book

DNS und Bind

by Paul Albitz, Cricket Liu

December 2001

Intermediate to advanced

240 pages

20h 28m

German

O'Reilly Verlag

Read now

Unlock full access

Versionen
Eine (sehr) kurze Einführung in die Geschichte des Internet

Die Geschichte des Domain Name System
Der Domain-NamensraumDomain-NamenDomainsResource Records
Top-Level-Domains
Domain-Namen lesen
Subdomains delegierenArten von NameservernDatendateien
Root-NameserverRekursionIterationZwischen verantwortlichen Nameservern wählenDer ganze VorgangAdressen auf Namen abbildenInverse Abfragen
Time to Live
Wie beschafft man sich BIND?Nützliche Mailinglisten und Usenet-NewsgroupsIP-Adressen finden
Über Registrierungen und RegistrierteWo ist mein Platz in dieser Welt?whoisIn den USADie Domain usDie allgemeinen Top-Level-DomainsEinen Registrar wählenPrüfen, ob Ihr Netzwerk registriert istIhre Zonen registrieren
Unsere Zone
Die ZonendatendateienKommentareDie Standard-TTL für die Zone einstellenSOA-RecordsNS-RecordsAdreß- und Alias-RecordsPTR-RecordsDie vollständigen ZonendatendateienDie Loopback-AdresseDie Root-Hints-Daten
Domain-Namen anhängenDie @-NotationLetzten Namen wiederholenDie gestrafften Zonendatendateien
Starten des NameserversIn der Syslog-Datei auf Fehler prüfenDie Einstellungen mit nslookup testenDen lokalen Domain-Namen einstellenLookup eines lokalen Domain-NamensLookup einer lokalen AdresseLookup eines entfernten Domain-NamensEin weiterer TestBearbeiten der Start-Dateien
EinrichtungBackup-DateienSOA-WerteMehrere Master-Server
MX-Records
Der ResolverDer lokale Domain-NameDie SuchlisteDie BIND 4.8.3-SuchlisteDie Suchliste von BIND 4.9 und neueren VersionenDie search-DirektiveDie nameserver-DirektiveEs wird nur ein Nameserver konfiguriertEs wird mehr als ein Nameserver konfiguriertDie sortlist-DirektiveDie options-DirektiveKommentareEin Hinweis zu 4.9-Resolver-Direktiven
Resolver ohne lokalen NameserverLokaler Nameserver
Unterschiede im Verhalten von DienstenE-MailAktualisieren von .rhosts, hosts.equiv usw.Aliase bereitstellen
SunOS 4.x von SunModifizierte ResolverNutzung des DNS mit NISNIS ignorierenSun Solaris 2.xHP-UX von HPAIX von IBMAIX 4.3AIX 4.2.1Tru64 Unix und Digital Unix von CompaqIRIX von Silicon GraphicsLinuxWindows 95Windows 98Windows NT 4.0Windows 2000
Den Nameserver steuernndc und controls (BIND 8)rndc und controls (BIND 9)Signale verwenden
Hinzufügen und Entfernen von HostsSOA-SeriennummernNeustart mit einer neuen SeriennummerZusätzliche Einträge in der ZonendatendateiAllgemeine TextangabenVerantwortliche PersonGenerierung der Zonendatendateien aus der Host-TabelleDie Root-Hints pflegen
Nutzung verschiedener VerzeichnisseDen Ursprung in einer Zonendatendatei ändernAndere Zonendatendateien einschließen
Die Logging-AnweisungEinzelheiten über KanäleDateikanäleSyslog-KanäleStderr-KanalNull-KanalDatenformat aller KanäleEinzelheiten über KategorienBIND 8-KategorienBIND 9-KategorienMeldungen aller Kategorien betrachten
Gebräuchliche Syslog-MeldungenBIND-Statistiken verstehenBIND 4.9- und 8-StatistikenBIND 9-StatistikenDie BIND-Statistiken einsetzen
Wie viele Nameserver?Wohin mit den Nameservern?Kapazitätsplanung
Primäre Master- und Slave-ServerCaching-Only-ServerPartielle Slave-Nameserver
Andere SOA-Werte ändern
AusfälleEmpfehlungen
Kurze Ausfälle (Stunden)Längere Ausfälle (mehrere Tage)Wirklich lange Ausfälle (mehrere Wochen)
