djbdns İsmail YENİGÜL EnderUNIX Kurucu Çekirdek Üyesi -Eskişehir Osman Gazi Üniversitesi 22 Nisan 2005

Transkript

1 djbdns İsmail YENİGÜL EnderUNIX Kurucu Çekirdek Üyesi -Eskişehir Osman Gazi Üniversitesi 22 Nisan 2005

2 Ajanda DNS Nedir? DNS Mimarisi dnscache tinydns Bind ve djbdns Karşılaştırması

3 DNS (Domain Name System) Kolay anlaşılabilir ve kullanılabilir makine ve alan isimleri ile makine IP adresleri arasında çift taraflı dönüşüm sağlar. Hiyerarşik yapıdan oluşan, dağıtık veritabanları kullanılarak çalışır. Genel olarak UDP protokolü üzerinde hizmet verir. DNS hizmetlerini 53 numaralı TCP- UDP portları üzerinden verir.

4 DNS Protokolü

5 Internet DNS Yönetim Hiyerarşisi Root Domain üst seviyede olan.com,.net,.org,.tr gibi domain isimlerini barındırır. Root Domain yönetimi INTERNIC tarafından yapılır..

6 DNS Sorguları

7 djbdns Nedir? Djbdns tüm DNS işlemleri için gerekli araçlarını içeren bir yazılımdır. Qmail'in yazarı Daniel.J. Bernstein tarafından yazılmıştır. En önemli yazılma sebebi: güvenlik

8 Kimler Kullanıyor? Lycos pobox.com directnic MyDomain/NamesDirect Dotster Namezero Netfirms EnderUNIX.org ;) Ve Siz?

9 Djbdns Bileşenleri enleri tinydns: Yetkili DNS sunucusu dnscache: caching DNS sunucusu walldns:ters(reverse) IP kayıtları için rasgele isim üretir. rbldns:ip adresleri tuttan sunucu (RBL gibi) DNS komutları: dnsq,dnsip,dnsname...

10 Niçin in djbdns? Basit, Güvenilir Güvenli: Güvenli açığı bulana $500 vaad ediliyor.( Yüksek performanslı dnsache, tinydns,walldns ve rbldns ön tanımlı olarak non-root uid ve chroot olarak çalışır. Tüm kodlar güvenlik ön planda tutularak yazılmıştır.

11 Niçin in djbdns? devamı- Ayrıştırması kolay yapılandırma dosyası kullanır. Djbdns de 7000 (yönerge), bind9 da (yüz bin) talimat (instructions) var. Dah az kod! devel/bind-9.3.1# rm fr contrib devel/bind-9.3.1# find. -name "*.[c h]" xargs wc -l $ total devel/djbdns-1.05# find. -name "*.[c h]" xargs wc -l $ total devel/bind-9.3.1# find. -name "*.[c h]" xargs du -ch $1 2.3M total devel/djbdns-1.05# find. -name "*.[c h]" xargs du -ch $1 940K total

12 Niçin in djbdns? devamı- Daha Güvenli!!! devel/bind-9.3.1# more CHANGES released [bug] 'named-checkconf -z'... devel/bind # devel/bind-9.3.1# grep "\[bug\]" CHANGES more [bug] 'named-checkconf -z' triggered an INSIST. [RT #13599] [bug] zone.c:notify_zone() contained a race condition, devel/bind-9.3# devel/bind # grep "\[bug\]" CHANGES wc l 939 devel/bind #

13 dnscache/tinydns Güvenlik sebebiyle yetkili dns sunucu ile (tinydns), caching dns sunucusu (dnscache) bir birinden ayrılmıştır. The BIND company (which has always separated its own f.root-servers.net server from its caches) issued a statement in saying the same thing: Although BIND can provide both functions (authoritative and nonauthoritative) in single instance, ISC recommends always separating these two functions. In other words, you should run one server for your authoritative zones, and another that caches non-authoritative data. Bu yüzden dnscache ve tinydns aynı IP üzerinden çalışmaz.

14 Djbdns kurulumu Gereksinimler: *daemontools *ucspi-tcp # wget # gunzip djbdns-1.05.tar.gz # tar -xf djbdns-1.05.tar # cd djbdns-1.05 # make # make setup check

15 dnscache yapıland landırması Kullanımı: # dnscache-conf acct logacct Dizin ip # dnscache-conf dnscache dnslog /etc/dnscache # ln -s /etc/dnscache /service # sleep 5 # svstat /service/dnscache # touch /etc/dnscache/root/ip/192 /etc/resolv.conf nameserver # dnsip

16 dnscache Bind chroot olarak belirtilen kullanıcı adı ve grup haklarıyla çalışır. Belirtilen boyutta cache tutar.(ön tanımlı 1MB) Cache dolduğu zaman eski kayıtları cache den kaldırır. Bu sayede göçmeden sürekli çalışır. Belirli alan adlarına gelen istekleri belirli DNS sunuculara gönderebilir. Ön tanımlı olarak chroot çalışmaz. Bind 9.2 de maxcache-size özelliği geldi. (Ön tanımlı olarak sınırsız!) According to the BIND company, BIND 9 stays within a memory resource limit without crashing. Unfortunately, when the cache fills up, BIND 9 discards new cache entries. Performance drops dramatically. The server begins failing under moderate loads.

