TOC

Comment configurer BIND en tant que serveur DNS de réseau privé sur Ubuntu 18.04

introduction

Une partie importante de la gestion de la configuration et de l’infrastructure de serveur consiste à maintenir un moyen simple de rechercher les interfaces réseau et les adresses IP par leur nom en configurant un système de noms de domaine (DNS) approprié. L'utilisation de noms de domaine complets (FQDN), au lieu d'adresses IP, pour spécifier les adresses réseau facilite la configuration des services et des applications et augmente la maintenabilité des fichiers de configuration. Configurer votre propre DNS pour votre réseau privé est un excellent moyen d’améliorer la gestion de vos serveurs.

Dans ce didacticiel, nous verrons comment configurer un serveur DNS interne à l'aide du logiciel de serveur de noms BIND (BIND9) sous Ubuntu 18.04, que vos serveurs peuvent utiliser pour résoudre les noms d'hôte privés et les adresses IP privées. Cela fournit un moyen central de gérer vos noms d'hôte internes et vos adresses IP privées, ce qui est indispensable lorsque votre environnement s'étend à plusieurs hôtes.

La version CentOS de ce tutoriel peut être trouvéehere.

Conditions préalables

Pour compléter ce didacticiel, vous aurez besoin de l’infrastructure suivante. Créez chaque serveurin the same datacenter avecprivate networking enabled:

  • Un nouveau serveur Ubuntu 18.04 pour servir de serveur DNS principal,ns1

  • (Recommandé) Un deuxième serveur Ubuntu 18.04 pour servir de serveur DNS secondaire,ns2

  • Serveurs supplémentaires dans le même centre de données qui utiliseront vos serveurs DNS

Sur chacun de ces serveurs, configurez l'accès administratif via un utilisateursudo et un pare-feu en suivant nosUbuntu 18.04 initial server setup guide.

Si vous n'êtes pas familier avec les concepts DNS, il est recommandé de lire au moins les trois premières parties de nosIntroduction to Managing DNS.

Exemple d'infrastructure et d'objectifs

Pour les besoins de cet article, nous supposerons ce qui suit:

  • Nous avons deux serveurs qui seront désignés comme nos serveurs de noms DNS. Nous les appelleronsns1 etns2 dans ce guide.

  • Nous avons deux serveurs clients supplémentaires qui utiliseront l'infrastructure DNS que nous créons. Nous appellerons ceshost1 ethost2 dans ce guide. Vous pouvez en ajouter autant que vous le souhaitez pour votre infrastructure.

  • Tous ces serveurs existent dans le même centre de données. Nous supposerons qu'il s'agit du centre de donnéesnyc3.

  • Tous ces serveurs ont un réseau privé activé (et se trouvent sur le sous-réseau10.128.0.0/16. Vous devrez probablement ajuster ceci pour vos serveurs).

  • Tous les serveurs sont connectés à un projet qui s'exécute sur «exemple.com». Étant donné que notre système DNS sera entièrement interne et privé, vous ne devez pas acheter de nom de domaine. Toutefois, l'utilisation d'un domaine que vous possédez peut aider à éviter les conflits avec des domaines pouvant être routés publiquement.

Avec ces hypothèses, nous décidons qu’il est judicieux d’utiliser un schéma de dénomination qui utilise «nyc3.example.com» pour faire référence à notre sous-réseau ou zone privé. Par conséquent, le nom de domaine complet (FQDN) privé dehost1 serahost1.nyc3.example.com. Reportez-vous au tableau suivant les détails pertinents:

Host Role FQDN privé Adresse IP privée

ns1

Serveur DNS primaire

ns1.nyc3.example.com

10.128.10.11

ns2

Serveur DNS secondaire

ns2.nyc3.example.com

10.128.20.12

hôte1

Hôte générique 1

host1.nyc3.example.com

10.128.100.101

host2

Hôte générique 2

host2.nyc3.example.com

10.128.200.102

Note

[.note] # Votre configuration existante sera différente, mais les exemples de noms et d'adresses IP seront utilisés pour montrer comment configurer un serveur DNS pour fournir un DNS interne fonctionnel. Vous devriez pouvoir adapter facilement cette configuration à votre propre environnement en remplaçant les noms d’hôte et les adresses IP privées par les vôtres. Il n’est pas nécessaire d’utiliser le nom de région du centre de données dans votre schéma de dénomination, mais nous l’utilisons ici pour indiquer que ces hôtes appartiennent au réseau privé d’un centre de données particulier. Si vous utilisez plusieurs centres de données, vous pouvez configurer un DNS interne dans chaque centre de données respectif.
#

À la fin de ce tutoriel, nous aurons un serveur DNS principal,ns1, et éventuellement un serveur DNS secondaire,ns2, qui servira de sauvegarde.

