View source for Split DNS

Autor: Deniss Krajuhhin, AK31

== Mis on Split DNS ==
''Split DNS''-i (ka ''Split-horizon DNS, split-view DNS, split-brain DNS'') võiks eesti keeles nimetada jagatud DNS-iks, mille eesmärk on loogiliselt või füüsiliselt üks teisest eraldada DNS päringud ja vastused samade ressursside kohta lähte IP-aadressi alusel. Ehk teisi sõnu saab üks teisest eraldada oma sisevõrgust ja väljast poolt, Internetist, tulevad DNS päringud. Juhul kui peab tagama nimeserveripoolset lahendust nii sise- kui ka välistele klientidele samalt nimeserverilt, see oluliselt tõstab oma IT infrastruktuuri turvalisust<ref>[https://www.howtoforge.com/two_in_one_dns_bind9_views Two-in-one DNS server with BIND9]</ref>.

Jagatud DNS-i juurutamiseks võib kasutada järgmisi arhitektuurilisi lähenemisi: eraldiseisev DNS server väliste teenuste tarbeks (näiteks DMZ-i paigaldatuna), üks DNS server kahe eraldi võrguliidesega väliste ja sisemiste ühenduste jaoks ning üks ühe võrguliidesega DNS server. Viimase kahe puhul kasutatakse välise ja sisemise tsooni loogilist eraldamist<ref>[http://en.wikipedia.org/wiki/Split-horizon_DNS Wikipedia]</ref>.

Antud artikkel käsitleb kahte viimast, ühel nimeserveril põhineval jagatud DNS-i lahenduse rakendamist.

NB! Jagatud DNS-i rakendamisel ''production'' keskkonnas tuleb lähtuda organisatsiooni infoturbepoliitikast või selle puudumisel rakendada piisavad abinõud oma DNS serveri kaitsmiseks (tulemüüri taha paigutamine, NAT-i kasutamine, oma nimeserveri mitte ''OpenResolever''-iks konfigureerimine jms.).

== Eeldused ==
Antud lahenduse rakendamise eelduseks on IT infrastruktuuri teenuste DNS labori edukas kaitsmine või vastaval tasemel BIND9 nimeserveri seadistamise ja haldamise tundmine.
Siin kasutatud näited põhinevad Ubuntu Server versioonil 14.04.1 ning lähtekohaks on võetud IT infrastruktuuri teenuste aine Labor 2 (DNS labor) lõppseis<ref>[https://docs.google.com/document/d/1ZeQpPXdVq1C7RQpxQYR0gBB0OBMYB_0g6aFFxs_-fIA/edit DNS labori näitelahendus]</ref>.

== Lähtekoht ==
Labor 2-es paigaldatud nimeserveri konfifailis <b>/etc/bind/named.conf.local</b> said kirjeldatud nimeserveri tsoonid järgnevalt: 

<pre>
sudo /etc/bind/named.conf.local
</pre>

Faili <b>etc/bind/named.conf.local</b> konfiguratsioon: 

<pre>

zone "tsooni_nimi.zz" {
        type master;
        file "/var/lib/bind/tsooni_nimi.zz";
};

zone "56.168.192.in-addr.arpa" {
        type master;
        file "/var/lib/bind/rev.tsooni_nimi.zz";
};

zone "sõbratsoon.zz" {
        type slave;
        file "/var/lib/bind/sõbra_tsoon.zz";
        allow-notify {sõbra_dns_ip;};
        masters {sõbra_dns_ip;};
};
</pre>

Failis <b>/etc/bind/named.conf.options</b> aga sai konfigureeritud kontrollnimekiri,''acl'', mille alusel sai defineeritud, millistest võrkudest ja mis õigustega on lubatud päringud nimeserveri vastu.

<pre>
sudo /etc/bind/named.conf.options
</pre>

Faili <b>etc/bind/named.conf.options</b> konfiguratsioon:
<pre>
acl sisev6rk {192.168.56.0/24;10.1.0.0/16;};

options {
        directory "/var/cache/bind";

        forwarders {
                172.16.0.105;
                8.8.8.8;
                8.8.4.4;
        };

        allow-recursion {sisev6rk;};
        allow-transfer {sisev6rk;};
        allow-query {sisev6rk;};
        auth-nxdomain no;    # conform to RFC1035
        listen-on-v6 { any; };
};
</pre>

Tsooni <b>tsooni_nimi.zz</b> konfiguratsioonifaili sisu:

<pre>
;
; BIND data file for tsooni_nimi.zz
;
$TTL    600
@       IN      SOA     tsooni_nimi.zz. root.tsooni_nimi.zz. (;root.tsooni_nimi.zz on meiliaadress. esimest punkti asendatakse @-ga
                              2         ; Serial
                         604800         ; Refresh
                          86400         ; Retry
                        2419200         ; Expire
                         600 )  ; Negative Cache TTL
;
@       IN      NS      ns.tsooni_nimi.zz.
ns.tsooni_nimi.zz. IN      A       192.168.56.201
www     IN      CNAME   server
server  IN      A       192.168.56.200
veeb    IN      CNAME   server
dvwa    IN      A       192.168.56.2
wp      IN      A       192.168.56.3

</pre>

== Jagatud DNS-i seadistamine ==
Antud näites jagatud DNS-i seadistamiseks kasutan ''BIND9'' funktsionaalsust ''View'', mille rakendan ''BIND9'' konfiguratsioonifaili <b>/etc/bind/named.conf.local</b> kaudu. ''View'' võimaldab suunata kliente neile lubatud ressursidele selles kirjeldatud parameetrite alusel.

