Linuxhotel Wiki

Diese Seite ist nicht editierbar. Du kannst den Quelltext sehen, jedoch nicht verändern. Kontaktiere den Administrator, wenn du glaubst, dass hier ein Fehler vorliegt.
Vorraussetzung: [[bind caching only | bind als caching only nameserver]]

===== Vorbereiten =====
=== systemd-resolvd ===
"systemd-resolved is not intended to be used on DNS servers. If you’re running a DNS server, you’ll need to disable systemd-resolved before setting up BIND or Unbound instead"
=== CentOS 7 ===
Paket ''caching-nameserver'' deinstallieren

=== DNSSEC temporär abschalten ===
''/etc/named.conf'' : CentOS

''/etc/bind/named.conf.options'' : Debian (ab 12)
<file>
options {
…
        // In der Praxis ist DNSSEC eine gute Sache ... aber im Intranet zum Lernen erst mal aus:
        dnssec-validation no;
…
}
</file>
(( mehr zu ''allow-query'' weiter unten im Kapitel "Bind absichern" und natürlich unter 
  man named.conf
))
  named-checkconf 
  rndc reconfig

== testen ==
Eine mit DNSSEC signierte Zone abfragen:

Ein validierender Nameserver sollte bei einer signierten Zone liefern:
  dig www.posteo.de @1.1.1.1

-> ''flags: … ad''

Unser Nameserver sollte das ad-Flag nicht setzen.

===== eigene Zonen in bind verwalten =====
==== Vorwärts-Zone ====
=== Zonendatei ===

  * ''/var/named/linuxhotel.de'' : ( CentOS )
  * ''/var/lib/named/linuxhotel.de'' : ( SuSE )
  * ''/var/cache/bind/linuxhotel.de'' : ( Debian )

<file txt linuxhotel.de>
$ORIGIN . ; hilft Tippfehler (fehlender . am Ende) zu vermeiden
$TTL 2m   ; time to live: 2 Minuten, default wäre 2 Tage
linuxhotel.de. SOA notebook20.linuxhotel.de. root.notebook20.linuxhotel.de. (
        1             ; Seriennummer
        1h20m         ; refresh      / 1 Stunde 20 Minuten
        1d12h         ; retry        / 1,5 Tage
        1w            ; expire       / 1 Woche
        60s           ; negative ttl / 60 Sekunden
)

; Nameserver:
linuxhotel.de.                  NS notebook20.linuxhotel.de.

; kanonische IP-Adressen:
notebook22.linuxhotel.de.       A 192.168.1.222
notebook05.linuxhotel.de.       A 192.168.1.205
notebook20.linuxhotel.de.       A 192.168.1.220
notebook06.linuxhotel.de.       A 192.168.1.206
notebook09.linuxhotel.de.       A 192.168.1.209

notebook22.linuxhotel.de.       AAAA 2a0f:6480:1:600::222
notebook05.linuxhotel.de.       AAAA 2a0f:6480:1:600::205
notebook20.linuxhotel.de.       AAAA 2a0f:6480:1:600::220
notebook06.linuxhotel.de.       AAAA 2a0f:6480:1:600::206
notebook09.linuxhotel.de.       AAAA 2a0f:6480:1:600::209

; Aliase:
peter.linuxhotel.de.            CNAME notebook09.linuxhotel.de.
lothar.linuxhotel.de.        60 CNAME notebook05.linuxhotel.de.
heribert.linuxhotel.de.      30 CNAME notebook06.linuxhotel.de.
bjoern.linuxhotel.de.           CNAME notebook20.linuxhotel.de.
admin.linuxhotel.de.            CNAME notebook22.linuxhotel.de.
</file>

=== Zonendatei überprüfen ===
== CentOS ==
  named-checkzone -D linuxhotel.de. /var/named/linuxhotel.de

== SuSE ==
  named-checkzone -D linuxhotel.de. /var/lib/named/linuxhotel.de

== Debian ==
  named-checkzone -D linuxhotel.de. /var/cache/bind/linuxhotel.de

=== Konfigurationsdatei ===
  * ''/etc/named.conf'' : ( SuSE )
  * ''/etc/named.conf'' : ( CentOS )
  * ''/etc/bind/named.conf.local'' : ( Debian )
<file>
zone "linuxhotel.de" {
  type primary;
  file "linuxhotel.de";
};
</file>

