DNS

Serveur DNS

Un serveur DNS permet la correspondance entre les noms de machines et les adresses IP.

Ce service de résolution de nom est assuré par le programme named qui fait partie du paquetage « bind ».

Nous utilisons la version 8.2.3. Pour l’utilisation de versions plus récentes et fortement conseillé, voir avis de sécurité du CERT, et se consulter les documentations disponibles sur le site d’ISC.

Les fichiers nécessaire à l’utilisation et la configuration des DNS sont :

et les fichiers du répertoire

Un script perl /usr/local/sbin/h2n est utilisé pour générer les fichiers de configuration à partir du fichier /etc/hosts.

On peut l’utiliser avec un fichier d’options :

Le fichier de configuration peut contenir les infos suivantes (page 140 DNS & Bind, O’Reilly) :

Tableau récapitulatif des options :

Options	Description
-d	le domaine
-n	les IP à prendre en compte (création des reverses), autant que de classes
-H	le fichier host en entrée
-b	le fichier named.conf à générer (format bind 4, dans la version que je connais donc /dev/null pour nous, sous peine d’avoir de sérieux problèmes...)
-m	les MX records (avec le poids de chacun des serveurs), autant que de serveurs
-y	utilise la date pour créer le numéro de série (format YYYYMMDDXX)
-h	le host dans le champ SOA
-s	la liste des serveurs de référence pour le domaine

Avant de faire une quelconque modification il est conseillé de faire une copie des fichiers de configuration.

Le démon named doit toujours être lancé à partir du script de démarrage (sous Solaris) :

Afin qu’il soit lancé sous l’identité named, il faudra vérifier la présence de l’option -u named) dans le code du script de démmarage.

Sous Linux, on utilisera le programme service si le service à été enregistré au préalable via le programme chkconfig.

Avec les dernières versions, il faut également rajouter la ligne $TTL 172800 en début de fichier pour éviter les warnings au démarrage du service.

Important :
DNS et BIND ==> mettre à jour la dernière version de BIND.

La version 9.1.1 est installé sur le serveur Solaris abidjan.

Une sauvegarde des binaires et scripts de démarrage a été effectuée auparavant.

Pour installer cette version 9.x quelques modifications sont nécessaires.

Il faut créer un répertoire /var/run, rajouter la lignes auth-nxdomain yes dans la directive option du fichier named.conf.

Le service étant lancé sous l’identité named, il faut mettre les droits en lecture du répertoire /var/named pour le groupe named.

Vérifier ensuite qu’il fonctionne bien sous l’identité named et non pas root (faire un ps -edf|grep named).

/etc/nsswitch.conf :

C’est le fichier qui spécifie où trouver les informations. La ligne hosts doit ressembler à ceci :

Cette ligne indique que les programmes doivent d’abord regarder dans /etc/hosts puis demander au DNS en suivant les informations de /etc/resolv.conf :

Ce fichier du serveur abidjan, spécifie que le nom de domaine par défaut à ajouter au noms non qualifiés (sans domaine) est private.ird.ci et que si l’hôte n’est pas trouvé dans ce domaine, on peut essayer aussi dans le domaine ird.ci directement.

Les entrées “serveur de nom” (nameserver) sont utilisés par le résolveur de nom.

Pour chaque domaine géré, il faudra maintenir une table inverse afin que le résolveur puisse à partir du numéro IP obtenir le nom de domaine, notamment pour resolv.conf (voir les fichiers de configuration des deux serveurs en annexe).

Deux outils sont à notre disposition pour vérifier le bon fonctionnement du serveur de noms, nslookup et dig.

on peut utiliser les commandes :

La syntaxe du programme dig est la suivante :

Exemples :

Pour déterminer la version d’un serveur DNS :

Pour un serveur distant, obtenir l’adresse du serveur DNS avec la commande :

Les rejets de mails liés à une mauvaise configuration des DNS :

Extraits tirés de XXXXX :

Comment résoudre le problème :

Dans tous les cas, c’est à l’administrateur du serveur du nom du site origine de résoudre le problème. Il est toutefois possible d’en vérifier soi-même l’origine (avec une machine Unix) :

Cas typique : il y a trois causes très fréquentes. Il s’agit de :

 la machine n’est pas enregistrée dans le DNS, ou
 la machine n’est pas enregistrée dans la zone inverse du DNS, ou
 il y a un problème de << délégation >> de zone DNS.
Essayer de faire (en prenant soin d’inverser l’adresse IP comme dans l’exemple) :

Si la réponse ne donne pas le nom de la machine relais du site origine (celui qui est cité dans le message d’erreur « Unknown relay name »), la machine n’est pas correctement enregistrée dans la zone inverse du DNS ;

Si le précédent test donne le nom correct, essayer d’interroger quelques serveurs de noms extérieurs au site.

Par exemple :

Si la réponse ne donne pas le nom de la machine, c’est qu’il y a un problème de délégation de la zone inverse du DNS.