djbdns: установка и настройка dnscache

Copyright © 2004 М. Альхименко.
Оригинал (и самая последняя версия) этого документа находится на http://lithium.opennet.ru.
По всем вопросам обращайтесь на articles <at> lithium.opennet.ru

Добавлен патч для уязвимости, обнаруженной Matthew Dempsky.
Патчи с постоянно меняющимся или несным местоположением помещены локально.
Исправлено описание переменной IPSEND.

• Введение
• Установка
• Первоначальная настройка
• Основные возможности настройки
  • Каталог D/env
  • Каталог D/root/ip
  • Каталог D/root/servers
  • Размер кэша
• Cсылки

Введение

      В настоящей статье будет рассмотрена установка djbdns, настройка и запуск кэширующего DNS-сервера из состава djbdns. Следует иметь в виду, что в djbdns кэширующий и полномочный DNS-сервера разделены. Обоснование этого читайте на странице DJB. Imho весьма разумно. Функциональность кэширующего DNS-сервера обеспечивает программа dnscache. Полномочный DNS-сервер реализуется программой tinydns, сервер зонных пересылок — axfrdns. Про эти и другие программы вы можете почитать на странице djbdns.

      К несомненным достоинствам dnscache можно отнести как минимум НЕ более сложную настройку по сравнению с BIND, нетребовательность к ресурсам и намного более высокий уровень безопасности (автоматический chroot, авторство DJB и всего одна уязвимость за все время существования).

Установка:

      Внимательно читаем все, что есть на http://cr.yp.to/djbdns.html ;)
Перед установкой djbdns у вас должны стоять последняя версия daemontools и ucspi-tcp (если вы хотите переносить зоны с вашего DNS-сервера на BIND). Для запуска dnscache хватит и daemontools. Установка ucspi-tcp была ранее описана в статье о qmail. Сведения о установке и работе с daemontools см. в соответствующей статье.

# cd /usr/src

скачиваем и распаковываем исходники (со временем версия и путь могут измениться)

# wget http://cr.yp.to/djbdns/djbdns-1.05.tar.gz
# gunzip djbdns-1.05.tar
# tar -xf djbdns-1.05.tar
# cd djbdns-1.05

создаем каталог для патчей, скачиваем их и накладываем.

# mkdir patches
# cd patches
# wget http://www.qmail.org/moni.csi.hu/pub/glibc-2.3.1/djbdns-1.05.errno.patch (патч для совместимости с glibc-2.3.1 и выше)
# wget http://lithium.opennet.ru/download/patches/round-robin.patch (патч для поддержки алгоритма round-robin для dnscache (не tinydns!))
# wget http://lithium.opennet.ru/download/patches/djbdns-secpatch-03-06-09.patch (патч для устранения уязвимости)
# cd ..
# patch -p1 < patches/djbdns-1.05.errno.patch
# patch -p1 < patches/round-robin.patch
# patch < patches/djbdns-secpatch-03-06-09.patch

собираем и устанавливаем:

# make
# make setup check

Отправляем отчет об установке DJB (наверное, для статистики)

# ( echo 'First M. Last'; cat `cat SYSDEPS` ) | mail djb-sysdeps@cr.yp.to

Первоначальная настройка

      Для начала неплохо было протестировать возможность обращения с нашей машины к внешним DNS-серверами. Попробуйте сделать пару запросов к полномочным DNS-серверам, например:

# host -t ns mail.ru 198.6.1.181

или

# dig @198.6.1.181 -t ns mail.ru

или

# dnsq a www.aol.com 192.203.230.10 (утилита из состава djbdns)

Адреса полномочных серверов могут измениться, так что лучше их уточнить, если что-то не будет работать. Если Вы собираетесь просто пересылать все запросы другим DNS-серверам (вышестоящего провайдера или своим собственным), то можете подставить их ip-адреса.

