Организация защиты серверов с использованием CHROOT на примере сервера ISC BIND/DNS - Лекция

Сейчас копируем основные конфигурационные файлы, файлы с описаниями зон, программы named named-xfer в необходимые места: [root@deep /]# cp /etc/named.conf /chroot/named/etc/ Для подчиненного сервера имен владельцем каталога ?/chroot/named/var/named¦ и всех файлов расположенных в нем должен быть процесс с ?named¦, иначе вы не сможете осуществить пересылку зоны. Чтобы сделать на подчиненном сервере владельцем каталога ?named¦ и всех файлов лежащих в нем пользователя ?named¦ используйте следующую команду: [root@deep /]# chown-R named.named /chroot/named/var/named/ Для большей безопасности на некоторые файлы из каталога ?/chroot/named/etc¦ мы должны установить бит постоянства: [root@deep /]# cd /chroot/named/etc/ "DESTBIN=/usr/bin" "DESTSBIN=/usr/sbin" "DESTEXEC=/usr/sbin" "DESTMAN=/usr/man" "DESTHELP=/usr/lib" "DESTETC=/etc" "DESTRUN=/var/run" "DESTLIB=/usr/lib/bind/lib" "DESTINC=/usr/lib/bind/include" "LEX=flex-8-I" "YACC=yacc-d" "SYSLIBS=-lfl" "INSTALL=install" "MANDIR=man" "MANROFF=cat" "CATEXT=$$N" "PS=ps p" "AR=ar crus" "RANLIB=:" [root@deep src]# rm-f .settings [root@deep src]# make clean [root@deep src]# make [root@deep src]# cp bin/named/named /chroot/named/usr/sbin [root@deep src]# cp: overwrite `/chroot/named/usr/sbin/named ? y [root@deep src]# cp bin/named-xfer/named-xfer /chroot/named/usr/sbin [root@deep src]# cp: overwrite `/chroot/named/usr/sbin/named-xfer ? y [root@deep src]# strip /chroot/named/usr/sbin/named [root@deep src]# strip /chroot/named/usr/sbin/named-xferКоманды описанные ниже мы будем часто использовать, но на самом деле их много больше, и вы должны изучить man-страницы и документацию для получения деталей.Утилита ?dig¦ (domain information groper) может быть использована для обновления файла ?db.cache¦, который говорит вашему серверу какие сервера отвечают за корневую зоны. Используйте следующую команду для получения нового файла db.cache: [root@deep /]# dig @.aroot-servers.net . ns > db.cache Где @a.root-servers.net v это адрес root сервера у которого вы спрашиваете о новой файле db.cache и db.cache v имя вашего нового db.cache файла.В интерактивном режиме пользователи могут запрашивать у серверов имен информацию о различных хостах и доменах, печатать список хостов в домене. В не интерактивном режиме пользователь может получить имена и запросить информацию о хостах и доменах. Интерактивный режим имеет много опций и команд; рекомендуется прочитать страницу руководства для nslookup или дать команду help в интерактивном режиме. NAME v печатает информацию о хосте/домене NAME, используя сервер по умолчанию NAME1 NAME2 v то же, что и выше, но используется сервер NAME2 help или ? v печатает информацию об основных командах; смотрите nslookup(1) для деталей set OPTION v устанавливает опции all v печатает опции, текущий сервер и хост [no]debug v печатает отладочную информацию [no]d2 v печатает полную отладочную информациюНапример: [root@deep /]# host redhat.com redhat.com has address 207.175.42.154 где FDQN - полностью определенное имя домена (www.redhat.com), domain names v доменное имя (redhat.com), host names - имя хоста (www) или host numbers - адрес хоста (207.175.42.154). Для поиска всей информации предоставляемой DNS о хосте используйте команду: [root@deep /]# host Например: [root@deep /]# host-a redhat.com Trying null domain rcode = 0 (Success), ancount=6 The following answer is not authoritative: The following answer is not verified as authentic by the server: redhat.com 8112 IN NS ns.redhat.com redhat.com 8112 IN NS ns2.redhat.com redhat.com 8112 IN NS ns3.redhat.com redhat.com 8112 IN NS speedy.redhat.com redhat.com 8112 IN A 207.175.42.154 redhat.com 11891 IN SOA ns.redhat.com noc.redhat.com( 2000021402 ;serial (version) 3600 ;refresh period 1800 ;retry refresh this often 604800 ;expiration period 86400 ;minimum TTL ) For authoritative answers, see: redhat.com 8112 IN NS ns.redhat.com redhat.com 8112 IN NS ns2.redhat.com redhat.com 8112 IN NS ns3.redhat.com redhat.com 8112 IN NS speedy.redhat.com Additional information: ns.redhat.com 94507 IN Для получения полного описания домена используйте команду: [root@deep /]# host Например: [root@deep /]# host-l openna.com openna.com name server deep.openna.com openna.com name server mail.openna.com localhost.openna.com has address 127.0.0.1 deep.openna.com has address 208.164.186.1 mail.openna.com has address 208.164.186.2 www.openna.com has address 208.164.186.3 > /usr/lib/bind/lib/libbind.a > /usr/lib/bind/lib/libbind_r.a > /usr/lib/nslookup.

Содержание

1. Организация защиты Isc Bind/Dns

1.1 Запуск ISC BIND/DNS в chroot окружении

2. Административные средства Dns

2.1 Утилита dig

2.2 ndc

3. Утилиты пользователя Dns

3.1 nslookup

3.2 Утилита host

1. Организация защиты ISC BIND/DNS

1.1 Запуск ISC BIND/DNS в chroot окружении