DNS Servis Yönetimi. Ender Güler HPC Sistem Sorumlusu Ulusal Yüksek Başarımlı Hesaplama Merkezi UHeM

Transkript

1 DNS Servis Yönetimi Ender Güler HPC Sistem Sorumlusu Ulusal Yüksek Başarımlı Hesaplama Merkezi UHeM

2 Konu Başlıkları DNS Nedir? Kavramlar DNS türleri Kurulum Ayarlarmalar Standart kurulum CHROOT'un etkinleştirilmesi DNS Adminliği hakkında özet bilgi Daha fazla bilgi...

3 DNS Nedir? DNS (Domain Name System), Internet'te kullanılan iletişim protokolü TCP/IP tarafından IP adresleri ile makine mutlak adları arasında çift taraflı dönüşümü sağlayan bir protokoldür. Makina mutlak adı diye tabir edilen isimlendirmede makinaların isimlerinin sonuna alan adları da eklenir ve bu mutlak adlar internet ortamında (eğer bir hacker ya da devlet kurumu tarafından ortalık karıştırılmadıysa) tek bir makinaya ait olabilirler. Bu isimlere ingilizce FQDN (Fully Qualified Domain Name) denir. Örneğin lnode.uhem.itu.edu.tr bir FQDN'dir. DNS protokolüyle hizmet veren sunucular aslında, belirli alan adları için hiyerarşik bir veri tabanı tutarlar. Bu hiyerarşik yapı, bilgi edinme açısından kolaylık sağlar. Tüm dünyadaki DNS'lerin temel aldığı kök (root) DNS sunucular vardır ve tüm DNS servisleri bu sunucuları bilirler. Bu sunucular IANA (Internet Assigned Numbers Authority) isimli bir kuruluş tarafından koordine edilirler. Kök sunucuların bulunduğu lokasyonlar ve yönetici kuruluşları adresinden öğrenilebilir. DNS, Ağ üzerinde hiyerarşik olarak isim ve ip adres eşleşmesini sağlamak üzere oluşturulmuş yazım kuralları, yetkilendirme için geliştirilmiş kurallar ve nihayetinde isim-ip adres eşleşmelerinden oluşmuş bir yapıdır. DNS'in isim çözümleme dışında, herhangi bir alan adına ait mail sunucuyu duyurma, varsa hiyerarşik olarak açılmış alt alan adlarını ve bu alt alan adları için yetkilendirilmiş DNS'leri duyurma gibi Intenetteki günlük faaliyetler için büyük öneme sahip görevleri de vardır. Bu bağlamda internetin belkemiğinin önemli bileşenlerinden biridir.

4 Kavramlar DNS'in DB'sinde veriler ağaç yapısı şeklinde saklanırlar. Bu DB'nin ağaç yapısı organizasyonel ya da yönetimsel ihtiyaca göre yapılandırılabilir. Ağaçtaki her yaprak ve bu yaprağa ulaşmak için üzerinden geçmemiz gereken her dal (node olarak da isimlediriliyor genelde) tekildir ve internete açık hiçbir DNS DB'sinde benzer bir kayıt bulunamaz. Ağaçtaki yaprağın mutlak adı, yani FQDN'i yapraktan köke kadar olan yoldaki tüm dalları da içerecek şekilde oluşturulur. Konuyu örnek üzerinde inceleyecek olursak: lnode.uhem.itu.edu.tr lnode: UHeM HPC sistemlerinde kullanıcıların login oldukları sunucunun adıdır. uhem: İTÜ'nün alan adı olan itu.edu.tr'nin alt-alan adıdır. itu: edu.tr alan adının alt-alan adıdır. edu: tr alan adının alt-alan adıdır. tr: Kök sunucular tarafından oluşturulmuş ve ülkelerin yönetimine bırakılmış en üs düzey alan adıdır. En üst düzey alan adı (TLD Top Level Domain) olarak isimlendirilirler. Zone Kavramı: DNS sunucularda herhangi bir alan adı uzayının yetkilendirilmiş kısmına zone (bölge) denir. Zone'lar DNS yapısındaki yetkilendirme noktalarıdır ve dünya üzerindeki tüm DNS'lerin sağlıklı çalışabilmesi için zone'lar ve bunların düzgün bir şekilde yetkilendirilmeleri büyük önem arz etmektedir. Örnek üzerinde zone ve alan adı farkını şu şekilde açıklayabiliriz: itu.edu.tr ve uhem.itu.edu.tr alanları edu.tr'nin alt alanlarıdır. edu.tr alanı itu.edu.tr ve uhem.itu.edu.tr alt alanları hakkında bilgilere sahipken, edu.tr zone'unda itu.edu.tr zone'uyla ilgili herhangi bir bilgi mevcut değildir. Benzer şekilde ne edu.tr zone'u ne de itu.edu.tr zone'u uhem.itu.edu.tr zone'u hakkında bilgiye sahiptir. Zone'larda zone'un ait olduğu alana ait kayıtlar mevcuttur. Resource Record Kavramı: Zone dosyalarıyla oluşturulan herbir veri tabanı girdisine resource record denir ve pek çok türü vardır.

