网域名称伺服系统(DNS)规划与建置.ppt

《网域名称伺服系统(DNS)规划与建置.ppt》由会员分享，可在线阅读，更多相关《网域名称伺服系统(DNS)规划与建置.ppt（75页珍藏版）》请在三一办公上搜索。

1、1,網域名稱伺服系統(DNS)規劃與建置,交 通 大 學 計 算 機 中 心陳 昌 盛,TANet,2,1999 TANet DNS Tutorial Course,DNS 入門簡介(p.4-18)DNS 建置與規劃(p.19-25)DNS 設定範例與解說(p.26-53)常見的 DNS 規劃與設定問題(p.54-56)附錄(p.57-75),3,0.從何處取得DNS 系統的相關資訊?,DNS Resource Directoryhttp:/dnsrd.nctu.edu.tw(中文)the OReilly DNS bible DNS and BIND 第 3 版已出書,有介紹 BIND 8.x

2、DNS related RFC(Request For Comments)RFC 1033,1034,1035,.,1912,.Newsgroups:(行政管理)comp.protocols.dns.*(技術),4,1.DNS 入門,(1.0)什麼時候會用到 DNS 系統?往外連線時(out-going 連線)存取檢查,系統記錄(incoming 連線)(1.1)DNS 系統的做用定義網域名稱 提供網域名稱查詢(1.2)DNS 實務操作及應用,5,1.1.1 定義網域名稱,網域授權(domain zone-NS RR)網域名稱(domain name-A RR)電子郵件交換(mail exch

3、ange-MX RR)網址對應(pointer-PTR RR)常用別名(alias naming-CNAME RR)其他功能,6,網域名稱系統(Domain Name System),網域名稱系統,按英文常簡稱 DNS 系統.DNS 系統,概分成三個部份網域空間(Domain Name Space)網域名稱伺服系統(Domain Name Server)BIND/named,.網域名稱解譯程式(Domain Name Resolver)DNS client,agent,server,7,網域空間(Domain Name Space),分散式 與 階層式 的組織架構tree-structure

4、vs.DAG-structure地理區域 與 功能組織 的分類組合方式正解網域(forward domain zones):tw,edu.tw,.反解網域(reverse domain zones):addr.arpaaddr.arpa.,.,8,Fig.1 DNS 運作基本架構圖,com,org,net,cn,hk,.,tw,gov,mil,Arpa,in-addr,INT,IP6,root servers,140,org,gov,mil,edu,nctu,com,net,hc,hchs,www,cis,hgsh,ncku,203,www,.,127,cc,ns1,ccserv2,113,6

5、,250,2,114,ee,bbs,.,.,nehs,.,mail,192,.,NSAP,.,9,1.1.2 DNS-提供查詢,DNS 相關程式client(用戶端),agent(代理查詢),server(伺服器)DNS 查詢(query)iterative mode(往復式;referral)recursive mode(遞迴式)DNS server(伺服系統)primary/master(原始資料 server)vs secondary/slavecaching,forwarder(查詢轉送)DNS caching Time-To-Live(TTL;資料有效期限)positive cach

6、ing(正確資料)vs negative caching,10,DNS-提供網路查詢(續),資料項 round-robin mode(輪流)load sharing/balancinground-trip-time(RTT;來回傳送時間)reverse pointer query(IP addr.反解查詢)inverse query(廣義反向查詢),11,1.2 DNS 實務操作及應用,Domain Zone 的註冊與授權forward/reverse domain zonesPrimary/master;Secondary/slave DNS serverDNS 上容易有錯誤觀念與設定的地方

7、電子郵件轉接轉送(Mail Relay)服務Anti-SPAM checking(access control)正反解 DNS 資料項,必須匹配DNS 查詢轉送(forwarders;參見 3.2.2),12,1.2.1 正解 Domain Zone 註冊問題,nctu.edu.tw(到 MOECC 登記)csie.nctu.edu.tw(到 NCTU-CC 登記)ck.tp.edu.tw(臺北建國高中)直接由 MOECC 負責(edu.tw)thps.hc.edu.tw(新竹市載熙國小)hc.edu.tw 目前由新竹區域網路中心負責,13,1.2.2 反解 Domain Zone 註冊問題,

