网域名称伺服系统DNS规划与建置ppt课件.ppt

《网域名称伺服系统DNS规划与建置ppt课件.ppt》由会员分享，可在线阅读，更多相关《网域名称伺服系统DNS规划与建置ppt课件.ppt（75页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、网域名称伺服系统DNS规划与建置ppt课件 Still waters run deep.流静水深流静水深,人静心深人静心深 Where there is life,there is hope。有生命必有希望。有生命必有希望 1999 TANet DNS Tutorial Course DNS 入門簡介入門簡介(p.4-18)DNS 建置與規劃建置與規劃 (p.19-25)DNS 設定範例與解說設定範例與解說(p.26-53)常見的常見的 DNS 規劃與設定問題規劃與設定問題(p.54-56)附錄附錄(p.57-75)20.從何處取得DNS 系統的相關資訊?DNS Resource Direct

2、oryhttp:/ OReilly DNS bible DNS and BIND 第第 3 版已出書版已出書,有介紹有介紹 BIND 8.xDNS related RFC(Request For Comments)RFC 1033,1034,1035,.,1912,.Newsgroups:comp.protocols.tcp-ip.domains(行政管理)comp.protocols.dns.*(技術)31.DNS 入門(1.0)什麼時候會用到 DNS 系統?往外連線時(out-going 連線)存取檢查,系統記錄(incoming 連線)(1.1)DNS 系統的做用定義網域名稱 提供網域名

3、稱查詢(1.2)DNS 實務操作及應用41.1.1 定義網域名稱網域授權網域授權(domain zone-NS RR)網域名稱網域名稱(domain name-A RR)telnet bbs.cis.nctu.edu.tw電子郵件交換電子郵件交換(mail exchange-MX RR)mail cschencc.nctu.edu.tw網址對應網址對應(pointer-PTR RR)140.113.1.1 -ns1.nctu.edu.tw常用別名常用別名(alias naming-CNAME RR)proxy.nctu.edu.tw -wproxy1.nctu.edu.tw其他功能其他功能5

4、網域名稱系統(Domain Name System)網域名稱系統,按英文常簡稱 DNS 系統.DNS 系統,概分成三個部份網域空間(Domain Name Space)網域名稱伺服系統(Domain Name Server)BIND/named,.網域名稱解譯程式(Domain Name Resolver)DNS client,agent,server6網域空間(Domain Name Space)分散式分散式 與 階層階層式 的組織架構tree-structure vs.DAG-structure地理區域地理區域 與 功能組織功能組織 的分類組合方式正解網域(forward domain z

5、ones):tw,edu.tw,.反解網域(reverse domain zones):113.140.in-addr.arpa,1.113.140.in-addr.arpa.,.7Fig.1 DNS 運作基本架構圖運作基本架構圖com,org,netcn,hk,.cn,hk,.twgov,milArpain-addrINTIP6root servers140org org gov,milgov,miledunctucomcomnetnet hc hchchshchswwwwww cishgshhgshnckuncku203203www.127127ccns1ccserv21136250 21

6、14114eeeebbs.nehsnehsccserv2.cc.nctu.edu.tw 140.113.6.2.mailmail192.NSAP.81.1.2 DNS-提供查詢DNS 相關程式client(用戶端),agent(代理查詢),server(伺服器)DNS 查詢查詢(query)iterative mode(往復式往復式;referral)recursive mode(遞迴式遞迴式)DNS server(伺服系統)primary/master(原始資料 server)vs secondary/slavecaching,forwarder(查詢轉送)DNS caching Time-

7、To-Live(TTL;資料有效期限)positive caching(正確資料)vs negative caching9DNS-提供網路查詢(續)資料項 round-robin mode(輪流)load sharing/balancinground-trip-time(RTT;來回傳送時間)reverse pointer query(IP addr.反解查詢)inverse query(廣義反向查詢)10 1.2 DNS 實務操作及應用Domain Zone 的註冊與授權forward/reverse domain zonesPrimary/master;Secondary/slave DN

