Farklı bir DNS çözümü (NSD, Unbound)

NSD ve Unbound kar amacı güdmeyen, kamu yararına çalışan kuruluş olan NLnet Labs tarafından geliştirilmekte ve halen sürdürülmektedir. Her iki yazılım, OpenBSD temel sisteminin bir parçasıdır, herhangi bir paket yüklemeniz gerekmez.

NSD

NLnet Labs, RIPE NCC ile işbirliği içinde, yetkili bir isim sunucusu olarak sıfırdan geliştirilmiştir. Tasarım gereği özyineleme ve önbellekleme işlevi yoktur. Sadece kendi etki alanlarına hizmet eder

Unbound

Unbound, doğrulayıcı, özyinelemeli ve önbellekleme sunucusu olarak en az gereksinimleri karşılayacak bir çözümdür. Dinamik DNS güncellemelerini veya bölge aktarımlarını içeren kod barındırmaz.

DNS	Yayınlanma Tarihi	Güvenlik Açığı(cvedetails.com)
Powerdns	2002	26
BIND	1988	102
NSD, Unbound	2002, 2007	3,3 -> 6

ROOT DNS sunucularının 3’ ü NSD

k.root-servers.net
h.root-servers.net
l.root-servers.net

Örnek bir kampüs çözümü

2 adet master ve slave olarak farklı yapılandırmaya sahip NSD, sadece yerel ağda yer alan unbound sunucuları(iç DNS bölgesi) ve Harici DNS ler için yetkili isim sunucusu olacaktır.
Ayarları tamamen aynı 2 adet Unbound, dahili ağdaki tüm istemciler için isim çözme hizmetleri sağlayacak, mümkünse harici isim sunucularından gelen cevaplar - - DNSSEC kullanılarak doğrulanacak, başarılı isim çözümlerinin önbellek kaydını yapacaktır. Yazılımlar minimal kurulum yapılmış OpenBSD üzerinde yapılandırılacaktır.

Sunucu	ip	Açıklama
NSD(master)	10.10.1.51	1. Dış DNS
NSD(slave)	10.10.1.52	2. Dış DNS
1. Unbound	10.10.1.53	1. İç DNS
2. Unbound	10.10.1.54	2. İç DNS

Ayarlar

Kurulum OpenBSD 6.2 üzerine yapıldı.

Zone transfer için anahtar oluşturuluyor...

# echo "secret" | sha256 –b
s35QztzT4/H/ZPSvwEIghK5pQlPPOZMmho4Ho19KRfs=

NSD(master)

nano /var/nsd/etc/nsd.conf
server:
hide-version: yes
verbosity: 1
database: "" logfile: "/var/log/nsd.log"
ip-address: 10.10.1.51
remote-control:
control-enable: yes
key:
name: "sec_key"
algorithm: hmac-sha256
secret: "s35QztzT4/H/ZPSvwEIghK5pQlPPOZMmho4Ho19KRfs="
pattern:
name: "master"
zonefile: "master/%s"
notify: 10.10.1.52 sec_key
provide-xfr: 10.10.1.52 sec_key
zone:
name: "omu.edu.tr"
include-pattern: "master"
zone:
name: 28.140.193.in-addr.arpa
include-pattern: "master"
zone:
name: 29.140.193.in-addr.arpa
include-pattern: "master"
zone:
name: "uzem.omu.edu.tr"
include-pattern: "master"

# nano /var/nsd/zones/master/omu.edu.tr $TTL 3600
omu.edu.tr. IN SOA ns1.omu.edu.tr. can.omu.edu.tr. (
2018032601
10800
3600
1209600
86400 )
omu.edu.tr. IN NS ns1.omu.edu.tr.
omu.edu.tr. IN NS ns2.omu.edu.tr.
omu.edu.tr. IN MX 5 mx.omu.edu.tr.
ns1.omu.edu.tr. IN A 193.140.28.6
ns2.omu.edu.tr. IN A 193.140.28.7
webservers.omu.edu.tr. IN A 193.140.28.30
bidb.omu.edu.tr. IN CNAME webservers.omu.edu.tr.
www.omu.edu.tr. IN A 193.140.28.8

# nano /var/nsd/zones/master/28.140.193.in-addr.arpa
$TTL 3600
28.140.193.in-addr.arpa. IN SOA ns1.omu.edu.tr. can.omu.edu.tr. (
2017121301
10800
3600
1209600
86400 )
28.140.193.in-addr.arpa. IN NS ns1.omu.edu.tr.
28.140.193.in-addr.arpa. IN NS ns2.omu.edu.tr.
204.28.140.193.in-addr.arpa. IN PTR ayna.omu.edu.tr.