8、140.113(Class B;透過 MOECC 向 InterNIC 註冊)140.126.3(由 class B 分割;到區域網路中心註冊)140.126(Class B;透過 MOECC 向 InterNIC 註冊)192.83.166(個別 class C)透過 MOECC 到 InterNIC 註冊)203.68.12(class C;到 MOECC 註冊)203.68(整批 class C 到 APNIC 註冊),14,1.2.3 DNS server 的網址選定,$OriginNCTU.edu.tw.INNSns.nctu.edu.tw.INNSns1.nctu.edu.tw.I

9、NNSns2.nctu.edu.tw.INNSns3.nctu.edu.tw.;TANet 骨幹;ns1INA140.113.1.1;指定 ns3INA163.28.64.246;高速專用道,15,1.2.4 容易有錯誤觀念與設定的地方,$OriginNCTU.edu.tw.nctu.edu.tw.INNSns.nctu.edu.tw.;domain zone=dignctu.edu.tw.7200 INA;domain name=telnetnctu.edu.tw.INMX0 ns1.nctu.edu.tw.;mail exchange=E-mail;-nctu.edu.tw.INNSnct

10、u.edu.tw.,16,1.2.5 Mail Relay 的相關設定,DNS side:;e-mail 最終目的地.INMX 10 ccserv6.cc.nctu.edu.tw.;mail relay=宜善加利用,可作為“備援與轉接”之用cc.nctu.edu.tw.INMX 20 mx.nctu.edu.tw.;高速專用道(MOECC)cc.nctu.edu.tw.INMX 30.Mail relay server side:轉接系統(relay access permission)借道權限,必須打開(sendmail.cf,17,1.2.6 Anti-SPAM checking(DNS

11、entry 正反解必須匹配),domain name 驗證流程.reverse forward IP addr.A-domain name B-IP addr.C Fig.2 anti-SPAM checking 圖示其中,IP addr.C(可能是一個 group),必須包含或等於 A 才算通過 DNS 查驗.,18,DNS 系統新設計的功能(部份已完成實作),New DNS RR(rfc 1183)RP,AFSDB,ISDN,X25,RT resolver implicit search problem(rfc 1535)LOC(rfc 1876)IPv6(rfc 1886)AAAA(ne

12、w record type),IP6.INT(new domain top)incremental zone transfer IXFR(rfc 1995)DNS notify(rfc 1996)-BIND_NOTIFYSRV(rfc 2052)Secure ZoneDynamic update(IP/host),19,2.DNS Server Hosts 配置與規劃,主機系統選擇(platform/OS)Unix,Windows NT,OS/2,.(現階段,仍以 Unix 為佳)硬體設備需求 主要 memory size,原則是 named 將 90%以上的 dns query 放在 RAM

13、 中 caching 起來,不需用到 swap.系統軟體(BIND/named,.)網路位址(多重 servers)primary/secondary server host 分離,放在不同的網路區段,當然如果能放在不同單位,通常更好.,20,2.1 關於 BIND 的許多資訊,目前最新版本 8.2-P1(1999.03.16)4.9.7(舊式);BIND 8.x(新式)如何得知系統上的 named 版本?多數 Unix 有沒有 Windows 下的版本?不同版本 BIND 之間功能差別?,21,BIND(Berkeley Internet Name Domain),Standalone Da

14、emon(named)UDP/TCP port 53UDP query/response(512 bytes)+zone transferDNS message formatQuestion/Answer sectionAuthority sectionAdditional sectionexample-dig output,22,2.1.1 如何得知系統上的 named 版本?,通常可以這麼作.1)確定 named program 的 pathname.e.g./etc/named,/usr/sbin/in.named,.作法:使用 which,find,.-2)用 what 配合 grep

15、 找出相關字串%what/usr/sbin/named|grep namednamed:Thu Jun 26 15:03:59 EAT 1997 rootnssrc/bin/named,23,2.1.2 不同版本 BIND 之間功能的差別?,V8.x 整套程式,重新改寫/etc/named.boot(v4)-/etc/named.conf(v8)zone transfer(named vs named-xfer)no more fork for each AFXR jobs(for v 8.1.X and later)BIND 與先前版本的重大差異新的功能negative cachingbin