Commençons par installer notre serveur DNS principal, ns1.

Installation de BIND sur des serveurs DNS

Note

[.note] # Le texte surligné enred est important! Il sera souvent utilisé pour indiquer quelque chose qui doit être remplacé par vos propres paramètres ou qu'il devrait être modifié ou ajouté à un fichier de configuration. Par exemple, si vous voyez quelque chose commehost1.nyc3.example.com, remplacez-le par le FQDN de votre propre serveur. De même, si vous voyezhost1_private_IP, remplacez-le par l'adresse IP privée de votre propre serveur.
#

Sur les deux serveurs DNS,ns1 etns2, mettez à jour le cache du packageapt en tapant: 

sudo apt-get update

Maintenant, installez BIND: 

sudo apt-get install bind9 bind9utils bind9-doc

Définition du mode de liaison sur IPv4

Avant de continuer, définissons BIND sur le mode IPv4 car notre réseau privé utilise exclusivement IPv4. Sur les deux serveurs, modifiez le fichier de paramètres par défaut debind9en tapant: 

sudo nano /etc/default/bind9

Ajoutez «-4» à la fin du paramètreOPTIONS. Cela devrait ressembler à ceci:

/etc/default/bind9

. . .
OPTIONS="-u bind -4"

Enregistrez et fermez le fichier lorsque vous avez terminé.

Redémarrez BIND pour implémenter les modifications: 

sudo systemctl restart bind9

Maintenant que BIND est installé, configurons le serveur DNS principal.

Configuration du serveur DNS primaire

La configuration de BIND se compose de plusieurs fichiers, qui sont inclus à partir du fichier de configuration principal,named.conf. Ces noms de fichiers commencent parnamed car c'est le nom du processus exécuté par BIND (abréviation de «domain name daemon»). Nous allons commencer par configurer le fichier d'options.

Configuration du fichier d'options

Surns1, ouvrez le fichiernamed.conf.options pour le modifier: 

sudo nano /etc/bind/named.conf.options

Au-dessus du blocoptions existant, créez un bloc ACL (liste de contrôle d'accès)new appelé «confiance». C’est là que nous définirons une liste de clients à partir desquels nous autoriserons les requêtes DNS récursives (c.-à-d. vos serveurs qui sont dans le même centre de données quens1). En utilisant notre exemple d'adresses IP privées, nous ajouteronsns1,ns2,host1 ethost2 à notre liste de clients de confiance:

/etc/bind/named.conf.options — 1 of 3

acl "trusted" {
        10.128.10.11;    # ns1 - can be set to localhost
        10.128.20.12;    # ns2
        10.128.100.101;  # host1
        10.128.200.102;  # host2
};

options {

        . . .

Maintenant que nous avons notre liste de clients DNS de confiance, nous voudrons éditer le blocoptions. Actuellement, le début du bloc se présente comme suit:

/etc/bind/named.conf.options — 2 of 3

        . . .
};

options {
        directory "/var/cache/bind";
        . . .
}

Sous la directivedirectory, ajoutez les lignes de configuration en surbrillance (et remplacez-les par l'adresse IP appropriée dens1) pour que cela ressemble à ceci:

/etc/bind/named.conf.options — 3 of 3

        . . .

};

options {
        directory "/var/cache/bind";

        recursion yes;                 # enables resursive queries
        allow-recursion { trusted; };  # allows recursive queries from "trusted" clients
        listen-on { 10.128.10.11; };   # ns1 private IP address - listen on private network only
        allow-transfer { none; };      # disable zone transfers by default

        forwarders {
                8.8.8.8;
                8.8.4.4;
        };

        . . .
};

Lorsque vous avez terminé, enregistrez et fermez le fichiernamed.conf.options. La configuration ci-dessus spécifie que seuls vos propres serveurs (les «dignes de confiance») pourront interroger votre serveur DNS pour des domaines extérieurs.

Ensuite, nous allons configurer le fichier local, pour spécifier nos zones DNS.

