Was ist das?

DNS ist ein Namensauflösungssystem - also die Umwandlung von Hostnamen in IP-Adressen.

Kurze Einführung in das Domain-System:

eine Domain kann bei einem Registrar für einen bestimmten Zeitraum (x Jahre) registriert werden. Dies kostet je nach Anbieter und Top-Level-Domain üblicherweise zwischen 5 und 20 Euro pro Jahr.
der Registrar ist für die Namensauflösung verantwortlich (oft per Web-Interface konfigurierbar) und betreibt dafür eigene Nameserver oder lässt die Konfiguration eigener Nameserver zu
prinzipiell sind somit zwei Modelle möglich:
Verwaltet vom Registrar
Alle Namenseinträge (A, CNAME, MX, SRV, ...) lassen sich über ein Interface beim Registrar einstellen. Die Nameserver des Registrars kümmern sich dann um die Verbreitung.
Selbstverwaltet
Wir definieren beim Registrar mindestens zwei eigene Nameserver, die zukünftig die Namenseinträge dieser Domain ("Zone") ausliefern sollen.

Da wir ein Hackspace sind und Lust aufs Basteln haben, ist es fraglos viel aufregender, wenn wir unsere DNS-Zone selbst verwalten

Was wollen wir?

wir brauchen mindestens zwei externe DNS-Server, die unsere Domain-Einträge verbreiten
- diese geben wir beim Domain-Registrar an - er verweist zukünftig auf diese Nameserver, wenn Anfragen bei ihm eingehen
wir wollen die DNS-Server synchron halten
- die gebräuchlichste Lösung dafür ist der Zone-Transfer
die Einstiegshürde zur Anpassung der DNS-Einträge sollte eher niedrig sein

Umsetzung

Server

Wir verwenden aktuell folgende externe DNS-Server (Replicas):

109.239.50.136 / ns1.farbdev.org (Kontakt: Konrad, derzeit auf Eis)
78.47.131.46 / ns2.farbdev.org (Kontakt: Konrad)

Beide Replicas werden durch Zonen-Transfers des Master-DNS-Servers im DNS Container aktualisiert.

Master-Einstellungen

Auf dem DNS Container ist PowerDNS installiert. Die Einstellungen liegen unter /etc/powerdns/. Nachdem wir 2014 mit dem Bind-Zonen-Format begonnen haben, sind wir später auf das PostgresQL-Backend umgestiegen. Das Admin-Interface für PowerDNS ist unter dns.hack-hro.de erreichbar. Zuvor ist eine Anmeldung via ldap-Zugangsdaten notwendig. Anschließend wird das PowerAdmin-Passwort benötigt.

Admin-Passwort-Träger:innen: * Konrad * lars

Replica-Einstellungen

Der Zonen-Transfer wird von verschiedenen DNS-Implementierungen unterstützt. Wir können also unabhängig von dem spezifischen Master-DNS-Server auch anderen Implementierungen als Replicas verwenden.

Bind

Bind ist eine verbreitete DNS-Implementierung.

Die folgende Zonen-Definition ist ausreichend:

zone "hack-hro.de" {
    type slave;
    file "hack-hro.de.zone";
    masters { 5.45.100.156 };
    allow-transfer { none; };
};

PowerDNS

PowerDNS ist ein freier DNS-Server, der verschiedene Daten-Backends (Datenbanken, LDAP, Skripte, ...) unterstützt.

Die allgemeine PowerDNS-Konfiguration ist sehr übersichtlich:

master=no
slave=yes
launch=bind
bind-config=/etc/powerdns/bindbackend.conf
local-address=ipv4-adresse

Die letzte Zeile sollte um die IPv4 Adresse eures Server ergänzt werden. Das ist insbesondere dann wichtig, wenn euer Server mehrere IP-Adressen hat, weil die Antworten des DNS dann verloren gehen können. Unter der obigen Verwendung des bind-Backends (also mit Zone-Definitionen im Bind-Format) lässt sich unsere Zone folgendermaßen in der Datei /etc/powerdns/bindbackend.conf definieren:

zone "hack-hro.de" {
    type slave;
    masters { 5.45.100.156 };
    file "/var/run/powerdns/pdns-hack-hro.de.zone";
};

Übliche Aktivitäten

DNS-Einträge abfragen

Das Programm dig (im Debian-Paket dnsutils enthalten) ist ein komfortables Werkzeug zur Analyse von DNS-Einträgen. Alternativ ist auf fast jedem Rechner das weniger flexible Werkzeug nslookup verfügbar.

