clodonil June 26th, 2009
By:Diego Pereira Grassato
Muitas vezes, é desejável para armazenar informações de DNS em um banco de dados, e não em zonas em arquivos texto ASCII plano. Armazenar estes arquivos em uma zona de dados pode reduzir muito overhead desde associar informações, tais como contato de faturamento, gerenciamento de contas, backup simplificado, etc., podem ser armazenadas e processadas no interior do mesmo banco de dados. Além disso, devido à natureza do DNS(concepção), a informação deve ser armazenada redundantemente em dois ou mais hosts. O clássico de dados através da replicação zona transferência não é confiável, inseguro e muitas vezes difíceis de administrar.
Para ultrapassar este problema alguns projetos de DNS para armazenar informações em bancos de dados relacionais foram desenvolvidos. Como dito acima o DNS gravas sua informações em uma lista em arquivo de texto, no entanto se estudarmos sua estrutura veremos que ele trabalhar em forma de árvore, porque se trata de um sistema de diretório, igual ao LDAP. LDAP permite certa flexibilidade na sua base de dados usando esquema, assim como de uma organização cresce e muda constantemente; o banco de dados utilizado para armazenar informações tem que reflitam a organização.
1. BIND (Named)
BIND (Berkeley Internet Name Domain ou, como chamado previamente, Berkeley Internet Name Daemon) é o servidor para o protocolo DNS mais utilizado na Internet, especialmente em sistemas do tipo Unix, onde ele pode ser considerado um padrão de fato. Foi criado por quatro estudantes de graduação, membros de um grupo de pesquisas em ciência da computação da Universidade de Berkeley, e foi distribuído pela primeira vez com o sistema operacional BSD. O programador Paul Vixie, enquanto trabalhava para a empresa DEC, foi o primeiro mantenedor do BIND. Atualmente o BIND é suportado e mantido pelo Internet Systems Consortium. Seu site oficial é:
https://www.isc.org/software/bind.
O BIND é uma implementação do protocolo DNS e inclui os seguintes serviços:
-
Um servidor de domínios (named)
-
As bibliotecas para conversão de nomes de domínio em endereços de IP.
-
Outras ferramentas para verificar o funcionamento do servidor DNS e suas respectivas Zonas configuradas.
-
Para a versão 9, o BIND foi praticamente reescrito. Ele passou a suportar, dentre outras funcionalidades, a extensão DNSSEC e os protocolos TSIG e IPv6
1.1 Compilando BIND
Primeiro precisamos baixar e extrair a fonte do BIND-SDB-LDAP. Podemos realizar esta tarefa, que vai para o diretório BIND: Segue os links:
http://bind9-ldap.bayour.com/bind-sdb-ldap-1.1.0.tar.gz
Para maiores Informações de versões recentes do software:
http://www.venaas.no/ldap/bind-sdb/
BIND SDB LDAP é uma modificação do "Simplified Database" API que fornece uma interface LDAP para bind9 utilizando o "sdb". Com esta API, pode armazenar zonas do BIND no LDAP em vez de arquivos. Note que quando utiliza sdb, as zonas não são colocadas em cachê na memória, BIND irá efetivamente realizar uma pesquisa de dados sempre que recebe uma consulta.
Uma vez baixado, extraia-o para o diretório de sua escolha, executando o seguinte comando:
root@host#tar -xzf bind-sdb-ldap-1.1.0.tar.gz
Isto irá criar um bind-sdb-ldap-1.0 diretórios com a fonte no mesmo. Agora vamos ao BIND, faça o download da fonte em:
http://www.bind9.net/download
ou link direto:
ftp://ftp.isc.org/isc/bind9/9.6.1rc1/bind-9.6.1rc1.tar.gz
Procure baixa sempre a versão mais recente.
Copie a ldapdb.c bin/named e ldapdb.h para bin/named /include na árvore fonte.
root@host#cp ldapdb.c ../bind-9.6.1rc1/bin/named/
root@host#cp ldapdb.h ../bind-9.6.1rc1/bin/named/include
root@host#cd /root/bind-9.6.1rc1
Após os arquivos de origem tenham sido copiados para o diretório do bind9, então precisamos fazer algumas modificações no fonte do bind9 para que seja compilado com a nova API.