Configuration du fichier local

Surns1, ouvrez le fichiernamed.conf.local pour le modifier: 

sudo nano /etc/bind/named.conf.local

Mis à part quelques commentaires, le fichier doit être vide. Ici, nous allons spécifier nos zones avant et arrière. DNS zones désigne une étendue spécifique pour la gestion et la définition des enregistrements DNS. Puisque nos domaines seront tous dans le sous-domaine «nyc3.example.com», nous utiliserons cela comme zone de transfert. Étant donné que les adresses IP privées de nos serveurs se trouvent chacune dans l'espace IP10.128.0.0/16, nous allons configurer une zone inversée afin de pouvoir définir des recherches inversées dans cette plage.

Ajoutez la zone avant avec les lignes suivantes, en remplaçant le nom de la zone par le vôtre et lessecondary DNS server’s private IP address dans la directiveallow-transfer:

/etc/bind/named.conf.local — 1 of 2

zone "nyc3.example.com" {
    type master;
    file "/etc/bind/zones/db.nyc3.example.com"; # zone file path
    allow-transfer { 10.128.20.12; };           # ns2 private IP address - secondary
};

En supposant que notre sous-réseau privé est10.128.0.0/16, ajoutez la zone inverse avec les lignes suivantes (note that our reverse zone name starts with “128.10” which is the octet reversal of “10.128”):

/etc/bind/named.conf.local — 2 of 2

    . . .
};

zone "128.10.in-addr.arpa" {
    type master;
    file "/etc/bind/zones/db.10.128";  # 10.128.0.0/16 subnet
    allow-transfer { 10.128.20.12; };  # ns2 private IP address - secondary
};

Si vos serveurs couvrent plusieurs sous-réseaux privés mais se trouvent dans le même centre de données, veillez à spécifier une zone et un fichier de zone supplémentaires pour chaque sous-réseau distinct. Lorsque vous avez terminé d'ajouter toutes les zones souhaitées, enregistrez et quittez le fichiernamed.conf.local.

Maintenant que nos zones sont spécifiées dans BIND, nous devons créer les fichiers de zone avant et arrière correspondants.

Création du fichier de zone de transfert

Le fichier de zone de transfert permet de définir les enregistrements DNS pour les recherches DNS directes. Autrement dit, lorsque le DNS reçoit une requête de nom, "host1.nyc3.example.com" par exemple, il cherchera dans le fichier de zone de transfert pour résoudre l'adresse IP privée correspondante dehost1.

Créons le répertoire où nos fichiers de zone résideront. Selon notre configuration denamed.conf.local, cet emplacement doit être/etc/bind/zones: 

sudo mkdir /etc/bind/zones

Nous baserons notre fichier de zone avant sur l'exemple de fichier de zonedb.local. Copiez-le à l'emplacement approprié à l'aide des commandes suivantes: 

sudo cp /etc/bind/db.local /etc/bind/zones/db.nyc3.example.com

Maintenant, éditons notre fichier de zone de transfert: 

sudo nano /etc/bind/zones/db.nyc3.example.com

Au début, cela ressemblera à quelque chose comme ceci:

/etc/bind/zones/db.nyc3.example.com — original

$TTL    604800
@       IN      SOA     localhost. root.localhost. (
                              2         ; Serial
                         604800         ; Refresh
                          86400         ; Retry
                        2419200         ; Expire
                         604800 )       ; Negative Cache TTL
;
@       IN      NS      localhost.      ; delete this line
@       IN      A       127.0.0.1       ; delete this line
@       IN      AAAA    ::1             ; delete this line

Tout d'abord, vous voudrez éditer l'enregistrement SOA. Remplacez le premier "localhost" par le nom de domaine complet dens1, puis remplacez "root.localhost" par "admin.nyc3.example.com". Chaque fois que vous modifiez un fichier de zone, vous devez incrémenter la valeur deserial avant de redémarrer le processusnamed. Nous allons l'incrémenter à «3». Cela devrait maintenant ressembler à quelque chose comme ça:

/etc/bind/zones/db.nyc3.example.com — updated 1 of 3

@       IN      SOA     ns1.nyc3.example.com. admin.nyc3.example.com. (
                              3         ; Serial

                              . . .

Ensuite, supprimez les trois enregistrements à la fin du fichier (après l'enregistrement SOA). Si vous ne savez pas quelles lignes supprimer, celles-ci sont marquées d’un commentaire «supprimer cette ligne» ci-dessus.

À la fin du fichier, ajoutez vos enregistrements de serveur de noms avec les lignes suivantes (remplacez les noms par vos propres noms). Notez que la deuxième colonne spécifie qu'il s'agit d'enregistrements «NS»:

/etc/bind/zones/db.nyc3.example.com — updated 2 of 3

. . .

