DNS ja BIND - Redigeerimiste ajalugu

Urmet: /* Sinkhole elik Kuidas Ennetada Halba Liiklust */

2012-09-25T09:06:00Z

Sinkhole elik Kuidas Ennetada Halba Liiklust

←Vanem redaktsioon		Redaktsioon: 25. september 2012, kell 09:06
627. rida:		627. rida:
	Sinkholega halva liikluse eduka ennetamise eeldusteks on:		Sinkholega halva liikluse eduka ennetamise eeldusteks on:
	* puhverdava nimeserveri kasutamine DNS nimede lahendamisel		* puhverdava nimeserveri kasutamine DNS nimede lahendamisel
	* me ~~teama~~ pahasid domeeninimesid.		* me teame pahasid domeeninimesid.

	Toimemehhanism on lihtne: enne kui kasutaja jõuab brauseriga pahavaraga nakatavale lehele, peab lehitseja tegema DNS päringu domeeninime lahendamiseks IP aadressiks - sest TCP ühenduse saab teatavasti teha kahe IP vahel. Justnimelt sellel hetkel astume me otsustavalt mängu ja ennetame suurema õnnetuse tekkimise - me seadistame puhverdava nimeserveri pädevateks meile teadaolevalt pahavaraga nakatavate domeenide suhtes ja suuname liikluse nende domeeninimede suunas kas ''/dev/null''i, või siis spetsiaalselt ettevalmistatud serverisse.		Toimemehhanism on lihtne: enne kui kasutaja jõuab brauseriga pahavaraga nakatavale lehele, peab lehitseja tegema DNS päringu domeeninime lahendamiseks IP aadressiks - sest TCP ühenduse saab teatavasti teha kahe IP vahel. Justnimelt sellel hetkel astume me otsustavalt mängu ja ennetame suurema õnnetuse tekkimise - me seadistame puhverdava nimeserveri pädevateks meile teadaolevalt pahavaraga nakatavate domeenide suhtes ja suuname liikluse nende domeeninimede suunas kas ''/dev/null''i, või siis spetsiaalselt ettevalmistatud serverisse.

Urmet: /* Primaarse nimeserveri seadistamine */

2012-09-25T08:48:32Z

Primaarse nimeserveri seadistamine

←Vanem redaktsioon		Redaktsioon: 25. september 2012, kell 08:48
337. rida:		337. rida:
	* '''TTL, Refresh, Retry, Expire, Negative Cache TTL''' on aeg mis on '''sekundites'''. '''TTL''' on tsooni "eluaeg" elik aeg, kui kaua hoiavad puhverdavad nimeserverid tsooni andmeid. Tsoonifailis oluliste domeeni andmete muutmise eel on kasulik "keerata" TTL võimalikult väikeseks, et muutus leviks kiirelt. Tavaolukorras on kasulik hoida see numbrit võimalikult suurena, et võimalikud äpardused nimeserveritega ei mõjutaks olulisel määral domeeninimede lahendamist (s.t. puhverdavad nimeserverid hoiavad tsooni andmeid puhvris kaua).		* '''TTL, Refresh, Retry, Expire, Negative Cache TTL''' on aeg mis on '''sekundites'''. '''TTL''' on tsooni "eluaeg" elik aeg, kui kaua hoiavad puhverdavad nimeserverid tsooni andmeid. Tsoonifailis oluliste domeeni andmete muutmise eel on kasulik "keerata" TTL võimalikult väikeseks, et muutus leviks kiirelt. Tavaolukorras on kasulik hoida see numbrit võimalikult suurena, et võimalikud äpardused nimeserveritega ei mõjutaks olulisel määral domeeninimede lahendamist (s.t. puhverdavad nimeserverid hoiavad tsooni andmeid puhvris kaua).
	* '''Serial''' on unikaalne tsooni andmete versiooni number ja tuleb suurendada iga kord, kui muudetakse tsoonifaili. Kui serial jääb muutmata siis primaarse nimeserveri arvates ei ole tsoonifail muutunud ja sekundaarsetele nimeserveritele ei saadeta teadet tsooni muutumisest, kui see teade ka saadetakse mingil põhjusel, siis ei uuenda sekundaarsed nimeserverid tsooni andmeid '''sest Serial on sama'''. Mõnedes kohtades kasutatakse Seriali puhul kuju AAAAKKPPII kus AAAA on aasta, KK kuu, PP päev ja II iteratsioon elik päevase muutumise loendur, näiteks: 2009050905.		* '''Serial''' on unikaalne tsooni andmete versiooni number ja tuleb suurendada iga kord, kui muudetakse tsoonifaili. Kui serial jääb muutmata siis primaarse nimeserveri arvates ei ole tsoonifail muutunud ja sekundaarsetele nimeserveritele ei saadeta teadet tsooni muutumisest, kui see teade ka saadetakse mingil põhjusel, siis ei uuenda sekundaarsed nimeserverid tsooni andmeid '''sest Serial on sama'''. Mõnedes kohtades kasutatakse Seriali puhul kuju AAAAKKPPII kus AAAA on aasta, KK kuu, PP päev ja II iteratsioon elik päevase muutumise loendur, näiteks: 2009050905.
	* '''@''' tähistab domeeni sellisel kujul, nagu see ''named.conf''is ''zone'' direktiivi juures kirjas, antud juhul siis '''@ = domeen.ee'''		* '''@''' tähistab domeeni sellisel kujul, nagu see ''named.conf''is ''zone'' direktiivi juures kirjas, antud juhul siis '''@ = test-domeen.ee'''
	* NS, CNAME kirje puhul tähistab '''. (punkt)''' domeeninime lõppu. Kui seda seal pole, siis võib palju segadust tekkida reeglist, et nime lõppu '''lisatakse automaatselt''' domeen mis ''named.conf''is kirjas ''zone'' direktiivi juures.		* NS, CNAME kirje puhul tähistab '''. (punkt)''' domeeninime lõppu. Kui seda seal pole, siis võib palju segadust tekkida reeglist, et nime lõppu '''lisatakse automaatselt''' domeen mis ''named.conf''is kirjas ''zone'' direktiivi juures.

