Erinevus lehekülje "Pädeva nimeserveri NSD kasutamine" redaktsioonide vahel

Redaktsioon: 31. jaanuar 2010, kell 21:08

Sisukord

1 Sissejuhatus
2 NSD paigaldamine
3 Primaarne nimeserver
4 Sekundaarne nimeserver
5 NSD nimeserveri töö kontrollimine
6 TSIG signatuuride kasutamine
7 Nimeserveri kasutamine chroot keskkonnas
8 Jõudlus
9 Märkused
10 Kasulikud lisamaterjalid

Sissejuhatus

Üks võimalus on jaotada nimeservereid gruppidesse selle järgi, millised päringuid nad teenindavad

autoriteetne (ingl. k. authoritative) -
rekursiivne (ingl. k. recursive) -
vaheladustav (ingl. k. caching) -

Seejuures tuleb tähele panna, et sama nimeserveri tarkvara saab käivitada kas mõnes või äärmisel juhul kõigil nimetatud režiimides. Arusaadavalt eeldab mingis režiimis käivitamine, et kõnealune nimeserveri tarkvara vastavat režiimi toetab.

NSD (ingl. k. name server daemon) on autoriteetne nimeserver. Praktiliselt tähendab see, et nö nimesüsteemi lõppkasutaja ei kasuta seda oma otse arvuti oma arvuti nimeserverina seadistades NSD nimeserveri aadressi oma /etc/resolv.conf failis, vaid seda kasutab nt lõppkasutaja arvuti nimeserveriks seadistatud rekursiivne resolver, kui see resolver oma töö käigus nii otsustab.

NSD paigaldamine

OpenBSD 4.6 jaoks on olemas binaarse paketi kujul NSD tarkvara versiooni 3.2.2, paigaldamiseks tuleb öelda

 # pkg_add nsd

Tulemusena paigaldatakse sellised programmid

/usr/local/sbin/nsd - nsd deemon
/usr/local/sbin/nsd-notify - notify utiliit
/usr/local/sbin/zonec - tsooniandmete kodeerija
/usr/local/sbin/nsdc - nsd deemoni juhtprogramm
/usr/local/sbin/nsd-xfer - tsooni kopeerimise utiliit
/usr/local/sbin/nsd-patch - teisendab andmed tekstilisele kujule

ning kasutatakse selliseid katalooge

/etc/nsd - seadistusfailid
/var/nsd/zones - tsoonifailid

Primaarne nimeserver

Primaarne nimeserver sisaldab autoriteetseid andmeid, mis on tavaliselt kirjeldatud tema failisüsteemis nn tsoonifailides ja mille sisu haldab otseselt nimeserveri haldaja.
Primaarsest nimeserverist saavad sekundaarsed nimeserverid kopeerida tsoonide sisu.
Kõik nimeserverid saavad vastuse kõnealuses primaarses nimeserveris kirjeldatud andmete osas, mida neil on lubatud küsida.

Primaarse nimeserveri seadistamine

NSD programmi tööd juhib seadistusfail /etc/nsd/nsd.conf, mis võiks olla primaarsel nimeserveril nt selline

 server:
       ip-address: 192.168.10.161
       ip4-only: yes
       port: 53
 
 zone:
       name: "loomaaed.tartu.ee"
       zonefile: "loomaaed.tartu.ee"
       outgoing-interface: 192.168.10.161
       notify: 192.168.10.190 NOKEY
       provide-xfr: 192.168.10.190 NOKEY

Seadistusfail sisaldab kahte sektsiooni

server - üldised nimeserveri tööd määravad parameetrid, võib esineda üks kord
zone - konkreetset tsooni puudutavad parameetrid, võib esineda mitu korda

server sektsiooni parameetrid

ip-address - millisel ip aadressid nimesever pakub teenust
ip4-only - kas nimesever pakub teenus ainult IPv4 võrgus
port - millisel pordil nimesever pakub teenust

zone sektsiooni parameetrid

name - tsooni nimi
zonefile - tsoonifaili nimi
outgoing-interface -
notify - sekundaarse nimeserveri aadress, millele saadab primaarne nimeseveri teate kui vastavas tsoonifailis toimub muudatus
provide-xfr - sekundaarse nimeserveri aadress, millelt on lubatud vastavat tsooni kopeerida

Primaarse tsooni ettevalmistamine

Tsoonifailid ise on samasuguse sisuga nagu BIND tarkvara tsoonifailid st nt

 # cat /var/nsd/zones/loomaaed.tartu.ee.zone
 $TTL    604800
 @       IN      SOA   ns.loomaaed.tartu.ee. root.ns.loomaaed.tartu.ee. (
                      2010012400         ; Serial
                          604800         ; Refresh
                           86400         ; Retry
                         2419200         ; Expire
                          604800 )       ; Negative Cache TTL
 ;
 @       IN      NS      ns.loomaaed.tartu.ee.
 ns      IN      A       192.168.1.50
 www     IN      A       192.168.1.51

Selleks, et primaarne nimeserver saaks tsoonifaili kasutada, tuleb tsoonifail kompileerida öeldes

 # nsdc rebuild
 zonec: reading zone "loomaaed.tartu.ee".
 zonec: processed 4 RRs in "loomaaed.tartu.ee".
 
 zonec: done with 0 errors.