5 DNS Sunucu Türleri Authoritative Name Server (Yetkili Alan Adı Sunucusu): Bir bölgeye ilişkin tüm bilgileri içeren ve o bölgenin bilgilerinin güncelliğinden ve yönetiminden sorumlu olan sunuculardır. Ağda ya da sunucu donanımında oluşabilecek hatalar nedeniyle en az iki adet olmaları istenir. Primary/Master Server: Verilerin asıl kopyasının servis edildiği sunucudur. Zone verileri bu sunucu üzerindeki yerel zone dosyalarında yer alırlar. Secondary/Slave Server: Primary server'dan veri transfer ederek, yetkili olduğu zone için gerekli DB'yi oluşturan sunucudur. Ön-bellekli Alan Adı Sunucuları (Caching Name Servers): Kendi üzerinde herhangi bir zone tanımı olmayan (ya da olması gerekmeyen) sadece diğer DNS sunucularından yaptığı sorguları ön belleğine alarak, örneğin yerel ağdaki istemcilere hizmet veren sunuculardır. Forwarder: Ön bellekli sunucuların ön belleklerinde yer almayan kayıtların sorulacağı DNS server'lara verilen isim 'Forwarder'dır. Aslında bir DNS türü değildir. Tür olarak yukarıda anlatılanlardan birine aittir.

6 BIND 9 Kurulumu Linux işletim sisteminde popüler olarak kullanılan DNS server yazılımı BIND'dir. Çalıştırdığı sunucu sürecinin adı named olduğu için named olarak da adlandırılır. CentOS 7 işletim sisteminde BIND kurulumu aşağıdaki komutlarla yapılır: [root@training ~]# yum install bind bind-utils

7 Ayarlamalar 1 Yapılması gereken ilk ayarlar /etc/named.conf dosyası içinde. Bunun yanında yaptığımız zone tanımlamaları için gereken dosyaları da oluşturmamız gerekiyor: /var/named/deneme.uhem.local /var/named/ zone /var/named/deneme.uhem.external Yukarıda isimleri geçen dosyalar sunumun sonunda yer alan linklerdeki VirtualBox imajlarında yer alıyor. İlk test-drive'ımızı yapıyoruz: [root@training ~]# systemctl start named # servis başlatılır [root@training ~]# systemctl enable named # servis reboot sonrasında otomatik başlatılacak duruma getirilir [root@training ~]# host localhost Using domain server: Name: localhost Address: #53 Aliases: has address [root@training ~]#

8 Ayarlamalar 2 BIND (ya da named) Unix dünyasında kullanılan en eski yazılımlardan. Bu nedenle güvenli bir şekilde çalışmasından emin olmak gerekiyor. Bunun için chroot denilen bir mekanizma var. BIND'i dosya sistemi hiyerarşisinde bir dizine hapsediyoruz (yani change root - chroot) ve BIND süreçlerinin dış dünyadaki diğer process'lerle ilişkisini kesiyoruz. Bunun için çalıştırmamız gereken komutlar şu şekilde: [root@training ~]# yum install bind-chroot [root@training ~]# /usr/libexec/setup-named-chroot.sh /var/named/chroot on [root@training ~]# /usr/libexec/setup-named-chroot.sh /var/named/chroot on [root@training ~]# systemctl stop named [root@training ~]# systemctl disable named rm '/etc/systemd/system/multi-user.target.wants/named.service' [root@training ~]# systemctl start named-chroot [root@training ~]# systemctl enable named-chroot ln -s '/usr/lib/systemd/system/named-chroot.service' '/etc/systemd/system/multi-user.target.wants/namedchroot.service' Sonrasında tekrar servisimizin çalışıp çalışmadığını test ediyoruz. [root@training ~]# host mail.deneme.be.itu.edu.tr localhost Using domain server: Name: localhost Address: #53 Aliases: mail.deneme.be.itu.edu.tr has address [root@training ~]#

9 DNS Adminliği DNS ayar dosyalarınızla ilgili herhangi bir sorun olup olmadığını anlamak için aşağıdaki komutu çalıştırabilirsiniz: named-checkconf -z CentOS 7 özelinde log dosyalarını incelemek istiyorsanız journalctl komutunu kullanabilirsiniz. Aşağıda birden fazla kullanım şekli mevcuttur: journalctl -xn # sistem logları içinde en güncel olanları mümkün olduğunca fazla bilgi ile ekrana basar ve komut satırına geri döner journalctl -f # sistem loglarını ctrl+c tuş kombinasyonuyla kesene kadar ekrana basmaya devam eder. journalctl -u SERVIS_ADI # SERVIS_ADI ile belirtilen servis ile ilgili logları ekrana basar. Örneğin: journalctl -u named-chroot # bu komutun çıktısı sanki less ile bir dosyayı inceliyormuşsunuz gibi bir davranışla karşılaşmanıza neden olacaktır. Dolayısıyla q tuşuna basarak komut satırına geri dönebilirsiniz. Yukarıdaki journalctl komutundaki opsiyonları çeşitli kombinasyonlarla kullanabilirsiniz.

10 Daha fazla bilgi BIND9 ile ilgili daha fazla bilgi için; adreslerinde başvurabilirsiniz. Ayrıca aşağıda linki bulunan VirtualBox appliance'ını download edip kendi makinalarınızda bu sunumlarda geçen komutları kendi başınıza deneyebilirsiniz: 6a5210cc02609fbf49bd682dfb4bf Konuyla ilgili herhangi bir sorunuz olduğunda bana aşağıdaki yollardan erişebilirsiniz: (eposta/gtalk) (Twitter)