8、S serverDNS 上容易有錯誤觀念與設定的地方電子郵件轉接轉送(Mail Relay)服務Anti-SPAM checking(access control)正反解 DNS 資料項,必須匹配DNS 查詢轉送(forwarders;參見 3.2.2)111.2.1 正解 Domain Zone 註冊問題nctu.edu.tw(到 MOECC 登記)csie.nctu.edu.tw(到 NCTU-CC 登記)ck.tp.edu.tw(臺北建國高中)直接由 MOECC 負責(edu.tw)thps.hc.edu.tw(新竹市載熙國小)hc.edu.tw 目前由新竹區域網路中心負責121.2.2

9、 反解 Domain Zone 註冊問題140.113(Class B;透過 MOECC 向 InterNIC 註冊)140.126.3(由 class B 分割;到區域網路中心註冊)140.126(Class B;透過 MOECC 向 InterNIC 註冊)192.83.166(個別 class C)透過 MOECC 到 InterNIC 註冊)203.68.12(class C;到 MOECC 註冊)203.68(整批 class C 到 APNIC 註冊)131.2.3 DNS server 的網址選定$OriginNCTU.edu.tw.INNSns.nctu.edu.tw.INNS

10、ns1.nctu.edu.tw.INNSns2.nctu.edu.tw.INNSns3.nctu.edu.tw.;TANet 骨幹骨幹;nsINA140.113.250.135ns1INA140.113.1.1 ;指定 x.y.z.1ns2INA140.113.6.2ns3INA163.28.64.246;高速專用道高速專用道14 1.2.4 容易有錯誤觀念與設定的地方$OriginNCTU.edu.tw.nctu.edu.tw.INNSns.nctu.edu.tw.;domain zone =dig ns.nctu.edu.tw www.edu.twnctu.edu.tw.7200 INA1

11、40.113.1.1;domain name =telnet nctu.edu.twnctu.edu.tw.INMX 0 ns1.nctu.edu.tw.;mail exchange =E-mail:cschennctu.edu.tw;-nctu.edu.tw.INNSnctu.edu.tw.15 1.2.5 Mail Relay 的相關設定DNS side:;e-mail 最終目的地最終目的地cc.nctu.edu.tw.INMX 10 ccserv6.cc.nctu.edu.tw.;mail relay=宜善加利用,可作為“備援與轉接備援與轉接”之用cc.nctu.edu.tw.INMX

12、20 mx.nctu.edu.tw.;高速專用道高速專用道(MOECC)cc.nctu.edu.tw.INMX 30 relay.edu.tw.Mail relay server side:轉接系統(relay access permission)借道權限借道權限,必須打開(sendmail.cf)=mx.nctu.edu.tw +relay.edu.tw161.2.6 Anti-SPAM checking (DNS entry 正反解必須匹配)domain name 驗證流程.reverse forward IP addr.A-domain name B-IP addr.C Fig.2 an

13、ti-SPAM checking 圖示圖示其中,IP addr.C(可能是一個 group),必須包含或等於 A 才算通過 DNS 查驗.17DNS 系統新設計的功能(部份已完成實作)New DNS RR(rfc 1183)RP,AFSDB,ISDN,X25,RT resolver implicit search problem(rfc 1535)LOC(rfc 1876)IPv6 (rfc 1886)AAAA(new record type),IP6.INT(new domain top)incremental zone transfer IXFR(rfc 1995)DNS notify(r

14、fc 1996)-BIND_NOTIFYSRV(rfc 2052)Secure ZoneDynamic update(IP/host)182.DNS Server Hosts 配置與規劃主機系統選擇(platform/OS)Unix,Windows NT,OS/2,.(現階段,仍以 Unix 為佳)硬體設備需求 主要 memory size,原則是 named 將 90%以上的 dns query 放在 RAM 中 caching 起來,不需用到 swap.系統軟體(BIND/named,.)網路位址(多重 servers)primary/secondary server host 分離,放在

15、不同的網路區段,當然如果能放在不同單位,通常更好.19 2.1 關於 BIND 的許多資訊目前最新版本 8.2-P1(1999.03.16)4.9.7(舊式舊式);BIND 8.x(新式新式)如何得知系統上的 named 版本?多數 Unix 廠家目前支援的版本 4.8.3有沒有 Windows 下的版本?不同版本 BIND 之間功能差別?20 BIND(Berkeley Internet Name Domain)Standalone Daemon(named)UDP/TCP port 53UDP query/response(512 bytes)+zone transferDNS messa

