Rozpoznawanie nazw hostów przy użyciu systemu DNS

Transkrypt

1 Rozpoznawanie nazw hostów przy użyciu systemu DNS Active Directory jest mocno powiązane z DNS. DNS - Domain Name System, jest wielką rozproszoną bazą danych, umożliwiającą zamianę nazw domen na adresy IP serwerów. System DNS składa się z hierarchii stref. Na szczycie hierarchii znajduje się strefa root - ".". Na mocy umowy CRADA z rządem USA, zarządza nią organizacja IANA. Ze strefy root wydelegowane są strefy niższego poziomu - domen TLD - Top Level Domain, np. "com.", "org.", "net.", "info.", "pl.", "eu.", "ru.", "su.", itp. Domeny TLD dzielą się na domeny funkcjonalne gtld (np. "com.", "org.", "net." i "info.") i krajowe - cctld (np. "pl.", "eu.", "ru." i "su."). Za zarządzanie polską domeną TLD - "pl." odpowiada NASK - Naukowa i Akademicka Sieć Komputerowa. Chociaż w rzeczywistości jest to jedna strefa, w Polskiej domenie również istnieje podział na domeny drugiego poziomu - SLD - Second Level Domain. Są to domeny funkcjonalne (np. "com.pl." i "edu.pl.") i regionalne (np. "mielec.pl." i "wroc.pl."). Każdy właściciel domeny może utworzyć w niej wiele delegacji do stref kolejnych niższych poziomów

2 i/lub przypisać subdomeny do poszczególnych hostów/serwerów. Można w ten sposób utworzyć do 128 poziomów zagnieżdżeń. Jeżeli chcemy mieć domenę w globalnym systemie dns musimy ją kupić

3 System DNS pracuje w architekturze Klient - Serwer Czymś innym jest Klient DNS (pobiera informacje) a czymś innym Serwer DNS (przesyła informacje) Serwer DNS na którym jest zainstalowana usługa DNS, jako klient nie musi z niej korzystać, ale może Pytanie: Gdzie konfigurujemy klienta DNS? Klient DNS ->resolver (potocznie) Rodzaje serwerów - Serwery autorytatywne są to serwery utrzymujące domeny/strefy i mające w swojej bazie informacje tylko na temat rekordów znajdujących się w utrzymywanej przez nie strefie. Istnieją 2 rodzaje serwerów autorytatywnych - główne i zapasowe. Na serwerach głównych można wprowadzać zmiany. Serwery zapasowe, w określonym (w rekordzie SOA) czasie odpytują serwery główne i jeżeli

4 strefa znajdująca się na serwerze głównym ma inny identyfikator niż kopia przechowywana na serwerze zapasowym, za pomocą zapytania AXFR, transferują całą strefę. - Serwery rekursywne są to serwery udostępniane najczęściej przez dostawców Internetu. Każdy komputer korzystający z DNS musi korzystać z co najmniej jednego serwera rekursywnego. Taki serwer, początkowo, posiada informacje tylko nt. autorytatywnych serwerów strefy root - root serwerów. Po otrzymaniu zapytania od użytkownika, odpytuje on, zgodnie z hierarchią, serwery autorytatywne kolejnych stref, zapisuje ich adresy w cache, a na końcu, gdy otrzyma już ostateczny adres hosta, odpowiada użytkownikowi jego adresem IP. Następny użytkownik pytający o tą samą domenę dostanie odpowiedź prosto z cache. Serwer DNS 2 role: - lokalny Serwer DNS, rozwiązywanie nazw dla komputerów korzystających z jego usług - utrzymywanie domeny, całej jej konfiguracji

5

6 W Internecie działa 13 serwerów root (.), serwer DNS ma na nich namiar, łączy się z tym, który jest najbliżej. Serwery root przechowują informacje na zasadzie przekierowania dalej (podają adresy IP, gdzie należy się udać dalej, ma te adresy zarejestrowane) W globalnym systemie dns za domeny musimy płacić ponieważ korzystamy z serwerów innych firm. Nieważne z jakiego lokalnego serwera dns będziemy korzystać, zawsze rozwiążemy domenę, która jest wykupiona w globalnym systemie DNS, bo każdy serwer lokalny ma wpisane te 13 adresów serwerów root. Jeżeli ktoś unieruchomiłby te 13 serwerów DNS, Internet przestał by działać (udało się to zrobić w połowie). InterNIC środki z rejestrowania domen inwestuje w zabezpieczenie serwerów i nowe technologie.

7 Aby zarejestrować domenę w globalnym systemie nie zwracamy się bezpośrednio do NASK bo on również korzysta z roli pośredników np. nazwa.pl, home.pl itd., oni załatwiają sprawę między nami a NASKiem. jeżeli my chcemy domenę utrzymywać u siebie na swoich serwerach DNS należy podać dwa adresy IP serwerów dns, które utrzymują bazę danych domeny, muszą one być już skonfigurowane bo jest to od razu weryfikowane, mogą być z tej samej puli adresowej. Pośrednicy dają możliwość utrzymywania całej bazy domeny u siebie i oni zapewniają infrastrukturę. Lokalne domeny DNS (za globalne płacimy) - nie musimy płacić, - maja ograniczenia, - zastosowanie wewnętrzne. Pytanie: Jeżeli lokalny serwer dns utrzymuje strefę abcszkolenia.pl (bazę danych domeny) a my z komputera w sieci zapytamy o formum.abcszkolenia.pl czy będzie się odpytywał globalnych serwerów dns? Domena lokalna może mieć dowolną nazwę np. tomasz.borowiec zaleca się aby była zakończona local, np. tborowiec.local, bo to co jest po kropce, o tym decyduje InterNIC, system globalny nas nie ogranicza. Pytanie: Jeżeli na lokalnym serwerze dns skonfigurowaliśmy domenę mojafirma.pl to które komputery będą mogły rozwiązać ta domenę? Nie dowolny, tylko ten który będzie korzystał z naszych usług (w pozycji dns mają adres IP naszego serwera na pierwszym miejscu bo alternatywny działa gdy pierwszy nie). Zadanie: wykonać ping z systemu gospodarza do naszej domeny na virtualbox. Zadanie: wykonać ping z systemu w sieci virtualbox. Domena globalna jest rozwiązywalna przez każdy komputer świata bo nie ma znaczenia z jakiego lokalnego serwera dns on korzysta. Domena lokalna nie, bo nie jest zarejestrowana w globalnym systemie.