Jj: /* Lingid */

2011-10-26T12:29:46Z

Lingid

←Vanem redaktsioon		Redaktsioon: 26. oktoober 2011, kell 12:29
704. rida:		704. rida:

	https://wiki.itcollege.ee/index.php/Nimeserveri_seadistamine_BIND9_näitel		https://wiki.itcollege.ee/index.php/Nimeserveri_seadistamine_BIND9_näitel

			http://code.google.com/p/namebench/ google nimeserverite test

Jj – 27. oktoober 2010, kell 07:59

2010-10-27T07:59:09Z

←Vanem redaktsioon		Redaktsioon: 27. oktoober 2010, kell 07:59
1. rida:		1. rida:
			[[Kategooria:Interneti domeeninimede süsteem]]
	= Traditsiooniline sissejuhatus =		= Traditsiooniline sissejuhatus =

Jj – 22. september 2010, kell 21:15

2010-09-22T21:15:40Z

←Vanem redaktsioon		Redaktsioon: 22. september 2010, kell 21:15
701. rida:		701. rida:
	Puust ja punaseks ühe DNSi vea seletus koos värviliste piltidega. Väga ilus töö.		Puust ja punaseks ühe DNSi vea seletus koos värviliste piltidega. Väga ilus töö.
	http://www.unixwiz.net/techtips/iguide-kaminsky-dns-vuln.html		http://www.unixwiz.net/techtips/iguide-kaminsky-dns-vuln.html

			https://wiki.itcollege.ee/index.php/Nimeserveri_seadistamine_BIND9_näitel

Jj: /* Lingid */

2010-06-10T12:11:52Z

Lingid

←Vanem redaktsioon		Redaktsioon: 10. juuni 2010, kell 12:11
701. rida:		701. rida:
	Puust ja punaseks ühe DNSi vea seletus koos värviliste piltidega. Väga ilus töö.		Puust ja punaseks ühe DNSi vea seletus koos värviliste piltidega. Väga ilus töö.
	http://www.unixwiz.net/techtips/iguide-kaminsky-dns-vuln.html		http://www.unixwiz.net/techtips/iguide-kaminsky-dns-vuln.html

	~~Väike nupuke selle kohta, kuidas peale 130k päringut ja kümmet tundi ka täielikult paigatud BIND ära õnnestus mürgitada.~~
	~~http://tservice.net.ru/~s0mbre/blog/2008/08/08/~~