17 tinydns Yetkili DNS sunucusu. Hızlı (Örnek: saniye de 6000 sorgu Pentium III-1000 üzerinde 40% CPU kullanıyor) Güvenilir. UDP 53 portunu dinler. Çifte kayıtlara izin vermez.

18 tinydns - Bind Veriler cdb veritabanı formatında saklanır. Dosya boyutu 1GB olsa bile anında cevap verir. Veriler her defasında data.cdb veritabanı dosyasından okunur. Yeni dosya yüklenene kadar eski dosyadan cevap verir. (Yeni data.cdb dosyası (350MB, ~ domain) Pentium III-550 makinada 1dakikadan az sürede derlendi.) Veriler belleğe yüklenir. Tüm zone dosyaları yüklenene kadar sorgulara cevap vermez.

19 tinydns yapıland landırması # tinydns-conf tinydns dnslog /etc/tinydns # ln -s /etc/tinydns /service # sleep 5 # svstat /service/tinydns service/tinydns/root/makefile remote: data.cdb rsync -az -e ssh data.cdb :/service/tinydns/root/data.cdb data.cdb: data /usr/local/bin/tinydns-data veya remote: data.cdb scp data.cdb :/service/tinydns/root/data.cdb.tmp ssh mv /service/tinydns/root/data.cdb.tmp \ /service/tinydns/root/data.cdb data.cdb: data /usr/local/bin/tinydns-data

20 Kayıt t ekleme betikleri add-ns: NS kaydı ekler. add-mx: MX kaydı ekler. add-host: Host kaydı ekler. add-alias: Alias (CNAME) kaydı ekler. add-childns: Alt alanlar için farklı NS ekler.

21 A ve CNAME Kaydı Ekleme =fqdn:ip:ttl:timestamp:lo +fqdn:ip:ttl:timestamp:lo # cd /service/tinydns/root #./add-host lion.enderunix.org #./add-alias #./add-alias web.enderunix.org # make Dosya Karşılığı =lion.enderunix.org: web.enderunix.org:

22 NS kaydı +fqdn:ip:ttl:timestamp:lo add-ns: NS sunucu kaydı ekler. # cd /service/tinydns/root #./add-ns enderunix.org #./add-ns enderunix.org #./add-ns in-addr.arpa #./add-ns in-addr.arpa # make Dosya karşılığı.enderunix.org: :a: enderunix.org: :b: in-addr.arpa: :a: in-addr.arpa: :b: Aşağıdaki gibi değiştirilebilir..enderunix.org::ns1.enderunix.org: enderunix.org::ns2.enderunix.org: Not: ns1 ve ns2 için A kaydı eklenmelidir.

23 MX # cd /service/tinydns/root #./add-mx enderunix.org # make Dosya Aşağıdaki gibi Öncelik

24 Alt alan için i in NS kaydı &fqdn:ip:x:ttl:timestamp:lo # cd /service/tinydns/root #./add-childns people.enderunix.org # make Dosya Karşılığı &people.enderunix.org: :a

25 Yıldız z (*) Kaydı +*.sub.enderunix.org: = +istanbul.sub.enderunix.org: fuzuli.sub.enderunix.org: qmail.sub.enderunix.org: @devel.sub.enderunix.org::mail.enderunix.org

26 Diğer Kayıtlar Zamana Bağlı DNS cevabı: af1379 (TAI format) = :04:31 UTC TAI:Temps Atomique International İstemcilere göre DNS cevabı %in: %ex +jupiter.enderunix.org: :::in +jupiter.enderunix.org: :::ex Yük dengeleme

27 Diğer kayıtlar -fqdn:ip:ttl:timestamp:lo: - ifadesi ile geçici olarak kayıt iptal edilir. 'fqdn:s:ttl:timestamp:lo: ile TXT kaydı (s: mesaj) girilir.