8 Pytanie: W jakich zastosowaniach z życia wziętych trudno sobie wyobrazić zastosowanie lokalnych domen dns? TTL w usłudze dns, czyli czas życia rekordu dns, zarówno dla klientów dns jak i lokalnych serwerów, gdy czas upłynie do zera są kasowane z pamięci podręcznej, czas propagacji zmian dns w sieci Internet utarte pojecie, jeżeli zrobi się zmianę w serwerze dns to taki czas propagacji zmian wynosi np. 1 dzień(ustawia to administrator domeny na danym serwerze), Konfiguracja stref Strefa to baza danych w której zapisane są wszystkie informacje dotyczące domeny, zapisane są w postaci rekordów bo to baza danych, rekordy są różnego typu. Baza danych strefy w Windows Server może być przechowywana w pliku tekstowym lub w Active Directory ale tylko wtedy kiedy serwer DNS jest na pokładzie kontrolera domeny.

9

10 Pliki stref i rekordy Każdy serwer autorytatywny danej strefy musi posiadać plik strefy tej strefy. Jego format jest standardem i został zdefiniowany w RFC Pod Linuksem, gdy korzystamy z ISC Bind (najpopularniejszego serwera od początku istnienia systemu DNS), plik strefy musimy edytować ręcznie. Pod Windowsem mamy do dyspozycji ładny graficzny manager. Plik strefy, a właściwie to strefa w ogóle, składa się z rekordów. Każdy rekord z kolei składa się z nazwy (sub)domeny której dotyczy ten rekord (np. "przykladowa.pl", " lub "mail.przykladowa.pl"), typu tego rekordu oraz parametrów specyficznych dla danego rekordu. Najpopularniejsze z nich to: SOA - Start Of Authority Jest to rekord zawierający "ustawienia domeny". Zawsze musi znajdować się na początku strefy. Przyjmuje 7 parametrów: Adres domenowy głównego, autorytatywnego serwera DNS danej strefy (np. "ns1.przykladowa.pl"); Adres administratora, z zamienioną małpą na kropkę (np. "admin.przykladowa.pl"); Numer wersji pliku strefy (zazwyczaj w formie daty i numery poprawki w danym dniu, ale w Windows Server 2008 jest to po prostu numer poprawki); Czas który musi upłynąć między kolejnymi transferami strefy na serwery zapasowe; Czas po którym serwer zapasowy ma ponowić próbę transferu, w przypadku jego niepowodzenia; Czas po upływie którego, serwer zapasowy ma przestać odpowiadać na zapytania, w przypadku niepowodzenia transferu; Czas przez jaki serwer rekursywny ma pamiętać że (sub)domena, o którą odpytywał serwer autorytatywny, nie istnieje. NS - Name Server Adres autorytatywnego serwera nazw danej strefy. Rekordów NS dla danej strefy może być kilka. Każdy z nich przyjmuje tylko 1 parametr i jest nim adres domenowy serwera. Jeśli adres tego serwera jest wewnątrz strefy, np. "ns1.przykladowa.pl", musi istnieć dla niego dodatkowy

11 rekord A, zawierający adres IP tego serwera, jeśli serwer DNS jest poza naszą strefą, np. "ns1.przykladowa.com", to nie musimy, a nawet nie możemy dodawać takiego rekordu. Rekordy NS używane są także do delegowania części strefy do strefy niższego poziomu (np. z "przykladowa.pl" do "podstrefa.przykladowa.pl"). Dodaje się wtedy rekordy NS dla każdego serwera nazw obsługującego daną strefę, oraz, podobnie jak wyżej, gdy ich adresy IP znajdują się w delegowanej strefie, odpowiednie rekordy A. MX - Mail Exchanger Adres serwera mailowego, przyjmującego pocztę dla danej domeny. Tak jak w przypadku rekordu NS, rekordów w danej strefie może być kilka i adres serwera mailowego musi być adresem domenowy, więc jeśli znajduje się on w naszej strefie, musi istnieć dodatkowy rekord A zawierający adres IP tego serwera. Rekord ten przyjmuje jeszcze 1 parametr - priorytet. Preferowane są serwery z niższym priorytetem. Te z wyższym są wykorzystywane tylko jeśli te preferowane nie działają. A - Address Rekord A służy do właściwej zamiany adresu domenowego (subdomeny) na adres IP hosta. Rekord A, a właściwie każdy rekord może być dodawany nie tylko do subdomeny, ale także do domeny głównej, np. " i "przykladowa.pl". AAAA - IPv6 Address Podobnie jak A, jednak w tym wypadku jest to adres IPv6. Przykładowy plik strefy Przykładowy plik strefy bez żadnych ułatwień będzie wyglądał tak: 01. przykladowa.pl IN SOA ns1.przykladowa.pl. admin.przykladowa.pl przykladowa.pl IN NS ns1.przykladowa.pl. 03. przykladowa.pl IN NS ns2.przykladowa.pl. 04. ns1.przykladowa.pl IN A ns2.przykladowa.pl IN A przykladowa.pl IN MX 10 mx.przykladowa.pl. 07. mx.przykladowa.pl IN A przykladowa.pl IN A

