网域名称伺服系统DNS规划与建置ppt课件

1、網域名稱伺服系統 (DNS) 規劃與建置交 通 大 學 計 算 機 中 心陳 昌 盛.twTANet DNS Tutorial Course, 88.06.04 1999 TANet DNS Tutorial Course DNS 入門簡介入門簡介 (p.4-18) DNS 建置與規劃建置與規劃 (p.19-25) DNS 設定範例與解說設定範例與解說 (p.26-53) 常見的常見的 DNS 規劃與設定問題規劃與設定問題 (p.54-56) 附錄附錄 (p.57-75)0. 從何處获得DNS 系統的相關資訊 ? DNS Resource Directory

2、.tw ( 中文) the OReilly DNS bible DNS and BIND 第 3 版已出書, 有介紹 BIND 8.x DNS related RFC ( Request For Comments ) RFC 1033, 1034, 1035, ., 1912, . Newsgroups: tocols.tcp-ip.domains ( 行政管理) tocols.dns.* ( 技術)1. DNS 入門(1.0) 什麼時候會用到 DNS 系統 ?往外連線時 (out-going 連線)存取檢查, 系統記錄 (incom

3、ing 連線)(1.1) DNS 系統的做用定義網域名稱 提供網域名稱查詢(1.2) DNS 實務操作及應用1.1.1 定義網域名稱 網域授權網域授權 (domain zone - NS RR) 網域名稱網域名稱 ( domain name - A RR) telnet .tw 電子郵件交換電子郵件交換 ( mail exchange - MX RR) mail .tw 網址對應網址對應 (pointer - PTR RR) - .tw 常用別名常用別名 (alias naming

4、 - CNAME RR) .tw - .tw 其他功能其他功能 網域名稱系統(Domain Name System) 網域名稱系統, 按英文常簡稱 DNS 系統. DNS 系統, 概分成三個部份 網域空間 (Domain Name Space ) 網域名稱伺服系統 (Domain Name Server) BIND/named, . 網域名稱解譯程式 (Domain Name Resolver) DNS client, agent, server網域空間(Domain Name Space) 分散式分散式 與與 階層式階層式 的組織架

5、構的組織架構 tree-structure vs. DAG-structure 地理區域地理區域 與與 功能組織功能組織 的分類組合方式的分類組合方式 正解網域正解網域 (forward domain zones): tw, edu.tw, . 反解網域反解網域 (reverse domain zones): 113.140., 1.113.140.., .Fig.1 DNS 運作根本架構圖運作根本架構圖com, org,nettwgov, milArpain-addrINTIP6root servers140edunctuwwwccns1ccs

6、erv21136250 2.tw 192. . .NSAP1.1.2 DNS - 提供查詢 DNS 相關程式 client(用戶端), agent(代理查詢), server(伺服器) DNS 查詢 (query) iterative mode (往復式 ; referral) recursive mode (遞迴式 ) DNS server (伺服系統) primary/master (原始資料 server) vs secondary/slave caching, forwarder (查詢轉送) DNS caching T

7、ime-To-Live (TTL; 資料有效期限) positive caching(正確資料) vs negative cachingDNS - 提供網路查詢(續) 資料項 round-robin mode (輪流) load sharing/balancing round-trip-time ( RTT; 來回傳送時間) reverse pointer query (IP addr. 反解查詢) inverse query ( 廣義反向查詢) 1.2 DNS 實務操作及應用 Domain Zone 的註冊與授權 forward / reverse domain zones Primary/

8、master; Secondary/slave DNS server DNS 上容易有錯誤觀念與設定的地方 電子郵件轉接轉送(Mail Relay)服務 Anti-SPAM checking ( access control) 正反解 DNS 資料項, 必須匹配 DNS 查詢轉送 (forwarders; 參見 3.2.2 )1.2.1 正解 Domain Zone 註冊問題 .tw ( 到 MOECC 登記) .tw ( 到 NCTU-CC 登記) .tw (臺北建國高中) 直接由 MOECC 負責 (edu.tw) thps.hc