      Теперь следует создать учетные записи, под которыми будут работать dnscache и multilog, ведущий логи dnscache. В руководстве DJB описано создание аккаунтов Gdnscache and Gdnslog, однако в RH9 мне это сделать не удалось, useradd не нравились большие буквы, поэтому можете назвать их как dnscache и dnslog.

# adduser -d /none -M -s /bin/false -c "DJBDNS dnscache user" dnscache
# adduser -d /none -M -s /bin/false -c "DJBDNS dnslog user" dnslog

Теперь вам нужно определиться с двумя параметрами:

1. Будет ли кэш доступен клиентам из вашей сети или только локальным процессам на вашем сервере. В первом случае мы говорим dnscache слушать 53 UDP порт на одном из интерфейсов, доступных извне, так чтобы клиенты могли слать на него свои запросы. Во втором случае кэш будет слушать порт на loopback-интерфейсе, и, соответственно, адресе 127.0.0.1.
2. Будет ли кэш сам искать имена, делая запросы напрямую к полномочным DNS-серверам, или будет только пересылать запросы на другие DNS-сервера (если на найдет соответствие в своем кэше), то есть работать как DNS-relay.

1. Локальный DNS-cache (только для сервера). Напрямую делает запросы к ns-серверам, слушает 53 UDP порт на 127.0.0.1, обслуживает только локальные процессы.
2. Локальный пересылающий (forwarding) DNS-cache (только для сервера). Пересылает запросы другому DNS-кэшу (если не находит соответствие в своем кэше), слушает 53 UDP порт на 127.0.0.1, обслуживает только локальные процессы.
3. Внешний (доступный извне для клиентов) DNS-cache. Напрямую делает запросы к ns-серверам, слушает 53 UDP порт на одном из внешних интерфейсов.
4. Внешний (доступный извне для клиентов) пересылающий (forwarding) DNS-cache. Пересылает запросы другому DNS-кэшу (если не находит соответствие в своем кэше), слушает 53 UDP порт на одном из внешних интерфейсов.

Первоначальная настройка dnscache осуществляется командой dnscache-conf. Она создает нужную структуру каталогов, настраивает основные параметры dnscache и имеет следующие параметры запуска:

      dnscache-conf acct logacct D ip

где

• acct -учетная запись, под которой будет работать dnscache,
  
• logacct - учетная запись, под которой будет работать multilog
  
• D - каталог, в котором будет размещен сервис
  
• ip - один из локальных адресов, на котором будет слушаться 53 UDP порт. Если этот параметр опущен, то делается настройка для адреса 127.0.0.1 и одновременно создается файл D/root/ip/127.0.0.1, разрешающий прием запросов с адреса 127.0.0.1 (см. дальше)

В файле /etc/dnscache/root/servers/@ в настоящий момент хранятся адреса корневых серверов Internet. Если Вы хотите, чтобы ваш кэш просто пересылал запросы другим DNS-серверам выполните следующие команды ( в этом примере 10.53.0.1 — адрес DNS-сервера, на который будут пересылаться запросы клиентов):

# echo 10.53.0.1 > /etc/dnscache/root/servers/@
(в этот файл можно поместить несколько адресов, если серверов несколько. В этом случае не забудьте использовать ">>")

# echo 1 > /etc/dnscache/env/FORWARDONLY (указывает кэшу только пересылать запросы, если не найдено совпадение в собственном кэше)

Следует обратить внимание, что если у вас есть DNS-сервера, полномочные для определенной зоны (например, local или mydomain.ru) то можно создать в каталоге /etc/dnscache/root/servers/ файлы с именами, соответствующими вашим зонам и в них поместить адреса полномочных серверов. После этого кэш будет посылать запросы для этих зон напрямую указанным серверам. Сейчас у нас есть только записи серверов для зоны ".".