Tulemusena tekib sobiva sisuga fail

 /var/nsd/nsd.db

Primaarse nimeserveri kasutamine

Primaarse nimeserveri käivitamiseks peab olema kompileeritud tsoonide andmebaas ning tuleb öelda

 # nsdc start

Nimeserveri seiskamiseks tuleb öelda

 # nsdc stop

Peale tsoonifailis muudatuste tegemist tuleb tsoon kompileerida ning öelda

 # nsdc reload

Seadistusfailis näidatud sekundaarsetele nimeserveritele saadetakse notify reload tegemisel automaatselt, kuid seda saab teha ka ilmutatud kujul

 # nsdc notify

Sekundaarne nimeserver

Sekundaarne nimeserver sisaldab autoriteetseid andmeid, mida ta käib kopeerimas vastava tsooni autoriteetselt nimeserverilt.
Kõik nimeserverid saavad vastuse kõnealuses sekundaarses nimeserveris kirjeldatud andmete osas, mida neil on lubatud küsida.

Sekundaarse nimeserveri seadistamine

NSD programmi tööd juhib seadistusfail /etc/nsd/nsd.conf, mis võiks olla seknudaarsel nimeserveril nt selline

 server:
       ip-address: 192.168.10.190
       ip4-only: yes
       port: 53
 
 zone:
       name: "loomaaed.tartu.ee"
       zonefile: "loomaaed.tartu.ee"
       outgoing-interface: 192.168.10.190
       allow-notify: 192.168.10.161 NOKEY
       request-xfr: 192.168.10.161 NOKEY

Seadistusfail sisaldab kahte sektsiooni

server - üldised nimeserveri tööd määravad parameetrid, võib esineda üks kord
zone - konkreetset tsooni puudutavad parameetrid, võib esineda mitu korda

server sektsiooni parameetrid

ip-address - millisel ip aadressid nimesever pakub teenust
ip4-only - kas nimesever pakub teenus ainult IPv4 võrgus
port - millisel pordil nimesever pakub teenust

zone sektsiooni parameetrid

name - tsooni nimi
zonefile - tsoonifaili nimi
outgoing-interface - ip aadress, millelt sekundaarne nimeserveri poolt algatatud ühendus väljub
allow-notify - ip aadress, millelt nimeserver võtab vasta notify teateid
request-xfr - ip aadress, millelt nimesever kopeerib tsooni sisu

Sekundaarse tsooni ettevalistamine

Sekundaarse tsooni sisu kopeeritakse serveri käivitamisel primaarselt automaatselt, kuid nö tühja nsd.cdb faili moodustamiseks tuleb siiski öelda

 # nsdc rebuild

Sekundaarse nimeserveri kasutamine

Üldiselt tuleb NSD käivitamiseks öelda

 # nsdc start

ja seiskamiseks

 # nsdc stop

Töö käigus saadab primaarne nimeserver sekundaarsele notify teate, seejärel kopeerib sekundaarne primaarselt vastava tsooni. Tulemus salvestatakse mitmesse faili

/var/nsd/nsd.db
/var/nsd/ixfr.db

Sekundaarse tsoonifaili kopeerimiseks vastavasse tekstifaili tuleb öelda

 # nsdc patch

Tulemusena tekib tekstifail

 /var/nsd/zones/loomaaed.tartu.ee.zone

NSD nimeserveri töö kontrollimine

NSD serverile päringu esitamiseks sobib öelda nii, näidates eraldi, et küsimuses ei kasutata recurse lippu

 # dig +norecurse @localhost www.talv.loomaaed.tartu.ee a
 
 ; <<>> DiG 9.5.1-P3 <<>> +norecurse @localhost www.talv.loomaaed.tartu.ee a
 ; (2 servers found)
 ;; global options:  printcmd
 ;; Got answer:
 ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 26773
 ;; flags: qr aa; QUERY: 1, ANSWER: 1, AUTHORITY: 1, ADDITIONAL: 0
 
 ;; QUESTION SECTION:
 ;www.loomaaed.tartu.ee.    IN      A
 
 ;; ANSWER SECTION:
 www.loomaaed.tartu.ee. 604800 IN   A       192.168.1.51
 
 ;; AUTHORITY SECTION:
 ns.loomaaed.tartu.ee. 604800  IN      NS      ns.loomaaed.tartu.ee.
 
 ;; ADDITIONAL SECTION:
 ns.loomaaed.tartu.ee. 604800 IN    A       192.168.1.51

kus vastuses on antud

QUESTION SECTION - korratakse küsimust
ANSWER SECTION - vastus küsimusele
AUTHORITY SECTION - autoriteetsete andmete osa
ADDITIONAL SECTION - täiendavate andmete osa

NSD tarkvara sisaldab utiliiti nsd-xfer, millega sobib kopeerida tsooni ja mida ta ka ise sisemiselt kasutab

 # nsd-xfer -z loomaaed.tartu.ee -f /tmp/loomaaed.tart.ee.zone 192.168.1.251

TSIG signatuuride kasutamine

Transaktsiooni signatuure (ingl. k. Transaction SIGnature, TSIG) kasutatakse selleks, et tagada kahe nimeseveri, tavaliselt primaarse ja sekundaarse andmevahetusel andmete autentsus.

Selleks tuleb kirjeldada mõlema nimeseveri /etc/nsd/nsd.conf seadistusfailis võti

 key:
       name: tsoonivoti
       algorithm: hmac-md5
       secret: "K2tf3TRjvQkVCmJF3/Z9vA=="

ning seda seejärel tsooni juures kasutada

       notify: 192.168.10.190 tsoonivoti
       provide-xfr: 192.168.10.190 tsoonivoti

Nimeserveri kasutamine chroot keskkonnas

TODO

Jõudlus