Beispiele für die Nutzung:

# IP eines Hostnamen erfragen
dig hack-hro.de

# authorative Nameserver einer Domain erfragen
dig NS hack-hro.de

# Mailserver für eine Domain abfragen
dig MX hack-hro.de

# unseren Master-DNS-Server abfragen (nicht-standard Port)
dig www.hack-hro.de @5.45.100.156

# unsere beiden Replica-DNS-Server abfragen
dig www.hack-hro.de @ns1.farbdev.org
dig www.hack-hro.de @ns2.farbdev.org

# rückwärtige Namensauflösung (IP zu Name)
dig -x 8.8.8.8

DNS-Einträge ändern / hinzufügen / löschen

Du möchtest einen weiteren Hostname unterhalb von hack-hro.de eintragen oder bestehende Einträge ändern? Die folgenden Schritte genügen dafür:

Login auf dns.hack-hro.de
in der Datei hack-hro.de Zone Einträge ändern (Quelle für den Einstieg: Wikipedia)
ggf. pdns Dienst im DNS Container neustarten:
```
service pdns restart
```
im Fehlerfall das Log mit journalctl -u pdns prüfen

Die neuen Einträge sind unmittelbar auf dem Master-Server verfügbar. Die Replica-Server (und cachende Nameserver von ISPs und anderen) werden erst innerhalb der nächsten Stunden die neuen Einträge übernehmen.

Weiteren Replica-DNS-Server hinzufügen

Falls du administrativen Zugriff auf einen öffentlich erreichbaren Rechner mit statischer IP hast, dann kannst du gern einen weiteren DNS-Server zu unserer Domain-Auflösung hinzufügen.

Die folgenden Schritte sind erforderlich:

konfiguriere einen DNS-Server auf dem Rechner und füge die obige Replica-Zonen-Konfiguration hinzu (siehe oben: Replica-Einstellungen)
füge deine IP auf DNS in der Datei /etc/powerdns/pdns.d/pdns.local zur Einstellung allow-axfr-ips hinzu
- anschließend: service pdns restart
- das Log mit journalctl -u pdns auf Fehler prüfen
prüfe, ob dein DNS-Server auf Hostnamen in der hack-hro.de-Domain korrekt reagiert (bei abgeschalteter rekursiver Auflösung)
ggf. musst du deinen Nameserver jetzt als weiteren NS-Record hinterlegen
fertig!

DNS-Besonderheiten

CNAME-Einträge verbergen alle Einträge auf selber Ebene

Wenn ein CNAME-Eintrag existiert, dann ist es nicht möglich, für denselben Namen weitere Einträge (beispielsweise NS, MX oder SRV) anzulegen.

Somit sollte jede Second-Level-Domain (z.B. hack-hro.de durch einen A- anstelle eines CNAME-Eintrags aufgelöst werden, da hier üblicherweise NS- und MX-Einträge notwendig sind.

CNAME-Einträge nicht verketten

Die RC 2181 in Punkt 10.3 sagt aus, dass CNAMEs nicht verkettet werden mögen. Manche Nameserver lösen dies wohl trotzdem auf - zumindest bei Bind scheint es jedoch problematisch zu sein.

Redundante Server (Round-Robin)

Für einen Namen können mehrere A-Einträge definiert werden. Clients (Browser, Mailprogramme, ...) werden üblicherweise durch die zurückgelieferten Ergebnisse rotieren. Somit lässt sich eine gewisse Ausfallsicherheit herstellen, die dem Nutzenden nicht auffällt.

KategorieDienste