NSD başlatma

# rcctl enable nsd
# rcctl -d start nsd

Ayrıntılı log için nsd.conf, verbosity değeri artırılmalı, 1-5

# tail –f /var/log/nsd.log

NSD(slave)

# nano /var/nsd/etc/nsd.conf
server:
hide-version: yes
verbosity: 1
database: "" # disable database
logfile: "/var/log/nsd.log"
ip-address: 10.10.1.52
remote-control:
control-enable: yes
key:
name: "sec_key"
algorithm: hmac-sha256
secret: "s35QztzT4/H/ZPSvwEIghK5pQlPPOZMmho4Ho19KRfs="
pattern:
name: "slave"
zonefile: "slave/%s"
allow-notify: 10.10.1.51 sec_key
request-xfr: AXFR 10.10.1.51@53 sec_key
zone:
name: "omu.edu.tr"
include-pattern: "slave"
zone:
name: 28.140.193.in-addr.arpa
include-pattern: "slave"
zone:
name: "uzem.omu.edu.tr"
include-pattern: "slave"

# rcctl -d restart

# tail –f /var/log/nsd.log

master

[2018-03-26 12:02:35.314] nsd[13817]: notice: nsd starting (NSD 4.1.17)
[2018-03-26 12:02:35.362] nsd[16267]: info: zone omu.edu.tr read with success
[2018-03-26 12:02:35.363] nsd[16267]: notice: nsd started (NSD 4.1.17), pid 88488
[2018-03-26 12:02:35.365] nsd[42800]: info: axfr for omu.edu.tr. from 10.10.1.52

slave

[2018-03-26 12:02:35.363] nsd[3633]: info: notify for omu.edu.tr. from 10.10.1.51 serial 2018032601
[2018-03-26 12:02:35.366] nsd[8239]: info: xfrd: zone omu.edu.tr committed "received update to serial 2018032601 at 2018-03-26T12:02:35 from 10.10.1.51@53 TSIG verified with key sec_key"
[2018-03-26 12:02:35.367] nsd[44562]: info: zone omu.edu.tr. received update to serial 2018032601 at 2018-03-26T12:02:35 from 10.10.1.51@53 TSIG verified with key sec_key of 257 bytes in 0.000104 seconds
[2018-03-26 12:02:35.371] nsd[8239]: info: zone omu.edu.tr serial 2018032201 is updated to 2018032601.

Slave DNS ZONE kayıtlarını hafızasında veya binary olarak tutmakta, Master DNS te bir sorun olduğunda text zone kayıtlarının kaybedilmemesi için:

# nsd-control write

Unbound

Unbound, dahili ağdaki tüm istemciler için isim çözme hizmetleri sağlayacaktır. Mümkünse harici isim sunucularından gelen cevaplar DNSSEC kullanılarak doğrulanacaktır.
Unbound‘ un hafif kod yapısı, basit ve modüler tasarımı, Unbound‘ u son derece yüksek performanslı bir özyinelemeli isim sunucusu haline getirmeye katkıda bulunur.
Kıyaslama testi, Unix'in diğer ad sunucuları üzerinden (DNSSEC Doğrulaması etkin veya etkin değilken) 2 kata kadar performans sunmasını sağladı.

# nano /var/unbound/etc/unbound.conf
server:
interface: 127.0.0.1
interface: 10.10.1.53
do-ip6: no
use-syslog: yes
verbosity: 1
access-control: 0.0.0.0/0 refuse
access-control: 10.0.0.0/8 allow
#root-hints: "/var/unbound/etc/root.hints"
hide-identity: yes
hide-version: yes
#auto-trust-anchor-file: "/var/unbound/db/root.key"
remote-control:
control-enable: yes
control-use-cert: no
control-interface: /var/run/unbound.sock
stub-zone:
name: "omu.edu.tr"
stub-addr: 10.10.1.51
stub-addr: 10.10.1.52
stub-zone:
name: 28.140.193.in-addr.arpa
stub-addr: 10.10.1.51
stub-addr: 10.10.1.52
stub-zone:
name: "uzem.omu.edu.tr"
stub-addr: 10.10.1.51
stub-addr: 10.10.1.52

