DNS

3.6. DNS#

Nubus für UCS integriert BIND für die Namensauflösung über das Domain Name System (DNS). Der DNS-Server stellt die Namensauflösung für das lokale Netzwerk bereit. BIND ist auf allen Directory Node Rollen von Nubus für UCS verfügbar. Nubus für UCS unterstützt keine Installation von BIND auf anderen Systemrollen.

Informationen zur Konfiguration der Nameserver, die ein Nubus für UCS System verwendet, finden Sie unter Netzwerkkonfiguration.

3.6.1. DNS-Zonen#

DNS-Zonen organisieren autoritative DNS-Daten. Jede DNS-Zone hat einen primären Nameserver, der die ursprünglichen Zonendaten bereitstellt. Sekundäre Nameserver können Zonendaten durch Zonentransfers beziehen. Ein SOA-Eintrag markiert den Beginn einer autoritativen Zone und enthält Parameter zur Verwaltung der Zone.

Forward-Lookup Zone

Eine Forward-Lookup Zone enthält Informationen zur Auflösung von DNS-Namen in IP-Adressen.

Reverse-Lookup Zone

Eine Reverse-Lookup Zone enthält Informationen zur Auflösung von IP-Adressen in DNS-Namen.

Siehe auch

Informationen zu den Verwaltungsmodulen für DNS-Zonen finden Sie an den folgenden Stellen im Nubus Handbuch 1.x [3]:

3.6.2. DNS Einträge#

DNS-Einträge enthalten Informationen über DNS-Namen. Informationen zur Verwaltung von DNS-Einträgen finden Sie unter DNS Modul in Nubus Handbuch 1.x [3].

MX Eintrag

Der MX-Eintrag einer Forward-Lookup Zone enthält DNS-Informationen für die Weiterleitung von E-Mails. Er verweist auf den Rechner, der E-Mails für eine Domäne annimmt.

CNAME Eintrag

Ein CNAME-Eintrag, auch Alias-Eintrag genannt, verweist auf einen vorhandenen kanonischen DNS-Namen. Sie können beispielsweise einen Alias-Eintrag mailserver für den tatsächlichen Rechnernamen eines Mailservers erstellen und den Alias in Mailclients eintragen. Beliebig viele CNAME-Einträge können auf denselben kanonischen Namen verweisen.

A und AAAA Einträge

Ein A-Eintrag weist einem DNS-Namen eine IPv4-Adresse zu. Ein AAAA-Eintrag weist einem DNS-Namen eine IPv6-Adresse zu. In Nubus für UCS kann ein Rechnereintrag IPv4- und IPv6-Adressen enthalten.

PTR Eintrag

Ein PTR Eintrag (Pointer Eintrag) löst eine IP-Adresse in einen Rechnernamen auf. In einer Reverse-Lookup Zone ist er das Gegenstück zu einem Rechnereintrag in einer Forward-Lookup Zone.

SRV Eintrag

Ein SRV-Eintrag, in Nubus für UCS Service-Eintrag genannt, speichert Informationen über verfügbare Systemdienste im DNS. In Nubus für UCS machen Service-Einträge unter anderem LDAP-Server oder den Primary Directory Node domänenweit bekannt.

TXT Einträge

TXT-Einträge enthalten menschenlesbaren Text und können beschreibende Informationen über eine Forward-Lookup Zone enthalten.

Siehe auch

Informationen zu den Verwaltungsmodulen für DNS-Einträge finden Sie an den folgenden Stellen im Nubus Handbuch 1.x [3]:

3.6.3. Konfiguration des BIND-Nameservers#

Die folgenden Abschnitte beschreiben die Konfiguration der Debug-Ausgabe von BIND, des Daten-Backends und der Zonentransfers.

3.6.3.1. Konfiguration der Debug-Ausgabe von BIND#

Verwenden Sie die UCR-Variablen dns/debug/level und dns/dlz/debug/level, um den Detailgrad der Debug-Ausgabe von BIND zu konfigurieren. Letztere gilt für das Samba-Backend. Mögliche Werte reichen von 0 bis 11. Stufe 0 deaktiviert die Debug-Ausgabe. Höhere Debug-Stufen von BIND liefern detailliertere Ausgaben. Informationen zur Debug-Protokollierung von BIND finden Sie unter The channel phrase in BIND 9 Administrator Reference Manual [7].