Altere os diretórios para /root/bind-9.6.1rc1/bin/named/Makefile.in e editar o arquivo e faça as seguintes modificações quando você vê estas linhas:
DBDRIVER_OBJS = ldapdb.@O@
DBDRIVER_SRCS = ldapdb.c
DBDRIVER_INCLUDES = -I/usr/local/include
DBDRIVER_LIBS = -L/usr/local/lib -lldap -llber -lresolv
Em seguida, será necessário modificar o arquivo para /root/bind-9.6.1rc1/bin/named/main.c no mesmo diretório do Makefile.in e procure a seguinte linha:
/* #include "xxdb.h" */
Temos que mudar-lo para utilizar a fonte LDAPDB arquivo:
#include <ldapdb.h>
No mesmo arquivo, procure a inicialização linha:
/* xxdb_init(); */
Temos que adicionar uma linha abaixo dessa para usar o LDAPDB inicialização função:
ldapdb_ini();
E finalmente, precisamos encontrar a limpeza rotineira linha:
/* xxdb_clear(); */
Temos que adicionar uma linha abaixo dessa LDAPDB limpeza para utilizar a função:
ldapdb_clear();
Assim que esse arquivo for salvo, deveremos ser capazes de retornar diretória base do bind9 para compilarmos com suporte a nova API.
root@host#cd /root/bind-9.6.1rc1
Utilizaremos estes parâmetros de compilação:
root@host :~/bind-9.6.1rc1#SLKCFLAGS="-O2 -march=i486 -mtune=i686" \
CFLAGS="$SLKCFLAGS" ./configure –prefix=/usr –libdir=/usr/lib${LIBDIRSUFFIX}\
–sysconfdir=/etc –localstatedir=/var \
–with-libtool –mandir=/usr/man –enable-shared \
–disable-static –enable-threads –with-openssl=/usr
root@host:~/bind-9.6.1rc1# make
root@host :~/bind-9.6.1rc1# make install
2. Configurações OpenLdap
Com o servidor OpenLDAP devidamente instalado adicionaremos uma nova schema, faça o download altere seu nome:
root@host:~# http://www.venaas.no/ldap/bind-sdb/dnszone-schema.txt
root@host:~# mv dnszone-schema.txt dnszone-schema
Copie o schema para o diretório de schemas do OpenLDAP:
root@host:~# cp dnszone.schema /etc/openldap/schema
Vamos configura o arquivo slapd.conf que fica no diretório /etc/openldap:
root@host:~#vi /etc/openldap slapd.conf
Você irá adicionar este novo schema logo abaixo deste:
include /etc/openldap/schema/core.schema
include /etc/openldap/schema/cosine.schema
include /etc/openldap/schema/nis.schema
include /etc/openldap/schema/inetorgperson.schema
include /etc/openldap/schema/openldap.schema
Ficando assim:
include /etc/openldap/schema/core.schema
include /etc/openldap/schema/cosine.schema
include /etc/openldap/schema/nis.schema
include /etc/openldap/schema/inetorgperson.schema
include /etc/openldap/schema/openldap.schema
include /etc/openldap/schema/dnszone.schema
No final do arquivo nos índices adicionará index zoneName,relativeDomainName eq,sub, ficará assim:
index cn eq
index sn eq
index objectClass eq
index uid eq
index gidNumber eq
index uidNumber eq
index zoneName,relativeDomainName eq,sub
Uma vez que o esquema tenha sido incluído, é preciso reiniciar OpenLDAP para que o processo slapd:
root@host# /etc/rc.d/rc.openldap restart
Pronto nosso servidor OpenLDAP já está em funcionamento, vamos agora adicionar as entrada para configuração de nosso servidor. A maioria dos administradores já utiliza algum tipo de ferramenta de administração do LDAP para executar operações, como adicionar e remover as informações do banco de dados. Para este exemplo, nós iremos fornecer o que é comumente conhecido como um arquivo LDIF para usar como orientação para a inclusão de registros no banco de dados. Primeiro vamos olhar para uma norma zona normal configurada no /etc/named.conf arquivo pode ser semelhante a este:
Domínio dtux.no-ip.org no Named:
dtux.no-ip.org.zone
$ORIGIN dtux.no-ip.org.