16、d_notify,IPv6 support,RFC 1535 compliant,.,24,2.1.3 從何處取得 BIND 原始程式?,BIND home at the ISCftp:/ftp.isc.org/isc/bind/*NCTUCCCA&mirror sitespackages/networking/bind/*,25,2.2 BIND V8.x/4.9.x 程式的安裝,BIND 4.9.x compiling&installation$bind-src/README,OPTIONS$bind-src/conf/options.h check and/or update/etc/n

17、amed.boot BIND 8.x compiling&instatllation$bind-src/INSTALL,README$bind-src/port/READMEcheck and/or update/etc/named.conf DNS syslogging/etc/syslog.conf/var/adm/messages,26,3.DNS 設定範例與說明,BIND server options/etc/named.boot 設定範例/etc/named.conf(V8.x)自動轉換程式 named-bootconf.plzone data files 設定範例/etc/reso

18、lv.conf(resolver)設定範例參見 http:/dnsrd.nctu.edu.tw 上的範例,27,3.1 DNS Server Options,primary/master vs.secondary/slavecaching only serverforwarders(slave server)recursive vs.non-recursive,28,“,master/slave server 的差別?如何分工?目前 domain zone“NCTU.edu.tw”登記有 4 個 DNS servers(*)ns.nctu.edu.tw/140.113.250.135(prim

19、ary/master)ns1.nctu.edu.tw/140.113.1.1(secondary/slave)ns2.nctu.edu.tw/140.113.6.2(secondary/slave)ns3.nctu.edu.tw/163.28.64.246(臨時增加)master/slave servers 最好分佈在不同的 sub-nets,29,DNS Server options,;type domain source file or host;-directory/var/named;cache.named.root;primary localhost Localhostprimary

20、.IN-ADDR.ARPA Rev-127.0;省略 primary NCTU.edu.tw Zone.NCTUsecondary ADM.nctu.edu.tw 140.113.2.1 Zone.ADMprimary CC.nctu.edu.tw Zone.CC;省略.primary 113.140.IN-ADDR.ARPA R-140.113primary.in-addr.arpasecondary.in-addr.arpa.,3.2 DNS Server Options-/etc/named.boot(v4.x),30,DNS Server Options(續)-/etc/named.c

21、onf(新版;v8.x),options check-names master fail;check-names slave fail;/default warn directory/var/named;fake-iquery yes;/default warn forwarders 163.28.1.103;139.175.55.244;zone.type hint;file named.root;/cache root.cachezone localhost type master;file Localhost”;zone 0.0.127.IN-ADDR.ARPA type master;

22、file Rev-127.0;zone type slave;file sec/zone-HC.edu.tw;masters 140.113.250.135;zone type slave;file sec/R-140.126.237;masters 140.113.250.135;,31,directory/var/named;cache.named.root;BIND 4.9.x,DNS Server options,3.2.1 Caching Only Server-/etc/named.boot,32,3.2.2 DNS Server Options(2)-/etc/named.boo

23、t,directory/var/named;cache.named.root;省略;設定 DNS forwarders,以轉送 DNS query(末端網路節點適用);-forwarders140.113.1.1;optionsforward-onlyxfernets;bogusns 203.74.66.1,33,3.2.3 DNS Server Options(3)-/etc/named.boot,directory/var/named;cache.named.root;.省略 options fake-iquery;optionsnon-recursion;options forwarde

24、r-only;optionsquery-log,34,3.3 Domain Zone files 設定,Basic DNS Resource Record TypesSOA,NS,A,PTR,CNAME,MXTXT,WKS,HINFORP,AFSDB,AAAA(IPv6),LOC,SRV,.,35,3.3.1 Special Symbols on DNS database,Special Symbols for defining the DNS database“”,current origin“*,”wildcard(only for some of the types)“.”,root d

25、omain-“345”,36,;for forward/reverse Domain Zones.;-IN SOA ns.NCTU.edu.tw.hostmaster.(1997090200;Serial number 86400;Refresh-1 days 1800;Retry 1728000;Expire-20 days 259200);Minimum TTL-3 days;-IN NS NCTU.edu.tw.IN NS ns.NCTU.edu.tw.;primary/master IN NS ns2.nctu.edu.tw.;localhosts.INA;forward case;1