Jj – 10. juuni 2010, kell 12:08

2010-06-10T12:08:50Z

←Vanem redaktsioon		Redaktsioon: 10. juuni 2010, kell 12:08
696. rida:		696. rida:
	* [https://www.isc.org/files/Bv9.6ARM.pdf BINDi administraatori käsiraamat]		* [https://www.isc.org/files/Bv9.6ARM.pdf BINDi administraatori käsiraamat]
	* [https://www.dns-oarc.net/ DNS Operations, Analysis and Research Centeri veebileht]		* [https://www.dns-oarc.net/ DNS Operations, Analysis and Research Centeri veebileht]

			===Lingid===

			Puust ja punaseks ühe DNSi vea seletus koos värviliste piltidega. Väga ilus töö.
			http://www.unixwiz.net/techtips/iguide-kaminsky-dns-vuln.html

			Väike nupuke selle kohta, kuidas peale 130k päringut ja kümmet tundi ka täielikult paigatud BIND ära õnnestus mürgitada.
			http://tservice.net.ru/~s0mbre/blog/2008/08/08/

Juhani – 1. september 2009, kell 13:50

2009-09-01T13:50:41Z

←Vanem redaktsioon		Redaktsioon: 1. september 2009, kell 13:50
445. rida:		445. rida:

	Mugavuse mõttes võib ''match-clients'' juures kasutada pääsuloendeid, neist saab lugeda täpsemalt ka "DNS vaated" jutupunktis. Näidis seadistuses on lubatud rekursiivsus sisevõrgu klientidele 192.168.4.0/24 võrgust, kõigile teistele aga keelatud. Blokk ''view "nimi" { };'' on piltlikult öeldes seadistus mis käib nonde klientide kohta, kes ''match-clients'' osaga kokku langevad, sinna lähevad direktiivid mis tavaliselt ikka seadistusfailis käivad (tsoonid jms).		Mugavuse mõttes võib ''match-clients'' juures kasutada pääsuloendeid, neist saab lugeda täpsemalt ka "DNS vaated" jutupunktis. Näidis seadistuses on lubatud rekursiivsus sisevõrgu klientidele 192.168.4.0/24 võrgust, kõigile teistele aga keelatud. Blokk ''view "nimi" { };'' on piltlikult öeldes seadistus mis käib nonde klientide kohta, kes ''match-clients'' osaga kokku langevad, sinna lähevad direktiivid mis tavaliselt ikka seadistusfailis käivad (tsoonid jms).

			=== Puhverdava ja autoriteetse BIND nimeserveri turvamine ===

			Tihti on otstarbekas kasutada oma nimeserverite paari mõne tsooni puhul pädeva ehk autoriteetsena ning lubada samal ajal oma sisemistel serveritel lahendada nendes avalikke nimesi. Muidu peaks kasutama vähemalt nelja nimeserverit.
			Kuna liigsetele päringutele vastamist saab kuritarvitada, siis tuleb kasutada view ehk virtuaalseid nimeservereid. Kõige parem on need teha rekursiivne/autoriteetne tüübi järgi. "."-tsoon peab olema kirjeldatud "seest" osas, muidu on võimalik kasutada teie nimeserverit mahu rünnakus.
			Järgnev testitud ja ühes suuremas nimeserveris kasutuses olev kergelt lühendatud näide on tulnud kaasa OpenBSD 4.2 nimeserveriga.

			view "seest" {
			match-clients { 192.168.4.0/24; };
			match-recursive-only yes;
			// Standard zones
			//
			zone "." {
			type hint;
			file "standard/root.hint";
			};
			zone "localhost" {
			type master;
			file "standard/localhost";
			allow-transfer { localhost; };
			};
			zone "127.in-addr.arpa" {
			type master;
			file "standard/loopback";
			allow-transfer { localhost; };
			};
			zone "0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa" {
			type master;
			file "standard/loopback6.arpa";
			allow-transfer { localhost; };
			};
			zone "com" {
			type delegation-only;
			};
			zone "net" {
			type delegation-only;
			};
			};
			view "autoriteetne" {
			recursion no;
			additional-from-auth no;
			additional-from-cache no;
			//zone "myzone.net" {
			// type master;
			// file "master/myzone.net";
			//};
			};


