Configurando o Serviço de Nomes

O arquivo de configuração principal do serviço named é /etc/named.conf. Informações detalhadas de configuração estão disponíveis na página do manual named.conf(5) e no Manual de Referência do Administrador do BIND 9. O exemplo a seguir vem do arquivo /etc/named.conf padrão que é instalado com o pacote bind e que configura um servidor de nome somente para armazenamento em cache:

options {
    listen-on port 53 { 127.0.0.1; };
    listen-on-v6 port 53 { ::1; };
    directory       "/var/named";
    dump-file       "/var/named/data/cache_dump.db";
    statistics-file "/var/named/data/named_stats.txt";
    memstatistics-file "/var/named/data/named_mem_stats.txt";
    secroots-file   "/var/named/data/named.secroots";
    recursing-file  "/var/named/data/named.recursing";
    allow-query { localnets; };
    recursion yes;

    dnssec-enable yes;
    dnssec-validation yes;

    /* Path to ISC DLV key */
    bindkeys-file "/etc/named.iscdlv.key";

    managed-keys-directory "/var/named/dynamic";

   pid-file "/run/named/named.pid";
    session-keyfile "/run/named/session.key";

    /* https://fedoraproject.org/wiki/Changes/CryptoPolicy */
    include "/etc/crypto-policies/back-ends/bind.config";

};

logging {
    channel default_debug {
        file "data/named.run";
        severity dynamic;
    };
};

zone "." IN {
    type hint;
    file "named.ca";
};

include "/etc/named.rfc1912.zones";
include "/etc/named.root.key";

A instrução options define as opções de configuração do servidor global e define padrões para outras instruções.

listen-on

É a porta na qual named faz listening das consultas.

directory

Especifica o diretório padrão para arquivos de zona se um nome de caminho relativo for especificado.

dump-file

Especifica onde named despeja seu cache se ele falhar.

statistics-file

Especifica o arquivo de saída para o comando rndc stats.

memstatistics-file

Especifica o arquivo de saída para estatísticas de uso da memória named.

allow-query

Especifica quais endereços IP podem consultar o servidor. localnets especifica todas as redes anexadas localmente.

recursion

Especifica se o servidor de nomes executa consultas recursivas.

dnssec-enable

Especifica se o DNS seguro deve ser usado (DNSSEC).

dnssec-validation

Especifica se o servidor de nome validaria respostas de zonas ativadas para DNSSEC.

dnssec-lookaside

Especifica se a Validação de Lado de Vista DNSSEC (DLV) deve ser ativada usando a chave no /etc/named.iscdlv.key definida por bindkeys-file.

A seção logging ativa o log de mensagens para /var/named/data/named.run. O parâmetro severity controla o nível de log e o valor dynamic significa que esse nível pode ser controlado usando o comando rndc trace.

A seção zone especifica o conjunto inicial de servidores raiz usando uma zona de dica. Esta zona especifica que named consulte /var/named/named.ca para obter os endereços IP de servidores autorizados para o domínio raiz (.).

É possível adicionar definições ao arquivo de configuração que são apropriadas ao ambiente de rede. O exemplo a seguir define configurações para o serviço e as definições de nível superior para zonas:

include "/etc/rndc.key";

controls {
    inet 127.0.0.1 allow { localhost; } keys { "rndc-key"; }
};

zone "us.example.com" {
    type master;
    file "master-data";
    allow-update { key "rndc-key"; };
    notify yes;
};

zone "example.com" IN {
    type slave;
    file "sec/slave-data";
    allow-update { key "rndc-key"; };
    masters {10.1.32.1;};
};

zone "2.168.192.in-addr.arpa" IN {
    type master;
    file "reverse-192.168.2";
    allow-update { key “rndc-key”; };
    notify yes;
};

A instrução include permite que arquivos externos sejam referenciados para que dados confidenciais, como hashes de chaves, possam ser colocados em um arquivo separado com permissões restritas.

A instrução controls define as informações de acesso e os requisitos de segurança necessários para usar o comando rndc com o servidor named:

inet

Especifica quais hosts podem executar rndc para controlar o nome. Neste exemplo, rndc deve ser executado no host local (127.0.0.1).

keys

Especifica os nomes das chaves que podem ser usadas. O exemplo especifica o uso da chave chamada rndc-key, que é definida em /etc/rndc.key. As chaves autenticam várias ações por named e são o método principal de controlar o acesso e a administração remotos.

As instruções zone definem a função do servidor em zonas diferentes.

As seguintes opções de zona são usadas:

type

Especifica que este sistema é o servidor de nome principal para a zona us.example.com e um servidor de backup para example.com. 2.168.192.in-addr.arpa é uma zona inversa para resolver endereços IP para nomes de host. Consulte Sobre Registros de Recursos para Resolução de Nome Reverso.

file

Especifica o caminho para o arquivo de zona relativo a /var/named. O arquivo de zona para us.example.com é armazenado em /var/named/master-data e os dados de zona transferidos para example.com são armazenados em cache em /var/named/sec/slave-data.

allow-update

Especifica que uma chave compartilhada deve existir nos servidores de nome primário e de backup para que uma transferência de zona ocorra do primário para o backup. Veja a seguir um exemplo de registro de uma chave no arquivo /etc/rndc.key:

key "rndc-key" {
    algorithm hmac-md5;
    secret "XQX8NmM41+RfbbSdcqOejg==";
};

Você pode usar o comando rndc-confgen -a para gerar um arquivo de chave.

notify

Especifica se os servidores de nome de backup devem ser notificados quando as informações da zona forem atualizadas.

masters

Especifica o servidor de nome principal para um servidor de nome de backup.