; name servers - NS records
    IN      NS      ns1.nyc3.example.com.
    IN      NS      ns2.nyc3.example.com.

Ajoutez maintenant les enregistrements A pour vos hôtes appartenant à cette zone. Cela inclut tous les serveurs dont nous voulons terminer le nom avec “.nyc3.example.com” (remplacez les noms et les adresses IP privées). En utilisant nos exemples de noms et d'adresses IP privées, nous ajouterons des enregistrements A pourns1,ns2,host1 ethost2 comme ceci:

/etc/bind/zones/db.nyc3.example.com — updated 3 of 3

. . .

; name servers - A records
ns1.nyc3.example.com.          IN      A       10.128.10.11
ns2.nyc3.example.com.          IN      A       10.128.20.12

; 10.128.0.0/16 - A records
host1.nyc3.example.com.        IN      A      10.128.100.101
host2.nyc3.example.com.        IN      A      10.128.200.102

Enregistrez et fermez le fichierdb.nyc3.example.com.

Notre dernier exemple de fichier de zone de transfert ressemble à ceci:

/etc/bind/zones/db.nyc3.example.com — updated

$TTL    604800
@       IN      SOA     ns1.nyc3.example.com. admin.nyc3.example.com. (
                  3     ; Serial
             604800     ; Refresh
              86400     ; Retry
            2419200     ; Expire
             604800 )   ; Negative Cache TTL
;
; name servers - NS records
     IN      NS      ns1.nyc3.example.com.
     IN      NS      ns2.nyc3.example.com.

; name servers - A records
ns1.nyc3.example.com.          IN      A       10.128.10.11
ns2.nyc3.example.com.          IN      A       10.128.20.12

; 10.128.0.0/16 - A records
host1.nyc3.example.com.        IN      A      10.128.100.101
host2.nyc3.example.com.        IN      A      10.128.200.102

Passons maintenant au (x) fichier (s) de zone inversée.

Création du ou des fichiers de zone inversée

Les fichiers de zone inversée sont ceux où nous définissons les enregistrements DNS PTR pour les recherches DNS inversées. Ainsi, lorsque le DNS reçoit une requête par adresse IP, par exemple "10.128.100.101", il recherche dans le ou les fichiers de zone inversée le nom de domaine complet correspondant, "host1.nyc3.example.com". .

Surns1, pour chaque zone inverse spécifiée dans le fichiernamed.conf.local, créez un fichier de zone inverse. Nous baserons nos fichiers de zone inversée sur le fichier de zone échantillondb.127. Copiez-le à l'emplacement approprié à l'aide des commandes suivantes (en remplaçant le nom du fichier de destination afin qu'il corresponde à votre définition de zone inversée): 

sudo cp /etc/bind/db.127 /etc/bind/zones/db.10.128

Editez le fichier de zone inverse qui correspond à la ou aux zones inversées définies ennamed.conf.local: 

sudo nano /etc/bind/zones/db.10.128

Au début, cela ressemblera à quelque chose comme ceci:

/etc/bind/zones/db.10.128 — original

$TTL    604800
@       IN      SOA     localhost. root.localhost. (
                              1         ; Serial
                         604800         ; Refresh
                          86400         ; Retry
                        2419200         ; Expire
                         604800 )       ; Negative Cache TTL
;
@       IN      NS      localhost.      ; delete this line
1.0.0   IN      PTR     localhost.      ; delete this line

De la même manière que le fichier de zone avant, vous voudrez éditer l'enregistrement SOA et incrémenter la valeur deserial. Ça devrait ressembler a quelque chose comme ca:

/etc/bind/zones/db.10.128 — updated 1 of 3

@       IN      SOA     ns1.nyc3.example.com. admin.nyc3.example.com. (
                              3         ; Serial

                              . . .

Supprimez maintenant les deux enregistrements à la fin du fichier (après l’enregistrement SOA). Si vous ne savez pas quelles lignes supprimer, celles-ci sont marquées d’un commentaire «supprimer cette ligne» ci-dessus.

À la fin du fichier, ajoutez vos enregistrements de serveur de noms avec les lignes suivantes (remplacez les noms par vos propres noms). Notez que la deuxième colonne spécifie qu'il s'agit d'enregistrements «NS»:

/etc/bind/zones/db.10.128 — updated 2 of 3

. . .

; name servers - NS records
      IN      NS      ns1.nyc3.example.com.
      IN      NS      ns2.nyc3.example.com.