$TTL 86400
@ IN SOA ns1.dtux.no-ip.org. root.dtux.no-ip.org. (
2009061500 ; serial
28800 ; refresh (8 hours)
14400 ; retry (4 hours)
259200 ; expire (5 weeks 6 days 16 hours)
86400 ; minimum (1 day)
)
A 192.168.5.10
NS dtux.no-ip.org.
NS ns.dtux.no-ip.org.
NS ns2.dtux.no-ip.org.
MX 5 dtux.no-ip.org.
mx1 IN CNAME mail.dtux.no-ip.org.
dtux IN A 192.168.5.10
ftp IN A 192.168.5.10
www IN A 192.168.5.10
ldap IN A 192.168.5.10
ns IN A 192.168.5.10
ns2 IN A 192.168.5.3
cliente IN A 192.168.5.3
mail IN A 192.168.5.3
client IN A 192.168.5.1
Zona Reversa:
5.168.192.in-addr.arpa
$ORIGIN 5.168.192.in-addr.arpa.
$TTL 78000
@ IN SOA dtux.no-ip.org. diego@dtux.no-ip.org(
2009061500 ; versão
10800 ;refresh (3 horas)
3600 ;retry (1 hora)
432006 ;expire (5 dias)
86400 ;TTL (1 dia)
);
@ IN NS dtux.no-ip.org.
IN NS ns2.dtux.no-ip.org.
3 IN PTR 192-168-5-3.dtux.no-ip.org.
10 IN PTR 192-168-5-10.dtux.no-ip.org.
No LDIF do domínio dtux.no-ip.org do OpenLDAP ficará assim:
dn: dc=BIND,dc=dtux,dc=no-ip,dc=org
objectClass: top
objectClass: dcObject
objectClass: organization
dc: BIND
o: DTuX BIND
dn: ou=teste,dc=BIND,dc=dtux,dc=no-ip,dc=org
objectClass: top
objectClass: organizationalUnit
objectClass: dcObject
dc: BIND
ou: teste
dn: zoneName=dtux.no-ip.org,ou=teste,dc=BIND,dc=dtux,dc=no-ip,dc=org
objectClass: top
objectClass: dNSZone
relativeDomainName: dtux.no-ip.org
zoneName: dtux.no-ip.org
dn: relativeDomainName=@,zoneName=dtux.no-ip.org,ou=teste,dc=BIND,dc=dtux,dc=no-ip,dc=org
objectClass: top
objectClass: dNSZone
relativeDomainName: @
zoneName: dtux.no-ip.org
dNSTTL: 86400
dNSClass: IN
sOARecord: ns1.dtux.no-ip.org. root.dtux.no-ip.org. 2009061500 28800 14400 2 59200 86400
aRecord: 192.168.5.10
nSRecord: dtux.no-ip.org.
nSRecord: ns.dtux.no-ip.org.
nSRecord: ns2.dtux.no-ip.org.
mXRecord: 5 dtux.no-ip.org.