Para obter mais informações, consulte a página do manual named.conf(5) e a documentação do BIND em /usr/share/doc/bind-version/arm.

Um registro de recurso em um arquivo de zona contém os seguintes campos, alguns dos quais são opcionais, dependendo do tipo de registro:

Nome

Nome do domínio ou endereço IP.

TTL (tempo de vida)

O tempo máximo que um servidor de nomes armazena em cache um registro antes de verificar se há um mais recente disponível.

Classe

Sempre IN para a Internet.

Tipo

Tipo de registro, por exemplo:

A (endereço)

Endereço IPv4 correspondente a um host.

AAAA (endereço)

Endereço IPv6 correspondente a um host.

CNAME (nome canônico)

Nome do alias correspondente a um nome de host.

MX (troca de e-mail)

Destino do e-mail endereçado ao domínio.

NS (servidor de nomes)

Nome de domínio totalmente qualificado de um servidor de nome autorizado para um domínio.

PTR (ponteiro)

Nome do host que corresponde a um endereço IP para pesquisas de endereço a nome (resolução de nome reverso).

SOA (início de autoridade)

Informações autorizadas sobre uma zona, como o servidor de nome principal, o endereço de email do administrador do domínio e o número de série do domínio. Todos os registros após um registro SOA estão relacionados à zona que ele define até o próximo registro SOA.

Dados

Informações que o registro armazena, como um endereço IP em um registro A, ou um nome de host em um registro CNAME ou PTR.

O exemplo a seguir mostra o conteúdo de um arquivo de zona típico, como /var/named/master-data:

$TTL 86400        ; 1 day
@ IN SOA dns.us.example.com. root.us.example.com. (
            57 ; serial
            28800 ; refresh (8 hours)
            7200 ; retry (2 hours)
            2419200 ; expire (4 weeks)
            86400 ; minimum (1 day)
            )
              IN  NS      dns.us.example.com.

dns           IN  A       192.168.2.1
us.example.com  IN  A       192.168.2.1
svr01         IN  A       192.168.2.2
www           IN  CNAME   svr01
host01        IN  A       192.168.2.101
host02        IN  A       192.168.2.102
host03        IN  A       192.168.2.103
...

Um comentário em uma linha é precedido por um ponto e vírgula (;).

A diretiva $TTL define o valor padrão de tempo de vida útil para todos os registros de recursos na zona. Cada registro de recurso pode definir seu próprio valor de tempo de vida, que substitui a configuração global.

O registro SOA é obrigatório e inclui as seguintes informações:

us.example.com

O nome do domínio.

dns.us.example.com.

O nome de domínio totalmente qualificado do servidor de nomes, incluindo um período final (.) para o domínio raiz.

root.us.example.com.

O endereço de e-mail do administrador do domínio.

número de série

Um contador que, se incrementado, diz a named para recarregar o arquivo de zona.

atualizar

O horário após o qual um servidor de nome principal notifica os servidores de nome de backup que eles devem atualizar seu banco de dados.

repetir

Se uma atualização falhar, o tempo que um servidor de nome de backup deve aguardar antes de tentar outra atualização.

expirar

O tempo máximo decorrido que um servidor de nomes de backup tem para concluir uma atualização antes que seus registros de zona não sejam mais considerados autorizados e ele interromperá a resposta às consultas.

mínimo

O tempo mínimo durante o qual outros servidores devem armazenar em cache as informações obtidas desta zona.

Um registro NS declara um servidor de nomes autorizado para o domínio.

Cada registro A especifica o endereço IP que corresponde a um nome de host no domínio.

O registro CNAME cria o alias www para svr01.

Para obter mais informações, consulte a documentação do BIND em /usr/share/doc/bind-version/arm.

A resolução de encaminhamento retorna um endereço IP para um nome de domínio especificado. A resolução de nome reverso retorna um nome de domínio para um endereço IP especificado. O DNS implementa a resolução de nome reverso usando os domínios in-addr.arpa e ip6.arpa especiais para IPv4 e IPv6.

As características de um domínio in-addr.arpa ou ip6.arpa da zona geralmente são definidas em /etc/named.conf, por exemplo:

zone "2.168.192.in-addr.arpa" IN {
    type master;
    file "reverse-192.168.2";
    allow-update { key “rndc-key”; };
    notify yes;
};

O nome da zona consiste em in-addr.arpa, precedido pela parte de rede do endereço IP do domínio, com seus quads pontilhados gravados em ordem inversa.

Se a rede não tiver um tamanho de prefixo que seja um múltiplo de 8, consulte RFC 2317 para o formato que você precisa usar.

Os registros PTR nos domínios in-addr.arpa ou ip6.arpa definem nomes de host que correspondem à parte do host do endereço IP. O exemplo a seguir é obtido do arquivo de zona /var/named/reverse-192.168.2:

$TTL 86400        ;
@ IN SOA dns.us.example.com. root.us.example.com. (
            57 ;
            28800 ;
            7200 ;
            2419200 ;
            86400 ;
            )
              IN  NS      dns.us.example.com.

1             IN  PTR     dns.us.example.com.
1             IN  PTR     us.example.com.
2             IN  PTR     svr01.us.example.com.
101           IN  PTR     host01.us.example.com.
102           IN  PTR     host02.us.example.com.
103           IN  PTR     host03.us.example.com.
...

Para obter mais informações, consulte a documentação do BIND em /usr/share/doc/bind-version/arm.