Теперь, если вы явно указывали на каком ip слушать сокет, следует разрешить доступ для ваших подсетей к кэшу, т.к. по умолчанию все запросы игнорируются. В качестве примера мы разрешим принимать запросы с адресов 127.0.0.1 и из сети 192.168.0.0/24. Для этого надо поместить файлы с именами, соответствующими адресам сетей в каталог /etc/dnscache/root/ip/:

# touch /etc/dnscache/root/ip/127.0.0.1
# touch /etc/dnscache/root/ip/192.168.0

Логика тут очень простая: если надо дать доступ для сети 192.168.0.0/24, создается файл 192.168.0, если для сети 192.168.0.0/16 или для всех подсетей, начинающихся с 192.168, то создается файл 192.168.

После этого следует дать знать daemontools о существовании нового сервиса и проверить его работу:

# ln -s /etc/dnscache /service

ждем 5 секунд и проверяем, работает ли сервис

# svstat /service/dnscache
/service/dnscache: up (pid 32342) 7 seconds

Смотрим параметры readproctitle (ps -auxww) (см. статью про daemontools) на наличие ошибок.

После этого надо прописать на клиентах (если вы делали кэш доступным извне) и на самом сервере ip-адрес, который он слушает в /etc/resolv.conf (параметр nameserver). Все остальные записи этого типа можно закомментировать. Выглядит это примерно так:

если сервер слушает сокет на 127.0.0.1 :
nameserver 127.0.0.1 #разумеется, что это прописывается только на самом сервере

если сервер слушает сокет на 192.168.0.1 :
nameserver 192.168.0.1 #прописывается и на сервере, и на клиентах.

Подробнее — man resolv.conf

Основные возможности настройки.

      Рассмотрим вкратце основные возможности настройки dnscache. Все параметры представляют из себя файлы, сгруппированные в определенных каталогах:

Каталог D/env:

• CACHESIZE — размер данных DNS-кэша (списка записей) в памяти
  
• DATALIMIT — общее ограничение на память, занимаемую процессом
  
• IP — ip-адрес, на котором будет слушаться 53 UDP порт. Устанавливается программой dnscache-conf при первоначальной настройке.
  
• IPSEND — ip-адрес, с которого отсылаются запросы к серверам при разрешении имен.
  
• ROOT - корневой каталог процесса (в который будет выполняться chroot при запуске).Устанавливается программой dnscache-conf при первоначальной настройке.
  
• FORWARDONLY - существует и содержит значение "1" если кэш просто пересылает запросы серверам, указанных в качестве корневых.

Каталог D/root/ip:

Здесь находятся файлы, определяющие адреса сетей, которым разрешен доступ к кэшу. Например, для сети 10.0.0.0/8 (адреса 10.*) следует создать файл с именем "10", для подсети 192.168.100.0/24 (адреса 192.168.100.*) — файл "192.168.100". Для хоста 192.168.200.34 — файл с таким же названием.

Каталог D/root/servers:

	# djbroot.sed
	/^$/d
	/^ *$/d
	/^;/d
	/^\./d
	s/[A-Z]\.ROOT-SERVERS\.NET\. *.*A *//

Размер кэша:

• 0.01: Цикл обновления кэша около 15 минут. Большинство DNS-записей имеют больший TTL. Следует увеличить размер кэша.
• 0.1: Цикл обновления кэша около 2 часов. Это больше чем TTL записей домена AOL, но меньше чем TTL большинства записей.
• 1: Цикл обновления кэша около суток. Все еще есть некоторая выгода от увеличения кэша.
• 10: Цикл обновления кэша около недели. Это оставляет достаточный запас памяти — обычно TTL не больше трех дней. Dnscache не может хранить записи больше недели.

Сcылки:

• http://www.djbdns.org/ — официальная страница djbdns
  
• http://cr.yp.to/djbdns.html — страница djbdns на сайте DJB
  
• Описание формата лога dnscache
  
• Начало цикла статей о замене BIND на djbdns на сайте Hacking Linux Exposed
  
• Неофициальный djbdns FAQ
  
• Статья "DJBDNS или как убить BIND" на сайте Сыктывкарского сообщества UNIX (на русском языке).
  
• Life With djbdns
  
• Cтатья "DNS and "The djb Way"" на сайте DaemonNews