12 IN A ftp.przykladowa.pl IN A webmail.przykladowa.pl IN A podstrefa.przykladowa.pl 3600 IN NS ns1.podstrefa.przykladowa.pl. 13. podstrefa.przykladowa.pl 3600 IN NS ns2.podstrefa.przykladowa.pl. 14. ns1.podstrefa.przykladowa.pl 3600 IN A ns2.podstrefa.przykladowa.pl 3600 IN A Rekord SOA z "ustawieniami domeny": "ns1.przykladowa.pl." jest głównym, autorytatywnym serwerem nazw tej domeny; "admin.przykladowa.pl." jest adresem administratora; " " to numer wersji pliku strefy; "86400" - 1 dzień, to czas, w sekundach, po upływie którego, serwery zapasowe mają przetransferować strefę (pobrać jej kopię); "900" - 15 min, to czas po jakim serwery zapasowe mają powtórzyć próbę transferu strefy, jeśli poprzednia się nie powiedzie; Jeśli w ciągu " " - 30 dni serwerom zapasowym nie uda się nawiązać komunikacji z serwerem głównym, muszą przestać odpowiadać na zapytania dotyczące tej strefy; "3600", to czas przez jaki serwer rekursywny (dostawcy internetu) ma pamiętać że dana (sub)domena nie istnieje. 02 i 03 - Rekordy określające serwery nazw obsługujące tą strefę 04 i 05 - Adres IP serwerów nazw z linii 02 i i 07 - Serwer SMTP przyjmujący maile dla domeny "przykladowa.pl." oraz jego adres IP od 08 do 11 - Adresy IP dla domeny głównej i subdomen. Wszystkie wskazują na ten sam serwer. 12 i 13 - Delegacja fragmentu strefy - subdomeny "podstrefa.przykladowa.pl." na inne serwery nazw

13 14 i 15 - Ponieważ serwery nazw delegowanej podstrefy znajdują się w tej strefie, konieczne jest dodanie odpowiednich rekordów A - adresów IP tych serwerów. "[...]3600 IN[...]" - "3600" oznacza że serwer rekursywny ma pamiętać dany rekord przez 3600 sekund, czyli 1 godzinę, natomiast "IN" to domyślna klasa zapytań - Internet. Inny przykład pliku strefy: $ORIGIN przykladowa.pl. 1d SOA ns1 admin d 15m 30d 1h NS ns1 NS ns2 ns1 A ns2 A MX 10 mx mx A A www A ftp A webmail A podstrefa podstrefa NS ns1.podstrefa NS ns2.podstrefa ns1.podstrefa A ns2.podstrefa A $ORIGIN - zmienna zawierająca pełny adres domeny. Gdy wewnątrz pliku strefy użyjemy znaku "@", zostanie on zamieniony na zawartość tej zmiennej. $TTL - domyślny czas przez który serwery rekursywne mają pamiętać rekordy domen. Dzięki tej zmiennej nie musimy przy każdym rekordzie dopisywać jego wartości TTL (3600). Gdy nie wpiszemy nazwy (sub)domeny na początku rekordu, zostanie użyta nazwa z poprzedniego rekordu. Gdy nie zakończymy adresu domenowego kropką, zostanie on dopełniony zawartością zmiennej $ORIGIN.

14 Plik strefy: Praktyczne pokazanie rekordów pokazać rekordy i plik strefy Wyróżniamy dwie strefy: - wyszukiwania do przodu, dostajemy zapytanie taka nazwa powiedz jaki adres IP - wyszukiwania wstecznego, dostajemy zapytanie taki adres IP, jaka jest nazwa na która jest to nakierowane Strefa podstawowa - to jest ta strefa w której mamy naszą strefę do zapisu, serwer nadrzędny, master, podstawowy Serwery przechowujące Strefa pomocnicza, slave, pomocnicza, podrzędny, strefa do odczytu, nie mają możliwości zapisu, Nazwa strefy do nazwa domeny, którą będziemy obsługiwać

15 Wildcard Jako nazwy subdomeny możemy również użyć symbolu gwiazdki - "*", będzie to oznaczało każdą subdomenę, jeśli taka nie posiada już swojego osobnego rekordu. Jeśli więc w strefie istnieje rekord A dla subdomeny "*", zawierający adres IP , po odpytaniu serwera DNS o subdomenę "foiejwfiqf.przykladowa.pl", zwróci on adres IP Tak samo będzie w przypadku zapytań o "hfoiewi.przykladowa.pl" i "wqeqwer.przykladowa.pl". Z wykorzystaniem wildcard-u, nasza przykładowa strefa może wyglądać tak: $ORIGIN przykladowa.pl. 1d SOA ns1 admin d 15m 30d 1h NS ns1 NS ns2 ns1 A ns2 A MX 10 mx mx A * A podstrefa podstrefa NS ns1.podstrefa NS ns2.podstrefa ns1.podstrefa A ns2.podstrefa A

