Project

General

Profile

NSD » History » Version 5

alarig alarig, 09/27/2015 07:00 PM

1 1 alarig alarig
h1. NSD
2 1 alarig alarig
3 1 alarig alarig
"NSD":https://www.nlnetlabs.nl/projects/nsd/ est une alternative à bind pour la gestion d’une zone DNS
4 1 alarig alarig
5 1 alarig alarig
h2. Principe général
6 1 alarig alarig
7 1 alarig alarig
Un serveur de nom *primaire* pour une zone est un serveur hébergeant la zone déclarée en type « *master* » et étant déclaré en tant que « NS » pour cette zone.
8 1 alarig alarig
9 1 alarig alarig
Un serveur de nom *secondaire* pour une zone est un serveur hébergeant la zone déclarée en type « *slave* » et étant déclaré en tant que « NS » pour cette zone.
10 1 alarig alarig
11 1 alarig alarig
Du point de vue du client DNS, celui qui interroge le serveur pour résoudre un nom, il n'y a pas de notion de primaire ou secondaire. Tous les serveurs déclarés sur une zone seront interrogés tour à tout avec du round-robin pour répartir la charge.
12 1 alarig alarig
13 1 alarig alarig
<pre>
14 1 alarig alarig
    temps          primaire              secondaire
15 1 alarig alarig
      |               |                      |
16 1 alarig alarig
      |    [modification d'une zone]         |
17 1 alarig alarig
      |               |                      |
18 1 alarig alarig
      |               |-----notificaiton---->|
19 1 alarig alarig
      |               |        NOTIFY        |
20 1 alarig alarig
      |               |                      |
21 1 alarig alarig
      |               |<---téléchargement----|
22 1 alarig alarig
      |               |      AXFR/IXFR       |
23 1 alarig alarig
      |               |                      |
24 1 alarig alarig
      |               |                      |
25 1 alarig alarig
      |               |                      |
26 1 alarig alarig
      |               |              [expiration du TTL]
27 1 alarig alarig
      |               |                      |
28 1 alarig alarig
      |               |<---téléchargement----|
29 1 alarig alarig
      |               |      AXFR/IXFR       |
30 1 alarig alarig
      |               |                      |
31 1 alarig alarig
      v               v                      v
32 1 alarig alarig
</pre>
33 1 alarig alarig
34 1 alarig alarig
Le serveur secondaire télécharge la zone depuis le primaire dans deux cas :
35 1 alarig alarig
36 1 alarig alarig
* La zone a été modifiée sur le primaire. Celui-ci notifie alors le secondaire de la présence d'une nouvelle version de la zone. Le secondaire initie le téléchargement par une requête AXFR (transfert de la zone complète) ou IXFR (transfert incrémental).
37 1 alarig alarig
* Le TTL (Time To Live) expire sur le serveur secondaire. Celui-ci récupère une version fraîche de la zone depuis le primaire (idem, AXFR ou IXFR).
38 1 alarig alarig
39 1 alarig alarig
Il est possible de forcer l'envoi d'une notification depuis le primaire afin de mettre à jour les zones sur tous les secondaires configurés. Cela est utile dans le cas où le(s) secondaire(s) étaient inaccessibles au moment de la mise à jour d'une zone. Cela permet de ne pas avoir à attendre l'expiration du TTL sur les secondaires.