26、INPTRlocalhost.;reverse case,3.3.2 SOA(Start Of Authority)RR,37,;forward domain zones(正解);-;上下兩層“NCTU.edu.tw”Glued Records.IN A IN A operator IN Accsun7 IN A,3.3.3 Domain Zone delegation(授權)-NS(Name Server)RR,38,;上下兩層“113.140.in-addr.arpa.”addr.arpa”Baddr.arpa.IN NS.IN NS cissol1.cis.nctu.edu.tw.,NS

27、 RR(2)-reverse domain(反解),39,NS RR(3)-錯誤示範*RFC 1034,1035,1912,;case 1-任意指定 2nd NS RR(常犯錯誤);-$Origin NCTU.edu.tw.err1INNSns-OK.NCTU.edu.tw.INNSNo-named-Host.;LameINNSmoevax.edu.tw.;誤設;case 2-NS 指到一個 alias(CNAME),intermittent error;-$Origin 200.113.140.in-addr.arpa.err2INNSalias-ns.NCTU.edu.tw.;間些性 er

28、rorINNSns-OK.,40,NS RR(4)-錯誤示範*RFC 1034,1035,1912,;case 3-NS 指到一個 IP address;-$Origin NCTU.edu.tw.err3IN NS;應為 fqdn/hostname;case 4-NS 指到一個不存在的機器;$Origin200.113.140.in-addr.arpa.err4INNSNon-existent.NCTU.edu.tw.INNSns-OK.nctu.edu.tw.,41,NS RR(5)-Lame Servers*RFC 1034,1035,1912,;case 5-上一層有額外指定 2nd N

29、S RR(常犯錯誤);但對應的 entry,卻不在下一層中.;-$Origin NCTU.edu.tw.err5INNSns-OK.NCTU.edu.tw.INNSNo-Good-ns.;上一個 NS entry,下一層domain 中,未定義;$Originerr5.NCTU.edu.tw.INNSns-OK.INNSns2-OK.nctu.edu.tw.;Its Ok!雖然,上一層沒有對應的 NS RR;用途,inside firewall,.,42,3.3.4 A(Address)RR,;一個 IP addr.,但同時有多個 FQDN$Origin NCTU.edu.tw.INA;nct

30、u.edu.tw.ns1INA140.113.1.1;ns1.nctu.edu.tw.;一個 FQDN,但有好幾個對應的 IP addr.$OriginCSIE.nctu.edu.tw.INA;multi-homedINA,43,A RR-錯誤示範(1),;zone file“NCTU.edu.tw”;-$Origin NCTU.edu.tw.(往下授權);CISINNSCisServ.CIS.nctu.edu.tw.INNSCisSol1.CIS.nctu.edu.tw.CisServ.CISINA140.113.23.1;glued recordCisSol1.CISINA;err-A.C

31、ISINA;無效的設定;zone file“CIS.nctu.edu.tw”$OriginCIS.nctu.edu.tw.CIS-gwINA140.113.23.254;OK,44,A RR-錯誤示範(2),$Origin NCTU.edu.tw.INNS;INA;OK;INNSns2.nctu.edu.tw.INA;invalid;這行有 語意問題,nctu.edu.tw-;It might induce some mail routing problem(s).INNSns.NCTU.edu.tw.nsINA,45,3.3.5 PTR(Pointer)RR,;addr.arpa”$Orig

32、in 113.140.in-addr.arpa.1 IN NS.IN NS.省略9.254INPTRCSIE-gw.nctu.edu.tw.;-上下兩 file 分開-;addr.arpa”$Origin.in-addr.arpa.IN NS.IN NS.省略1INPTRNCTU.edu.tw.110INPTRmoesun.NCTU.edu.tw.,46,;-;for both normal mail exchange Dis-couraged,3.3.6 MX(Mail eXchange)RR,47,;Zone file for domain$Origin NCTU.edu.tw.newsI

