khi khởi động. VD: #named -u named -g: chỉ ra group hoặc group ID mà name server chuyển sang khi khởi động. VD: #named -u named -g namedBẢO MẬT DNS SERVER(tt). Chú ý : nếu dùng tính năng này thì quyền trên các zone file, pid file được thiết lập lại. cụ thể là user named phải có quyền đọc, ghi trên zone file.12. KIỂM TRA CẤU HÌNH.#nslookup –sil> linuxsvr>Server : 172.29.14.1>Address : 172.29.14.1#53>Name : linuxsvr.csc.hcmuns.edu.vn>Address : 172.29.14.1 #host server1.net01.comserver1.net01.com has address 172.29.50.2