16、ge formatQuestion/Answer sectionAuthority sectionAdditional sectionexample-dig output212.1.1 如何得知系統上的 named 版本?通常可以這麼作.1)確定 named program 的 pathname.e.g./etc/named,/usr/sbin/in.named,.作法:使用 which,find,.-2)用 what 配合 grep 找出相關字串%what/usr/sbin/named|grep namednamed:named 8.1.1 Thu Jun 26 15:03:59 EAT 1

17、997 rootns:/home/DNS/bind-8.1.1-REL/src/bin/named222.1.2 不同版本 BIND 之間功能的差別?V8.x 整套程式,重新改寫/etc/named.boot (v4)-/etc/named.conf(v8)zone transfer(named vs named-xfer)no more fork for each AFXR jobs(for v 8.1.X and later)BIND 4.9.7/8.1.2 與先前版本的重大差異新的功能negative cachingbind_notify,IPv6 support,RFC 1535 co

18、mpliant,.23 2.1.3 從何處取得 BIND 原始程式?BIND home at the ISChttp:/www.isc.org/bind.htmlftp:/ftp.isc.org/isc/bind/*NCTUCCCA&mirror sitesftp:/NCTUCCCA.edu.tw/packages/networking/bind/*242.2 BIND V8.x/4.9.x 程式的安裝 BIND 4.9.x compiling&installation$bind-src/README,OPTIONS$bind-src/conf/options.h check and/or u

19、pdate/etc/named.boot BIND 8.x compiling&instatllation$bind-src/INSTALL,README$bind-src/port/READMEcheck and/or update/etc/named.conf DNS syslogging/etc/syslog.conf/var/adm/messages253.DNS 設定範例與說明BIND server options/etc/named.boot 設定範例/etc/named.conf (V8.x)自動轉換程式 named-bootconf.plzone data files 設定範例

20、/etc/resolv.conf(resolver)設定範例參見 http:/dnsrd.nctu.edu.tw 上的範例263.1 DNS Server Optionsprimary/master vs.secondary/slavecaching only serverforwarders(slave server)recursive vs.non-recursive273.1.2 DNS server list of “NCTU.edu.tw“master/slave server 的差別?如何分工?目前 domain zone“NCTU.edu.tw”登記有 4 個 DNS serve

21、rs(*)ns.nctu.edu.tw/140.113.250.135(primary/master)ns1.nctu.edu.tw/140.113.1.1(secondary/slave)ns2.nctu.edu.tw/140.113.6.2(secondary/slave)ns3.nctu.edu.tw/163.28.64.246(臨時增加臨時增加)master/slave servers 最好分佈在不同的 sub-nets28DNS Server options;type domain source file or host;-directory /var/named;cache .na

22、med.root;primary localhost Localhostprimary 0.0.127.IN-ADDR.ARPA Rev-127.0;省略 primary NCTU.edu.tw Zone.NCTUsecondary ADM.nctu.edu.tw 140.113.2.1 Zone.ADMprimary CC.nctu.edu.tw Zone.CC;省略.primary 113.140.IN-ADDR.ARPA R-140.113primary 1.113.140.in-addr.arpa.R-140.113.1secondary 2.113.140.in-addr.arpa.

23、140.113.2.1 R-140.126.23.2 DNS Server Options-/etc/named.boot(v4.x)29DNS Server Options(續)-/etc/named.conf(新版;v8.x)options check-names master fail;check-names slave fail;/default warn directory/var/named;fake-iquery yes;/default warn forwarders 163.28.1.103;139.175.55.244;zone.type hint;file named.r

24、oot;/cache root.cachezone localhost type master;file Localhost”;zone 0.0.127.IN-ADDR.ARPA type master;file Rev-127.0;zone HC.edu.tw type slave;file sec/zone-HC.edu.tw;masters 140.113.250.135;zone 237.126.140.IN-ADDR.ARPA type slave;file sec/R-140.126.237;masters 140.113.250.135;30directory /var/name

25、d;cache .named.root;BIND 4.9.x&latercheck-names primary fail;default failcheck-names secondary fail;default warn;check-names response fail;default ignore;省略 primary localhost Localhostprimary 0.0.127.IN-ADDR.ARPA Rev-127.0primary 0.IN-ADDR.ARPA Rev-0primary 255.IN-ADDR.ARPA Rev-255;省略options fake-iq