Konfigdatei und eingetragene Zonen überprüfen:
  named-checkconf -z

=== bind die Änderung mitteilen ===
  rndc reconfig
((oder 

openSuSE, CentOS
  service named reload

Debian
  service bind9 reload
))
=== im Log prüfen, ob es Fehler gab ===
Debian
  journalctl -eu named.service

=== testen ===
  host peter.linuxhotel.de ::1
  dig peter.linuxhotel.de @::1 any

=== Zonendatei (kürzere Schreibweise) ===
Das Format der Zonendatei ((RFC [[rfc>1035]])) läßt es auch zu, diese Datei kürzer zu schreiben:
<file>
$TTL 2h
@ SOA notebook20.linuxhotel.de. root.notebook20.linuxhotel.de. 1999022301 1d 2h 5w 2d

; Nameserver:
                 NS notebook20.linuxhotel.de.

; kein Mailserver, weder empfangen (RFC 7505), noch senden:
                 MX 0 .
                 TXT "v=spf1 -all"

; kanonische IP-Adressen:
notebook22       A 192.168.1.222
                 AAAA 2a0f:6480:1:600::222
notebook05       A 192.168.1.205
                 AAAA 2a0f:6480:1:600::205
notebook20       A 192.168.1.220
                 AAAA 2a0f:6480:1:600::220
notebook06       A 192.168.1.206
                 AAAA 2a0f:6480:1:600::206
notebook09       A 192.168.1.209
                 AAAA 2a0f:6480:1:600::209

; Aliase:
peter            CNAME notebook09
lothar           CNAME notebook05
heribert      60 CNAME notebook06
bjoern        30 CNAME notebook20
admin            CNAME notebook22
</file>

Hier habe ich die Zeitangaben im SOA entsprechend der Empfehlungen des Ripe ((
https://www.ripe.net/publications/docs/ripe-203
<file>
example.com.  3600  SOA  dns.example.com. hostmaster.example.com. (
                         1999022301   ; serial YYYYMMDDnn
                         86400        ; refresh (  24 hours)
                         7200         ; retry   (   2 hours)
                         3600000      ; expire  (1000 hours)
                         172800 )     ; minimum (   2 days)
</file>
)) gewählt. 

Bei jeder Änderung der Zonendatei sollte die Seriennummer hochgezählt werden.

=== Zonendatei überprüfen ===
== CentOS ==
  named-checkzone -D linuxhotel.de. /var/named/linuxhotel.de

== SuSE ==
  named-checkzone -D linuxhotel.de. /var/lib/named/linuxhotel.de

== Debian ==
  named-checkzone -D linuxhotel.de. /var/cache/bind/linuxhotel.de

=== bind die Änderung mitteilen ===
  rndc reload linuxhotel.de

==== Rückwärts-Zone IPv4 ====
=== Zonendatei ===
  * ''/var/named/1.168.192.in-addr.arpa'': ( CentOS )
  * ''/var/lib/named/1.168.192.in-addr.arpa'': ( SuSE 10.0 )
  * ''/var/cache/bind/1.168.192.in-addr.arpa'': ( Debian 3.1 )

<file>
$TTL 2h
@ SOA notebook20.linuxhotel.de. root.notebook20.linuxhotel.de. 1999022301 1d 2h 5w 2d

; Nameserver:
                 NS notebook20.linuxhotel.de.

; kanonische IP-Adressen
205.1.168.192.in-addr.arpa. IN PTR notebook05.linuxhotel.de.
220.1.168.192.in-addr.arpa. IN PTR notebook20.linuxhotel.de.
206.1.168.192.in-addr.arpa. IN PTR notebook06.linuxhotel.de.
209.1.168.192.in-addr.arpa. IN PTR notebook09.linuxhotel.de.
222.1.168.192.in-addr.arpa. IN PTR notebook22.linuxhotel.de.
</file>

=== testen ===
== CentOS ==
  named-checkzone -D 1.168.192.in-addr.arpa. /var/named/1.168.192.in-addr.arpa

== SuSE ==
  named-checkzone -D 1.168.192.in-addr.arpa. /var/lib/named/1.168.192.in-addr.arpa

== Debian ==
  named-checkzone -D 1.168.192.in-addr.arpa. /var/cache/bind/1.168.192.in-addr.arpa