40 1 alarig alarig
41 1 alarig alarig
Dans le cas d'un transfert incrémental (IXFR), le serveur secondaire indique au primaire le numéro de série de la zone qu'il connaît et le serveur primaire retourne uniquement les différences avec la zone active.
42 1 alarig alarig
43 1 alarig alarig
h2. Installation de NSD
44 2 alarig alarig
45 1 alarig alarig
Ce guide est écrit pour nsd4 et debian jessie, mais ça ne change pas grand chose avec nsd3 et debian wheezy (ou même gentoo ou arch)
46 1 alarig alarig
<pre>
47 1 alarig alarig
root@debianjessie:~ # apt-get install nsd
48 1 alarig alarig
</pre>
49 1 alarig alarig
50 1 alarig alarig
h3. Configuration de NSD
51 2 alarig alarig
52 1 alarig alarig
<pre>
53 1 alarig alarig
root@debianjessie:~# vim /etc/nsd/nsd.conf
54 1 alarig alarig
</pre>
55 1 alarig alarig
56 1 alarig alarig
Votre fichier de configuration doit ressembler à un truc du genre :
57 3 alarig alarig
<pre>
58 1 alarig alarig
server:
59 1 alarig alarig
	ip-address:	192.0.2.1
60 1 alarig alarig
	ip-address:	198.51.100.1
61 1 alarig alarig
	ip-address:	2001:db8:1::192
62 1 alarig alarig
	ip-address:	2001:db8:3::198
63 1 alarig alarig
	port:		53
64 1 alarig alarig
65 1 alarig alarig
	# ici ça va jouer sur ce qu’un nmap verra
66 1 alarig alarig
	hide-version:	no
67 1 alarig alarig
	identity:	"Mon cher petit poney, voilà qui va éclairer ton nmap"
68 1 alarig alarig
69 1 alarig alarig
	# Si l’on veut logguer les requêtes et faire des statistiques 
70 1 alarig alarig
	logfile:	"/var/log/nsd.log"
71 1 alarig alarig
	statistics:	3600
72 1 alarig alarig
73 1 alarig alarig
	pidfile:	"/var/run/nsd/nsd.pid"
74 1 alarig alarig
75 1 alarig alarig
	# nombre de serveurs démarrés
76 1 alarig alarig
	server-count:	1
77 1 alarig alarig
78 1 alarig alarig
	username:	nsd
79 1 alarig alarig
80 1 alarig alarig
	zonesdir:	"/etc/nsd/"
81 1 alarig alarig
	xfrdfile:	"/var/lib/nsd/xfrd.state"
82 1 alarig alarig
	verbosity:	0
83 5 alarig alarig
84 5 alarig alarig
	# Nombre de requêtes par seconde et par IP, voir https://www.nlnetlabs.nl/blog/2012/10/11/nsd-ratelimit/
85 1 alarig alarig
	rrl-ratelimit:	20
86 1 alarig alarig
87 1 alarig alarig
remote-control:
88 1 alarig alarig
	# Enable remote control with nsd-control(8) here.
89 1 alarig alarig
	# set up the keys and certificates with nsd-control-setup.
90 1 alarig alarig
	control-enable: yes
91 1 alarig alarig
92 1 alarig alarig
	# what interfaces are listened to for control, default is on localhost.
93 1 alarig alarig
	control-interface: 127.0.0.1
94 1 alarig alarig
	control-interface: ::1
95 1 alarig alarig
96 1 alarig alarig
	# port number for remote control operations (uses TLS over TCP).
97 1 alarig alarig
	control-port: 8952
98 1 alarig alarig
99 1 alarig alarig
	# nsd server key file for remote control.
100 1 alarig alarig
	server-key-file: "/etc/nsd/nsd_server.key"
101 1 alarig alarig
102 1 alarig alarig
	# nsd server certificate file for remote control.
103 1 alarig alarig
	server-cert-file: "/etc/nsd/nsd_server.pem"
104 1 alarig alarig