Ajoutez ensuite les enregistrementsPTR pour tous vos serveurs dont les adresses IP se trouvent sur le sous-réseau du fichier de zone que vous modifiez. Dans notre exemple, cela inclut tous nos hôtes car ils sont tous sur le sous-réseau de10.128.0.0/16. Notez que la première colonne se compose des deux derniers octets des adresses IP privées de vos serveurs enreversed order. Assurez-vous de substituer des noms et des adresses IP privées pour correspondre à vos serveurs:

/etc/bind/zones/db.10.128 — updated 3 of 3

. . .

; PTR Records
11.10   IN      PTR     ns1.nyc3.example.com.    ; 10.128.10.11
12.20   IN      PTR     ns2.nyc3.example.com.    ; 10.128.20.12
101.100 IN      PTR     host1.nyc3.example.com.  ; 10.128.100.101
102.200 IN      PTR     host2.nyc3.example.com.  ; 10.128.200.102

Enregistrez et fermez le fichier de zone inversée (répétez cette section si vous devez ajouter d'autres fichiers de zone inversée).

Notre dernier exemple de fichier de zone inversée ressemble à ce qui suit:

/etc/bind/zones/db.10.128 — updated

$TTL    604800
@       IN      SOA     nyc3.example.com. admin.nyc3.example.com. (
                              3         ; Serial
                         604800         ; Refresh
                          86400         ; Retry
                        2419200         ; Expire
                         604800 )       ; Negative Cache TTL
; name servers
      IN      NS      ns1.nyc3.example.com.
      IN      NS      ns2.nyc3.example.com.

; PTR Records
11.10   IN      PTR     ns1.nyc3.example.com.    ; 10.128.10.11
12.20   IN      PTR     ns2.nyc3.example.com.    ; 10.128.20.12
101.100 IN      PTR     host1.nyc3.example.com.  ; 10.128.100.101
102.200 IN      PTR     host2.nyc3.example.com.  ; 10.128.200.102

Nous avons terminé la modification de nos fichiers. Nous pouvons ensuite vérifier si nos fichiers contiennent des erreurs.

Vérification de la syntaxe de configuration de BIND

Exécutez la commande suivante pour vérifier la syntaxe des fichiersnamed.conf*: 

sudo named-checkconf

Si vos fichiers de configuration nommés ne comportent aucune erreur de syntaxe, vous revenez à l'invite de votre shell et ne voyez aucun message d'erreur. S'il y a des problèmes avec vos fichiers de configuration, consultez le message d'erreur et la section «Configurer le serveur DNS principal», puis réessayeznamed-checkconf.

La commandenamed-checkzone peut être utilisée pour vérifier l'exactitude de vos fichiers de zone. Son premier argument spécifie un nom de zone et le second argument spécifie le fichier de zone correspondant, qui sont tous deux définis dansnamed.conf.local.

Par exemple, pour vérifier la configuration de la zone de transfert «nyc3.example.com», exécutez la commande suivante (modifiez les noms pour qu'ils correspondent à votre zone de transfert et à votre fichier): 

sudo named-checkzone nyc3.example.com db.nyc3.example.com

Et pour vérifier la configuration de la zone inversée «128.10.in-addr.arpa», exécutez la commande suivante (modifiez les nombres pour qu'ils correspondent à votre zone et fichier inversés): 

sudo named-checkzone 128.10.in-addr.arpa /etc/bind/zones/db.10.128

Lorsque tous vos fichiers de configuration et de zone ne contiennent aucune erreur, vous devez être prêt à redémarrer le service BIND.

Redémarrer BIND

Redémarrez BIND: 

sudo systemctl restart bind9

Si le pare-feu UFW est configuré, ouvrez l’accès à BIND en tapant: 

sudo ufw allow Bind9

Votre serveur DNS principal est maintenant configuré et prêt à répondre aux requêtes DNS. Passons maintenant à la création du serveur DNS secondaire.

Configuration du serveur DNS secondaire

Dans la plupart des environnements, il est judicieux de configurer un serveur DNS secondaire qui répondra aux demandes si le serveur principal devient indisponible. Heureusement, le serveur DNS secondaire est beaucoup plus facile à configurer.

Surns2, éditez le fichiernamed.conf.options: 

sudo nano /etc/bind/named.conf.options

En haut du fichier, ajoutez la liste de contrôle d'accès avec les adresses IP privées de tous vos serveurs de confiance:

/etc/bind/named.conf.options — updated 1 of 2 (secondary)

acl "trusted" {
        10.128.10.11;   # ns1
        10.128.20.12;   # ns2 - can be set to localhost
        10.128.100.101;  # host1
        10.128.200.102;  # host2
};

options {

        . . .