=== Konfigurationsdatei ===
  * ''/etc/named.conf'' : ( SuSE 10.2 )
  * ''/etc/named.conf'' : ( CentOS )
  * ''/etc/bind/named.conf.local'' : ( Debian 3.1 )
<file>
zone "1.168.192.in-addr.arpa" {
      type primary;
      file "1.168.192.in-addr.arpa";
};
</file>
==  Syntax der Konfigurationsdatei prüfen ==
  named-checkconf -z

== bind die Änderung mitteilen ==
  rndc reconfig
=== testen ===  
  host 192.168.1.222 ::1
  dig -x 192.168.1.222 @::1

==== Rückwärts-Zone IPv6 ====
Paket:
  * Debian (12): ''ipv6calc''
=== Zonendatei ===
  ipv6calc --out revnibbles.arpa --in ipv6addr 2a0f:6480:1:600::222
-> ''2.2.2.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.6.0.1.0.0.0.0.8.4.6.f.0.a.2.ip6.arpa.''
  * ''/var/named/0.0.6.0.1.0.0.0.0.8.4.6.f.0.a.2.ip6.arpa'': ( CentOS )
  * ''/var/lib/named/0.0.6.0.1.0.0.0.0.8.4.6.f.0.a.2.ip6.arpa'': ( SuSE )
  * ''/var/cache/bind/0.0.6.0.1.0.0.0.0.8.4.6.f.0.a.2.ip6.arpa'': ( Debian )

<file>
$TTL 2h
@ SOA notebook20.linuxhotel.de. root.notebook20.linuxhotel.de. 1999022301 1d 2h 5w 2d

; Nameserver:
                 NS notebook20.linuxhotel.de.

; kanonische IP-Adressen
2.0.5.0.0.0.0.0.0.0.0.0.0.0.0.0. IN PTR notebook05.linuxhotel.de.
2.2.0.0.0.0.0.0.0.0.0.0.0.0.0.0. IN PTR notebook20.linuxhotel.de.
2.0.6.0.0.0.0.0.0.0.0.0.0.0.0.0. IN PTR notebook06.linuxhotel.de.
2.0.9.0.0.0.0.0.0.0.0.0.0.0.0.0. IN PTR notebook09.linuxhotel.de.
2.2.2.0.0.0.0.0.0.0.0.0.0.0.0.0. IN PTR notebook22.linuxhotel.de.
</file>

=== testen ===
== CentOS ==
  named-checkzone -D 0.0.6.0.1.0.0.0.0.8.4.6.f.0.a.2.ip6.arpa. /var/named/0.0.6.0.1.0.0.0.0.8.4.6.f.0.a.2.ip6.arpa

== SuSE ==
  named-checkzone -D 0.0.6.0.1.0.0.0.0.8.4.6.f.0.a.2.ip6.arpa. /var/lib/named/0.0.6.0.1.0.0.0.0.8.4.6.f.0.a.2.ip6.arpa
== Debian ==
  named-checkzone -D 0.0.6.0.1.0.0.0.0.8.4.6.f.0.a.2.ip6.arpa. /var/cache/bind/0.0.6.0.1.0.0.0.0.8.4.6.f.0.a.2.ip6.arpa

=== Konfigurationsdatei ===
  * ''/etc/named.conf'' : ( SuSE )
  * ''/etc/named.conf'' : ( CentOS )
  * ''/etc/bind/named.conf.local'' : ( Debian )
<file>
zone "0.0.6.0.1.0.0.0.0.8.4.6.f.0.a.2.ip6.arpa" {
      type primary;
      file "0.0.6.0.1.0.0.0.0.8.4.6.f.0.a.2.ip6.arpa";
};
</file>
==  Syntax der Konfigurationsdatei prüfen ==
  named-checkconf -z

== bind die Änderung mitteilen ==
  rndc reconfig
=== testen ===  
  host 2a0f:6480:1:600::222 ::1
  dig -x 2a0f:6480:1:600::222 @::1