9、.edu.tw ( 新竹市載熙國小) .tw 目前由新竹區域網路中心負責1.2.2 反解 Domain Zone 註冊問題 140.113 ( Class B; 透過 MOECC 向 InterNIC 註冊) 140.126.3 ( 由 class B 分割; 到區域網路中心註冊) 140.126 (Class B; 透過 MOECC 向 InterNIC 註冊) 192.83.166 ( 個別 class C ) 透過 MOECC 到 InterNIC 註冊) 203.68.12 ( class C; 到 MOECC 註冊) 203.68 ( 整批 class C 到 APNIC

10、 註冊)1.2.3 DNS server 的網址選定 $OriginNCTU.edu.tw.INNS.tw.INNS.tw.INNS.tw.INNS.tw. ; TANet 骨幹;nsINA140.113.250.ns1INA ; 指定 x.y.z.1ns2INAns3INA46; 高速專用道 1.2.4 容易有錯誤觀念與設定的地方$OriginNCTU..tw.INNS.tw.; d

11、omain zone = dig .tw .tw.7200 INA; domain name = telnet .tw.INMX 0 .tw.; mail exchange = : .tw;-.tw.INNS.tw. 1.2.5 Mail Relay 的相關設定 DNS side : ; 最終目的地 .tw.INMX 10 .tw. ; mai

12、l relay = 宜善加利用, 可作為“備援與轉接之用 .tw.INMX 20 .tw. ; 高速專用道 (MOECC) .tw.INMX 30 .tw. Mail relay server side: 轉接系統 (relay access permission) 借道權限, 必須打開 (sendmail.cf) = .tw + .tw1.2.6 Anti-SPAM checking (DNS entry 正反解必須匹配) domain name 驗證流程. rever

13、se forward IP addr. A - domain name B - IP addr. C Fig. 2 anti-SPAM checking 圖示 其中, IP addr. C (能够是一個 group), 必須包含或等於 A 才算通過 DNS 查驗. DNS 系統新設計的功能 (部份已完成實作) New DNS RR (rfc 1183) RP, AFSDB, ISDN, X25, RT resolver implicit search problem (rfc 1535) LOC (rfc 1876) IPv6 ( rfc 1886) AAAA (new record type

14、), IP6.INT (new domain top ) incremental zone transfer IXFR ( rfc 1995 ) DNS notify (rfc 1996) - BIND_NOTIFY SRV (rfc 2052) Secure Zone Dynamic update ( IP/host )2. DNS Server Hosts 配置與規劃 主機系統選擇 ( platform/OS ) Unix , Windows NT, OS/2, . ( 現階段, 仍以 Unix 為佳 ) 硬體設備需求 主要 memory size, 原則是 named 將 90% 以上的

15、 dns query 放在 RAM 中 caching 起來, 不需用到 swap. 系統軟體 ( BIND/named, . ) 網路位址 (多重 servers) primary/secondary server host 分離, 放在不同的網路區段, 當然假设能放在不同單位, 通常更好. 2.1 關於 BIND 的許多資訊 目前最新版本 8.2-P1 (1999.03.16) 4.9.7 ( 舊式 ); BIND 8.x ( 新式) 如何得知系統上的 named 版本 ? 多數 Unix 廠家目前援助的版本 4.8.3 有沒有 Windows 下的版本 ? 不同版本 BIND 之間功能差

16、別 ? BIND ( Berkeley Internet Name Domain ) Standalone Daemon ( named ) UDP/TCP port 53 UDP query/response ( 512 bytes) + zone transfer DNS message format Question/Answer section Authority section Additional section example - dig output2.1.1 如何得知系統上的 named 版本 ? 通常可以這麼作. 1) 確定 named program 的 pathname

17、. e.g. /etc/named, /usr/sbin/d, . 作法: 运用 which, find, . - 2) 用 what 配合 grep 找出相關字串% what /usr/sbin/named | grep namednamed: named 8.1.1 Thu Jun 26 15:03:59 EAT 1997 rootns:/home/DNS/bind-8.1.1-REL/src/bin/named2.1.2 不同版本 BIND 之間功能的差別 ? V8.x 整套程式 , 重新改寫 /etc/named.boot (v4) - /etc/named.conf (

