Topic 207: Domain Name Server

Kursvorgaben LPI:

Topic 207: Domain Name Server

207.1 Basic DNS server configuration (weight: 3)

Candidates should be able to configure BIND to function as an authoritative and as a recursive, caching-only DNS server. This objective includes the ability to manage a running server and configuring logging.

Key Knowledge Areas

• BIND 9.x configuration files, terms and utilities
• Defining the location of the BIND zone files in BIND configuration files
• Reloading modified configuration and zone files
• Awareness of dnsmasq, djbdns and PowerDNS as alternate name servers

The following is a partial list of the used files, terms and utilities

• /etc/named.conf
• /var/named/
• /usr/sbin/rndc
• kill
• host
• dig
• hostnamectl persistent und sofort
• hostname nur per system call
• rndc querylog on

Beispiele

• dig
• bind als caching only Nameserver

207.2 Create and maintain DNS zones (weight: 3)

Candidates should be able to create a zone file for a forward or reverse zone and hints for root level servers. This objective includes setting appropriate values for records, adding hosts in zones and adding zones to the DNS. A candidate should also be able to delegate zones to another DNS server.

Key Knowledge Areas

• BIND 9 configuration files, terms and utilities
• Utilities to request information from the DNS server
• Layout, content and file location of the BIND zone files
• Various methods to add a new host in the zone files, including reverse zones
• SOA
• A
• AAAA
• NS
• CNAME
• MX
• TXT
• Glue record
• DNSSEC Verfahren
• DNSKEY
• DS
• RRSIG
• DANE Verfahren
• HTTPS Resource Record
• TLSA
• Eine Zone kann mit Subdomains runter gehen
• Eine Domain ist immer eine Domain
• dnsviz.net
• key signing key
• zone signing key

The following is a partial list of the used files, terms and utilities

• /var/named/
• zone file syntax
• resource record formats
• dig
• nslookup
• host

Beispiele

• Zonendatei
• Nameserver bind

207.3 Securing a DNS server (weight: 2)

Candidates should be able to configure a DNS server to run as a non-root user and run in a chroot jail. This objective includes secure exchange of data between DNS servers.

Key Knowledge Areas

• BIND 9 configuration files
• Configuring BIND to run in a chroot jail
• Split configuration of BIND using the forwarders statement
• Configuring and using transaction signatures (TSIG)
• Awareness of DNSSEC and basic tools
• Awareness of DANE and related records

The following is a partial list of the used files, terms and utilities

• apt install debian.security-support
• isc dhcpd deprecated kea nachfolger
• nicht authoritative antwortde einfach ein kleines bischen langsamer
• ddns-update-style none; // der dhcp server gibt dem dns server die hostnames die die clients mitliefern. eventuell unsicher. none deaktiviert das; der name kommt aber vom client!! nicht aus der host {fixed-addr...} sektion
• use-host-decl-names on; siehe MD dhcpd server
• ip link add name veth0 address 52:54:00:00:01:02 link br0 type macvlan
• ip link del veth0
• dhcpd -T spielt das proto dutrch verwirft die anwort aber
• dhcpcd ersetzt dhclient
• /etc/named.conf
• /etc/passwd
• DNSSEC
• dnssec-keygen
• dnssec-signzone

Beispiele

• bind absichern
• bind-TSIG
• bind-dnssec

getent hosts gibt alle Einträge zurück. getent ahosts die IPv4 Elemente

getent verwendet die lokale nsswitch Bibliothek (im Gegensatz zu z.B. dig). Für lokales Namensauflösungs Troubleshooting also getent verwenden!

Deutlich andere config auf dem NB:

Hier wird z.B. “myhostname” für die Auflösung des lokalen Hostnamen verwendet und damit so was wie Eintrag von 127.0.0.1 in der /etc/hosts obsolet gemacht.

Interne Zone für das LAB: z24.internal

BIND9 Installation

Systemd-resolv vorher entfernen, da dieser Port 53 für sich kapert:

root@vm1:~# apt purge systemd-resolved
REMOVING:
libnss-resolve*  systemd-resolved*

Summary:
Upgrading: 0, Installing: 0, Removing: 2, Not Upgrading: 0
Freed space: 1227 kB

Continue? [Y/n] y
(Reading database ... 22462 files and directories currently installed.)
Removing libnss-resolve:amd64 (257.13-1~deb13u1) ...
Removing systemd-resolved (257.13-1~deb13u1) ...
Processing triggers for man-db (2.13.1-1) ...
Processing triggers for dbus (1.16.2-2) ...
Processing triggers for libc-bin (2.41-12+deb13u3) ...
(Reading database ... 22423 files and directories currently installed.)
Purging configuration files for libnss-resolve:amd64 (257.13-1~deb13u1) ...
Purging configuration files for systemd-resolved (257.13-1~deb13u1) ...

RNDC ist das Tool um den Status zu prüfen, den Cache zu flushen etc.

TIPP: Als Seriennummer am besten etwas wie “20260520001” verwenden. Datum plus folgender zwei oder dreistelliger Nummer, damit gleich nachvollziehbar ist, wann die Änderung durchgeführt wurde.

Das Zonenfile kann man sehr elegant verkleinern:

Bind als non root (default) : bind9 -u <Username>

Bind in einem CHROOT environment : bind9 -t <chroot pfad>

DNS Record Types:

• A
• AAAA
• SOA
• NS
• CNAME
• MX
• PTR
• TXT
• DNSKEY (DNSSEC)
• DS (DNSSEC)
• RRSIG (DNSSEC)
• TLSA (DANE)