===== Zonendateien mit nsupdate bearbeiten =====
==== bind konfigurieren ====
  * ''/etc/named.conf'' : ( SuSE, CentOS )
  * ''/etc/bind/named.conf.local'' : ( Debian )
mit ''allow-update'':
<file>
acl "nsupdate" {
  127.0.0.1;
};

zone "linuxhotel.de" {
        type primary;
        allow-update { "nsupdate"; };
        file "linuxhotel.de";
};

zone "1.168.192.in-addr.arpa" {
        type primary;
        allow-update { "nsupdate"; };
        file "1.168.192.in-addr.arpa";
};
</file>

oder mit ''update-policy local'':
<file>
zone "linuxhotel.de" {
        type primary;
        update-policy local;
        file "linuxhotel.de";
};
</file>
==== bind Konfigurationsdatei prüfen ====
  named-checkconf

==== bind Schreibzugriff auf Primary-Zonendateien geben ====
Debian:
  chown bind /var/cache/bind/linuxhotel.de

==== Testen: Eintrag hinzufügen ====
für ''allow-update'':
<file>
nsupdate <<EOT

server localhost

update add notebook23.linuxhotel.de 43200 IN A 192.168.1.223

update add 223.1.168.192.in-addr.arpa 43200 IN PTR notebook23.linuxhotel.de

EOT
</file>

für ''update-policy local'':
<file>
nsupdate -l <<EOT

update add notebook23.linuxhotel.de 43200 IN A 192.168.1.223

update add 223.1.168.192.in-addr.arpa 43200 IN PTR notebook23.linuxhotel.de

EOT
</file>

==== Trotz nsupdate Zonen mit Editor bearbeiten ====
  rndc freeze linuxhotel.de
  vim linuxhotel.de
  rndc reload linuxhotel.de
  rndc thaw linuxhotel.de

Hilfreich ist vielleicht:

''~/.bashrc'' :
<code bash>
function zvi {
  cd /var/cache/bind
  rndc freeze $1
  vim $1
  rndc reload $1
  rndc thaw $1
  cd -
}
</code>

===== mehrere NS für eine Zone =====
==== Master? Primary! Slave? Secondary! ;-) ====
//**Mittlerweile **(Version)** sind auch die Begriffe primary und secondary als Ersatz für master und slave möglich**//

  masters { ...; };  =>  primaries { ...; };
  type master;  =>  type primary;
  type slave;   =>  type secondary;

==== Primary konfigurieren ====
Erst müssen die Secondary-Nameserver in der Zonendatei des Primarys eingetragen werden:
<file>
linuxhotel.de. IN NS notebook04.linuxhotel.de.
</file>

Bei SuSE muß noch der Eintrag
<file>
notify yes;
</file>
in der Datei ''/etc/named.conf'' eingetragen werden, oder die Zeile ganz entfernt oder auskommentiert werden.
=== testen: funktioniert der Primary? ===
== openSuSE 12.3 ==
  named-checkzone -i local -D linuxhotel.de /var/lib/named/linuxhotel.de
  rndc reload linuxhotel.de
  tail /var/log/messages
  dig @::1 linuxhotel.de NS

== debian 8 ==
  named-checkzone -i local -D linuxhotel.de /var/cache/bind/linuxhotel.de
  rndc reload linuxhotel.de
  journalctl -eu bind9
  dig @::1 linuxhotel.de NS

==== Secondary konfigurieren ====
Vorraussetzung: Primary funktioniert
  dig @<IP-des-Primary> linuxhotel.de AXFR

Ausgabe muss mindestens 2 NS Records enthalten:
  - den eigenen Rechner
  - den Primary

''/etc/named.conf'' : ( CentOS 5.3 )
<file>
zone "linuxhotel.de" {
        type secondary;
        file "secondary/linuxhotel.de";
        masters { 192.168.1.220; };
};
zone "1.168.192.in-addr.arpa" {
        type secondary;
        file "secondary/1.168.192.in-addr.arpa";
        masters { 192.168.1.220; };
};
</file>

  * ''/etc/named.conf'' : ( SuSE 10.0 )
  * ''/etc/bind/named.conf.local'' : ( Debian )
<file>
zone "linuxhotel.de" {
        type secondary;
        file "secondary/linuxhotel.de";
        primaries { 192.168.1.220; };
};
zone "1.168.192.in-addr.arpa" {
        type secondary;
        file "secondary/1.168.192.in-addr.arpa";
        primaries { 192.168.1.220; };
};
</file>