18、 v8) zone transfer ( named vs named-xfer ) no more fork for each AFXR jobs ( for v 8.1.X and later ) BIND 4.9.7/8.1.2 與先前版本的艰苦差異 新的功能 negative caching bind_notify, IPv6 support, RFC 1535 compliant, . 2.1.3 從何處获得 BIND 原始程式? BIND home at the ISC /bind.html /isc/bind/* NCTUCCCA &am

19、p; mirror sites ftpNCTUCCCA.edu.tw/packages/networking/bind/*2.2 BIND V8.x/4.9.x 程式的安裝 BIND 4.9.x compiling & installation $bind-src/README, OPTIONS $bind-src/conf/options.h check and/or update /etc/named.boot BIND 8.x compiling & instatllation $bind-src/INSTALL, README $bind-src/port/README

20、 check and/or update /etc/named.conf DNS syslogging /etc/syslog.conf /var/adm/messages3. DNS 設定範例與說明 BIND server options /etc/named.boot 設定範例 /etc/named.conf (V8.x) 自動轉換程式 named-bootconf.pl zone data files 設定範例 /etc/resolv.conf ( resolver) 設定範例 參見 .tw 上的範例3.1 DNS Server Options primary

21、/master vs. secondary/slave caching only server forwarders ( slave server) recursive vs. non-recursive3.1.2 DNS server list of “NCTU.edu.tw “ master/slave server 的差別 ? 如何分工 ? 目前 domain zone “NCTU.edu.tw 登記有 4 個 DNS servers (*) .tw / 140.113.250. (primary/master) .tw / 140.113.

22、1.1 (secondary/slave) .tw / (secondary/slave) .tw /46 (臨時添加) master/slave servers 最好分佈在不同的 sub-netsDNS Server options; type domain source file or host;-directory /var/named;cache . named.root;primary localhost Localhostprimary 0.0.127.IN-ADDR.ARPA Rev-1

23、27.0; 省略 primary NCTU.edu.tw Zone.NCTUsecondary ADM..tw Zone.ADMprimary CC..tw Zone.CC; 省略 .primary 113.140.IN-ADDR.ARPA R-140.113primary 1.113.140.. R-140.113.1secondary 2.113.140.. R- DNS Server Options- /etc/named.boot (v

24、4.x)DNS Server Options ( 續)- /etc/named.conf (新版; v8.x)options check-names master fail; check-names slave fail; / default warn directory /var/named; fake-iquery yes; / default warn forwarders 03; .175.55.244; ; zone . type hint; file named.root; ; / cache root.cachezone localhost type mast

25、er; file Localhost ; zone 0.0.127.IN-ADDR.ARPA type master; file Rev-127.0;zone HC.edu.tw type slave; file sec/zone-HC.edu.tw; masters 140.113.250.; ; ;zone 237.126.140.IN-ADDR.ARPA type slave; file sec/R-140.126.237; masters 140.113.250.; ; directory /var/named;cache . named.root; BIND 4.9.x &

26、latercheck-names primary fail ; default failcheck-names secondary fail ; default warn;check-names response fail ; default ignore; 省略省略 primary localhost Localhostprimary 0.0.127.IN-ADDR.ARPA Rev-127.0primary 0.IN-ADDR.ARPA Rev-0primary 255.IN-ADDR.ARPA Rev-255; 省略省略options fake-iquery; DNS Server op

27、tions3.2.1 Caching Only Server- /etc/named.boot 3.2.2 DNS Server Options (2) - /etc/named.boot directory /var/named;cache . named.root; 省略省略; 設定設定 DNS forwarders, 以轉送以轉送 DNS query ( 末端網路節點適用末端網路節點適用 );-forwarders; optionsforward-onlyxfernets2&255.255.