16 Ćwiczenie 3x45 min. Do ćwiczeń tego zagadnienia wykorzystamy 4 maszyny. Pierwszą z nich jest serwer główny (DNS-SERVER1), na którym zainstalujemy rolę serwera DNS, będzie on naszym serwerem master, drugi serwer (DNS-SERVER2), na którym również zainstalujemy rolę serwera DNS i skonfigurujemy aby był serwerem alternatywnym. Pozostałe dwie maszyny to maszyny klienckie oparte na systemie Windows 7 (KLIENT1 i KLIENT2). Maszynom zostały przyporządkowane numery IP widoczne na fotografii poniżej. Skonfigurować strukturę widoczną poniżej w oprogramowaniu VirtualBox. Wymienione nazwy nie są nazwami FQDN (Fully Qualified Domain Name) poszczególnych maszyn lecz ich nazwami NetBIOS na podstawie, których w dalszym etapie zdefiniujemy nazwy FQDN. W odpowiednim momencie wyłączymy również obsługę protokołu NetBIOS co spowoduje, że rozwiązywanie nazw oparte o ten protokół będzie niemożliwe pozostanie tylko DNS. Aby mówić o serwerze DNS opartym o system Windows Server 2008 musimy zainstalować wspominaną wcześniej rolę (rys. 2). Warto w tym przypadku wspomnieć, że serwer DNS może tutaj działać w dwóch trybach. Pierwszy z nich, to niezależny serwer DNS przechowujący zdefiniowane przez administratora strefy DNS. Drugim z trybów pracy serwera DNS jest integracja z usługą Active Directory. Jest to bardzo specyficzny tryb pracy bowiem podczas promocji kontrolera domeny serwer DNS instalowany jest domyślnie. Domyślnie też tworzony jest zestaw stref odpowiadający zdefiniowanej domenie AD.

17 Po instalacji roli serwera DNS, która wymaga od administratora jedynie potwierdzenia chęci instalacji wspomnianej roli możemy za pomocą polecenia dnsmgmt.msc wywołać konsolę zarządzania serwerem DNS (rys. 3). Jak możemy zaobserwować kontenery zawierające strefy wyszukiwania w przód i strefy wyszukiwania wstecznego są puste co oznacza ze to na administratorze spoczywa obowiązek zdefiniowania stref i ich nazewnictwa. W przypadku kiedy instalujemy serwer DNS razem z kontrolerem domeny AD odpowiednie strefy i komplet wpisów są tworzone automatycznie. Kolejnym krokiem mającym na celu zademonstrowanie działania serwera DNS jest wyłączenie rozwiązywania nazw NetBIOS. Należy jednak podkreślić, że w normalnym środowisku nie ma konieczności wyłączania obsługi tego protokołu, gdyż protokoły DNS i NetBIOS mogą ze sobą współistnieć w ramach tej samej infrastruktury sieciowej chyba, że czynimy to ze względów bezpieczeństwa. Co więcej należy podkreślić, że domeny AD również

18 mogą posiadać nazwy NetBIOS, choć stan ten utrzymywany jest raczej z konieczności zapewnienia kompatybilności wstecznej. Wyłączenia obsługi NetBIOS dokonać można przez wywołanie zaawansowanych właściwości protokołu TCPIP we właściwościach połączenia sieciowego. Odpowiednie ustawienie znajdziemy w zakładce WINS (rys. 4). Aby sprawdzić efekt naszych działań na dowolnym kliencie wywołujemy konsolę i za pomocą polecenia ping + nazwa klienta testujemy rozwiązywanie nazw NetBIOS (ping DNS- SERVER1) (rys. 5). Jeśli inny komputer nie odpowiada oznacza to, że obsługa protokołu NetBIOS została wyłączona. Aby zatrzymać rozwiązywanie nazw NetBIOS w obrębie całej sieci powyższą procedurę należy powtórzyć na wszystkich podłączonych maszynach (klientach i serwerach).

19 Następnie przystąpić możemy do zdefiniowania strefy wyszukiwania w przód. Odbywa się to za pomocą kreatora strefy wywoływanego po rozwinięciu prawym przyciskiem myszy menu kontekstowego dla kontenera przechowującego strefy wyszukiwania do przodu czyli takie które służą do tłumaczenia nazwy na konkretny adres IP. Po wywołaniu kreatora mamy do dyspozycji wybór strefy (rys 6). Możemy zdefiniować strefę jako strefę podstawową (primary), pomocniczą (secondary) i skrótową (stub). Strefa podstawowa jest strefą przeznaczoną do zapisu i odczytu. W przypadku aktualizacji rekordów DNS to właśnie do takiej strefy zapisywane są uaktualnienia. Strefa pomocnicza jest kopią strefy głównej przeznaczoną do odczytu. Strefy pomocnicze dla danej strefy głównej mogą być przechowywane na wielu serwerach, a ich zastosowanie ma na celu zwiększenie niezawodności systemu DNS i zapewnienie równoważenia obciążenia serwerów DNS w dużych sieciach. Strefa skrótowa jest zaś specjalnym typem strefy przechowującym tylko wybrane elementy strefy podstawowej. Jest ona stosowania w dużych sieciach połączonych łączami WAN o niskiej przepustowości. jej zastosowanie ma na celu zmniejszenie obciążenia ruchem łączy typu WAN. Zauważyć też można, że jedno dodatkowe ustawienie jest niedostępne. Jeśli korzystamy z AD to strefy zdefiniowane na serwerach domenowych mogą być przechowywane w partycjach usługi katalogowej. Wybieramy Strefa podstawowa. W kolejnym kroku zdefiniować możemy pełną nazwę kwalifikowaną FQDN domeny (rys. 7). Może to być nazwa domeny organizacji albo nazwa poddomeny danej organizacji. Należy też pamiętać, że nasz serwer będzie autorytatywnym serwerem dla zdefiniowanej przez nas

