DNS. Jarek Durak PI 2009

Transkrypt

1 DNS Jarek Durak PI 2009

2 Historia usług rozwiązywania nazw Domain Name System Opracowany na potrzeby dostarczania poczty w sieci ARPANET na początku lat 80 (83 rok RFC i 883) Zastąpił plik HOSTS.TXT Pozostałość po tym pliku istnieje we wszystkich systemach operacyjnych LINUX/UNIX - /etc/hosts Windows NT/2k/XP - /Windows(WINNT)/system32/drivers/etc/hosts \HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\DataBasePath Plik hosts funkcjonował przez 10 lat

3 Historia usług rozwiązywania nazw Plik hosts Na przełomie lat 70/80 znacznie wzrosła liczba hostów w ARPANET Rozmiar pliku stał się zbyt duży Częste zmiany przypisań nazwa-adres wymuszały częste transfery pliku do wszystkich hostów Transport poczty wymagał wyspecyfikowania wszystkich hostów pośredniczących utzoo!decvax!harpo!eagle!mhtsa!ihnss!ihuxp!grg user@host

4 Historia usług rozwiązywania nazw Obecny format pliku hosts Każda linia jest osobnym wpisem Zawiera Adres IP v4 lub v6 Nazwa długa i nazwa krótka (obie/jedna/kilka nazw) localhost #IPv broadcasthost fe80::1%lo0 localhost #MacOSX tempus.metal.agh.edu.pl tempus # IPv6 ::1 localhost ipv6-localhost ipv6-loopback fe00::0 ff00::0 ff02::1 ff02::2 ff02::3 ipv6-localnet ipv6-mcastprefix ipv6-allnodes ipv6-allrouters ipv6-allhosts

5 Historia usług rozwiązywania nazw Plik hosts To czy plik hosts jest używany przez resolver jest zależne od systemu operacyjnego Dla Linux/Unix jest to plik /etc/hosts conf order hosts, bind I /etc/nsswitch.conf Dla Windows są to wpisy w rejestrach W przypadku korzystania z AD istnienie wpisów w pliku hosts może zakłócić działanie stacji w drzeie AD

6 DNS po stronie klienta Za korzystanie z DNS na stacji klienckiej odpowiada: Jej konfiguracja (np. dodatkowe usługi) resolver (zestaw bibliotek systemowych i plików) Resolver Odpowiada za tłumaczenie nazw w postaci Tempus, na adres IP v4 lub 6 tempus.metal.agh.edu.pl Usługę ReverseDNS Tłumaczenie adresu IP na nazwę domenową in-addr.arpa. tempus.metal.agh.edu.pl

7 DNS po stronie klienta Przykład ReverseDNS # nslookup > set type=ptr > in-addr.arpa Server: Address: #53 Non-authoritative answer: in-addr.arpa name = tempus.metal.agh.edu.pl. Authoritative answers can be found from: in-addr.arpa nameserver = nms.cyf-kr.edu.pl in-addr.arpa nameserver = deenes.uci.agh.edu.pl in-addr.arpa nameserver = galaxy.uci.agh.edu.pl. nms.cyf-kr.edu.pl internet address = nms.cyf-kr.edu.pl has AAAA address 2001:6d8:0:1::a:3 deenes.uci.agh.edu.pl internet address = galaxy.uci.agh.edu.pl internet address =

8 DNS po stronie klienta Plik /etc/resolv.conf nameserver określa adresy IP serwerów DNS domain nazwa domeny np. metal.agh.edu.pl search - nazwy domen wyszukiwania (maks 6) sortlist sposób sortowania odpowiedzi option dodatkowe opcje Przykładowa zawartość /etc/resolv.conf namserver namserver domain metal.agh.edu.pl search metal.agh.edu.pl agh.edu.pl

9 DNS po stronie klienta

10 DNS po stronie klienta Rodzaje zapytań Nie rekursywne (non-recursive) Rekursywne (recursive) Rodzaje odpowiedzi Autorytatywne Jeżeli komputery o które pytamy są administrowane przez pytany serwer Nieautorytatywne W pozostałych przypadkach

11 Mechanizm rozwiązywania nazw Nazwy podlegające rozwiązywaniu mają zwykle od 2 do 5 członów Nazwy rozwiązywane są segment po segmencie od prawej do lewej Na każdym etapie odpowiedź zawiera adres następnego serwera DNS do odpytania

12 DNS po stronie klienta W praktyce Klient zazwyczaj łączy się z serwerem DNS, który przechowuje odpowiedzi w pamięci podręcznej przez czas równy TTL danego wpisu DNS