26、uery;DNS Server options3.2.1 Caching Only Server-/etc/named.boot 313.2.2 DNS Server Options(2)-/etc/named.boot directory /var/named;cache .named.root;省略;設定 DNS forwarders,以轉送 DNS query(末端網路節點適用);-forwarders140.113.1.1163.28.1.2;optionsforward-onlyxfernets140.113.0.0140.126.237.12&255.255.255.255;bog

27、usns 203.74.66.1 323.2.3 DNS Server Options(3)-/etc/named.boot directory /var/named;cache .named.root;.省略省略 options fake-iquery;optionsnon-recursion;options forwarder-only;optionsquery-log333.3 Domain Zone files 設定Basic DNS Resource Record TypesSOA,NS,A,PTR,CNAME,MXTXT,WKS,HINFORP,AFSDB,AAAA(IPv6),L

28、OC,SRV,.34 3.3.1 Special Symbols on DNS databaseSpecial Symbols for defining the DNS database“”,current origin“*,”wildcard(only for some of the types)“.”,root domain&domain separator “;”,for comment lines“()”,grouping data which crossing a line -only work for SOA RR(now)“X”,-escape character;“”“DDD”

29、,octal number;-“345”35;for forward/reverse Domain Zones.;-IN SOA ns.NCTU.edu.tw.hostmaster.nctu.edu.tw.(1997090200 ;Serial number 86400 ;Refresh-1 days 1800 ;Retry 1728000 ;Expire-20 days 259200 );Minimum TTL-3 days;-IN NS NCTU.edu.tw.IN NS ns.NCTU.edu.tw.;primary/master IN NS ns2.nctu.edu.tw.;local

30、hosts.INA127.0.0.1;forward case;1INPTRlocalhost.;reverse case 3.3.2 SOA(Start Of Authority)RR36;forward domain zones(正解);-;上下兩層 “NCTU.edu.tw”&“CSIE.NCTU.edu.tw”的設定檔,;都應該有對應的 Name Server 記錄項目(NS RR);-$ORIGIN CSIE.NCTU.edu.tw.IN NS csie.nctu.edu.tw.;FQDN IN NS operator IN NS ccsun7 ;hostname;Glued Rec

31、ordscsie.nctu.edu.tw.IN A 140.113.17.171 IN A 140.113.209.171operator IN A 140.113.209.1ccsun7 IN A 140.113.17.6 3.3.3 Domain Zone delegation(授權)-NS(Name Server)RR37;上下兩層 “113.140.in-addr.arpa.”&“23.113.140.in-addr.arpa”的;設定檔,都應該有對應的 Name Server 記錄項目(NS RR);domain zone“23.113.140.in-addr.arpa”A$ORIG

32、IN 113.140.in-addr.arpa.23 IN NS cisserv.CIS.nctu.edu.tw.IN NS cissol1.CIS.nctu.edu.tw.;No Gluded Records;domain zone“23.113.140.in-addr.arpa”B$ORIGIN23.113.140.in-addr.arpa.IN NS cisserv.cis.nctu.edu.tw.IN NS cissol1.cis.nctu.edu.tw.NS RR(2)-reverse domain(反解)38NS RR(3)-錯誤示範*RFC 1034,1035,1912;case

33、 1-任意指定 2nd NS RR(常犯錯誤);-$Origin NCTU.edu.tw.err1INNSns-OK.NCTU.edu.tw.INNSNo-named-Host.NCTU.edu.tw.;LameINNSmoevax.edu.tw.;誤設誤設;case 2-NS 指到一個 alias(CNAME),intermittent error;-$Origin 200.113.140.in-addr.arpa.err2INNSalias-ns.NCTU.edu.tw.;間些性間些性 errorINNSns-OK.NCTU.edu.tw.39NS RR(4)-錯誤示範 *RFC 1034