28、255.255;bogusns 3.2.3 DNS Server Options (3)- /etc/named.boot directory /var/named;cache . named.root;. 省略省略 options fake-iquery; optionsnon-recursion; options forwarder-only; optionsquery-log3.3 Domain Zone files 設定 Basic DNS Resource Record Types SOA, NS, A, PTR, CNAME, MX TXT, WKS, HI

29、NFO RP, AFSDB, AAAA ( IPv6) , LOC, SRV, . 3.3.1 Special Symbols on DNS database Special Symbols for defining the DNS database “, current origin “*, wildcard ( only for some of the types )“ . , root domain & domain separator “ ; , for comment lines “( ), grouping data which crossing a line - only

30、 work for SOA RR (now) “X, - escape character ; “ “DDD, octal number ; - “345; for forward/reverse Domain Zones.;- IN SOA ns.NCTU.edu.tw. .tw. ( 1997090200 ; Serial number 86400 ; Refresh - 1 days 1800 ; Retry 1728000 ; Expire - 20 days 259200 ) ; Minimum TTL - 3 days;- IN NS NCTU

31、.edu.tw. IN NS ns.NCTU.edu.tw. ; primary / master IN NS .tw.;localhosts.INA ; forward case; 1INPTRlocalhost.; reverse case 3.3.2 SOA ( Start Of Authority ) RR; forward domain zones (正解);-; 上下兩層 “NCTU.edu.tw & “CSIE.NCTU.edu.tw 的設定檔,; 都應該有對應的 Name Server 記錄項目 ( NS RR );-$ORIG

32、IN CSIE.NCTU.edu.tw. IN NS .tw. ; FQDN IN NS operator IN NS ccsun7 ; hostname; Glued R.tw. IN A 71 IN A 71operator IN A ccsun7 IN A 3.3.3 Domain Zone delegation (授權) - NS (Name Server) RR;上下兩層上下兩層 “113.140.in-addr.arp

33、a. & “23.113.140. 的的; 設定檔設定檔, 都應該有對應的都應該有對應的 Name Server 記錄項目記錄項目 ( NS RR ); domain zone “23.113.140. A$ORIGIN 113.140..23 IN NS cisserv.CIS..tw. IN NS cissol1.CIS..tw.; No Gluded Records; domain zone “23.113.140. B$ORIGIN23.113.140

34、.. IN NS .tw. IN NS .tw.NS RR (2) - reverse domain (反解)NS RR (3) - 錯誤示範* RFC 1034,1035,1912; case 1 - 恣意指定恣意指定 2nd NS RR ( 常犯錯誤常犯錯誤);-$Origin NCTU.edu.tw.err1INNSns-OK.NCTU.edu.tw.INNSNo-named-Host.NCTU.edu.tw. ; LameINNS.tw. ; 誤設誤設; case

35、 2 - NS 指到一個指到一個 alias ( CNAME ), intermittent error;-$Origin 200.113.140..err2INNSalias-ns.NCTU.edu.tw. ; 間些性間些性 errorINNSns-OK.NCTU.edu.tw.NS RR (4) - 錯誤示範 * RFC 1034,1035,1912; case 3 - NS 指到一個指到一個 IP address;-$Origin NCTU.edu.tw.err3IN NS ; 應為應為 fqdn/hostname; case 4 - NS

36、 指到一個不存在的機器指到一個不存在的機器;$O.err4INNSNon-existent.NCTU.edu.tw.INNSns-OK..tw.NS RR (5) - Lame Servers* RFC 1034,1035,1912; case 5 - 上一層有額外指定上一層有額外指定 2nd NS RR ( 常犯錯誤常犯錯誤); 但對應的但對應的 entry, 卻不在下一層中卻不在下一層中.;-$Origin NCTU.edu.tw.err5INNSns-OK.NCTU.edu.tw.INNSNo-Good-ns.NC

37、TU.edu.tw. ; 上一個上一個 NS entry ,下一層下一層domain 中中, 未定義未定義;$Originerr5.NCTU.edu.tw.INNSns-OK..tw.INNSns2-OK..tw.; Its Ok ! 雖然雖然, 上一層沒有對應的上一層沒有對應的 NS RR; 用途用途, inside firewall, .3.3.4 A (Address) RR; 一個一個 IP addr. , 但同時有多個但同時有多個 FQDN$Origin NCTU.edu.tw.INA ; .tw.ns1INA14

38、 ; .tw.;wwwINA; 一個一個 FQDN, 但有好幾個對應的但有好幾個對應的 IP addr.$OriginCSIE..tw.INA71; multi-homedINA71A RR - 錯誤示範 (1); zone file “NCTU.edu.tw;-$Origin NCTU.edu.tw. ( 往下授權往下授權 );CISINNSCisServ.CIS..tw. INNSCisSol1.CIS..tw.CisServ