	==== Microsofti DNS serverist ====		==== Microsofti DNS serverist ====

Tarmorandel: /* Puhverdava nimeserveri turvamine */

2009-08-11T12:38:10Z

Puhverdava nimeserveri turvamine

←Vanem redaktsioon		Redaktsioon: 11. august 2009, kell 12:38
429. rida:		429. rida:
	NB! Puhverdav nimeserver peab olema päringuteks kättesaadav '''ainult sinu teenindatavatale''' klientidele. Miks, seda loe allpoolt DNS nõrkuste jutupunktist. Seda ei saa kahjuks korraldada ainult ühe direktiiviga ''named.conf'' 'is. Nimelt lubab BIND ikkagi punkti küsimist ja vastab puhvris olevate nimedega ka siis, kui ''options'' sektsiooni sees on rekursioon lubatud ainult "omadele".		NB! Puhverdav nimeserver peab olema päringuteks kättesaadav '''ainult sinu teenindatavatale''' klientidele. Miks, seda loe allpoolt DNS nõrkuste jutupunktist. Seda ei saa kahjuks korraldada ainult ühe direktiiviga ''named.conf'' 'is. Nimelt lubab BIND ikkagi punkti küsimist ja vastab puhvris olevate nimedega ka siis, kui ''options'' sektsiooni sees on rekursioon lubatud ainult "omadele".

	Lahendada saab selle ülesande vaadete abil, kuna vaadetest pisut juttu ka allpool siis toon ära näidis seadistuse ilma pikemate kommentaarideta:		Lahendada saab selle ülesande vaadete abil, kuna vaadetest pisut juttu ka allpool siis toon ära näidis seadistuse (alates BIND v9.3.x) ilma pikemate kommentaarideta:

	view "seest" {		view "seest" {
	match-clients { 192.168.4.0/24; };		match-clients { 192.168.4.0/24; };
			allow-query { 192.168.4.0/24; };
			additional-from-cache yes;
	recursion yes;		recursion yes;
	};		};
	view "maailmast" {		view "maailmast" {
	match-clients { any; };		match-clients { any; };
			allow-query { none; };
			additional-from-cache no;
	recursion no;		recursion no;
	};		};

Tarmorandel: /* Puhverdava nimeserveri turvamine */

2009-06-02T10:09:32Z

Puhverdava nimeserveri turvamine

←Vanem redaktsioon		Redaktsioon: 2. juuni 2009, kell 10:09
427. rida:		427. rida:
	=== Puhverdava nimeserveri turvamine ===		=== Puhverdava nimeserveri turvamine ===

	NB! Puhverdav nimeserver peab olema päringuteks kättesaadav '''ainult sinu teenindatavatale''' klientidele. Miks, seda loe allpoolt DNS nõrkuste jutupunktist. Seda ~~saab~~ korraldada ühe direktiiviga ''named.conf'' 'i ''options'' sektsiooni sees:		NB! Puhverdav nimeserver peab olema päringuteks kättesaadav '''ainult sinu teenindatavatale''' klientidele. Miks, seda loe allpoolt DNS nõrkuste jutupunktist. Seda ei saa kahjuks korraldada ainult ühe direktiiviga ''named.conf'' 'is. Nimelt lubab BIND ikkagi punkti küsimist ja vastab puhvris olevate nimedega ka siis, kui ''options'' sektsiooni sees on rekursioon lubatud ainult "omadele".

	~~allow-recursion { 192.168.4.0/24; };~~		Lahendada saab selle ülesande vaadete abil, kuna vaadetest pisut juttu ka allpool siis toon ära näidis seadistuse ilma pikemate kommentaarideta:

	~~lubab rekursiivsete päringute esitamise võrgubloki~~ 192.168.4.0/24 ~~klientidele. Mugavam on~~ kasutada pääsuloendeid, ~~sellest~~ saab lugeda täpsemalt "DNS vaated" jutupunktis.		view "seest" {
			match-clients { 192.168.4.0/24; };
			recursion yes;
			};
			view "maailmast" {
			match-clients { any; };
			recursion no;
			};

			Mugavuse mõttes võib ''match-clients'' juures kasutada pääsuloendeid, neist saab lugeda täpsemalt ka "DNS vaated" jutupunktis. Näidis seadistuses on lubatud rekursiivsus sisevõrgu klientidele 192.168.4.0/24 võrgust, kõigile teistele aga keelatud. Blokk ''view "nimi" { };'' on piltlikult öeldes seadistus mis käib nonde klientide kohta, kes ''match-clients'' osaga kokku langevad, sinna lähevad direktiivid mis tavaliselt ikka seadistusfailis käivad (tsoonid jms).

	==== Microsofti DNS serverist ====		==== Microsofti DNS serverist ====