10.7. Servidors de noms de domini (DNS)

The Domain Name Service (DNS) is a fundamental component of the Internet: it maps host names to IP addresses (and vice-versa), which allows the use of www.debian.org instead of 130.89.148.77 or 2001:67c:2564:a119::77.

Els registres DNS s'organitzen en zones; cada zona coincideix o bé amb un domini (o un subdomini) o amb un interval d'adreces IP (ja que les adreces IP generalment s'assignen en intervals consecutius). Un servidor primari és autoritatiu en el contingut d'una zona; els servidors secundaris, normalment allotjats en màquines separades, proporcionen còpies regularment refrescades de la zona primària.

Cada zona pot contenir registres de diversos tipus («Resource Records» o “registres de recursos”), aquests són alguns dels més comuns:

A (address record): IPv4 address. This is the most common form to point a domain to an IPv4 address.
CNAME (canonical name record): alias
MX (mail exchange): an email server. This information is used by other email servers to find where to send email addressed to a given address. Each MX record has a priority. The highest-priority server (with the lowest number) is tried first (see sidebar TORNAR A LES BASES SMTP); other servers are contacted in order of decreasing priority if the first one does not reply.
PTR (pointer): mapping of an IP address to a name. Such a record is stored in a “reverse DNS” zone named after the IP address range. For example, 1.168.192.in-addr.arpa is the zone containing the reverse mapping for all addresses in the 192.168.1.0/24 range.
AAAA (IPv6 address record): IPv6 address.
NS (name server): maps a name to a name server. Each domain must have at least one NS record. These records point at a DNS server that can answer queries concerning this domain; they usually point at the primary and secondary servers for the domain. These records also allow DNS delegation; for instance, the falcot.com zone can include an NS record for internal.falcot.com, which means that the internal.falcot.com zone is handled by another server. Of course, this server must declare an internal.falcot.com zone.

10.7.1. Programari DNS

The reference name server, Bind, was developed and is maintained by ISC (the Internet Software Consortium). It is provided in Debian by the bind9 package. Version 9 brings two major changes compared to previous versions. First, the DNS server can now run under an unprivileged user, so that a security vulnerability in the server does not grant root privileges to the attacker (as was seen repeatedly with versions 8.x).

A més, Bind dona suport a l'estàndard DNSSEC per signar (i per tant autenticar) registres de DNS, fet que permet bloquejar qualsevol espoli d'aquestes dades en atacs de tipus «man-in-the-middle».

10.7.2. Configurant bind

Els arxius de configuració de bind, independentment de la versió, tenen la mateixa estructura.

Els administradors de Falcot han creat una zona primària falcot.com per emmagatzemar informació relacionada amb aquest domini, i una zona 168.192.in-addr.arpa per a l'assignació inversa d'adreces IP a les xarxes locals.

COMPTE Noms de zones inverses

Les zones inverses tenen un nom particular. La zona que cobreix la xarxa 192.168.0.0/16 ha de ser anomenada 168.192.in-addr.arpa: els components d'adreça IP s'inverteixen, i se'ls afegeix el sufix in-addr.arpa.

En xarxes IPv6, el sufix és ip6.arpa i els components d'adreça IP que s'inverteixen són cada caràcter en la representació hexadecimal completa de l'adreça IP. Així, la xarxa 2001:0bc8:31a0::/48 utilitzaria una zona anomenada 0.a.1.3.8.c.b.0.1.0.0.2.ip6.arpa.

Els següents extractes de configuració, extrets dels arxius de Falcot, poden servir com a punts de partida per configurar un servidor DNS:

Exemple 10.12. Extracte de /etc/bind/named.conf.local

zone "falcot.com" {
        type master;
        file "/etc/bind/db.falcot.com";
        allow-query { any; };
        allow-transfer {
                195.20.105.149/32 ; // ns0.xname.org
                193.23.158.13/32 ; // ns1.xname.org
        };
};

zone "internal.falcot.com" {
        type master;
        file "/etc/bind/db.internal.falcot.com";
        allow-query { 192.168.0.0/16; };
};

zone "168.192.in-addr.arpa" {
        type master;
        file "/etc/bind/db.192.168";
        allow-query { 192.168.0.0/16; };
};

Exemple 10.13. Extracte de /etc/bind/db.falcot.com

; Zona falcot.com 
; admin.falcot.com. => contacte per a la zona: admin@falcot.com
$TTL    604800
@       IN      SOA     falcot.com. admin.falcot.com. (
                        20040121        ; Sèrie
                         604800         ; Refrescar
                          86400         ; Reintentar
                        2419200         ; Expirar
                         604800 )       ; TTL per a la caché negativa
;
; El @ fa referència al nom de la zona ("falcot.com" aquí)
; o a $ORIGIN si la directiva ha estat usada
;
@       IN      NS      ns
@       IN      NS      ns0.xname.org.

internal IN      NS      192.168.0.2

@       IN      A       212.94.201.10
@       IN      MX      5 mail
@       IN      MX      10 mail2

ns      IN      A       212.94.201.10
mail    IN      A       212.94.201.10
mail2   IN      A       212.94.201.11
www     IN      A       212.94.201.11

dns     IN      CNAME   ns

Exemple 10.14. Extracte de /etc/bind/db.192.168

; Zona inversa per 192.168.0.0/16
; admin.falcot.com. => contacte de zona: admin@falcot.com
$TTL    604800
@       IN      SOA     ns.internal.falcot.com. admin.falcot.com. (
                        20040121        ; Serial
                         604800         ; Refresh
                          86400         ; Retry
                        2419200         ; Expire
                         604800 )       ; Negative Cache TTL

        IN      NS      ns.internal.falcot.com.

; 192.168.0.1 -> arrakis
1.0     IN      PTR     arrakis.internal.falcot.com.
; 192.168.0.2 -> neptune
2.0     IN      PTR     neptune.internal.falcot.com.

; 192.168.3.1 -> pau
1.3     IN      PTR     pau.internal.falcot.com.