Sous la directivedirectory, ajoutez les lignes suivantes:

/etc/bind/named.conf.options — updated 2 of 2 (secondary)

        recursion yes;
        allow-recursion { trusted; };
        listen-on { 10.128.20.12; };      # ns2 private IP address
        allow-transfer { none; };          # disable zone transfers by default

        forwarders {
                8.8.8.8;
                8.8.4.4;
        };

Enregistrez et fermez le fichiernamed.conf.options. Ce fichier doit ressembler exactement au fichiernamed.conf.options dens1, sauf qu’il doit être configuré pour écouter sur l’adresse IP privée dens2.

Maintenant, éditez le fichiernamed.conf.local: 

sudo nano /etc/bind/named.conf.local

Définissez les zones esclaves correspondant aux zones maîtres sur le serveur DNS principal. Notez que le type est «esclave», le fichier ne contient pas de chemin et il existe une directivemasters qui doit être définie sur l’adresse IP privée du serveur DNS principal. Si vous avez défini plusieurs zones inversées sur le serveur DNS principal, veillez à les ajouter toutes ici:

/etc/bind/named.conf.local — updated (secondary)

zone "nyc3.example.com" {
    type slave;
    file "db.nyc3.example.com";
    masters { 10.128.10.11; };  # ns1 private IP
};

zone "128.10.in-addr.arpa" {
    type slave;
    file "db.10.128";
    masters { 10.128.10.11; };  # ns1 private IP
};

Maintenant, enregistrez et fermez le fichiernamed.conf.local.

Exécutez la commande suivante pour vérifier la validité de vos fichiers de configuration: 

sudo named-checkconf

Une fois cela vérifié, redémarrez BIND: 

sudo systemctl restart bind9

Autorisez les connexions DNS au serveur en modifiant les règles de pare-feu UFW: 

sudo ufw allow Bind9

Vous disposez maintenant de serveurs DNS principal et secondaire pour la résolution du nom de réseau privé et de l'adresse IP. Vous devez maintenant configurer vos serveurs clients pour qu'ils utilisent vos serveurs DNS privés.

Configuration des clients DNS

Avant que tous vos serveurs de l'ACL «de confiance» puissent interroger vos serveurs DNS, vous devez configurer chacun d'eux pour utiliserns1 etns2 comme serveurs de noms. Ce processus varie en fonction du système d'exploitation, mais pour la plupart des distributions Linux, il implique l'ajout de vos serveurs de noms au fichier/etc/resolv.conf.

Ubuntu 18.04 Clients

Sur Ubuntu 18.04, la mise en réseau est configurée avec Netplan, une abstraction qui vous permet d’écrire une configuration réseau normalisée et de l’appliquer à un logiciel de gestion de réseau dorsal incompatible. Pour configurer DNS, nous devons écrire un fichier de configuration Netplan.

Tout d'abord, recherchez le périphérique associé à votre réseau privé en interrogeant le sous-réseau privé avec la commandeip address: 

ip address show to 10.128.0.0/16
Output3: eth1:  mtu 1500 qdisc fq_codel state UP group default qlen 1000
    inet 10.128.100.101/16 brd 10.128.255.255 scope global eth1
           valid_lft forever preferred_lft forever

Dans cet exemple, l'interface privée esteth1.

Ensuite, créez un nouveau fichier dans/etc/netplan appelé00-private-nameservers.yaml: 

sudo nano /etc/netplan/00-private-nameservers.yaml

À l'intérieur, collez le contenu suivant. Vous devrez modifier l'interface du réseau privé, les adresses de vos serveurs DNSns1 etns2, et la zone DNS:

[.note] #Note: Netplan utilise lesYAML data serialization format pour ses fichiers de configuration. Étant donné que YAML utilise l'indentation et les espaces pour définir sa structure de données, assurez-vous que votre définition utilise une indentation cohérente pour éviter les erreurs.
#

/etc/netplan 00-private-nameservers.yaml

network:
    version: 2
    ethernets:
        eth1:                                 # Private network interface
            nameservers:
                addresses:
                - 10.128.10.11                # Private IP for ns1
                - 10.132.20.12                # Private IP for ns2
                search: [ nyc3.example.com ]  # DNS zone

Enregistrez et fermez le fichier lorsque vous avez terminé.