13 Struktura DNS Domain Name System Jest to rozproszona hierarchiczna baza danych Rozproszona za poszczególne domeny odpowiadają wskazane serwery DNS, zawierające wpisy tylko dla tej domeny (ew kliku domen) Hierarchiczna ma strukturę odwróconego drzewa Baza danych zawiera uporządkowaną strukturę w postaci rekordów.pl.uk.edu.gov.info.firma.com.edu.agh.metal.uci

14 Struktura DNS Root. Stanowią podstawowe serwery DNS zawierające wskazania dla domen podstawowych Aktualna lista znajduję się pod adresem A listę operatorów na Obecnie ( ) zawiera 13 serwerów root Ograniczenie ustalono na na limit defragmentacji pakietu Ipv4 (576B) - co daje maks. 15 rekordów (IPv6 jest więcej) IN NS A.ROOT-SERVERS.NET. A.ROOT-SERVERS.NET A A.ROOT-SERVERS.NET AAAA 2001:503:BA3E::2: NS M.ROOT-SERVERS.NET. M.ROOT-SERVERS.NET A M.ROOT-SERVERS.NET AAAA 2001:dc3::35 ; End of File

15 Struktura DNS Domeny narodowe i funkcjonalne Serwery root zawierają wskazania do serwerów domen narodowych i funkcjonalnych Domeny narodowe jak.us,.uk.pl.eu W ramach domen narodowych są domeny funkcjonalne aid.pl agro.pl atm.pl auto.pl biz.pl com.pl edu.pl gmina.pl gsm.pl info.pl mail.pl miasta.pl media.pl mil.pl net.pl nieruchomosci.pl nom.pl org.pl pc.pl powiat.pl priv.pl realestate.pl rel.pl sex.pl shop.pl sklep.pl sos.pl szkola.pl targi.pl tm.pl tourism.pl travel.pl turystyka.pl Domeny funkcjonalne Początkowo edu, net, gov, com, net, mil, org Nowe domeny.aero transport lotniczy.biz (businesses) - dla firm.info (information) do użytku ogólnego.coop (cooperatives) - dla przedsiębiorców.museum - dla muzeów.name dla osób prywatnych.pro (professionals) - dla profesjonalistów w danym zawodzie

16 Struktura DNS Administracja domenami ICANN-IANA - nadzór ogólny nad nazewnictwem i strukturą domen najwyższego poziomu (TLD - ang. Top Level Domains), np.:.pl,.gov,.com. VeriSign Global Registry Services - rejestracja i nadzór nad domenami:.net,.org,.com (52 serwery) Rząd USA - rejestracja i nadzór nad domenami -.mil i.gov NeuLevel - rejestracja i nadzór nad domeną -.biz SITA - rejestracja i nadzór nad domeną -.aero Afilias Limited - rejestracja i nadzór nad domeną -.info Global Name Registry - rejestracja i nadzór nad domeną -.name EurID - rejestracja i nadzór nad domeną -.eu rządy poszczególnych krajów:

17 Struktura DNS Organizacja działania serwerów ROOT Początkowo serwery te były umiejscowione na terenie USA Obecnie każdy z serwerów jest klastrem a równoważenie obciążania zapewniają routery

18 Serwery DNS Typy serwerów Primary (podstawowy) Zawiera strefę (1 lub więcej) dla której jest podstawowym źródłem rekordów Wysyła odpowiedź autorytatywną Secondary (zapasowy) powinien być w innej sieci pobiera plik strefy z serwera podstawowego Wysyła odpowiedź autorytatywną Caching odpowiada na zapytania klientów i przechowuje odpowiedzi przez czas TTL Wysyła odpowiedź nieautorytatywną

19 Serwery DNS Reverse DNS RevDNS Zawiera strefę odwrotną Tych serwerów jest najmniej bo prowadzi się je dla przynajmniej kilkuset adresów Powstał dla wspomagania diagnostyki np. traceroute czy ping Obecnie wykorzystywany jest do wspomagania ochrony przed spamem Serwer SMTP przed przyjęciem poczty sprawdza czy serwer wysyłający pocztę rozwiązuje się na ten sam adres mnemoniczny, którym się przedstawia eliminuje to większość hostów

