DNS Catalog Zones - ISC - ISC · 2021. 3. 22. · Historia 1983 - RFC882, RFC883 - pierwsze...

DNS Catalog Zonesłatwe tworzenie i synchronizacja serwowanych stref

Witold Kręcicki

Internet Systems Consortium

23 lutego 2016

Witold Kręcicki DNS Catalog Zones

Internet Systems Consortium

Internet SystemsConsortium

SoftwareEngineering

BIND9

ISC-DHCP

Kea

Operations

F-rootSNS-PB

Hosted@ISC Support Subscriptionversion

ASN24/7

support


Problem?


Historia

1983 - RFC882, RFC883 - pierwsze podejście, już z XFR!

1986 - RFC1034, RFC1035 - DNS jaki mamy dziś

2010 - RFC5963 - oczyszczenie AXFR

w 1986 roku domen było kilkaset, dodanie nowej było’wydarzeniem’, nikt nie potrzebował automatyzacji

zone catalog - dziura...


Co mamy teraz

Generowanie na podstawie bazy danych

SCP (jak XFR u DJB)

’supermaster’ w PowerDNS - notify tworzy domenę, nie możnausunąć

skrypty, hacki, śrubokręty

brak rozwiązania systemowego

brak interoperability

out-of-band


Czego potrzebują użytkownicy?

90% definicji stref to:

zone ” f o o . com” { m a s t e r s ” 1 . 2 . 3 . 4 ” ; } ;zone ” bar . com” { m a s t e r s ” 1 . 2 . 3 . 4 ” ; } ;zone ” baz . com” { m a s t e r s ” 1 . 2 . 3 . 4 ” ; } ;

Z pozostałych 10% - 90% to:

zone ” l o r . com” { m a s t e r s ” 5 . 6 . 7 . 8 ” ; } ;zone ” emi . com” { m a s t e r s ” 9 . 1 0 . 1 1 . 1 2 ” ; } ;zone ” psu . com” { m a s t e r s ” 1 3 . 1 4 . 1 5 . 1 6 ” ; } ;

Czasami zdarza się allow-query, allow-transfer


Zone catalog zone

Pierwsze podejście - Paul Vixie - Metazones (2005)

Wbudowane w serwer

Ustandaryzowane w ramach IETF - draft w DNSOP

Docelowo obsługiwane przez różne implementacje


Rozwiązanie!


Najprostsza strefa

c a t z . i s c . o rg . IN SOA . . 2016022901 900 600 86400 1c a t z . i s c . o rg . IN NS master . i s c . o rg .c a t z . i s c . o rg . IN NS s l a v e . i s c . o rg .v e r s i o n . c a t z . i s c . o rg . IN TXT ”1”

m a s t e r s . c a t z . i s c . o rg . IN A 1 4 9 . 2 0 . 6 4 . 3m a s t e r s . c a t z . i s c . o rg . IN AAAA 2 0 0 1 : 5 0 0 : 2 c : : 2 5 4

5 ce8b9 . . . c9 . z o n e s . c a t z . i s c . o rg . IN PTR mojadome . na

f4 7b e 8 . . . 1 6 . z o n e s . c a t z . i s c . o rg . IN PTR drugadome . nam a s t e r s . f4 7b e8 . . . 1 6 . c a t z . i s c . o rg . IN A 1 9 9 . 2 5 4 . 6 3 . 2 5 4

4 f 1 b e 1 . . . 6 7 . c a t z . i s c . o rg . IN PTR t r z e c i a d o m e . naa l l o w−q u e r y . 4 f 1 b e 1 . . . 6 7 . c a t z . i s c . o rg . IN APL 1 : 1 0 . 0 . 0 . 0 / 8 ! 1 : 1 0 . 1 0 . 0 . 0 / 1 6m a s t e r s . 4 f 1 b e 1 . . . 6 7 . c a t z . i s c . o rg . IN MX 0 mojmaster . s e r v e r s . c a t z . i s c . o rg .

mojmaster . s e r v e r s . c a t z . i s c . o rg . IN A 1 9 9 . 6 . 0 . 3 0mojmaster . s e r v e r s . c a t z . i s c . o rg . IN TXT ” t s i g k e y ”


Konfiguracja

master.conf

o p t i o n s {l i s t e n−on {

1 0 . 5 3 . 0 . 1 ;} ;a l l o w−new−z o n e s y e s ;

} ;

zone ” c a t z . i s c . o rg ” {t y p e master ;f i l e ” c a t z . i s c . o rg . db ” ;a l l o w−t r a n s f e r {

1 0 . 5 3 . 0 . 2 ;} ;

} ;

slave.conf

o p t i o n s {l i s t e n−on {

1 0 . 5 3 . 0 . 2 ;} ;a l l o w−new−z o n e s y e s ;c a t a l o g−z o n e s {

zone ” c a t z . i s c . o rg ” ;} ;

} ;

zone ” c a t z . i s c . o rg ” {t y p e s l a v e ;m a s t e r s {

1 0 . 5 3 . 0 . 1 ;} ;

} ;


Sposób użycia

rndc addzone:

$ rndc addzone dome.na { type master; file ”domena.db”; allow-transfer { 10.53.0.2; }; }

nsupdate:

$ cat << EOF |nsupdateserver 10.53.0.1update add 345f0ef372cb4f8fa1df416e5edc4b6be7c162b7.catz.isc.org. 3600 IN PTR dome.nasendEOF


Finalnie

Wykorzystujemy istniejącą infrastrukturę

Wszystko jest przesyłane po DNS

Brak haków, zewnętrznych skryptów

Docelowo - RFC, wspierane przez różne implementacje


[email protected]


DNS Catalog Zones - ISC - ISC · 2021. 3. 22. · Historia 1983 - RFC882, RFC883 - pierwsze...

Documents

Transcript of DNS Catalog Zones - ISC - ISC · 2021. 3. 22. · Historia 1983 - RFC882, RFC883 - pierwsze...