34、,1035,1912;case 3-NS 指到一個 IP address;-$Origin NCTU.edu.tw.err3IN NS 140.113.1.1 ;應為 fqdn/hostname;case 4-NS 指到一個不存在的機器;$Origin200.113.140.in-addr.arpa.err4INNSNon-existent.NCTU.edu.tw.INNSns-OK.nctu.edu.tw.40NS RR (5)-Lame Servers*RFC 1034,1035,1912;case 5-上一層有額外指定 2nd NS RR(常犯錯誤);但對應的 entry,卻不在下一層中

35、.;-$Origin NCTU.edu.tw.err5INNSns-OK.NCTU.edu.tw.INNSNo-Good-ns.NCTU.edu.tw.;上一個 NS entry,下一層domain 中,未定義;$Originerr5.NCTU.edu.tw.INNSns-OK.nctu.edu.tw.INNSns2-OK.nctu.edu.tw.;Its Ok!雖然,上一層沒有對應的 NS RR;用途,inside firewall,.413.3.4 A(Address)RR;一個一個 IP addr.,但同時有多個但同時有多個 FQDN$Origin NCTU.edu.tw.INA140.

36、113.1.1 ;nctu.edu.tw.ns1INA140.113.1.1 ;ns1.nctu.edu.tw.;wwwINA140.113.250.5;一個一個 FQDN,但有好幾個對應的但有好幾個對應的 IP addr.$OriginCSIE.nctu.edu.tw.INA140.113.17.171;multi-homedINA140.113.209.17142A RR-錯誤示範(1);zone file“NCTU.edu.tw”;-$Origin NCTU.edu.tw.(往下授權);CISINNSCisServ.CIS.nctu.edu.tw.INNSCisSol1.CIS.nctu

37、.edu.tw.CisServ.CISINA140.113.23.1 ;glued recordCisSol1.CISINA140.113.23.101;err-A.CISINA140.113.23.254 ;無效的設定無效的設定;zone file“CIS.nctu.edu.tw”$OriginCIS.nctu.edu.tw.CIS-gwINA140.113.23.254;OK43A RR-錯誤示範(2)$Origin NCTU.edu.tw.INNSnctu.edu.tw ;INA140.113.1.1;OK;INNSns2.nctu.edu.tw.INA140.113.6.2;inval

38、id;這行有 語意問題,nctu.edu.tw-140.113.6.2;It might induce some mail routing problem(s).INNSns.NCTU.edu.tw.nsINA140.113.250.135443.3.5 PTR(Pointer)RR;zone file“113.140.in-addr.arpa”$Origin 113.140.in-addr.arpa.1 IN NS ns.nctu.edu.tw.IN NS ns2.nctu.edu.tw.省略省略;140.113.254.99.254INPTRCSIE-gw.nctu.edu.tw.;-上下

39、兩上下兩 file 分開分開 DNS&Sendmail;-$ORIGIN CC.NCTU.edu.tw.;mail exchangeIN MX 0 CC.nctu.edu.tw.;FQDNINMX0ccserv6 ;hostname;mail relayINMX20mx.NCTU.edu.tw.;mx wildcarding;must be used very carefully*INMX0cc.nctu.edu.tw.;Dis-couraged3.3.6 MX(Mail eXchange)RR46;Zone file for domain$Origin NCTU.edu.tw.newsIN

40、MX 0 news.cc.nctu.edu.tw.;FQDN.;newsINA?;No such records;$Origin cc.NCTU.edu.tw.INMX0CC.nctu.edu.tw.cc.nctu.edu.tw.INA140.113.6.2MX RR(2)47;zone file 1$Origin NCTU.edu.tw.;netnewsINCNAME news2.nctu.edu.tw.;fqdn;zone file 2$OriginEDU.tw.ftpINCNAMEnctuccca ;hostname;zone file 3$OriginTWNIC.net.archieI

41、NCNAMEnctuccca.edu.tw3.3.7 CNAME(Canonical NAME)RR48CNAME RR-常見錯誤實例(1)$Origin NCTU.edu.tw.;case 1-cname loopingcname-chain INCNAME cname-chain.nctu.edu.tw.;case 2-ns-cname chaining(不能用 alias)err-ns INCNAMEns-OK.NCTU.edu.tw.;FQDNerr6 INNSerr-ns.NCTU.edu.tw.;alias49CNAME RR-常見錯誤實例(2)$Origin NCTU.edu.t