20 przestrzeni nazw lub jej fragmentu. Oznacza, to że serwer ten jest w stanie rozwiązać wszystkie nazwy znajdujące się w domenie abcszkolenia.pl. W przypadku gdybyśmy uruchomili drugi serwer DNS obsługujący poddomenę domeny abcszkolenia.pl o nazwie super.abcszkolenia.pl to byłby on serwerem autorytatywnym dla poddomeny super ale nieautorytatywnym dla abcszkolenia.pl. Taki serwer w przypadku otrzymania zapytania o rozwiązanie nazwy z domeny abcszkolenia.pl musiałby przekazać zapytanie dalej do serwera autorytatywnego dla tej domeny. Następnie zdefiniować musimy nazwę pliku, w którym dana strefa będzie przechowywana (rys. 8). Istnieje też możliwość przywrócenia strefy z pliku.

21 Niezbędne jest też wybranie sposobu aktualizacji rekordów w strefie. Jeśli serwer DNS nie jest kontrolerem domeny AD ani serwerem członkowskim usługi Active Directory to możliwy jest jedynie wybór pomiędzy aktualizacjami dynamicznymi i brakiem aktualizacji rekordów zasobów. Blokujemy aktualizacje automatyczne i będziemy tworzyć rekordy zasobów ręcznie. Pod pojęciem rekordów zasobów rozumiemy zestaw rekordów DNS. Po dokończeniu inicjalizacji strefy dostępne są w niej dwa rekordy utworzone domyślnie. Są to rekord SOA będący rekordem początkowym danych domeny określającym serwer przechowujący strefę główną, czas odświeżania, czas, życia rekordu, ważność itd. i rekord NS mówiący o tym, że serwer DNS-SERVER1 jest autorytatywny dla domeny abcszkolenia.pl. Definiujemy rekordy typu A dla naszych 4 maszyn, mają ona za zadanie tłumaczenie nazw hostów na adresy IP.

22 Po zdefiniowaniu rekordów dla naszych 4 maszyn (rys. 12) możemy przystąpić do przetestowania serwera DNS. Po wydaniu polecenia ping + nazwa FQDN maszyny powinniśmy otrzymać adres IP i odpowiedź danej maszyny (rys. 13)

23 W ten sposób uruchomiliśmy samodzielnie nasz pierwszy serwer DNS. Należy jednak zaznaczyć, że to dopiero wstęp do administracji serwerem DNS. Następnie utworzymy strefę pomocniczą (secondary zone), co umożliwi przede wszystkim zabezpieczenie serwera DNS pracującego w naszej sieci oraz utworzenie dodatkowego węzła, do którego będą kierowane zapytania DNS w razie gdybyśmy wymagali tej funkcjonalności ze względu na duże obciążenie sieci. Na serwerze DNS-SERVER1 została utworzona i skonfigurowana strefa główna (primary zone) abcszkolenia.pl. W strefie zdefiniowano rekordy typu A dla obu serwerów DNS i dla dwóch komputerów klienckich. Aby utworzyć strefę wtórną na serwerze DNS-SERVER2 instalujemy rolę serwera DNS i uruchamiamy kreatora konfiguracji strefy i w oknie wyboru typu strefy wybieramy opcję Strefa pomocnicza (rys. 14). Należy w tym miejscu zaznaczyć, że mechanizm tworzenia strefy skrótowej (stub zone) jest identyczny jak tworzenia strefy wtórnej. Jedyną różnicą z punku widzenia użytkownika jest konieczność wyboru tej opcji w kreatorze strefy. Warto jednak pamiętać, że po utworzeniu strefy skrótowej nie mamy do czynienia z kopią całej strefy lecz tylko wybranych rekordów.

24 W kolejnym kroku zdefiniować musimy nazwę strefy. Ponieważ tworzymy kopię strefy głównej przechowywanej na innym serwerze to nazwa tworzonej strefy będzie taka sama jak nazwa zdefiniowanej wcześniej strefy głównej (rys. 15).

25 Konieczne jest też wybranie nadrzędnego serwera DNS przechowującego strefę którą będziemy kopiować (rys. 16). Może to być, ale nie musi serwer przechowujący strefę główną. Jako serwer nadrzędny możemy wskazać serwer, przechowujący tylko strefę wtórną. W takim przypadku tworzona przez nas strefa będzie kopią kopii strefy głównej. Zaznaczyć należy, że wskazać możemy kilka serwerów, które będą serwerami nadrzędnymi będącymi źródłem danych dla konfigurowanego przez nas serwera. Serwery te mogą być serwerami przechowującymi tylko strefy wtórne. Domyślnie test poprawnego rozwiązania nazwy serwera nadrzędnego wykonywany jest dla protokołu w wersji 4 i w wersji 6. Jeśli wszystkie powyższe kroki wykonaliśmy poprawnie to teoretycznie powinniśmy być w stanie dokonać transferu strefy. Niestety bezpośrednio po zakończeniu powyższych czynności zazwyczaj pojawi się komunikat o odmowie dostępu i niemożności załadowania strefy (rys. 17). Aby umożliwić poprawną replikację strefy DNS należy zezwolić na transfer stref przez nadrzędny serwer DNS.