39、.CISINA ; glued recordCisSol1.CISINA01;err-A.CISINA54 ; 無效的設定無效的設定; zone file “CIS..tw$OriginCIS..tw.CIS-gwINA54; OKA RR - 錯誤示範 (2)$Origin NCTU.edu.tw.INNS.tw ; INA; OK;INNS.tw.INA; invalid; 這行有

40、這行有 語意問題語意問題, .tw - ; It might induce some mail routing problem(s).INNSns.NCTU.edu.tw.nsINA.3.5 PTR (Pointer) RR ; zone file “113.140.$Origin 113.140..1 IN NS .tw. IN NS .tw. . 省略省略; 9.254INPTRCSIE-gw.nctu.ed

41、u.tw.;- 上下兩上下兩 file 分開分開 DNS & Sendmail;-$ORIGIN CC.NCTU.edu.tw.; mail exchangeIN MX 0 CC..tw. ; FQDNINMX0ccserv6 ; hostname; mail relayINMX20mx.NCTU.edu.tw.; mx wildcarding; must be used very carefully*INMX0.tw. ; Dis-couraged3.3.6 MX ( Mail eXchange) RR; Zone file for domain

42、 $Origin NCTU.edu.tw.newsIN MX 0 .tw. ; FQDN.; newsINA?; No such records; $Origin cc.NCTU.edu.tw.INMX0CC..tw.INAMX RR (2); zone file 1$Origin NCTU.edu.tw.;netnewsINCNAME .tw. ; fqdn; zone file 2$OriginEDU.tw.ftpINCNAMEnctuccca ; hostnam

43、e; zone file 3$OriginTWNIC.net.archieINCNAME.tw3.3.7 CNAME (Canonical NAME) RRCNAME RR- 常見錯誤實例 (1)$Origin NCTU.edu.tw.; case 1 - cname loopingcname-chain INCNAME .tw. ; case 2 - ns-cname chaining ( 不能用不能用 alias )err-ns INCNAMEns-OK.NCTU.edu.tw. ; FQDNerr6 INNSerr-ns.N

44、CTU.edu.tw. ; aliasCNAME RR- 常見錯誤實例 (2)$Origin NCTU.edu.tw.; case 3 - mx-cname chaining 連鎖連鎖 (不能用不能用 alias )err-mailINCNAME.tw. err-mx-zone INMX10err-mail.NCTU.edu.tw.; case 4 - cname-cname chaining ( 不宜不宜; 雖然現在可以用雖然現在可以用)alias1 INCNAME host1.NCTU.edu.tw. ; FQDNalias2 INCNAMEalias1.N

45、CTU.edu.tw. ; alias3.4 Resolver related Configuration- /etc/resolv.conf ; comment lines # another comment CNAME pointer MX - CNAME pointer Illegal char, DNS database 中不正確的字元 domain RR 忘了結尾的 . 點 4.2 DNS error logging messages Mar 7 08:00:21 ns1 named169: NCHU.edu.tw IN NS points to a CNAME (pds.nchu.

46、edu.tw) Mar 30 12:09:31 ns named3544: Lame server on catv.tw (in catv.tw?): .53 .tw: learnt (A=203.77.2., NS=0)Apr 4 08:45:40 ns named3544: ns_forw: query(FPGEDU.fpg.tw) forwarding loop (.tw:00) learnt (A= :NS=)Jul 21 21:56:32 alpha named4234:

47、host name secc_.tw (owner 2.201.140.) IN (primary) is invalid - rejectingJul 22 08:38:33 ns1 named28511: bad referral (127.140. ! 79.127.140.IN-ADDR.ARP (e.g., last output ) 5. 附錄Debugging 偵錯工具运用與介紹Where to Learn Mo

48、reChinese Big5 DNS Resource Directory 5.1 DNS Debugging Tools nslookup ( default built-in on most systems ) dig host ( zone transfer ) dnswalk, doc ( PERL scripts ) Misc utility programs $BIND-src/contrib/* DIG outputns1% dig .tw ns; DiG 2.2 .tw ns; res options: init recurs d

