LOSLIER Mathieu. Filière Informatique et Réseau 1 ère année. TP DNS. Responsable : LOHIER Stephane. Chargé de TD : QUIDELLEUR Aurélie

Transcription

1 LOSLIER Mathieu Filière Informatique et Réseau 1 ère année. TP DNS Responsable : LOHIER Stephane Chargé de TD : QUIDELLEUR Aurélie Le 24 Novembre 2010

2 Table des matières 1. Intoduction Préliminaires Configuration du client etc/hosts etc/resolv.conf Test de la configuration Utilisation de la résolution de noms Déterminer l adresse de Analyse de la réponse DNS L option +trace Rechercher plusieurs fois l adresse Déterminer les serveurs de noms de domaine Les entrés de type SOA Durée de validité d une adresse Obtenir un nom de machine nom canonique ou alias? Déterminez les serveurs d échange de courrier Installation d un serveur DNS primaire Téléchargement et installation de bind Description du fichier /etc/bind/named.conf Configuration du fichier named.conf.local Configuration du fichier db.mydomain1.net Configuration du fichier db.inv.mydomain1.net Test Analyse DNS Création administrative d un domaine Conclusion

3 3

4 1. Intoduction Le but de ce TP est de configurer la résolution de nom sous Linux et d installer un serveur DNS (Domain Name System). Le DNS est un système permettant d établir une correspondance entre une adresse IP et un nom de domaineet, plus généralement, de trouver une information à partir d un nom de domaine. 2. Préliminaires Dans le but de réaliser une installation propre de bind9, nous effectuons d abord sa désinstallation à l aide des commandes suivantes : # apt-get remove bind # apt-get purge bind /etc/bind# rm -rf * Ensuite nous arrêtons le service dhcpclient. # ps aux grepdhcpclient 3. Configuration du client 3.1 /etc/hosts Ce fichier contient les résolutions statiques. En d autres termes, une adresse IP correspond à un nom de domaine. Voici le contenu du fichier : local local.localdomain 3.2 /etc/resolv.conf Ce fichier permet de configurer le client DNS. C est ici que l on indique les domaines dans lesquels la machine va chercher l hôte. Dans le TP, nous configurons notre machine pour qu elle utilise comme serveur de nom et qu elle fasse autorité sur les domaines univ-mlv.fr et jussieu.fr. 4

5 3.3 Test de la configuration Nous allons essayer d utiliser le service de résolution de noms. Après avoir configuré les fichiers resolv.conf et host, nous faisons un ping vers une machine de la salle de TP : root@pccop0b004-2:~# ping pccop0b004-1 ping: unknown host pccop0b004-1 On ne peut pas communiquer avec le nom d'une machine voisinecar elle n est pas définie dans le fichier hosts. Nous faisons un ping vers shiva : La communication avec la machine shiva fonctionne dès lors que la machine qui fait autorité sur le domaine jussieu.fr est rentrée dans le fichier resolv.conf. 5

6 4. Utilisation de la résolution de noms 4.1 Déterminer l adresse de Pour déterminez l adresse de on utilise la commande dig. La commande digaccepte de nombreuses options. Dans son format le plus simple, elle s utilise avec le nom à résoudre, ce qui est équivalent à une requête de type A (pour Adress), comme indiqué dans la section QUESTION. Si aucun serveur DNS n est spécifié, alors la requête est faite auprès du serveur DNS configuré localement (dans /etc/resolv.conf). Le serveur DNS nous répond dans la section ANSWER en nous indiquant l adresse correspondant à la ressource recherchée. Ici l adresse de est

7 4.2 Analyse de la réponse DNS Le champ flags nous indique, entre autres, si le serveur DNS supporte la récursion : flags : qr rd ra ; Le flag ra (RecursionAvailable) nous indique que le serveur supporte la récursion. Il est également possible de savoir si la réponse fait autorité. Ici ce n est pas le cas car il n y a pas de flag aa(authoritativeanswer). Voici le détail des flags avec wireshark : Pour obtenir une réponse faisant autorité sur la zone inria.fr, il faut faire une requête à un serveur faisant autorité sur cette zone. Il faut donc obtenir le nom de ce serveur en spécifiant à la commande dig que notre question porte sur le serveur faisant autorité, c est une requête du type SOA (Start Of Authority). # dig soa ; <<>>DiG P3<<>> soa ;; global options: printcmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 8237 ;;flags: qrrdra; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL:0 ;; QUESTION SECTION: ; IN SOA ;; AUTHORITY SECTION: inria.fr IN SOA dns.inria.fr. 7