Wann wird man Parent?
Anlegen einer Subdomain in der Zone des ParentsAnlegen und Delegieren einer SubdomainEin Slave für fx.movie.eduAuf dem primären Master-Nameserver von movie.eduEine in-addr.arpa-Zone delegierenEinen Slave-Nameserver für movie.edu hinzufügen
Unterteilung in Subnetze an OktettgrenzenAufteilung in Subnetze an Nicht-OktettgrenzenKlasse-A- und B-NetzwerkeKlasse-C-Netzwerke
host benutzenDelegierungen verwaltenEine andere Möglichkeit, Delegierungen zu verwalten: Stubs
Parent-Aliase entfernen
Adreßübereinstimmungslisten und ACLs
Dynamic Update und SeriennummernDynamic Update und ZonendatendateienZugriffskontrollisten aktualisierenTSIG-signierte Updates
IXFR-BeschränkungenIXFR-DateienBIND 8-IXFR-KonfigurationBIND 9-IXFR-Konfiguration
Ein stärker eingeschränkter NameserverForward-Zonen
Mehrfache CNAMEsDie Anweisung rrset-order
BIND 4-AdreßsortierungLokale Multihomed-HostsEntfernte Multihomed-HostsAdreßsortierung in Netzwerken, die in Subnetze aufgeteilt sindMehrere sortlist-EinträgeBIND 8- und BIND 9-Adreßsortierung
ZonentransfersPro Nameserver angeforderte Transfers beschränkenDie Gesamtzahl der angeforderten Zonentransfers beschränkenDie Gesamtzahl der bedienten Zonentransfers beschränkenDie Dauer eines Zonentransfers beschränkenDie Häufigkeit von Zonentransfers beschränkenEffizientere ZonentransfersRessourcenbeschränkungenDie Beschränkung der Datensegmentgröße ändernDie Beschränkung der Stack-Größe ändernDie Beschränkung der Core-Größe ändernDie Beschränkung der Anzahl der offenen Dateien ändernDie Anzahl der Clients beschränkenDie Anzahl der SOA-Abfragen beschränkenWartungsintervalleSäuberungsintervallSchnittstellenintervallStatistikintervallTTLs
Den IPv4-Transport konfigurierenDen IPv6-Transport konfigurieren
AAAA und ip6.intA6, DNAMEs, Bitstring-Label und ip6.arpaA6-Records und Forward-MappingDNAME-Records und Reverse-Mapping
TSIGEinweg-Hash-FunktionenDer TSIG-RecordTSIG konfigurierenTSIG benutzen
Die BIND-VersionAbfragen einschränkenAlle Abfragen einschränkenAbfragen einer bestimmten Zone beschränkenNichtautorisierte Zonentransfers verhindernBIND mit minimalen Zugriffsrechten betreibenNameserver mit aufgeteilten FunktionenKonfiguration »delegierter« NameserverKonfiguration »auflösender« NameserverZwei Nameserver in einem
Arten von Firewall-SoftwarePaketfilterApplication GatewaysEin schlechtes BeispielInternet-ForwarderDer Ärger mit der WeiterleitungForward-Zonen benutzenInterne RootsWo werden interne Root-Nameserver plaziert?Forward-Mapping-Delegierungin-addr.arpa-DelegierungDie db.root-DateiWeitere interne Nameserver konfigurierenWie interne Nameserver die internen Roots benutzenE-Mail von internen Hosts an das InternetE-Mail an spezielle Internet-Domain-NamenDer Ärger mit internen Root-NameservernEin geteilter NamensraumDen Bastion-Host konfigurierenDie Zonendaten auf dem Bastion-Host schützenDie fertige KonfigurationViews auf dem Bastion-Host benutzen
Public-Key-Verschlüsselung und digitale SignaturenDer KEY-RecordDer SIG-RecordDer NXT-RecordDie Kette des VertrauensSicherheits-RootsNull-SchlüsselWie die Records benutzt werdenDNSSEC und PerformanceEine Zone signierenIhr Schlüsselpaar erzeugenDie Schlüssel zum Signieren verschickenIhre Zone signierenDNSSEC und Dynamic UpdateSchlüssel verändernWorum ging es hier überhaupt?