49、efnam dnsrch; got answer:; -HEADER IP addr. ) 4. 某 domain name, PTR RR 查詢 (正常; IP addr. - FQDN ) 5.某 domain name, CNAME RR 查詢 (正常; CNAME - FQDN/IP addr. ) nslookup 工具程式运用與介紹 (2) 6. 某 domain name, MX RR 查詢 (正常; MX - FQDN/IP addr. ) 7. 某 domain zone 的 SOA RR 的查詢 (正常) 8. 某 domain zone 的 NS RR 的查詢 (正常)

50、9. 對某 domain zone 進行 zone transfer (正常;debug) . 奇异的 nslookup output 本校的dns 主機是 sun os 4.1.3 ip 而我的主機是 solaris 2.5.1 ip /etc/resolv.conf 設定如下 domain .tw nameserver nameserver 而本人在sun sparc solaris 輸入nslookup, 均會顯示如下訊息# nslookup * Cant find s

51、erver name for address : Non. Default Server : .tw Address: . domain name的 A RR 查詢 (1)# nslookupDefault Server: ns.NCTU.edu.twAddress: 140.113.250. .tw. ; 內定 query type, FQDN - IP addr.Server: ns.NCTU.edu.twAddress: 140.113.250.Name: .t

52、w # exit . domain name, A RR 查詢 (2) # nslookupDefault Server: ns.NCTU.edu.twAddress: 140.113.250. .tw.Server: ns.NCTU.edu.twAddress: 140.113.250.Non-authoritative answer: # exit . domain name, PTR RR 查詢 (1) % nslookupDefault Server: ns.NCTU.edu.twAddress: 140.113.250. set type=ptr ; 設定 query

53、 type, PTR - FQDN 40.. ; 反解(倒著寫) reverse domain entryServer: ns.NCTU.edu.twAddress: .250.113.140. name = .tw250.113.140.IN-ADDR.ARPA nameserver = .tw250.113.140.IN-ADDR.ARPA nameserver = .tw250.113.140.IN-ADDR.ARPA nameserver

54、 = .tw internet address = .tw internet address = 140.113.250..tw internet address = % exit domain name, PTR RR 查詢 (2) - ( 幾乎除了 SunOS 4.x 以外)% nslookupDefault Server: ns.NCTU.edu.twAddress: 140.113.250. ; 自動自動 轉成轉成 5.25

55、0.113.140.. Server: ns.NCTU.edu.twAddress: .250.113.140. name = .tw250.113.140.IN-ADDR.ARPA nameserver = .tw250.113.140.IN-ADDR.ARPA nameserver = .tw250.113.140.IN-ADDR.ARPA nameserver = .tw internet address = 140

56、.113.1.1.tw internet address = 140.113.250..tw internet address = % exit . domain name, CNAME RR 查詢 (1)# nslookupDefault Server: ns.NCTU.edu.twAddress: 140.113.250. .tw ; 运用內定的运用內定的 query typeServer: ns.NCTU.edu.twAddress: 140.113.250.Name: w3-proxy.n

57、.tw ; w3-proyx 為為 Canonical name.Address: 30 ; alias - FQDN/IP addr.Aliases: .tw ; 發現本發現本 domain entry 為為 alias name. # exit. domain name, CNAME RR 查詢 (2)# nslookupDefault Server: ns.NCTU.edu.twAddress: 140.113.250. set type=any ; 第 2 種方法, query type 設成 ANY proxy.nc

58、.tw. ; 列出, 一切相關記錄 ( RR )Server: ns.NCTU.edu.twAddress: 140.113.250..tw canonical name = .tw nameserver = .tw nameserver = .tw nameserver = .tw internet address = .tw

59、internet address = 140.113.250..tw internet address = # exit% nslookup省略 set type=mx ; 設定 query type .tw. ; MX RR - FQDN/IP addr.Server: ns.NCTU.edu.twAddress: 140.113.250..tw preference = 0, mail exchanger = .tw preference = 0, mail exchanger = .tw preference = 5, mail exchanger = ns.NCTU..tw nameserver = ns.NCTU..tw nameserver = ns1.NCTU..tw nameserver = ns2.NCTU..tw inte