26 Aby tego dokonać należy we właściwościach strefy abcszkolenia.pl w zakładce Transfery stref na serwerze DNS-SERVER1 należy zezwolić na transfery i wybrać jedną z trzech dostępnych opcji. Jeśli strefa pomocnicza, którą skonfigurowaliśmy jest pierwszą strefą na serwerze DNS wtedy najwygodniej jest wybrać opcję zezwolenia na transfer stref do każdego serwera DNS. Mamy oczywiście również możliwość zezwolenia na transfer tylko do wskazanych serwerów DNS, ale jest to możliwe jeśli serwer, do którego ma zostać skopiowana strefa jest już pełnoprawnym serwerem DNS co oznacza, że jakaś strefa musi być już na nim zdefiniowana. W innym przypadku otrzymamy komunikat o tym, że serwer nie jest serwerem autorytatywnym dla danej strefy i replikacja stref do danego serwera nie będzie możliwa. Możemy również użyć listy serwerów autorytatywnych zdefiniowanych w zakładce Serwery nazw ale w naszym przypadku posiadania serwera DNS, który będzie przechowywał tylko jedna strefę pomocniczą również obowiązuje wspomniane wcześniej ograniczenie (rys. 18).

27 W naszym przypadku jedynym możliwym wyborem jest wiec zezwolenie na transfer strefy do wszystkich serwerów (rys. 19). Należy tu jednak zaznaczyć, że po wykonaniu pierwszego transferu strefy możliwa i konieczna jest zmiana tego ustawienia bowiem serwer, do którego dokonujemy transferu staje się pełnoprawnym serwerem DNS i możliwe jest wskazanie go jako autorytatywnego serwera DNS dla danej strefy. Czyli w zakładce Transfery stref we właściwościach zarządzanej strefy zmieniamy na opcję 2 czyli Tylko dla serwerów wymienionych na karcie Serwery nazw.

28 W kolejnym kroku możliwe jest wykonanie transferu strefy. Dokonujemy tego poprzez wskazanie odpowiedniej opcji w menu kontekstowym utworzonej strefy pomocniczej (DNS- SERVER2) (rys. 20). Po zakończeniu tego procesu konieczne może być odświeżenie zawartości konsoli zarządzania serwerem DNS. Odświeżamy klikając Akcja -> Odśwież. Po pomyślnym wykonaniu transferu możliwe jest podejrzenie właściwości zdefiniowanej strefy pomocniczej. Jak można się przekonać (rys. 21) większość opcji i właściwości strefy będzie niedostępna co oznacza, że mamy do czynienia ze strefą pomocniczą i chcąc ją zmodyfikować konieczna jest zmiana ustawień na serwerze przechowującym strefę główną (DNS-SERVER1).

29 Możliwe jest jednak dokonanie konwersji strefy (rys. 22). Oznacza to, że w razie konieczności możliwe jest przekształcenie strefy pomocniczej w strefę podstawową lub w strefę skrótową. W naszym przypadku wie wykonujemy żadnej zmiany. Po wykonaniu wcześniejszych kroków możliwe jest wprowadzenie serwera przechowującego strefę wtórną na listę serwerów autorytatywnych dla danej domeny DNS. Na serwerze DNS-SERVER1 we właściwościach strefy, w zakładce Serwery nazw dodajemy DNS-SERVER2. (rys. 23).

30 Dzięki temu do zdefiniowanej wcześniej strefy (rys. 24) zostanie dodany rekord autorytatywnego serwera nazw wskazujący na serwer DNS-SERVER2 przechowujący strefę pomocniczą. Dodanie tego rekordu jest informacją o tym, że w domenie istnieją dwa autorytatywne serwery i w razie braku odpowiedzi z jednego z nich drugi będzie w stanie rozwiązać każdą nazwę z danej domeny. Następnie prześledzimy kilka ciekawych opcji strefy i serwera DNS Funkcje, te pozwalają na precyzyjne dostrojenie funkcjonowania serwera i stref do potrzeb wdrożonej w naszej organizacji infrastruktury IT. Pierwszą zakładką do jakiej uzyskujemy dostęp po wybraniu z menu kontekstowego właściwości strefy jest zakładka Ogólne (rys. 25). Z jej poziomu możliwe jest wstrzymanie funkcjonowania danej strefy, zmiana typu strefy pomiędzy główną, wtórną i skrótową oraz zablokowanie lub włączenie dynamicznych aktualizacji rekordów zasobów.

31 Z poziomu tej zakładki po naciśnięciu przycisku Przedawnienie możemy uzyskać dostęp do opcji przedawnienie i oczyszczanie strefy (rys. 26). Ich odpowiednie zdefiniowanie umożliwia określenie interwałów czasu w jakich rekordy zasobów będą odświeżane, a stare rekordy zasobów (np. takie dla których usunięty został rekord typu A) usuwane.

32 Kolejnym istotnym zestawem parametrów, są właściwości rekordu SOA (rys. 27). Wśród nich możliwe jest zdefiniowanie takich zmiennych jak czas życia rekordu (TTL), interwał czasu odświeżania, ważności rekordu, a także wskazanie głównego serwera DNS. Jedną z najważniejszych opcji serwera jest możliwość wyboru na jakich interfejsach będzie dostępna usługa rozwiązywania nazw (rys. 28). Lista interfejsów obejmuje w tym wypadku wszystkie interfejsy logiczne tak więc wszystkie adresy IP przypisane do pojedynczego fizycznego portu traktowane są niezależnie.