42、w.;case 3-mx-cname chaining 連鎖(不能用 alias)err-mailINCNAMEmx-host.nctu.edu.tw.err-mx-zoneINMX10err-mail.NCTU.edu.tw.;case 4-cname-cname chaining(不宜;雖然現在可以用)alias1 INCNAME host1.NCTU.edu.tw.;FQDNalias2 INCNAMEalias1.NCTU.edu.tw.;alias503.4 Resolver related Configuration-/etc/resolv.conf ;comment lines#

43、another comment CNAME pointerMX-CNAME pointerIllegal char,DNS database 中不正確的字元 domain RR 忘了結尾的.點 554.2 DNS error logging messages Mar 7 08:00:21 ns1 named169:NCHU.edu.tw IN NS points to a CNAME(pds.nchu.edu.tw)Mar 30 12:09:31 ns named3544:Lame server on .tw(in catv.COM.tw?):203.67.199.1.53 .tw:learn

44、t(A=203.77.2.139,NS=140.92.1.50)Apr 4 08:45:40 ns named3544:ns_forw:query(FPGEDU.tw)forwarding loop(.tw:203.67.236.100)learnt(A=140.111.1.2:NS=140.111.1.2)Jul 21 21:56:32 alpha named4234:host name secc_fs3.secc.fju.edu.tw(owner 2.201.136.140.in-addr.arpa)IN(primary)is invalid-rejectingJul 22 08:38:3

45、3 ns1 named28511:bad referral(127.140.in-addr.arpa!79.127.140.IN-ADDR.ARPcaetjy.eng.tku.edu.tw.142.13.163.in-addr.arpa (e.g.,last output)56 5.附錄Debugging 偵錯工具使用與介紹Where to Learn MoreChinese Big5 DNS Resource Directory57 5.1 DNS Debugging Toolsnslookup(default built-in on most systems)dighost(zone tr

46、ansfer)dnswalk,doc(PERL scripts)Misc utility programs$BIND-src/contrib/*http:/ DIG outputns1%dig cis.nctu.edu.tw ns;DiG 2.2 cis.nctu.edu.tw ns;res options:init recurs defnam dnsrch;got answer:;-HEADER IP addr.)4.某 domain name,PTR RR 查詢 (正常;IP addr.-FQDN)5.某 domain name,CNAME RR 查詢 (正常;CNAME-FQDN/IP

47、addr.)60nslookup 工具程式使用與介紹(2)6.某 domain name,MX RR 查詢(正常;MX-FQDN/IP addr.)7.某 domain zone 的 SOA RR 的查詢(正常)8.某 domain zone 的 NS RR 的查詢(正常)9.對某 domain zone 進行 zone transfer(正常;debug)61.奇怪的 nslookup output 本校的dns 主機是 sun os 4.1.3 ip 203.68.38.1 而我的主機是 solaris 2.5.1 ip 203.68.38.2 /etc/resolv.conf 設定如下

48、domain tlhc.ylc.edu.tw nameserver 203.68.38.1 nameserver 140.111.1.2 而本人在sun sparc solaris 輸入nslookup,均會顯示如下訊息#nslookup*Cant find server name for address 203.68.38.1:Non.Default Server:moevax.edu.tw Address:140.111.1.262 .domain name的 A RR 查詢 (1)#nslookupDefault Server:ns.NCTU.edu.twAddress:140.113.

49、250.135 netnews.nctu.edu.tw.;內定內定 query type,FQDN-IP addr.Server:ns.NCTU.edu.twAddress:140.113.250.135Name:news2.nctu.edu.tw#exit63 .domain name,A RR 查詢(2)#nslookupDefault Server:ns.NCTU.edu.twAddress:140.113.250.135 news.edu.tw.Server:ns.NCTU.edu.twAddress:140.113.250.135Non-authoritative answer:#e

50、xit64 .domain name,PTR RR 查詢 (1)%nslookupDefault Server:ns.NCTU.edu.twAddress:140.113.250.135 set type=ptr ;設定 query type,PTR-FQDN 5.250.113.140.in-addr.arpa.;反解(倒著寫)reverse domain entryServer:ns.NCTU.edu.twAddress:140.113.250.1355.250.113.140.in-addr.arpa name=www.nctu.edu.tw250.113.140.IN-ADDR.ARP