105 1 alarig alarig
	# nsd-control key file.
106 1 alarig alarig
	control-key-file: "/etc/nsd/nsd_control.key"
107 1 alarig alarig
108 1 alarig alarig
	# nsd-control certificate file.
109 1 alarig alarig
	control-cert-file: "/etc/nsd/nsd_control.pem"
110 1 alarig alarig
111 1 alarig alarig
key:
112 1 alarig alarig
	name: tsig-name
113 1 alarig alarig
	algorithm: hmac-sha256
114 1 alarig alarig
	secret: "secret"
115 1 alarig alarig
116 1 alarig alarig
### masters ###
117 1 alarig alarig
118 1 alarig alarig
zone:
119 4 alarig alarig
	name:		"swordarmor.fr"
120 4 alarig alarig
	zonefile:	"swordarmor.fr.zone"
121 1 alarig alarig
122 1 alarig alarig
	notify:		2a01:6600:8081:c600::1	NOKEY
123 1 alarig alarig
	provide-xfr:	2a01:6600:8081:c600::1	NOKEY
124 1 alarig alarig
	notify:		217.70.177.40		NOKEY
125 1 alarig alarig
	provide-xfr:	217.70.177.40		NOKEY
126 1 alarig alarig
	notify:		2001:910:1318::1	tsig-name
127 1 alarig alarig
	provide-xfr:	2001:910:1318::1	tsig-name
128 1 alarig alarig
129 1 alarig alarig
130 1 alarig alarig
### reverses ###
131 1 alarig alarig
132 1 alarig alarig
# ttn.swordarmor.fr v4 (délégation sur CNAME)
133 1 alarig alarig
zone:
134 1 alarig alarig
	name:		"198/32.149.224.91.in-addr.arpa"
135 1 alarig alarig
	zonefile:	"ttn.swordarmor.fr.reversev4"
136 1 alarig alarig
137 1 alarig alarig
	notify:		2a01:6600:8081:c600::1 NOKEY
138 1 alarig alarig
	provide-xfr:	2a01:6600:8081:c600::1 NOKEY
139 1 alarig alarig
140 1 alarig alarig
# ttn.swordarmor.fr v6
141 1 alarig alarig
zone:
142 1 alarig alarig
	name:		"6.c.1.8.0.8.0.0.6.6.1.0.a.2.ip6.arpa"
143 1 alarig alarig
	zonefile:	"ttn.swordarmor.fr.reversev6"
144 1 alarig alarig
145 1 alarig alarig
	notify:		2a01:6600:8081:c600::1 NOKEY
146 1 alarig alarig
	provide-xfr:	2a01:6600:8081:c600::1 NOKEY
147 1 alarig alarig
148 1 alarig alarig
149 1 alarig alarig
150 1 alarig alarig
### slaves ###
151 1 alarig alarig
zone:
152 1 alarig alarig
	name:		"gozmail.net"
153 1 alarig alarig
	zonefile:	"gozmail.net.zone"
154 1 alarig alarig
155 1 alarig alarig
	allow-notify:	2a02:a80:0:2216::2 NOKEY
156 1 alarig alarig
	request-xfr:	2a02:a80:0:2216::2 NOKEY
157 1 alarig alarig
158 1 alarig alarig
	notify-retry:	5
159 1 alarig alarig
</pre>
160 4 alarig alarig
161 4 alarig alarig
Une fois les modifications faites, il faut redémarrer NSD pour qu’elles soient prises en compte :
162 4 alarig alarig
<pre>
163 4 alarig alarig
root@debianjessie:~# service nsd restart 
164 4 alarig alarig
</pre>
165 4 alarig alarig
166 4 alarig alarig
h2. Exemples de zones
167 4 alarig alarig
h3. Zone principale (master)
168 4 alarig alarig
169 4 alarig alarig
h3. Zone secondaire (slave)
170 4 alarig alarig
171 4 alarig alarig
Dans le cas d’une zone secondaire, c’est le serveur principal et qui envoie la zone, et votre serveur l’écrit tout seul où on lui a demandé
172 4 alarig alarig
173 4 alarig alarig
h3. Zone reverse
174 4 alarig alarig
175 4 alarig alarig
h2. Commandes principales
176 4 alarig alarig
177 4 alarig alarig
h2. Notes complémentaires
178 5 alarig alarig
179 5 alarig alarig
Voir aussi "le blog Bortz":https://www.bortzmeyer.org/nsd4.html