33 Kolejną niesłychanie istotną opcją jest zdefiniowanie serwerów DNS, do których nasz serwer będzie przekazywał zapytania w przypadku niemożności rozwiązania nazwy (rys. 29). Praktyka definiowania dodatkowych serwerów DNS jest powszechnie przyjęta w procesie wdrażania usługi Active Directory. Dodatkowy serwer do którego przekazujemy zapytania jest wtedy umieszczany w strefie DMZ w celu uniknięcia widoczności kontrolerów domen naszej organizacji z sieci zewnętrznej. Kolejnym zestawem właściwości możliwych do zdefiniowania są właściwości ukryte w zakładce Zaawansowane (rys. 30). Zakładka ta umożliwi użytkownikowi włączenie automatycznego oczyszczania nieaktualnych rekordów zasobów, wybór trybu ładowania strefy podczas uruchamia serwera i sposób sprawdzania nazw. Wśród pozostałych właściwości dostępne są opcje wyłączenia przesyłania zapytań rekursywnych (czego skutkiem będzie możliwość rozwiązywania nazw tylko ze stref przechowywanych na danym serwerze), wyłączenia przyspieszonego transferu stref w celu zapewnienia kompatybilności z serwerami DNS opartymi o alternatywne systemy operacyjne oraz opcje bezpieczeństwa i równoważenia obciążenia sieciowego.

34 Fundamentalną dla poprawnego działania serwera DNS zakładką jest zakładka Wskazówki dotyczące serwerów głównych (rys. 31). Za jej pomocą edytować możemy dane 13 głównych autorytatywnych serwerów DNS. Jak można się w tym przypadku domyślić usunięcie danych wszystkich serwerów głównych mogłoby spowodować niemożność rozwiązywania nazw DNS spoza naszej organizacji.

35 Ciekawymi opcjami są również możliwości rejestrowania pakietów w celu ich późniejszej analizy (rys. 32) i zdefiniowanie jakiego typu zdarzenia mają być zapisywane w rejestrze zdarzeń (rys. 33). Wymagać można zapisu wszystkich zdarzeń, błędów, lub błędów i ostrzeżeń. Dostępna jest także opcja wyłączenia rejestrowania zdarzeń. Ważną opcją jest możliwość generowania prostych i rekursywnych zapytań testowych, a także możliwość powtarzania procedury testowej co zadany okres czasu (rys. 34).

36 Po analizie dostępnych opcji dodajmy teraz trochę innych rekordów - serwer pocztowy oraz kilka zwykłych adresów dla domeny głównej i subdomen www oraz ftp. W tym celu klikamy PPM i wybieramy pozycję Nowa usługa wymiany poczty (MX). Pierwsze pole - Host lub domena podrzędna pozostawiamy puste. W końcu chcemy dodać serwer mailowy dla całej domeny a nie tylko dla jednej subdomeny. W drugim podajemy adres naszego mail serwera - mx.abcszkolenia.pl. Pole priorytetu pozostawiamy bez zmian i klikamy OK.

37 Dla serwera mailowego tworzymy również rekord A. Później skonfigurujemy reverse DNS i rekordy PTR, bez których maile w obecnych czasach będą odrzucane przez filtry antyspamowe. Następnie dodajemy dwa rekordy A dla subdomen www i ftp.

38 Teraz nasza strefa wygląda tak: Musimy jeszcze ją przeładować - zapisać zmiany. Klikamy PPM w puste miejsce na liście rekordów i wybieramy z menu Załaduj ponownie, a następnie zatwierdzamy OK. Aby wydelegować na taki serwer domenę od dostawcy. Gdybyśmy zamiast domeny abcszkolenia.pl. użyli jakiejś z publicznego systemu DNS, a serwery miały by publiczne adresy IP, moglibyśmy wydelegować tą domenę na nasze serwery i wtedy była by ona dostępna dla każdego. Teraz można o nią odpytywać tylko 2 serwery z prywatnymi adresami IP. Delegacja na zewnętrzne serwery w przypadku panelu Home.pl wygląda tak:

39 nslookup Jest to konsolowy program wchodzący w skład systemu Windows. Jest on dostępny zarówno w wersji serwerowej jak i desktopowej. Program działa w 2 trybach - interaktywnym i nieinteraktywnym. W trybie interaktywnym, nslookup jest uruchomiony przez cały czas. Możemy zmieniać ustawienia i odpytywać serwery o kolejne domeny, bez jego wyłączania. Uruchamiamy go za pomocą polecenia nslookup wydanego w cmd. Zaraz po włączeniu, nslookup wyświetla nazwę i adres IP domyślnego, rekursywnego serwera nazw z którego będzie korzystał (standardowo jest to serwer używany przez system), a następnie znak zachęty np. Najprostsze "podpolecenie" które możemy wpisać, jest po prostu nazwą domeny o którą chcemy odpytać serwer. Musi być ona w formacie FQDN, czyli z kropką na końcu. Ponieważ domyślnym typem rekordu, o który odpytuje nslookup jest A, czyli adres IP, tylko ta informacja zostanie wyświetlona. Non-authoritative answer, oznacza że odpowiedź jest dostarczona przez serwer rekursywny. Dzięki temu zapytaniu dowiedzieliśmy się, że host o adresie onet.pl ma adres IP Zmiana typu rekordu nslookup domyślnie odpytuje tylko o rekordy A, możemy to jednak zamienić za pomocą polecenia: set type=[typ REKORDU]

40 np: set type=ns - spowoduje to odpytanie o serwery DNS obsługujące daną domenę set type=mx - zwróci adres serwera SMTP przyjmującego pocztę dla danej domeny set type=soa - wyświetli rekord "konfiguracji domeny". Zamiast typu rekordu możemy wpisać słowo any, spowoduje to wyświetlenie wszystkich możliwych rekordów dla danej (sub)domeny.