33、N MX 0 news.cc.;FQDN.;newsINA?;No such records;$Origin cc.NCTU.edu.tw.INMX0CC.,MX RR(2),48,;zone file 1$Origin NCTU.edu.tw.;netnewsINCNAME news2.;fqdn;zone file 2$OriginEDU.tw.ftpINCNAMEnctuccca;hostname;zone file 3$OriginTWNIC.net.archieINCNAME,3.3.7 CNAME(Canonical NAME)RR,49,CNAME RR-常見錯誤實例(1),$O

34、rigin NCTU.edu.tw.;case 1-cname loopingcname-chainINCNAME cname-chain.;case 2-ns-cname chaining(不能用 alias)err-ns INCNAMEns-OK.NCTU.edu.tw.;FQDNerr6 INNSerr-ns.NCTU.edu.tw.;alias,50,CNAME RR-常見錯誤實例(2),$Origin NCTU.edu.tw.;case 3-mx-cname chaining 連鎖(不能用 alias)err-mailINCNAMEmx-host.nctu.edu.tw.err-mx

35、-zoneINMX10err-mail.NCTU.edu.tw.;case 4-cname-cname chaining(不宜;雖然現在可以用)alias1 INCNAME host1.NCTU.edu.tw.;FQDNalias2 INCNAMEalias1.;alias,51,3.4 Resolver related Configuration-/etc/resolv.conf,;comment lines#another comment-Not supported by ALL domain local-domain search search-list nameserver serve

36、r-address sortlist sort-list options option-list,52,3.4.1 Resolver related Configuration(2)-/etc/resolv.conf,;domain 最多 3 個 nameserver nameservernameservernameserver,53,non RFC 1535 compliant(before V 4.9.3).CC.NCTU.EDU.TWRFC 1535 compliantanother example-mbox vs mboxmit.edu,54,4.常見的 DNS 規劃與設定問題,for

37、ward/reverse DNS database 登錄不全 domain zones 中完全沒有 secondary DNS servers.同一 DNS server,多重 domain zones 的設定問題.不正確的 secondary server caching 做法.取不適當的 domain zone and/or invalid hostname使用版本過舊的 DNS server 軟體.基本資料設定錯誤 CNAME,Lame server,.,55,4.1 常見的 DNS 設定錯誤,named.cache(/etc/named.boot)的誤用 DNS secondary c

38、aching(/etc/named.boot)嚴重誤用 同一系統上,多重 domain zones 的設定問題Bad referral,不正確的 SOA 記錄 Forwarding loop,SOA 設定問題 Lame Server,配合不良的 NS 指標記錄 NS-CNAME pointerMX-CNAME pointerIllegal char,DNS database 中不正確的字元 domain RR 忘了結尾的.點,56,4.2 DNS error logging messages,Mar 7 08:00:21 ns1 named169:NCHU.edu.tw IN NS point

39、s to a CNAME(pds.nchu.edu.tw)Mar 30 12:09:31 ns named3544:Lame server on.tw(in catv.COM.tw?):203.67.199.1.53.tw:learnt(A=203.77.2.139,NS=140.92.1.50)Apr 4 08:45:40 ns named3544:ns_forw:query(FPGEDU.tw)forwarding loop(.tw:203.67.236.100)learnt(A=140.111.1.2:NS=140.111.1.2)Jul 21 21:56:32 alpha named4

40、234:host name secc_fs3.secc.fju.edu.twaddr.arpa)IN(primary)is invalid-rejectingJul 22 08:38:33 ns1 named28511:bad referraladdr.arpa(e.g.,last output),57,5.附錄,Debugging 偵錯工具使用與介紹Where to Learn MoreChinese Big5 DNS Resource Directory,58,5.1 DNS Debugging Tools,nslookup(default built-in on most systems

41、)dighost(zone transfer)dnswalk,doc(PERL scripts)Misc utility programs$BIND-src/contrib/*,59,5.1.1 DIG output,ns1%dig cis.nctu.edu.tw ns;DiG 2.2 cis.nctu.edu.tw ns;res options:init recurs defnam dnsrch;got answer:;-HEADER-opcode:QUERY,status:NOERROR,id:6;flags:qr rd ra;Ques:1,Ans:2,Auth:0,Addit:2;QUE