dn: relativeDomainName=client,zoneName=dtux.no-ip.org,ou=teste,dc=BIND,dc=dtux,dc=no-ip,dc=org
objectClass: top
objectClass: dNSZone
relativeDomainName: client
zoneName: dtux.no-ip.org
dNSTTL: 86400
dNSClass: IN
aRecord: 192.168.5.1
dn: relativeDomainName=cliente,zoneName=dtux.no-ip.org,ou=teste,dc=BIND,dc=dtux,dc=no-ip,dc=org
objectClass: top
objectClass: dNSZone
relativeDomainName: cliente
zoneName: dtux.no-ip.org
dNSTTL: 86400
dNSClass: IN
aRecord: 192.168.5.3
dn: relativeDomainName=dtux,zoneName=dtux.no-ip.org,ou=teste,dc=BIND,dc=dtux ,dc=no-ip,dc=org
objectClass: top
objectClass: dNSZone
relativeDomainName: dtux
zoneName: dtux.no-ip.org
dNSTTL: 86400
dNSClass: IN
aRecord: 192.168.5.10
dn: relativeDomainName=ftp,zoneName=dtux.no-ip.org,ou=teste,dc=BIND,dc=dtux,dc=no-ip,dc=org
objectClass: top
objectClass: dNSZone
relativeDomainName: ftp
zoneName: dtux.no-ip.org
dNSTTL: 86400
dNSClass: IN
aRecord: 192.168.5.10
dtux.no-ip.org.ldif
dn: relativeDomainName=ldap,zoneName=dtux.no-ip.org,ou=teste,dc=BIND,dc=dtux,dc=no-ip,dc=org
objectClass: top
objectClass: dNSZone
relativeDomainName: ldap
zoneName: dtux.no-ip.org
dNSTTL: 86400
dNSClass: IN
aRecord: 192.168.5.10
dn: relativeDomainName=mail,zoneName=dtux.no-ip.org,ou=teste,dc=BIND,dc=dtux,dc=no-ip,dc=org
objectClass: top
objectClass: dNSZone
relativeDomainName: mail
zoneName: dtux.no-ip.org
dNSTTL: 86400
dNSClass: IN
aRecord: 192.168.5.3
dn: relativeDomainName=mx1,zoneName=dtux.no-ip.org,ou=teste,dc=BIND,dc=dtux,dc=no-ip,dc=org
objectClass: top
objectClass: dNSZone
relativeDomainName: mx1
zoneName: dtux.no-ip.org
dNSTTL: 86400
dNSClass: IN
cNAMERecord: mail.dtux.no-ip.org.
dn: relativeDomainName=ns,zoneName=dtux.no-ip.org,ou=teste,dc=BIND,dc=dtux,dc=no-ip,dc=org
objectClass: top
objectClass: dNSZone
relativeDomainName: ns
zoneName: dtux.no-ip.org
dNSTTL: 86400
dNSClass: IN
aRecord: 192.168.5.10
dn: relativeDomainName=ns2,zoneName=dtux.no-ip.org,ou=teste,dc=BIND,dc=dtux,dc=no-ip,dc=org
objectClass: top
objectClass: dNSZone
relativeDomainName: ns2
zoneName: dtux.no-ip.org
dNSTTL: 86400
dNSClass: IN
aRecord: 192.168.5.3
dn: relativeDomainName=www,zoneName=dtux.no-ip.org,ou=teste,dc=BIND,dc=dtux,dc=no-ip,dc=org
objectClass: top
objectClass: dNSZone
relativeDomainName: www
zoneName: dtux.no-ip.org
dNSTTL: 86400
dNSClass: IN
aRecord: 192.168.5.10
Agora zona reversa:
5.168.192.in-addr.ldif
dn: zoneName=5.168.192.in-addr.arpa,ou=teste,dc=BIND,dc=dtux,dc=no-ip,dc=org
objectClass: top
objectClass: dNSZone
relativeDomainName: 5.168.192.in-addr.arpa
zoneName: 5.168.192.in-addr.arpa
dn: relativeDomainName=10,zoneName=5.168.192.in-addr.arpa,ou=teste,dc=BIND,dc=dtux,dc=no-ip,dc=org
objectClass: top
objectClass: dNSZone
relativeDomainName: 10
zoneName: 5.168.192.in-addr.arpa
dNSTTL: 78000
dNSClass: IN
pTRRecord: 192-168-5-10.dtux.no-ip.org.
dn: relativeDomainName=3,zoneName=5.168.192.in-addr.arpa,ou=teste,dc=BIND,dc=dtux,dc=no-ip,dc=org
objectClass: top
objectClass: dNSZone
relativeDomainName: 3
zoneName: 5.168.192.in-addr.arpa
dNSTTL: 78000
dNSClass: IN
pTRRecord: 192-168-5-3.dtux.no-ip.org.
dn: relativeDomainName=@,zoneName=5.168.192.in-addr.arpa,ou=teste,dc=BIND,dc=dtux,dc=no-ip,dc=org
objectClass: top
objectClass: dNSZone
relativeDomainName: @
zoneName: 5.168.192.in-addr.arpa
dNSTTL: 78000
dNSClass: IN
nSRecord: dtux.no-ip.org.
nSRecord: ns2.dtux.no-ip.org.