8 Maintenant on peut interroger le serveur DNS dns.inria.fr sur la zone inria.fr, sur laquelle il fait autorité. # ; <<>>DiG ; (1 server found) ;; global options: printcmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: ;;flags: qraard; QUERY: 1, ANSWER: 1, AUTHORITY: 7, ADDITIONAL:6 ;; QUESTION SECTION: ; IN A Le champ flags contient le flag aa (AuthoritativeAnswer), la réponse fait donc autorité.quant au flag rd (RecursionDesired) qui est seul(rd!= rd ra), il nous indique que ce serveur ne supporte pas la récursion. flags : qraa rd ; Profitons-en pour étudier le cas où un serveur DNS ne supporte pas la récursion et qu il ne connaît pas la réponse à notre question. Nous pouvons voir qu il n y a aucune réponse (section ANSWER) à notre question (section QUESTION). Il faut donc interroger un serveur faisant autorité sur la zone univ-mlv.fr pour obtenir une réponse (section AUTHORITY). Le serveur nous invite donc à interroger helios.univ-mlv.fr. 8

9 4.3 L option +trace L option +trace dedig permet d afficher les différents serveurs DNS utilisés pour obtenir une réponse à une requête donnée. Avec cette option, dig interroge directement un root server et fait ensuite des requêtes itératives sur chaque serveur faisant autorité jusqu à obtenir l adresse correspondant au nom voulu. Par exemple : Pour trouver la réponse, nous sommes passés par les serveurs suivants : (serveur local) - j.root-servers.net - d0.org.afilias-nst.org - ns1.w3.org La réponse est récursive, c est le serveur root DNS qui se charge de faire appel aux serveurs DNS jusqu à la résolution du nom recherché. 9

10 4.4 Rechercher plusieurs fois l adresse Lorsqu on recherche plusieurs fois on remarque que les adresses des serveurs de la section AUTHORITY à chaque requête. Cette implémentation permet de mieux répartir la charge sur les différents serveurs DNS. Ainsi, en cas de panne d un serveur DNS, le service de résolution de nom reste toujours fonctionnel pour les utilisateurs. 4.5 Déterminer les serveurs de noms de domaine Pour déterminer quels sont les serveurs de noms du domaine univ-mlv.fr, nous utilisons la commande digen lui spécifiant qu il s agit d une requête SOA (Start Of Authority). Deux serveurs de noms (type NS : Name Server)sont trouvés : saintex.univ-mlv.fr et helios.univ-mlv.fr. Ces serveurs contiennent les informations concernant la zone univ-mlv.fr. Le serveur primaire est donchelios.univ-mlv.fr(section ANSWER)puisqu il est de type SOA (Start Of Authority),il fait donc autorité sur la zone. 10

11 4.6 Les entrés de type SOA Les entrées de type SOA du donnent les informations générales de la zone, tels que : - Le nom du serveur DNS primaire pour la zone - L adresse électronique du responsable technique de la zone (hostmaster). - Le numéro de série de la zone : les serveurs secondaires interrogent régulièrement le serveur primaire de chaque zone pour déterminer si la zone a été mise à jour, dans ce cas il est incrémenté. - L intervalle entre les rafraichissements de la zone (refresh) : temps en secondes entre les vérifications du numéro de série par les serveurs secondaires. - L intervalle à respecter avant de tenter un nouvel essai en cas d échec (retry) : temps en secondes entre les vérifications du numéro de série par les serveurs secondaires si la première vérification a échouée. - La durée d expiration des enregistrements secondaires (expire) : si un serveur secondaire n arrive pas à contacter le serveur primaire de la zone, il continue à répondre aux requêtes pendant un certain temps. - La durée de vie par défaut des enregistrements (default TTL : Time To Live) : l enregistrement est gardé en cache par les serveurs DNS, il est ensuite détruit au bout d un certain temps. dyndns.org. IN SOA ns1.hitfarm.com. hostmaster.hit.farm.com. ( ; numéro de série 600 ; refresh 300 ; retry ; expire 600 ) ; default TTL univ-mlv.fr. IN SOA helios.univ-mlv.fr postmaster.saintex.univ-mlv.fr. ( ; numéro de série ; refresh 3600 ; retry ; expire 600 ) ; default TTL On constate que la valeur refresh de dydns.org. est bien inférieure à celle de univmlv.fr. Ceci s explique par le fait que DynDns est un service permettant d obtenir un nom de domaine fixe à partir s une adresse IP qui peut changer. Si l adresse IP change, il faut donc propager rapidement l information aux serveurs secondaires, d où une valeur de rafraichissement de 10 minutes (600s). 11