<pre>
sudo nano /etc/bind/named.conf.local
</pre>

Kirjeldan erinevad ''View''-d failis <b>/etc/bind/named.options</b> ''acl''-i alusel:

<pre>
view "sise" {
    match-clients { sisev6rk; };
    zone "tsooni_nimi.zz" {
        type master;
        file "/var/lib/bind/tsooni_nimi.zz";
    };
    zone "56.168.192.in-addr.arpa" {
        type master;
        file "/var/lib/bind/rev.tsooni_nimi.zz";
    };
    zone "sõbratsoon.zz" {
        type slave;
        file "/var/lib/bind/sõbra_tsoon.zz";
        allow-notify {sõbra_dns_ip;};
        masters {sõbra_dns_ip;};
    };

};

view "external" {
    match-clients { any; };
    zone "tsooni_nimi.zz" {
        type master;
        file "/etc/bind/external/tsooni_nimi.zz";
    };
};
</pre>

Juhul kui väliseid kliente on vaja üks teisest kuidagi eristada, näiteks riigi või organisatsiooni IP-aadressi alusel, siis võib luua täiendavaid ''acl''-e ka väliste klientide jaoks. Sellisel juhul erinevatele välistele klientidele oleks võimalik ette sööta erinevaid tsoonifaile, mis peaksid olema kirjeldatud vastavate ''View''-de all.

Kuna "external" ''View''-s oleme viitanud ka uuele faili asukohale, siis tuleb vastav tsoonifail, antud juhul /var/lib/bind/tsooni_nimi.zz kopeerida viidatud asukohta ja ka selles olevad IP-aadressid ära muuta:

<pre>
sudo cp /var/lib/bind/tsooni_nimi.zz /var/lib/bind/external/tsooni_nimi.zz
</pre>

<pre>
sudo nano /var/lib/bind/external/tsooni_nimi.zz
</pre>

Asendan sisevõrgu IP-aadressid vastavate väliste IP-aadressidega (antud näites hostide ja aliaste IP-aadressite seadistamist ei käsitleta):

<pre>
;
; BIND data file for tsooni_nimi.zz
;
$TTL    600
@       IN      SOA     tsooni_nimi.zz. root.tsooni_nimi.zz. (;root.tsooni_nimi.zz on meiliaadress. esimest punkti asendatakse @-ga
                              2         ; Serial
                         604800         ; Refresh
                          86400         ; Retry
                        2419200         ; Expire
                         600 )  ; Negative Cache TTL
;
@       IN      NS      ns.tsooni_nimi.zz.
ns.tsooni_nimi.zz. IN      A       väline_IP
www     IN      CNAME   server
server  IN      A       väline_IP
veeb    IN      CNAME   server
dvwa    IN      A       väline_IP
wp      IN      A       väline_IP
</pre>

Muudatuste rakendamiseks tuleb taaslaadida nimeserveri teenus:

<pre> sudo service bind9 reload</pre>

== Turvalisus ==
Selleks, et DNS server ei teenindaks suvalisi väljastpoolt tulevaid päringuid, on vaja ära muuta selle funktsionaalsust.

Esiteks, selleks et tõkestada väljast tulevate päringute edasi saatmist teistele DNS serveritele, tuleb tõsta <b>/etc/bind/named.conf.options</b> failis oleva ''forwarders'' kirjelduse sisu sisevõrgu ''View'' alla (vanas asukohas tuleb selle aga kindlasti kustutada)<ref>[http://www.zytrax.com/books/dns/ch7/queries.html#forwarders Zytrax.com]</ref>:

<pre>
sudo nano /etc/bind/named.conf.local
</pre>

<pre>
view "sise" {
    match-clients { sisev6rk; };
    zone "tsooni_nimi.zz" {
        type master;
        file "/var/lib/bind/tsooni_nimi.zz";
    };
    zone "56.168.192.in-addr.arpa" {
        type master;
        file "/var/lib/bind/rev.tsooni_nimi.zz";
    };
    zone "sõbratsoon.zz" {
        type slave;
        file "/var/lib/bind/sõbra_tsoon.zz";
        allow-notify {sõbra_dns_ip;};
        masters {sõbra_dns_ip;};
    };
    forwarders {
                172.16.0.105;
                8.8.8.8;
                8.8.4.4;
    };
};
</pre>

Teiseks, tuleb keelata väljastpoolt tulevaid rekursiivseid päringuid<ref>[https://www.howtoforge.com/two_in_one_dns_bind9_views Two-in-one DNS server with BIND9]</ref><ref>[http://www.zytrax.com/books/dns/ch9/close.html Zytrax.com]></ref><ref>[http://www.zytrax.com/books/dns/ch7/queries.html#recursion Zytrax.com]</ref>:

<pre>
view "external" {
    match-clients { any; };
    zone "tsooni_nimi.zz" {
        type master;
        file "/etc/bind/external/tsooni_nimi.zz";
    recursion no;
    };
};
</pre>

== Kokkuvõte ==
Antud artikkel käsitleb kõige lihtsamat jagatud DNS serveri paigaldamise stsenaariumit ''BIND9'' näitel. Väidetavalt tarkvaralist DNS serveri jagamist on võimalik saavutada mis iganes nimeserveri tarkvaraga.
Eelistatum jagatud DNS-i lahendus peaks olema riistvaraline, sest sattugu väline DNS server rünnaku alla, sisemised veebiteenused jäävad selliselt häirimata. Kui aga on vaja mingil põhjusel väljastpoolt saada ligi sisevõrgus olevatele veebiteenustele, siis selleks oleks turvalisem kasutada VPN-i põhiseid lahendusi.

== Kasutatud allikad ==
<references/>