42、STIONS:;cis.nctu.edu.tw,type=NS,class=IN;ANSWERS:cis.nctu.edu.tw.86400 NS cisserv.cis.nctu.edu.tw.cis.nctu.edu.tw.86400 NS cissol1.cis.nctu.edu.tw.;ADDITIONAL RECORDS:;Total query time:8 msec;WHEN:Wed Sep 17 11:44:04 1997;MSG SIZE sent:33 rcvd:109,60,5.1.2 nslookup 工具程式使用與介紹(1),1.nslookup 程式功能列表(參見附

43、錄)2.奇怪的 nslookup output 3.某 domain name,A RR 查詢(正常;FQDN-IP addr.)4.某 domain name,PTR RR 查詢(正常;IP addr.-FQDN)5.某 domain name,CNAME RR 查詢(正常;CNAME-FQDN/IP addr.),61,nslookup 工具程式使用與介紹(2),6.某 domain name,MX RR 查詢(正常;MX-FQDN/IP addr.)7.某 domain zone 的 SOA RR 的查詢(正常)8.某 domain zone 的 NS RR 的查詢(正常)9.對某 do

44、main zone 進行 zone transfer(正常;debug),62,.奇怪的 nslookup output,本校的dns 主機是 sun os ip 而我的主機是 solaris ip/etc/resolv.conf 設定如下 nameserver nameserver 而本人在sun sparc solaris 輸入nslookup,均會顯示如下訊息#nslookup*Cant find server name for address 203.68.38.1:Non.,63,.domain name的 A RR 查詢(1),#nslookup netnews.nctu.edu.

45、tw.;內定 query type,FQDN-IP addr.Name:news2.nctu.edu.tw#exit,64,.domain name,A RR 查詢(2),#nslookupDefault Server news.edu.tw.Non-authoritative answer:#exit,65,.domain name,PTR RR 查詢(1),%nslookup set type=ptr;設定 query type,PTR-FQDN addr.arpa.;反解(倒著寫)reverse domain entry%exit,66,domain name,PTR RR 查詢(2)-

46、(幾乎除了 SunOS 4.x 以外),%nslookup;自動 轉成.%exit,67,.domain name,CNAME RR 查詢(1),#nslookup proxy.nctu.edu.tw;使用內定的 query typeName:w3-proxy.nctu.edu.tw;w3-proyx 為 Canonical name.Address:140.113.250.130;alias-FQDN/IP addr.Aliases:proxy.nctu.edu.tw;發現本 domain entry 為 alias name.#exit,68,.domain name,CNAME RR 查

47、詢(2),#nslookup set type=any;第 2 種方法,query type 設成 ANY proxy.nctu.edu.tw.;列出,所有相關記錄(RR)proxy.nctu.edu.tw canonical name#exit,69,%nslookup省略 set type=mx;設定 query type cc.nctu.edu.tw.;MX RR-FQDN/IP addr.Server:ns.NCTU.edu.twAddress:140.113.250.135cc.nctu.edu.tw preference=0,mail exchanger=cc.nctu.edu.t

48、wcc.nctu.edu.tw preference=0,mail exchanger=ccserv6.cc.nctu.edu.twcc.nctu.edu.tw preference=5,mail exchanger=ns.NCTU.edu.tw%exit,.domain name,MX RR 查詢,70,%nslookup 省略 set type=soa;設定 query type nthu.edu.tw.;正解 forward domain zone 省略Non-authoritative answer:;由 named cache 處取得的答案 origin mail addr seri

49、al=9708081 refresh=28800(8H)retry=7200(2H)expire=1209600(2W)minimum ttl=604800(1W)Authoritative answers can be found from:;原始資料,可自底下幾個取得nthu.edu.tw nameserver=nthu.edu.tw nameserver=nthu.edu.tw nameserver=,.forward domain name的 SOA RR 查詢,71,.reverse domain name的 SOA RR 查詢,%nslookup 省略 set type=soa;設

50、定 query type addr.arpa.;反解 reverse domain zoneaddr.arpa serial=970803 refresh=10800(3H)retry=3600(1H)expire=3600000(5w6d16h)minimum ttl=86400(1D)%exit,72,.forward domain name的 NS RR 查詢,%nslookup set type=ns.-正解 forward domain zoneNon-authoritative answer:Authoritative answers can be found from:,73,%