12 4.7 Durée de validité d une adresse La durée de validité d une adresse est désignée par le TTL (Time To Live). Il correspond au temps pendant lequel un autre serveur DNS a le droit de conserver les informations en cache.les informations sont détruites une fois le TTL atteint. Lorsqu un serveur est interroger pour la première fois, il stocke les informations en cache, puis, il décrémente progressivement le TTL. Quand le TTL atteint 0, les informations sont détruites par le serveur DNS.Par contre, il devra récupérer de nouvelles informations lorsqu il sera de nouveau interroger. Ce principe permet d accélérer les requêtes les plus utilisés en réduisant les échanges d informations entre les serveurs DNS. Le TTL est bien décrémenté de 42 secondes ( ). 12

13 4.8 Obtenir un nom de machine La résolution de nom inverse permet d obtenir un nom à partir d une adresse IP. Avec la commande dig, il faut spécifier l option x pour effectuer une résolution inverse. Dans ce cas, l adresse correspond à gesserit.univ-mlv.fr. Pour savoir quel est le serveur de nom qui gère cette résolution, inverse, il suffit d effectuer une requête de type SOA sur in-addr.arpa. C est hélios.univ-mlv.fr qui gère la résolution de nom. 13

14 4.9 nom canonique ou alias? Nous utilisons la commande dig. Nous pouvons remarquer que dans la section ANSWER, est un alias, le nom canonique est any-rc.a01.yahoodns.net. 14

15 4.10 Déterminez les serveurs d échange de courrier Nous allons déterminer les serveurs d échange de courrier du domaine monge.univ-mlv.fr à l aide de la commande dig à laquelle il faut ajouter l option MX. La requête retourne 3 serveurs mail : - helios.univ-mlv.fr - monge.univ-mlv.fr - saintex.univ-mlv.fr Le nombre précédant leurs noms sont des indices de priorité. Le serveur prioritaire est celui ayant le plus grand nombre, c est donc helios.univ-mlv.fr. 15

16 5. Installation d un serveur DNS primaire 5.1 Téléchargement et installation de bind Tout d abord, nous installons le paquet bind en root pour monter notre serveur DNS. # apt-getinstall bind9 Nous ouvrons ensuite le fichier log du système /var/log/syslog à l aide de la commande suivante : # tail f /var/log/syslog De cette façon, nous pouvons voir l activité de bind en temps réel. On démarre ensuite le serveur DNS avec la commande : # /etc/init.d/bind9 start Le serveur DNS se lance normalement. 5.2 Description du fichier /etc/bind/named.conf Ce fichier contient les déclarations les options générales du serveur DNS, plus particulièrement la description des zones racines, de la boucle locale et de diffusion. Le caractère ; est le séparateur des déclarations. Les commentaires sont indiqués avec //,/* */ ou #. options { directory " /etc/bind "; }; Le code ci-dessus indique dans quel répertoirebind doit chercher les fichiers contenant les déclarations de chaque zone ( /etc/bind ). zone "zone" { type master; file "zone"; }; Nous avons déclaré une zone zone. Ce serveur aura autorité sur cette zone (master) et les déclarations se trouveront dans le fichier zone. 16

17 5.3 Configuration du fichier named.conf.local Nous allons créer une nouvelle zone mydomain1 sur laquelle nous avons autorité (master). Le fichier db.mydomain1.net contiendra les déclarations. Nous avons aussi besoin d une autre zone pour la résolution inverse in-addr.arpa, avec le fichier associé db.inv.mydomain1.net. La zone de résolution inverse de noms correspondra aux adresses IP du type X.X. Nous allons ensuite créer les fichiers db.mydomain1.net et db.inv.mydomain1.net. 5.4 Configuration du fichier db.mydomain1.net Voici donc le contenu du fichier db.mydomain1.net : Nous pouvons remarquer qu il s agit des entrées du type SOA (Start Of Authority). Nous avons juste ajouté la configuration du nom de domaine ainsi que son adresse IP. 17