Informationen zum Setzen und Überprüfen einer UCR-Variable finden Sie unter Eine UCR-Variable setzen. Nachdem Sie eine der beiden Debug-Variablen geändert haben, starten Sie den BIND-Dienst als Benutzer root neu, wie in Listing 3.10 gezeigt.

Listing 3.10 BIND nach Änderung der Debug-Stufe neu starten#
$ systemctl restart named

3.6.3.2. Konfiguration des Daten-Backends#

In einer typischen BIND-Installation auf einem System ohne Nubus für UCS konfigurieren Sie BIND durch Bearbeiten von Zonendateien. In Nubus für UCS verwalten Sie DNS-Zonen und -Einträge über Verwaltungsmodule. Diese Module speichern die DNS-Daten im LDAP-Verzeichnis.

BIND kann zwei verschiedene Backends für seine Konfiguration verwenden:

LDAP-Backend

Das LDAP-Backend ist das Standard-Backend und greift auf Daten im LDAP-Verzeichnis zu. Mit diesem Backend verwendet der DNS-Dienst zwei Server. Der BIND-Proxy verwendet den Standard-DNS-Port 53. Ein zweiter Server läuft im Hintergrund auf Port 7777 und bezieht Zonendaten aus LDAP. Der BIND-Proxy dient als sekundärer Server und bezieht Zonendaten durch Zonentransfers vom zweiten Server.

Samba-Backend

Samba/AD stellt eine Active Directory-Domäne bereit. Active Directory ist unter anderem für DNS-Aktualisierungen von Windows-Clients und das Auffinden von NETLOGON-Freigaben auf DNS angewiesen. Mit dem Samba-Backend aktualisiert Samba die DNS-Daten direkt in seiner internen LDB-Datenbank. BIND greift anschließend über seine Dynamically Loadable Zones (DLZ) Schnittstelle auf die Samba DNS-Daten zu.

Mit dem Samba-Backend löst jede DNS-Anfrage eine LDAP-Suche aus. Mit dem LDAP-Backend erfolgt eine Suche im Verzeichnisdienst nur, wenn sich die DNS-Daten geändert haben. Das LDAP-Backend kann daher die Systemlast auf Samba/AD-Systemen reduzieren.

Die UCR-Variable dns/backend wählt das DNS-Backend aus. Der Wert ldap wählt das LDAP-Backend und samba4 das Samba-Backend. Stellen Sie das Backend auf Directory Nodes mit Samba 4 nicht auf ldap ein.

Sie verwalten DNS bei beiden Backends über Verwaltungsmodule.

3.6.3.3. Konfiguration von Zonentransfers#

Standardmäßig erlaubt der Nameserver von Nubus für UCS Zonentransfers von DNS-Daten. Wenn das Nubus für UCS System aus dem Internet erreichbar ist, kann jede Person eine Liste aller Rechnernamen und IP-Adressen anfordern.

Die Methode zur Einschränkung von Zonentransfers hängt vom konfigurierten Daten-Backend ab:

Wenn Sie das LDAP-Backend verwenden, können Sie Zonentransfers deaktivieren oder einschränken, indem Sie die UCR-Variable dns/allow/transfer auf none oder eine Liste zulässiger IP-Adressen setzen.

Nachdem Sie die Variable geändert haben, starten Sie den BIND-Dienst als Benutzer root neu, wie in Listing 3.10 gezeigt.

Wichtig

Für das Samba-Backend (Samba DLZ) reichen die Variable dns/allow/transfer und die standardmäßigen BIND-Optionen allow-transfer nicht aus, um Zonentransfers zu steuern.

Weitere Informationen zu dieser Einschränkung und ihrem aktuellen Status finden Sie unter Bug #55047.

Um zu überprüfen, ob der Server Zonentransfers erlaubt oder verweigert, verwenden Sie den Befehl dig von einem Client-Rechner aus, wie in Listing 3.11 gezeigt. Ersetzen Sie Folgendes:

  • SERVER_IP durch die IP-Adresse des Nameservers, zum Beispiel 192.168.1.1.

  • DOMAIN_NAME durch den Namen der Zone, zum Beispiel domain.lan.

Wenn der Server den Transfer erlaubt, gibt er die vollständige Liste der Zoneneinträge zurück. Wenn der Server den Transfer verweigert, zeigt die Ausgabe die Meldung Transfer failed oder REFUSED.

Listing 3.11 DNS-Zonentransfer überprüfen#
$ dig @SERVER_IP DOMAIN_NAME axfr
Auf dieser Seite