28 Kullanım m Kolaylığı Karşı şılaştırması BIND vs djbdns

29 Ama Amaç: sunucu üzerinde * ağı için in cache sunucu tanımlama BIND çözümü: 1. SOA, NS,ve A kayıtlarını içeren bir localhost zone dosyası oluştrulur. 2. SOA, NS ve PTR kayıtlarını içeren bir in-addr.arpa zone dosyası oluşturulur. 3. Root sunucuların IP adreslerini içeren root.hints dosyası oluşturulur. 4. named.conf dosyası oluşturulur: zone "localhost" in { type master; file "localhost"; }; zone " inaddr.arpa" in { type master; file " in-addr.arpa"; }; zone "." in { type hint; file "root.hints"; }; options { interface-interval 0; listen-on { ; }; allow-query { 1.2.3/24; }; }; 5. named başlatılır. 6. Günlük (log) dosyasına bakılarak hata olup olmadığı kontrol edilir. djbdns çözümü: 1. Gdnscache ve Gdnslog kullanıcıları oluşturulur. 2. dnscache-conf Gdnscache Gdnslog /etc/dnscache ln -s /etc/dnscache /service 4. cd /service/dnscache 5. touch root/ip/1.2.3

30 Amaç: Ek olarak 1.5.* ağıa ğına da caching dns i i kullanma izni verilecek. BIND çözümü: 1. named.conf dosyası düzenlenir. 2. allow-query bölümüne 1.5/16 eklenir. 3. Named a HUP sinyali gönderilir. 4. Günlük (log) dosyasına bakılarak hata olup olmadığı kontrol edilir. djbdns çözümü: 1. cd /service/dnscache 2. touch root/ip/1.5

31 Amaç: cache i non-root ve chrooted olarak çalıştırma BIND çözümü: 1. Gbindin hesabı oluşturulur. 2. mkdir /etc/bindin 3. Sistemle ilgili gerekli dosyalar /etc/bindin dizinine kopyalanır. 4. named öldürülür 5. named -u Gbindin -t /etc/bindin komutu ile named çalıştırlır.. 6. Açılış betiğinde gerekli düzenlemeler yapılır. djbdns çözümü: Rahatlayın! djbdns zaten non-root ve chrooted özellikleri ile çalışıyor.

32 Ama Amaç: cache in kazara öldürülmesinden lmesinden sonra otomatik başlatmas latmasını sağlay layın. BIND çözümü: named prosesini sürekli kontrol edecek, proses çalışmıyorsa çalıştıracak bir betik yazılmalıdır. djbdns çözümü: Rahatlayın!. Djbdns svscan prosesi ile sürekli izlenmektedir. Proses öldürüldüğünde tekrar başlatılır.

33 Amaç: cache in moon.x.mil alan adına gelen paketleri IP li yerel sunucuya yönlendirilmesi BIND çözümü: named.conf dosyası düzenlenir. forwarding zone: zone "moon.x.mil" in { type forward; forward only; forwarders { ; }; }; satırları eklenir. named a HUP sinyali gönderilir. Günlük (log) dosyasına bakılarak hata olup olmadığı kontrol edilir. djbdns çözümü: cd /service/dnscache echo > root/servers/moon.x.mil svc -t.

34 Amaç: IP adresi olan lion.x.mil host kaydı ekleme BIND çözümü: 1. x.mil zone dosyası düzenlenir. 2. lion A kaydı eklenir. 3. SOA kayıtlarındaki seri numarası artırılır in-addr.arpa zone dosyası düzenlenir. 5. Add 4 PTR lion.x.mil. 6. SOA kayıtlarındaki seri numarası artırılır. 7. named a HUP sinyali gönderilir. 8. Günlük (log) dosyasına bakılarak hata olup olmadığı kontrol edilir. 9. Oops! lion.x.mil sonuna nokta koymayı unutmadık inşallah! djbdns çözümü: 1. cd /service/tinydns/root 2../add-host lion.x.mil make Günlük dosyalarında hata oluştumu oluşmadı mı diye düşünmeye gerek yok. Eğer dosyada herhangi bir hata olsaydı make komutu hata verecekti!

35 Amaç: Kazara aynı host adının n ve host IP sinin kullanımını engelleme BIND çözümü: zone dosyalarında manual arama yapılması yapılmalıdır.. djbdns çözümü: add-host komutu otomatik olarak bu işi halletmektedir. (bir isim veya IP yi tekrar kullanabilmek için addalias kullanılır)

36 Amaç: people.x.mil alan adının n DNS sunucusu olarak tanımlama BIND çözümü: 1. x.mil zone dosyası düzenlenir. 2. people NS a.ns.people kaydı eklenir. 3. a.ns.people A kaydı eklenir. 4. SOA seri numarasını değiştirilir. 5. named a HUP sinyali gönderilir. Günlük (log) dosyasına bakılarak hata olup olmadığı kontrol edilir. djbdns çözümü: 1. cd /service/tinydns/root 2../add-childns people.x.mil make

37 Değiştirilmesine izin verilmeyen kodu dağı ğıtamayız! Netscape Navigator yıllarca kaynak kodu görülmeden dağıtıldı!. Jan. 1998:Netscape announces its browser will be free. Also announced: Browser source code will be made available for free on the Internet. Mozilla project begins Red Hat Bernard Rosenkraenzer: qmail and djbdns are not open source, so we aren't going to ship them unless the license changes'' diye belirti fakat daha sonra Netscape will disappear in future releases ( )???

38 Yayınlar nlarımız

39 Yayınlar nlarımız

40 Sorular?

41 Bağlant lantılarlar

42 Teşekk ekkürler!