18 5.5 Configuration du fichier db.inv.mydomain1.net Voici donc le contenu du fichier db.inv.mydomain1.net : 5.6 Test Après avoir redémarré notre serveur DNS (# etc/init.d/bind9 restart), nous pouvons le tester en effectuant les requêtes suivantes : Nous pouvons remarquer que la requête a été transmise avec succès, puisque nous avons bien une réponse dans la section ANSWER correspondant à l adresse IP La résolution de nom inverse fonctionne (IP -> nom). 18

19 Nous avons bien une réponse dans la section ANSWER correspondant au nom de domaine pc1.mydomain1.net, donc la résolution de nom (nom -> IP) fonctionne correctement. Nous avons également essayé d effectuer la commande dig à partir d une machine voisine (en modifiant le fichier resolv.conf) pour vérifier que notre serveur DNS soit capable de résoudre à distance les noms enregistrés, et ce test a été concluant. 19

20 6. Analyse DNS A l aide de notre navigateur, nous lançons une requête http vers En utilisant le logiciel Wireshark, nous capturons la trame Ethernet. En appliquant un filtre sur les requêtes DNS uniquement, nous pouvons voir l envoi de la requête DNS au nom de domaine et surtout la résolution de nom qui permet d obtenir l adresse IP correspondante ( ). Le fichier host ne contient pas la déclaration de l adresse il est donc nécessaire de faire appel au service DNS pour la résolution de nom. 20

21 Intéressons-nous maintenant au contenu des trames : Ici, nous voyons que le protocole de niveau transport utilisé est UDP. Le port de destination est le 53. Cependant nous pouvons remarquer d autres informations concernant cette trame : La requête envoyée est standard. La demande effectuée est récursive, nous voulons uniquement l adresse IP du site et non l adresse d un autre serveur DNS faisant autorité sur une zone. Une seule question est posée : quelle adresse IP correspond à 21

22 Nous pouvons également nous intéresser à la partie Queries : Celle-ci nous donne plusieurs informations sur la requête : - la zone recherchée : nous cherchons son adresse IP. - le type «A» indique que l'enregistrement de ressource stocke des informations sur les adresses d'hôtes. Ceci est appelé un RR Ressource Records, c est l unité employée afin de référencer les données des serveurs de noms. Chaque nom de domaine possède son propre RR. - le champ Class désigne la classe d enregistrement. Les ressources d enregistrements (RR) sont réparties en classe, IN correspond à la classe INternet. Analysons à présent la réponse de serveur DNS : Nous pouvons voir la présence de la section Answers, Authoritativenameservers et Additional records similaire à la commande dig. Nous pouvons voir que la requête est récursive (Answers), car il y a plusieurs réponses. Une requête récursive facilite le travail de notre machine, c est les serveurs DNS qui prennent en charge notre demande en interrogeant les autres serveurs DNS faisant autorité sur une zone plus étendue. Notre machine envoi un nom au premier serveur DNS qui s occupe de lui retourner directement l adresse IP correspondante, avec un travail de récursivité si besoin. Contrairement au mode itératif, où notre machine envoi une demande, un premier serveur DNS nous réponds qu il faut interroger un deuxième serveur DNS susceptible de connaitre la réponse, la machine demande alors au deuxième serveur DNS, et ainsi de suite jusqu'à trouver une réponse. Il existe également un mode itératif-récursif qui propose une alternative afin de soulager le serveur racine, qui est très fortement sollicité. La réponse contient 3 RR, de type A (Adress). Dans notre cas, est lié à 3 serveurs différents (Answers). 22

23 7. Création administrative d un domaine Dans un premier temps, il convient de choisir le nom de domaine souhaité.celui-ci doit être disponible avec le TLD désiré (.com,.net,.fr etc...). Ensuite, il suffit de se rendre sur un site d enregistrement de domaine tel que et d y créer son nom de domaine. Diverses informations concernantle propriétaire du domaine seront demandées, comme le nom, prénom, adresse etc. Il faut préciser les serveurs de noms en charge de ce domaine. Il suffit d indiquerl adresse IP du serveur DNS, et créer dans la configuration de ce dernier, une zonecorrespondant au domaine en question. Après propagation des informations concernant les name servers du domaine ilpourra être géré via le serveur DNS. 23

24 Conclusion Ce TP nous a permis de découvrir le fonctionnement et la configuration des serveurs DNS. Les différentes commandes et options utilisées (dig, ping, +trace, ) pour pouvoir obtenir des informations importantes sur les requêtes, les réponses transmises ainsi que les différents serveurs utilisés.après avoir analysé minutieusement les trames à l aide du logiciel wireshark, la résolution de noms n a maintenant plus de secret pour nous. 24