DNS-Software sollte nach ihrer Rolle und den betrieblichen Anforderungen ausgewählt werden, nicht anhand eines universell „besten Servers“. Ein autoritativer Dienst veröffentlicht Zonen; ein rekursiver Dienst beantwortet Clientanfragen durch Auflösung und Caching; ein weiterleitender Resolver sendet Abfragen an einen anderen Resolver. Das Verbinden dieser Rollen verändert die Angriffsfläche.
DNS · Lektion 5
DNS einrichten
Lerne, autoritative oder rekursive DNS-Dienste auszuwählen, abzusichern, zu validieren und zu betreiben.
Rolle und Implementierung auswählen
- BIND kann mit umfassender Standardunterstützung autoritative und rekursive Dienste bereitstellen.
- Unbound wird häufig als validierender rekursiver Resolver eingesetzt.
- dnsmasq bietet leichtgewichtige Weiterleitung, Caching und DHCP-Funktionen für kleinere kontrollierte Netzwerke.
- PowerDNS bietet getrennte autoritative und rekursive Produkte mit verschiedenen Daten-Backends.
Funktionen und Paketierung ändern sich. Ziehe deshalb die offizielle Dokumentation der installierten Version heran. Stelle nur die benötigte Rolle bereit und deaktiviere unbeabsichtigte Rekursion oder Zonenbereitstellung.
Welche Rolle veröffentlicht die maßgeblichen Einträge der von ihr bereitgestellten Zonen?
Vor der Installation planen
Definiere Zonen, Clients, Abfragevolumen, Aktualisierungsmechanismus, DNSSEC-Bedarf, Protokollierung, Überwachung, Sicherungen und Wiederherstellung. Autoritative Zonen benötigen redundante Server und richtig registrierte Delegierungen. Ein rekursiver Dienst braucht ausdrückliche Client-Zugriffskontrollen, Cache-Richtlinien, Erreichbarkeit von Upstreams oder der iterativen Hierarchie und Schutz vor Missbrauch.
Stelle niemals uneingeschränkte Rekursion im Internet bereit. Offene Resolver können für Reflexionsangriffe missbraucht werden und lokale Ressourcen verbrauchen.
Warum sollten rekursive Abfragen auf autorisierte Clients beschränkt werden?
Konfiguration und Zonendaten validieren
Verwende vor einem Neuladen die Syntax- und Zonenprüfwerkzeuge der Implementierung. Häufige Beispiele für BIND sind:
$ named-checkconf
$ named-checkzone example.com /etc/bind/zones/db.example.com
Führe sie mit den für den Host passenden Berechtigungen und Pfaden aus. Eine erfolgreiche Parserprüfung beweist weder Delegierung und Verbreitung der Seriennummer noch DNSSEC-Vertrauenskette, Firewall-Erreichbarkeit oder richtige Antworten. Führe deshalb kontrollierte Abfragen durch.
Was beweist eine erfolgreiche Syntaxprüfung der Zone nicht?
Sicher anwenden und testen
Bewahre die aktuelle Konfiguration und den Wiederherstellungszugang, validiere und lade anschließend neu, statt den Dienst neu zu starten, sofern dies unterstützt wird. Frage jeden autoritativen Server bei deaktivierter Rekursion direkt ab und vergleiche SOA-Seriennummer, NS-Gruppe, positive Einträge, nicht vorhandene Namen sowie das Verhalten über UDP und TCP:
$ dig @192.0.2.53 example.com SOA +norecurse
$ dig @192.0.2.53 missing.example.com A +norecurse
$ dig @192.0.2.53 example.com SOA +norecurse +tcp
Teste für Rekursion zugelassene und abgelehnte Clientnetze, DNSSEC-Validierung, Cache-Verhalten und den Ausfall von Upstream-Abhängigkeiten.
Warum fragst du einen autoritativen Server mit +norecurse ab?
Den Dienst betreiben
Überwache Abfragefehler, Latenz, Cache-Verhalten, Ressourcenverbrauch, Zonenübertragungen, Konsistenz der Seriennummern, DNSSEC-Ablauf und Zustand der Delegierung. Sichere Quellkonfiguration und Signaturmaterial geschützt, prüfe aber auch, ob eine frische Instanz die Zonen laden und richtige Antworten bereitstellen kann. Aktualisiere unterstützte Versionen und begrenze Steuerungsschnittstellen, dynamische Aktualisierungen und den Zugriff auf Übertragungen.
Was sollte die Redundanzprüfung für autoritatives DNS umfassen?
Lektion abgeschlossen
Sie haben DNS einrichten abgeschlossen
Du kannst eine DNS-Bereitstellung nun um ausdrückliche Autoritäts- oder Rekursionsrollen herum entwerfen.
Wähle Software erst nach Festlegung der benötigten Rolle.
Beschränke Rekursion und Verwaltungsschnittstellen.
Validiere Konfiguration und Zonen vor dem Neuladen.
Teste Autorität, Ablehnung, Transport und Client-Richtlinie direkt.
Überwache Redundanz, DNSSEC, Datenkonsistenz und Wiederherstellung.
Lernfortschritt speichern
Erstellen Sie ein kostenloses Konto, um diese Lektion zu speichern und auf jedem Gerät weiterzulernen.
Kostenloses Konto erstellen