20 Serwery DNS Typy rekordów DNS (najważniejsze) A (adres record) AAAA Zawiera adres IPv4 (32b) jw dla IPv6 (128b) CNAME (Cannonical Name) Alias do innej nazwy w DNS MX (Mail Exchanger) Mapuje nazwę domeny na listę serwerów ją obsługujących NS (Name Server) Deleguje strefę do autorytatywnego serwera DNS PTR (Pointer Record) Zwraca nazwę mnemoniczną (reverse DNS) SOA (Start Of Authority) Zawiera autorytatywne informacje o strefie w tym Primary DNS, administratora, numer seryjny domeny (transfer do secondary gdy się zmienia) i parametry czasowe

21 Serwery DNS $TTL 2d ; lub w sekundach acme.com. IN SOA ns.acme.com. root.acme.com. ( ; numer seryjny(typowo data + 2 cyfry) ; odświeżanie lub w formie 1d12h 3600 ; powtórzenia 1h ; wygasa ; TTL dawniej teraz minimum ; NegativeCache ) acme.com. IN NS ns.acme.com. ;rekord serwera DNS acme.com. IN MX 10 poczta.acme.com. ;wymiennik poczty www IN A ; rekordy A poczta IN A ns IN A ftp IN CNAME www ; Alias do www Czyli ftp.acme.com to to samo co

22 Nazwy w DNS Tworzenie nazwy Dozwolone znaki A-Z, a-z duże i małe litery nie są rozróżniane (minus) wewnątrz nazwy Znaki niedozwolone Narodowe znaki diakrytyczne ąęśćżńół... symbole þ +.,! " $ % & / ( ) =? ^ * ç ; : _ > ] ); <spacje> Długość nazwy 3-63 znaki W strukturze geograficznej 1-63 internationalized domain name (IDN) Pozwala zastosować unicode Realizowane jest mapowanie Unicode ASCII

23 Protokół DNS Protokół UDP Mniejsze obciążanie serwera i klienta Mniejszy pakiet Krótszy etap nawiązywania połączenia Port 53 Format wiadomości RFC 1035 Nagłówek Występuje we wszystkich pakietach DNS Nie może być pusty Zawiera m.in. Message ID 16b identyfikator wiadomości QR- 1b 0-pytanie 1 odpowiedź QPCODE 4b typ operacji (0 -standardowe żądanie, 1 zapytanie odwrotne, 2 żądanie stanu) AA Odpowiedź autorytatywna RD - Recursion Desired żądanie wyszukiwania rekursywnego RA Recursion Avaiable tryb rekursywny dostępny QDCOUNT ilość rekordów w pytaniu ANCOUNT ilość rekordów odpowiedzi NSCOUNT ilość rekordów NS ARCOUNT ilość rekordów w dodatkowej sekcji

24 Protokół DNS Format wiadomości RFC 1035 Pytanie QNAME QTYPE Przeszukiwana domena Typ zapytania 1-A, 2-NS, 5-CNAME,6-SOA..., 255-ANY Kompletna lista IANA.org QCLASS - klasa zasobów Domyślnie 1 IN czyli INTERNET Kompletna lista IANA.org QNAME= 08 6D F 6D E F 6D 00! m y d o m a i n! c o m!! - liczba znaków do separatora

25 Protokół DNS Format wiadomości RFC 1035 Odpowiedź NAME TYPE Offset do nazwy Typ rekordu odpowiedzi 1-A, 2-NS, 5-CNAME,6-SOA..., 255-ANY Kompletna lista IANA.org CLASS - klasa zasobów Domyślnie 1 IN czyli INTERNET Kompletna lista IANA.org TTL - czas przechowywania w cache w sek. RDLENGHT RDATA

26 Dodatkowe funkcje DNS Równoważenie obciążenia serwerów np. WWW RoundRobin Klient zwykle wykorzystuje pierwszy adres z odpowiedzi Do jednej nazwy przypisanych jest kilka adresów IP Adresy są podawane w różnych kolejnością w kolejnych odpowiedziach Różne typy rekordów DNS może zawierać wiele typów rekordów (kilkadziesiąt) Opisy TXT Klucze i podpisy TKEY TSIG KEY SIG IPSECKEY...

27 Problemy z DNS DNS jest kluczową usługą internetu Cache poisoning Zatruwanie pamięci cache serwerów pośredniczących Pozwala na podszywanie się Serwer pośredniczący przyjmuje więcej informacji a nie tylko te o które pytał Brak sprawdzania czy odpowiedź przychodzi od właściwego serwera Użycie zbliżonych nazw lub częstych czeskich błędów np. domeny zarejestrowane DDNS (Dynamic Domain Name System) Pozwala zarejestrować domenę na adresie dynamicznym Czasy TTL są zwykle krótkie (