Ist nslookup ein gutes Werkzeug?Mehrere ServerTimeoutsDie SuchlisteZonentransfersNIS und /etc/hosts benutzen
Die Datei .nslookuprc
Verschiedene Record-Typen nachsehenAutoritative und nichtautoritative AntwortenNameserver wechseln
Betrachten der Abfrage- und AntwortpaketeAbfragen eines BIND-Nameservers nachempfindenZonentransfers
Die richtigen Daten nachsehenKeine Antwort vom ServerKein PTR-Record für die Nameserver-AdresseAbfrage abgelehntErster resolv.conf-Nameserver antwortet nichtWas wurde nachgesehen?Unspezifizierter Fehler
Das Ausgabeformat von digZonentransfers mit digdig-Optionen
Debugging-LevelWelche Informationen liefert das jeweilige Level?BIND 8-Debugging-LevelBIND 9-Debugging-Level
Debugging-KommandozeilenoptionDas Debugging-Level mit Steuermeldungen ändern
Startup des Nameservers (BIND 8, Debugging-Level 1)Startup des Nameservers (BIND 9, Debugging-Level 1)Ein erfolgreicher Lookup (BIND 8, Debugging-Level 1)Ein erfolgreicher Lookup (BIND 9, Debugging-Level 1)Erfolgreicher Lookup mit wiederholten Übertragungen (BIND 8, Debugging-Level 1)Ein Slave-Nameserver prüft seine Zone (BIND 8, Debugging-Level 1)Ein Slave-Nameserver prüft seine Zone (BIND 9 Debugging-Level 1)
Ist NIS wirklich Ihr Problem?
Wie Sie named-xfer benutzenWas passiert, wenn ich named-xfer nicht besitze?Den Datenbank-Dump interpretierenAbfragen protokollieren
1. Inkrementierung der Seriennummer vergessen2. Neuladen des primären Master-Nameservers vergessen3. Der Slave-Nameserver kann die Zonendaten nicht laden4. Neuen Domain-Namen der Zonendatendatei hinzugefügt, aber den entsprechenden PTR-Record vergessen5. Syntaxfehler in der Konfigurationsdatei oder der Zonendatendatei6. Ein fehlender Punkt am Ende eines Domain-Namens in einer Zonendatendatei7. Fehlende Root-Hints-Daten8. Verlust der Netzwerkverbindung9. Fehlende Subdomain-Delegierung10. Fehlerhafte Subdomain-Delegierung11. Syntaxfehler in resolv.conf12. Lokaler Domain-Name nicht gesetzt13. Antwort von unerwarteter Seite
Verhalten des ResolversVerhalten des Nameservers
Zonentransfer schlägt wegen proprietärer WINS-Records fehlNameserver meldet »No NS Record for SOA MNAME«Nameserver meldet »Too Many Open Files«Resolver meldet »Looked for PTR, Found CNAME«Nameserver startet nicht, weil UDP-Prüfsummen deaktiviert sindDer SunOS-Resolver ist konfiguriert, aber der Host verwendet kein DNSAndere Nameserver speichern Ihre negativen Antworten nicht im CacheTTL ist nicht gesetzt
Ein lokaler Name kann nicht nachgesehen werdenEntfernte Namen können nicht nachgesehen werdenFalsche oder inkonsistente AntwortLookups dauern sehr langeDie rlogin- und rsh-Zugangsprüfung schlägt fehlZugriff auf Dienste verweigertNameserver lädt alte DatenAlte DelegierungsinformationenRegistrierung eines Nicht-NameserversWoran liegt es?
Shell-Skript-Programmierung mit nslookupEin typisches ProblemDieses Problem mit einem Skript lösen
DNS-PaketformatSpeicherung von Domain-NamenKomprimierung von Domain-NamenDie Resolver-BibliotheksroutinenDie _res-StrukturDie Nameserver-BibliotheksroutinenDNS-Antworten analysierenEin Beispielprogramm: check_soa
Resolver-ObjektePaket-ObjekteHeader-ObjekteFrage-ObjekteResource Record-ObjekteEine Perl-Version von check_soa
CNAME-Records verwendenAn innere Knoten angehängte CNAMEsAuf CNAMEs verweisende CNAMEsCNAMEs in Resource Record-DatenMehrere CNAME-RecordsCNAMEs nachsehenDie Aliase eines Hosts ermitteln
