DNS Catalog Zones. łatwe tworzenie i synchronizacja serwowanych stref. Witold Kręcicki. 23 lutego Internet Systems Consortium

Transkrypt

1 łatwe tworzenie i synchronizacja serwowanych stref Internet Systems Consortium 23 lutego 2016

2 Internet Systems Consortium ISC-DHCP Kea BIND9 Software Engineering Internet Systems Consortium Operations Support Subscription version SNS-PB F-root 24/7 support ASN

3 Problem?

4 Problem?

5 Problem?

6 Problem?

7 Problem?

8 Problem?

9 Problem?

10 Historia RFC882, RFC883 - pierwsze podejście, już z XFR! RFC1034, RFC DNS jaki mamy dziś RFC oczyszczenie AXFR w 1986 roku domen było kilkaset, dodanie nowej było wydarzeniem, nikt nie potrzebował automatyzacji zone catalog - dziura...

11 Co mamy teraz Generowanie na podstawie bazy danych SCP (jak XFR u DJB) supermaster w PowerDNS - notify tworzy domenę, nie można usunąć skrypty, hacki, śrubokręty brak rozwiązania systemowego brak interoperability out-of-band

12 Czego potrzebują użytkownicy? 90% definicji stref to: zone foo. com { m a s t e r s ; } ; zone bar. com { m a s t e r s ; } ; zone baz. com { m a s t e r s ; } ; Z pozostałych 10% - 90% to: zone l o r. com { m a s t e r s ; } ; zone emi. com { m a s t e r s ; } ; zone psu. com { m a s t e r s ; } ; Czasami zdarza się allow-query, allow-transfer

13 Zone catalog zone Pierwsze podejście - Paul Vixie - Metazones (2005) Wbudowane w serwer Ustandaryzowane w ramach IETF - draft w DNSOP Docelowo obsługiwane przez różne implementacje

14 Rozwiązanie!

15 Rozwiązanie!

16 Rozwiązanie!

17 Rozwiązanie!

18 Rozwiązanie!

19 Rozwiązanie!

20 Rozwiązanie!

21 Rozwiązanie!

22 Rozwiązanie!

23 Rozwiązanie!

24 Rozwiązanie!

25 Rozwiązanie!

26 Rozwiązanie!

27 Rozwiązanie!

28 Rozwiązanie!

29 Rozwiązanie!

30 Rozwiązanie!

31 Najprostsza strefa c a t z. i s c. org. IN SOA c a t z. i s c. org. IN NS master. i s c. org. c a t z. i s c. org. IN NS s l a v e. i s c. org. v e r s i o n. c a t z. i s c. org. IN TXT 1 m a s t e r s. c a t z. i s c. org. IN A m a s t e r s. c a t z. i s c. org. IN AAAA : : 2 c : : ce8b9... c9. z o n e s. c a t z. i s c. org. IN PTR mojadome. na f 4 7 b e z o n e s. c a t z. i s c. org. IN PTR drugadome. na m a s t e r s. f 4 7 b e c a t z. i s c. org. IN A f 1 b e c a t z. i s c. org. IN PTR t r z e c i a d o m e. na a l l o w q u e r y. 4 f 1 b e c a t z. i s c. org. IN APL 1 : / 8! 1 : / 1 6 m a s t e r s. 4 f 1 b e c a t z. i s c. org. IN MX 0 mojmaster. s e r v e r s. c a t z. i s c. org. mojmaster. s e r v e r s. c a t z. i s c. org. IN A mojmaster. s e r v e r s. c a t z. i s c. org. IN TXT t s i g k e y

32 Konfiguracja master.conf o p t i o n s { l i s t e n on { ; } ; allow new zones yes ; } ; zone c a t z. i s c. org { type master ; f i l e c a t z. i s c. org. db ; a l l o w t r a n s f e r { ; } ; } ; slave.conf o p t i o n s { l i s t e n on { ; } ; allow new zones yes ; catalog zones { zone c a t z. i s c. org ; } ; } ; zone c a t z. i s c. org { t y p e s l a v e ; m a s t e r s { ; } ; } ;

33 Sposób użycia rndc addzone: $ rndc addzone dome.na { type master; file domena.db ; allow-transfer { ; }; } nsupdate: $ cat << EOF nsupdate server update add 345f0ef372cb4f8fa1df416e5edc4b6be7c162b7.catz.isc.org IN PTR dome.na send EOF

34 Finalnie Wykorzystujemy istniejącą infrastrukturę Wszystko jest przesyłane po DNS Brak haków, zewnętrznych skryptów Docelowo - RFC, wspierane przez różne implementacje

35 Koniec. Pytania?