Zonendateien im Binärformat kann man mit:
  named-checkzone -D -f raw linuxhotel.de secondary/linuxhotel.de
oder
  named-compilezone -f raw -F text -o - example.org. /var/cache/bind/secondary/example.org
anzeigen. Wenn man die Zonenfiles **lieber im Textformat statt im Binärformat** haben will, kann man in die Zone eintragen:
<file txt>
zone "…" {
  …
  masterfile-format text;
  …
</file>

=== bind Schreibzugriff auf Secondary-Zonendateien geben ===
Debian:
  mkdir /var/cache/bind/secondary
  chown bind /var/cache/bind/secondary

=== testen: funktioniert der Secondary? ===
== Debian ==
  named-checkconf -z
  rndc reconfig
  journalctl -eu bind9
  ls /var/cache/bind/secondary/{linuxhotel.de,1.168.192.in-addr.arpa}
  dig @::1 linuxhotel.de AXFR

== OpenSuSE 12.3 ==
  named-checkconf -z
  rcnamed restart
  tail /var/log/messages
  ls /var/lib/named/secondary/{linuxhotel.de,1.168.192.in-addr.arpa}
  dig @::1 linuxhotel.de AXFR

=== testen: funktionieren alle verantwortlichen Nameserver? ===
  dig @141.1.1.1 linuxhotel.de +nssearch

===== Subdomains delegieren =====
==== Übergeordneter DNS ====
  * ''/etc/named.conf.local'' : ( Debian ab 5.0 )
  * ''/etc/named.conf'' : ( CentOS ab 5 )
<file>
zone "linuxhotel.de" IN {
        type primary;
        file "linuxhotel.de";
        forwarders      { };
};
</file>

:!: Fallstrick: __Unbedingt an **forwarders** denken!__ Und **alle** dnssec Optionen ausschalten :!:

''/var/named'' : ( CentOS 5 )
<file>
sub05.linuxhotel.de.        IN NS ns1.sub05.linuxhotel.de.
ns1.sub05.linuxhotel.de.    IN A 192.168.150.110
</file>

Fallstrick: Seit bind 9.9 werden die empty zones automatisch "aufgefüllt". Dadurch werden aber PTR-RR für nicht eigene Netze nicht mehr geforwarded :!:

''/etc/named.conf.options'' : ( Debian 8 )
<file>
disable-empty-zone "168.192.in-addr.arpa";
</file>

Das muss auch auf jedem Delegaten konfiguriert werden :!:

  named-checkzone -i local -D linuxhotel.de /var/named/linuxhotel.de
==== Subdomain DNS ====
Wie oben, unter "eigene Zonen in bind verwalten"

===== Zonendatei für Subnetz per Skript erzeugen ===== 
<code bash>
#!/bin/bash
NAMESERVER=$(hostname -f)
SUBNET=192.168.1

cat <<HEAD
\$TTL 2h
@ IN SOA $NAMESERVER. root.$NAMESERVER. (
        $(date '+%Y%m%d')01             ; Seriennummer
        3h            ; refresh
        1h            ; retry
        1w            ; expire
        1h            ; negative ttl
)

  IN NS $NAMESERVER.

HEAD

for ip in $(seq 1 254)
do
  getent hosts $SUBNET.$ip | ( read ip name && echo -e "$name.\tIN\tA\t$ip" | expand -t '34 37 43 ' )
done
</code>


====== Dokus & Links ======
  * [[ http://www.zytrax.com/books/dns/ | Bind Buch "DNS for Rocket Scientists"]]
  * [[ http://en.opensuse.org/Howto_setup_SUSE_as_SAMBA_PDC_with_OpenLDAP%2C_DYNDNS_and_CLAM#Dynamic_DNS_Setup | Howto zu Bind und DHCP unter SuSE]]
  * [[ http://www.microsoft.com/technet/archive/interopmigration/linux/mvc/cfgbind.mspx | bind und Active Directory ]]
  * [[http://k.root-servers.org|DNS Root Server System]]
  * [[http://technet.microsoft.com/de-de/library/cc755717%28WS.10%29.aspx|Zusammenspiel Windows NS und Bind]]
  * [[http://www.serverhowto.de/DNS-Server-BIND-9-als-Ersatz-fuer-den-Windows-DNS-Server.277.0.html|Beispiel einer Windows AD unter Bind]]