Netzwerkschnittstellen¶

Zur Änderung der Netzwerkschnittstellen muss man in einem Editor mit Root-Rechten ^[2] die Datei named.conf.options bearbeiten und die folgende Zeile in den options-Block eintragen:

        listen-on { 127.0.0.1; 192.168.0.10; };

Die Angabe der IP-Adresse 192.168.0.10 muss natürlich an die IP-Adresse des Bind-Servers im lokalen Netzwerk angepasst werden. Wichtig ist auch, den Localhost, also 127.0.0.1, nicht zu vergessen, sowie auf die korrekte Verwendung der Semikolons zu achten.

Clientzugriff beschränken¶

Wer seinen Nameserver nicht für das gesamte Internet betreiben will, sondern nur für seine eigenen Rechner, der wird den Zugriff darauf beschränken wollen. Auch hierfür gibt es eine Option, die bspw. wie folgt in die Datei /etc/bind/named.conf.options eingetragen wird:

        allow-query { 192.168.1.0/24; };

Hierbei ist es auch möglich, mehrere Netze oder auch einzelne Hosts in die Direktive einzubeziehen.

Wer selber eine öffentliche Zone für das Internet bedient, darf natürlich entfernten Rechnern nicht den Zugriff versperren. Andererseits möchte man aber sicher auch nicht, dass Fremde den eigenen Nameserver evtl. als Standard eintragen und dadurch unnötigen Traffic zu eigenen Lasten verursachen. Mit der folgenden Direktive erlaubt man deshalb nur den eigenen Clients, reguläre (rekursive) Anfragen an den Nameserver zu stellen, während allen anderen Clients nur Anfragen über die eigene Zone beantwortet werden:

        allow-recursion { 192.168.1.0/24; };

In größeren Installationen ist es oft sogar sinnvoll, die Funktionen zu trennen, indem man den eigenen Clients einige mit allow-query zugriffsbeschränkte Nameserver zur Namensauflösung zur Verfügung stellt, und für die Verwaltung der eigenen Zone andere verwendet. Bei diesen kann man dann die rekursive Auflösung ganz abstellen:

        recursion no;

Forwarders¶

Normalerweise fragt sich ein Nameserver auf der Suche nach der gewünschten IP-Adresse rekursiv, von den sogenannten Root-Servern ausgehend, durch, bis er den Server gefunden hat, der ihm die richtige Antwort geben kann. Manchmal ist dieses Verhalten jedoch nicht erwünscht und der Server soll stattdessen lieber alle Anfragen, die er nicht direkt selber beantworten kann, einfach nur an bestimmte Nameserver weiterleiten, bspw. die des eigenen Providers, oder die Hauptnameserver eines Intranets.

In diesem Fall muss man die betreffenden Server, wie im Folgenden beschrieben, im options-Block der Datei /etc/bind/named.conf.options eintragen:

        forwarders { a.b.c.d; w.x.y.z; };

Antworten die Forwarder aus irgendwelchen Gründen nicht, so fällt Bind automatisch auf das erstgenannte Verfahren zurück und versucht "auf eigene Faust" die Anfrage zu befriedigen. Das kann man aber auch verhindern, in welchem Fall stattdessen eine Fehlermeldung zurückgegeben würde:

        forward only;

Chroot-Umgebung¶

Nameserver sind leider überdurchschnittlich häufig Angriffen aus dem Internet ausgesetzt, und in der Geschichte von Bind gab es auch schon mal die eine oder andere Sicherheitslücke. Deswegen kann man auf einem exponierten Server einen gewissen Sicherheitsgewinn erlangen, indem man den Bind-Daemon in einer chroot-Umgebung ^[4] laufen lässt. Praktischerweise ist eine chroot-Funktion bereits in den Server integriert, so dass man auf die aufwendige Vollausstattung der chroot-Jail, wie im Artikel chroot beschrieben, verzichten kann. Ein wenig Mehrarbeit gegenüber einer herkömmlichen Installation muss man aber trotzdem in Kauf nehmen.

ls -ld /var/named/ 

drwxr-x--- 4 root bind 1024 2006-08-15 22:26 /var/named/
root@server:~# ls -l /var/named/
drwxrwx--- 2 root bind 1024 2006-08-15 21:55 cache
drwxrwx--- 2 root bind 1024 2006-08-15 22:30 pid

include "/named.conf.options";

file "domainname.bak";

       directory "/cache";
       pid-file "/pid/named.pid";

controls {
        inet 127.0.0.1 allow { localhost; } keys { rndc-key; };
};

include "/rndc.key";

/etc/bind/** r,

/var/named/** r,

sudo aa-enforce /etc/apparmor.d/usr.sbin.named 

OPTIONS="-u bind -t /var/named -c /named.conf"

/etc/init.d/bind9 restart 

could not open entropy source /dev/random: file not found
using pre-chroot entropy source /dev/random

ls -l /proc/`ps aux | grep '\/usr\/sbin\/[n]amed' | awk '{ print $2; }'` 

lrwxrwxrwx 1 root root 0 2006-08-16 00:17 cwd -> /var/named/cache
lrwxrwxrwx 1 root root 0 2006-08-16 00:17 exe -> /usr/sbin/named
lrwxrwxrwx 1 root root 0 2006-08-16 00:17 root -> /var/named

Links¶

• DNS-Server Bind - Hauptartikel