Ensuite, dites à Netplan d'essayer d'utiliser le nouveau fichier de configuration en utilisantnetplan try. Si des problèmes entraînent une perte de réseau, Netplan annule automatiquement les modifications après un délai d'attente: 

sudo netplan try
OutputWarning: Stopping systemd-networkd.service, but it can still be activated by:
  systemd-networkd.socket
Do you want to keep these settings?


Press ENTER before the timeout to accept the new configuration


Changes will revert in 120 seconds

Si le compte à rebours est mis à jour correctement en bas, la nouvelle configuration est au moins suffisamment fonctionnelle pour ne pas interrompre votre connexion SSH. Appuyez surENTER pour accepter la nouvelle configuration.

Maintenant, vérifiez que le résolveur DNS du système détermine si votre configuration DNS a été appliquée: 

sudo systemd-resolve --status

Faites défiler la liste jusqu'à la section correspondant à votre interface réseau privée. Vous devriez d'abord voir les adresses IP privées de vos serveurs DNS énumérées, suivies de quelques valeurs de remplacement. Votre domaine devrait être dans le «domaine DNS»: 

Output. . .
Link 3 (eth1)
      Current Scopes: DNS
       LLMNR setting: yes
MulticastDNS setting: no
      DNSSEC setting: no
    DNSSEC supported: no
         DNS Servers: 10.128.10.11
                      10.128.20.12
                      67.207.67.2
                      67.207.67.3
          DNS Domain: nyc3.example.com
. . .

Votre client doit maintenant être configuré pour utiliser vos serveurs DNS internes.

Ubuntu 16.04 et les clients Debian

Sur les serveurs Ubuntu 16.04 et Debian Linux, vous pouvez modifier le fichier/etc/network/interfaces: 

sudo nano /etc/network/interfaces

À l'intérieur, recherchez la lignedns-nameservers et ajoutez vos propres serveurs de noms devant la liste qui s'y trouve actuellement. En dessous de cette ligne, ajoutez une optiondns-search pointant vers le domaine de base de votre infrastructure. Dans notre cas, cela serait "nyc3.example.com":

/etc/network/interfaces

    . . .

    dns-nameservers 10.128.10.11 10.128.20.12 8.8.8.8
    dns-search nyc3.example.com

    . . .

Enregistrez et fermez le fichier lorsque vous avez terminé.

Maintenant, redémarrez vos services réseau en appliquant les nouvelles modifications avec les commandes suivantes. Assurez-vous de remplacereth0 par le nom de votre interface réseau: 

sudo ifdown --force eth0 && sudo ip addr flush dev eth0 && sudo ifup --force eth0

Cela devrait redémarrer votre réseau sans interrompre votre connexion actuelle. Si cela a fonctionné correctement, vous devriez voir quelque chose comme ceci: 

OutputRTNETLINK answers: No such process
Waiting for DAD... Done

Vérifiez que vos paramètres ont bien été appliqués en tapant: 

cat /etc/resolv.conf

Vous devriez voir vos serveurs de noms dans le fichier/etc/resolv.conf, ainsi que votre domaine de recherche: 

Output# Dynamic resolv.conf(5) file for glibc resolver(3) generated by resolvconf(8)
#     DO NOT EDIT THIS FILE BY HAND -- YOUR CHANGES WILL BE OVERWRITTEN
nameserver 10.128.10.11
nameserver 10.128.20.12
nameserver 8.8.8.8
search nyc3.example.com

Votre client est maintenant configuré pour utiliser vos serveurs DNS.

Clients CentOS

Sous CentOS, RedHat et Fedora Linux, modifiez le fichier/etc/sysconfig/network-scripts/ifcfg-eth0. Vous devrez peut-être remplacereth0 par le nom de votre interface réseau principale: 

sudo nano /etc/sysconfig/network-scripts/ifcfg-eth0

Recherchez les optionsDNS1 etDNS2 et définissez-les sur les adresses IP privées de vos serveurs de noms principaux et secondaires. Ajoutez un paramètreDOMAIN avec le domaine de base de votre infrastructure. Dans ce guide, cela serait «nyc3.example.com»:

/etc/sysconfig/network-scripts/ifcfg-eth0

. . .
DNS1=10.128.10.11
DNS2=10.128.20.12
DOMAIN='nyc3.example.com'
. . .

Enregistrez et fermez le fichier lorsque vous avez terminé.

Maintenant, redémarrez le service de réseau en tapant: 

sudo systemctl restart network

La commande peut être suspendue pendant quelques secondes, mais devrait vous renvoyer à l'invite sous peu.