41 Zmiana odpytywanego serwera Za pomocą polecenia server [IP/DOMENA] możemy zmienić odpytywany przez nas serwer. Możemy użyć zarówno serwerów rekursywnych jak i autorytatywnych. Zauważamy, że podczas pracy serwera rekursywnego gogle, otrzymujemy dane dla domeny abcszkolenia.pl zarejestrowanej w globalnym systemie nazw, po zmianie na odpowiedź z naszego serwera autorytatywnego ( ) otrzymujemy odpowiedź dla domeny lokalnej. Zadanie: za pomocą nslookup na hoście Klient1 odpytaj lokalny serwer dns o rekordy ns i soa. Odwrócony DNS w Windows Server 2008 Reverse DNS umożliwia zamianę adresów IP na domeny, czyli tak zwaną odwrotną translacje. Dzięki temu możliwe jest sprawdzenie czy host o danym adresie IP należy do danej domeny. Dawniej wykorzystywano go do sprawdzenia, czy serwer SMTP wysyłający

42 faktycznie znajduje się w domenie z której go wysyła. Takie rozwiązanie zakłada że każdy komputer znajdujący się w domenie może wysyłać w jej imieniu pocztę, oraz że serwer SMTP znajduje się w naszej domenie. Z powodu tych ograniczeń, obecnie do celu sprawdzenia nadawcy podczas odbioru wiadomości wykorzystuje się SPF oraz coraz częściej DKIM. Mimo to revdns jest nadal wykorzystywany do zamiany adresów IP na hostname. Odwrócony DNS wykorzystuje specjalne domeny - in-addr.arpa, dla adresów IPv4 i ip6.arpa dla IPv6, oraz specjalny typ rekordu - PTR. W przypadku IPv4, adres revdns ma format odwróconego adresu IP z końcówką.in-addr.arpa, np in-addr.arpa, dla adresu Z tego względu teoretycznie wydelegować można tylko fragmenty po 256, lub adresów. W praktyce jednak, dzięki wykorzystaniu aliasów CNAME, możliwa jest delegacja dowolnych fragmentów. W strefie revdns znajdują się rekordy PTR. Jako jedyny "parametr", przyjmują one po prostu adres domeny, na który chcemy "zamienić" adres IP. Przykładowy plik strefy: in-addr.arpa IN SOA ns1.przykladowa.local. hostmaster.przykladowa.local in-addr.arpa IN NS ns1.przykladowa.local in-addr.arpa IN NS ns2.przykladowa.local in-addr.arpa IN PTR router.przykladowa.local in-addr.arpa IN PTR server1.przykladowa.local in-addr.arpa IN PTR server1.przykladowa.local in-addr.arpa IN PTR client1.przykladowa.local in-addr.arpa IN PTR client2.przykladowa.local in-addr.arpa IN PTR client3.przykladowa.local in-addr.arpa IN PTR client4.przykladowa.local. 1. Standardowy rekord z ustawianiami danej strefy. Użyliśmy serwera DNS i adresu z poza strefy - ns1.przykladowa.local. i hostmaster.przykladowa.local. 2 i 3. Adresy serwerów DNS utrzymujących naszą strefę. 4. Rekord PTR "zamieniający" adres IP na router.przykladowa.local.

43 5 i 6. Rekordy PTR serwerów Rekordy PTR dla innych komputerów w strefie. Konfiguracja odwróconego DNS Klikamy na Strefa wyszukiwania wstecznego, a następnie PPM i Nowa strefa Klikamy Dalej, wybieramy Strefa podstawowa i znów klikamy Dalej Wybieramy Strefa wyszukiwania wstecznego IPv4 i klikamy Dalej, następnie podajemy prefix sieci. Może się on składać z 1, 2 lub 3 oktetów. Najczęściej jest to część sieci adresu IP. W naszym przypadku:

44 Pozostawiamy domyślną nazwę pliku strefy oraz, również domyślnie, nie pozwalamy na dynamiczne aktualizacja strefy (2x Dalej). Zamykamy kreator. Zmiana NS-ów 2x klikamy na rekord NS, a następnie Edytuj Wpisujemy adres domenowy serwera DNS DNS-SERVER1.abcszkolenia.pl i podajemy jego adres IP, w naszym przypadku jest to i potwierdzamy OK.

45 Klikamy Dodaj i dodajemy rekord kolejnego serwera DNS-SERVER2.abcszkolenia.pl. ma on IP Tym razem wyświetli się błąd, bo serwer nie jest jeszcze skonfigurowany do obsługi tej domeny. Przechodzimy do zakładki Adres początkowy uwierzytelniania (SOA) i zmieniamy wartość pola Serwer podstawowy na DNS-SERVER1.abcszkolenia.pl.

46 Dodawanie rekordów PTR Klikamy PPM na puste miejsce na liście i z menu kontekstowego wybieramy Nowy wskaźnik (PTR) Dodajemy rekordy dla kolejnych adresów: o DNS-SERVER1.abcszkolenia.pl. o DNS-SERVER2.abcszkolenia.pl. o KLIENT1.abcszkolenia.pl. o KLIENT2.abcszkolenia.pl.

47 Dodawanie domeny do drugiego serwera Na drugim serwerze otwieramy konsole Menedżer DNS. Z menu po lewej stronie wybieramy Strefy wyszukiwania wstecznego, PPM i klikamy na Nowa strefa. Klikamy Dalej -> Strefa pomocnicza i ponownie Dalej.