Wodurch werden Wählversuche verursacht?Einwahlversuche vermeidenManuelle Einwahl mit nur einem HostManuelle Einwahl mit mehreren HostsBedarfsorientierte Einwahl mit nur einem HostBedarfsorientierte Einwahl mit mehreren HostsAutoritative Nameserver über bedarfsorientierte Einwahlverbindungen betreiben
Host-InformationenAFSDBX25, ISDN und RTStandortSRV
Wie Windows 2000 die dynamische Aktualisierung benutztProbleme mit Windows 2000 und BINDSichere dynamische AktualisierungBIND und GSS-TSIGWas tun?Mit Windows 2000-Clients umgehenMit Windows 2000-Servern umgehen
Format der Master-DateiSchreibweiseTypenHINFO host informationMB mailbox domain name (experimentell)MD mail destination (überholt)MF mail forwarder (überholt)MINFO mailbox oder mail list information (experimentell)MR mail rename (experimentell)MX mail exchangerNS name serverNULL null (experimentell)PTR pointerSOA start of authorityTXT textWKS well-known servicesNeue Typen aus RFC 1183afsdb andrew file system data base (experimentell)ISDN Integrated Services Digital Network address (experimentell)RP Responsible Person (experimentell)RT Route Through (experimentell)X25 X.25 address (experimentell)Neue Typen aus RFC 1664PX-Zeiger auf X.400/RFC 822-AbbildungsinformationenKlassen
NachrichtenformatFormat des Header-AbschnittsFormat des Frage-AbschnittsQCLASS-WerteQTYPE-WerteFormat der Antwort-, Autoritäts- und Zusätzliches-AbschnitteReihenfolge der Datenübertragung
DatenformatDomain-NameNachrichtenkomprimierungZeichen-String
Anweisungen für BIND 8.2.3Den Quellcode besorgenEntpacken des QuellcodesDie richtigen Compiler-Einstellungen verwendenAlles übersetzen
Den Quellcode besorgenEntpacken des QuellcodesConfigure ausführen und alles übersetzen
Anweisungen in der Boot-Datei eines BIND-Nameservers und in der Konfigurationsdatei
directoryprimarysecondarycacheforwarderssortlistslaveinclude (4.9+)stub (4.9+)options (4.9+)options forward-onlyoptions no-recursionoptions no-fetch-glueoptions query-logoptions fake-iquerylimit (4.9+)limit transfers-inlimit transfers-per-nslimit datasizexfrnets (4.9+)bogusns (4.9+)check-names (4.9.4+)
aclcontrols (8.2+)includekey (8.2+)loggingoptionsservertrusted-keys (8.2+)zone
aclcontrolsincludekeyloggingoptionsservertrusted-keysviewzone
domainsearchnameserverund # (4.9+)sortlist (4.9+)options ndots (4.9+)options debug (4.9+)options no-check-names (8.2+)options attempts (8.2+)options timeout (8.2+)options rotate (8.2+)

Content preview from DNS und Bind

Kapitel 10. Fortgeschrittene Eigenschaften

»Aber was haben Namen für einen Sinn, wenn man nicht drauf hört?« fragte die Mücke.

Die neuesten BIND-Nameserver, die Versionen 8.2.3 und 9.1.0, besitzen sehr viele neue Funktionen. Zu den wichtigsten Neuerungen gehören die Unterstützung dynamischer Aktualisierungen, asynchrone Benachrichtigungen über Zonenänderungen (kurz »NOTIFY«) und inkrementelle Zonentransfers. Die meisten anderen neuen Funktionen dienen der Sicherheit: Mit ihrer Hilfe können Sie Ihrem Nameserver mitteilen, wessen Abfragen er beantworten, wem er Zonentransfers anbieten und wem er dynamische Aktualisierungen verbieten soll. Viele Sicherheitseigenschaften werden innerhalb von Unternehmensnetzwerken nicht benötigt, aber andere Mechanismen ...