sOARecord: dtux.no-ip.org. diego@dtux.no-ip.org 2009061500 10800 3600 432006 86400
Adicionaremos agora os LDIFs no servidor usando os seguintes comandos:
root@host#ldapadd -x -D cn=root,dc=dtux,dc=no-ip,dc=org -W -f dtux.no-ip.org.ldif
root@host# ldapadd -x -D cn=root,dc=dtux,dc=no-ip,dc=org -W -f 5.168.192.in-addr.ldif
3. Configurando o Named(Bind)
O named.conf é onde é armazenado as configurações em texto plano onde é indicado a localização das zonas no sistema. A configuração usual é parecida como está:
#Zona dtux.no-ip.org
zone "dtux.no-ip.org." IN {
type master;
file /var/named dtux.no-ip.org.zone";
notify yes;
};
#Reverso da Zona
zone "11.168.192.in-addr.arpa" IN {
type master;
file "/var/named/11.168.192.in-addr.arpa";
notify yes;
};
Agora ao invés de guarda as zonas em arquivos irão substituí-las com a opção do banco de dados LDAP, que irá fazer uma chamada utilizando a ldapclient com nova biblioteca:
#Zona dtux.no-ip.org
zone "dtux.no-ip.org" IN {
type master;
database "ldap ldap://192.168.5.10/ou=teste,dc=BIND,dc=dtux,dc=no-ip,dc=org 10800";
notify yes;
};
#Reverso da Zona
zone "5.168.192.in-addr.arpa" IN {
type master;
database "ldap ldap://192.168.5.10/ou=teste,dc=BIND,dc=dtux,dc=no-ip,dc=org 10800";
notify yes;
};
Ao fazer pesquisas BIND irá fazer uma sub-árvore abaixo da pesquisa base no URL. O número 10800 é o TTL, que será utilizado para todas as entradas que não têm o atributo dNSTTL definido no esquema. A partir daqui, devemos iniciar bind9 e testar a nossa configuração, simplesmente realizando uma pesquisa sobre o servidor de DNS:
root@host#named -u root
Verificando os log de mensagens.
root@host#tail -f /var/log/messages
Jun 23 11:35:53 CLIENTE named[9485]: starting BIND 9.6.1rc1
Jun 23 11:35:53 CLIENTE named[9485]: built with ‘–prefix=/usr’ ‘–libdir=/usr/lib’ ‘–sysconfdir=/etc’ ‘–localstatedir=/var’ ‘–with-libtool’ ‘–mandir=/usr/man’ ‘–enable-shared’ ‘–disable-static’ ‘–enable-threads’ ‘–with-openssl=/usr’ ‘CFLAGS=-O2 -march=i486 -mtune=i686′
Jun 23 11:35:53 CLIENTE named[9485]: adjusted limit on open files from 1024 to 1048576
Jun 23 11:35:53 CLIENTE named[9485]: found 1 CPU, using 1 worker thread
Jun 23 11:35:53 CLIENTE named[9485]: using up to 4096 sockets
Jun 23 11:35:54 CLIENTE named[9485]: loading configuration from ‘/etc/named.conf’
Jun 23 11:35:54 CLIENTE named[9485]: using default UDP/IPv4 port range: [1024, 65535]
Jun 23 11:35:54 CLIENTE named[9485]: using default UDP/IPv6 port range: [1024, 65535]
Jun 23 11:35:54 CLIENTE named[9485]: listening on IPv6 interfaces, port 53
Jun 23 11:35:54 CLIENTE named[9485]: listening on IPv4 interface lo, 127.0.0.1#53
Jun 23 11:35:54 CLIENTE named[9485]: listening on IPv4 interface eth0, 192.168.5.3#53
Jun 23 11:35:54 CLIENTE named[9485]: command channel listening on 127.0.0.1#953
Testando o nosso servidor:
root@host# nslookup dtux.no-ip.org
Server: ns.dtux.no-ip.org
Address: 192.168.5.3
Name: dtux.no-ip.org
Address: 192.168.5.3
Os nomes estão funcionando adequadamente ao buscar suas informações de que a zona de dados LDAP.