forward-zone:
name: "." # use for ALL queries
forward-addr: 8.8.8.8 # google.com
forward-addr: 8.8.4.4 # google.com
forward-addr: 37.235.1.174 # FreeDNS
forward-addr: 37.235.1.177 # FreeDNS
forward-addr: 50.116.23.211 # OpenNIC
forward-addr: 64.6.64.6 # Verisign
forward-addr: 64.6.65.6 # Verisign
forward-addr: 74.82.42.42 # Hurricane Electric
forward-addr: 84.200.69.80 # DNS Watch
forward-addr: 84.200.70.40 # DNS Watch
forward-addr: 91.239.100.100 # censurfridns.dk
forward-addr: 109.69.8.51 # puntCAT
forward-addr: 208.67.222.220 # OpenDNS
forward-addr: 208.67.222.222 # OpenDNS
forward-addr: 216.146.35.35 # Dyn Public
forward-addr: 216.146.36.36 # Dyn Public
forward-addr: 4.2.2.1 # Level 3 DNS
forward-addr: 4.2.2.2 # Level 3 DNS

Unbound başlatma

# rcctl enable unbound
# rcctl -d start unbound
# tail –f /var/log/daemon

# ftp -o /var/unbound/db/root.hints ftp://ftp.internic.net/domain/named.cache
# root-hints: "/var/unbound/db/root.hints"
# unbound-anchor -a /var/unbound/db/root.key
# auto-trust-anchor-file: "/var/unbound/db/root.key"

unbound-control status
unbound-control reload
unbound-control dump_cache
unbound-checkconf unbound-control unbound-control-setup unbound-host

Unbound test

nslookup - 127.0.0.1
> set q=any

> bidb.omu.edu.tr
Server: 127.0.0.1
Address: 127.0.0.1#53
Non-authoritative answer:
bidb.omu.edu.tr canonical name = webservers.omu.edu.tr.
Authoritative answers can be found from:
omu.edu.tr nameserver = ns1.omu.edu.tr.
omu.edu.tr nameserver = ns2.omu.edu.tr.
ns1.omu.edu.tr internet address = 193.140.28.6
ns2.omu.edu.tr internet address = 193.140.28.7

> omu.edu.tr
Server: 127.0.0.1
Address: 127.0.0.1#53
Non-authoritative answer:
omu.edu.tr
origin = ns1.omu.edu.tr
mail addr = can.omu.edu.tr
serial = 2018032601
refresh = 10800
retry = 3600
expire = 1209600
minimum = 86400
omu.edu.tr nameserver = ns1.omu.edu.tr.
omu.edu.tr nameserver = ns2.omu.edu.tr.
omu.edu.tr mail exchanger = 5 mx.omu.edu.tr.
Authoritative answers can be found from:
ns1.omu.edu.tr internet address = 193.140.28.6
ns2.omu.edu.tr internet address = 193.140.28.7

nano /etc/pf.conf
set skip on lo
tcp_services = "{ ssh, domain }"
udp_services = "{ domain, ntp }"
block log all
pass in log proto tcp to port $tcp_services
pass out log proto tcp to port domain modulate state
pass log proto udp to port $udp_services

OpenBSD ile PF hazır ve çalışır durumda PF log için

tcpdump -n -e -ttt -i pflog0

enable, disable, pf.conf reload

# pfctl -e
# pfctl -d
# pfctl -f /etc/pf.conf

Name		Name	Last commit message	Last commit date
README.md		README.md
nsd.JPG		nsd.JPG

Navigation Menu

Repository files navigation

Farklı bir DNS çözümü (NSD, Unbound)

NSD

Unbound

Örnek bir kampüs çözümü

Ayarlar

NSD(master)

NSD(slave)

Unbound

About

Releases

Packages

Contributors

Latest commit

History

Folders and files

Repository files navigation

Farklı bir DNS çözümü (NSD, Unbound)

NSD

Unbound

Örnek bir kampüs çözümü

Ayarlar

NSD(master)

NSD(slave)

Unbound

About

Topics

Resources

Stars

Watchers

Forks

Releases

Packages

Contributors