Segue um exemplo de named.conf completo:
#Aqui você deve informar o endereço da sua rede ou o ip das máquinas que podem utilizar este DNS
acl minha-rede {
127.0.0.1;
192.168.5.0/24;);
options {
directory "/var/named";
dump-file "/var/log/named/named_dump.db";
statistics-file "/var/log/named/named.stats";
memstatistics-file "/var/log/named/named.memstats";
minimal-responses yes;
empty-zones-enable no;
transfer-format many-answers;
forward only;
forwarders { 192.168.5.3; 192.168.5.10; };
allow-transfer { 192.168.5.10; 192.168.5.3; 201.91.215.134;};
## Aqui você pode colocar algum DNS para realizar um forwarders caso na
##queria utilizar deixe estas linhas comentadas
version "[secured]";
listen-on-v6 { any; };
querylog yes;};
# Configuração de Log
logging {
channel custom {
severity info;
file "/var/log/named/named.log "; # Onde armazenar as mensagens
print-time yes; # Imprimir informações temporais
print-severity yes;
print-category yes; # Mostrar a categoria da mensagem
};
category config {custom;};
category notify {custom;};
category dnssec {custom;};
category general {custom;};
category security {custom;};
category xfer-in {custom;};
category xfer-out {custom;};
category lame-servers {custom;};
};
# Na seção controls encontram-se os parâmetros para comunicação entre rndc e named
controls { inet 127.0.0.1 port 953
allow { 127.0.0.1; }
keys { rndc; };
};
# A chave especificada para comunicação com o rndc, igual a contida em rndc.conf
key rndc {
algorithm hmac-md5;
secret "RgKH/lcrH7AKfyQV9QM7cQ==";
};
zone "." IN {
type hint;
file "caching-example/root.hints";
};
zone "localhost" IN {
type master;
file "caching-example/localhost.zone";
allow-update { none; };
};
zone "0.0.127.in-addr.arpa" IN {
type master;
file "caching-example/named.local";
allow-update { none; };
};
zone "dtux.no-ip.org" IN {
type master;
database "ldap ldap://192.168.5.10/ou=teste,dc=BIND,dc=dtux,dc=no-ip,dc=org 10800";
notify yes;
};
zone "5.168.192.in-addr.arpa" IN {
type master;
database "ldap ldap://192.168.5.10/ou=teste,dc=BIND,dc=dtux,dc=no-ip,dc=org 10800";
notify yes;
};
Segue um exemplo de rndc.conf completo:
# Use a chave rndc quando comunicar com o servidor "localhost"
server localhost { key rndc;
};
# Aqui estão os detalhes sobre a chave rndc
key rndc {
algorithm hmac-md5;
secret "RgKH/lcrH7AKfyQV9QM7cQ==";
};
# Estas são as opções padrões
options {
default-server localhost;
default-key "key";
default-port 953;
};
Segue um exemplo de slapd.conf completo:
include /etc/openldap/schema/core.schema
include /etc/openldap/schema/cosine.schema
include /etc/openldap/schema/nis.schema
include /etc/openldap/schema/inetorgperson.schema
include /etc/openldap/schema/openldap.schema
include /etc/openldap/schema/dnszone.schema
include /etc/openldap/schema/dhcp.schema
include /etc/openldap/schema/ppolicy.schema
include /etc/openldap/schema/samba.schema
allow bind_v2 bind_anon_dn
pidfile /var/run/slapd.pid
argsfile /var/run/slapd.args
sizelimit unlimited
idletimeout 30
password-hash {SSHA}
password-crypt-salt-format "$1$.8s"
access to attrs=userPassword
by self write
by anonymous auth
by dn="cn=root,dc=dtux,dc=no-ip,dc=org" write
by * none
access to *
by * read
database bdb
suffix "dc=dtux,dc=no-ip,dc=org"
rootdn "cn=root,dc=dtux,dc=no-ip,dc=org"
rootpw dhcpserver
directory /var/openldap-data
# Indices
index cn eq
index sn eq
index objectClass eq
index gid eq
index gidNumber eq
index uidNumber eq
index memberUid eq
index loginShell eq
index zoneName eq
index relativeDomainName eq
index dhcpHWAddress eq
index dhcpClassData eq
index dhcpPrimaryDN eq
index dhcpSecondaryDN eq
mode 0600
cachesize 2000
Tags: BIND9, DNS, OpenLDAP