Vérifiez que vos modifications ont été appliquées en tapant: 

cat /etc/resolv.conf

Vous devriez voir vos serveurs de noms et votre domaine de recherche dans la liste:

/etc/resolv.conf

nameserver 10.128.10.11
nameserver 10.128.20.12
search nyc3.example.com

Votre client devrait maintenant pouvoir se connecter à vos serveurs DNS et les utiliser.

Test des clients

Utiliseznslookup pour tester si vos clients peuvent interroger vos serveurs de noms. Vous devriez pouvoir le faire sur tous les clients que vous avez configurés et qui se trouvent dans la liste de contrôle d'accès «de confiance».

Pour les clients CentOS, vous devrez peut-être installer l'utilitaire avec: 

sudo yum install bind-utils

Nous pouvons commencer par effectuer une recherche en aval.

Recherche avancée

Par exemple, nous pouvons effectuer une recherche directe pour récupérer l'adresse IP dehost1.nyc3.example.com en exécutant la commande suivante: 

nslookup host1

La requête «host1» se développe en «host1.nyc3.example.com car l'optionsearch est définie sur votre sous-domaine privé et les requêtes DNS tenteront de rechercher ce sous-domaine avant de rechercher l'hôte ailleurs. La sortie de la commande ci-dessus ressemblerait à ceci: 

OutputServer:     127.0.0.53
Address:    127.0.0.53#53

Non-authoritative answer:
Name:   host1.nyc3.example.com
Address: 10.128.100.101

Ensuite, nous pouvons vérifier les recherches inversées.

Recherche inversée

Pour tester la recherche inversée, interrogez le serveur DNS avec l’adresse IP privée dehost1: 

nslookup 10.128.100.101

Vous devriez voir une sortie qui ressemble à ceci: 

Output11.10.128.10.in-addr.arpa   name = host1.nyc3.example.com.

Authoritative answers can be found from:

Si tous les noms et adresses IP ont la valeur correcte, cela signifie que vos fichiers de zone sont configurés correctement. Si vous recevez des valeurs inattendues, veillez à examiner les fichiers de zone sur votre serveur DNS principal (par exemple, db.nyc3.example.com etdb.10.128).

Toutes nos félicitations! Vos serveurs DNS internes sont maintenant correctement configurés! Nous allons maintenant couvrir la maintenance de vos enregistrements de zone.

Maintenir les enregistrements DNS

Maintenant que vous avez un DNS interne opérationnel, vous devez conserver vos enregistrements DNS afin qu'ils reflètent avec précision l'environnement de votre serveur.

Ajout d'un hôte au DNS

Chaque fois que vous ajoutez un hôte à votre environnement (dans le même centre de données), vous souhaiterez l'ajouter au DNS. Voici une liste des étapes à suivre:

Serveur de noms primaire

  • Fichier de zone de transfert: Ajoutez un enregistrement "A" pour le nouvel hôte, incrémentez la valeur de "Série"

  • Fichier de zone inversé: Ajoutez un enregistrement «PTR» pour le nouvel hôte, incrémentez la valeur de «Série».

  • Ajoutez l'adresse IP privée de votre nouvel hôte à l'ACL "de confiance" (named.conf.options)

Testez vos fichiers de configuration: 

sudo named-checkconf
sudo named-checkzone nyc3.example.com db.nyc3.example.com
sudo named-checkzone 128.10.in-addr.arpa /etc/bind/zones/db.10.128

Puis rechargez BIND: 

sudo systemctl reload bind9

Votre serveur principal doit être configuré pour le nouvel hôte maintenant.

Serveur de noms secondaire

  • Ajoutez l'adresse IP privée de votre nouvel hôte à l'ACL "de confiance" (named.conf.options)

Vérifiez la syntaxe de configuration: 

sudo named-checkconf

Puis rechargez BIND: 

sudo systemctl reload bind9

Votre serveur secondaire acceptera maintenant les connexions du nouvel hôte.

Configurer un nouvel hôte pour utiliser votre DNS

  • Configurez/etc/resolv.conf pour utiliser vos serveurs DNS

  • Test avecnslookup

Supprimer l'hôte du DNS

Si vous supprimez un hôte de votre environnement ou souhaitez simplement le retirer du DNS, supprimez simplement tout ce qui a été ajouté lors de l'ajout du serveur au serveur DNS (c'est-à-dire l'inverse des étapes ci-dessus).

Conclusion

Vous pouvez maintenant faire référence aux interfaces réseau privées de vos serveurs par leur nom plutôt que par leur adresse IP. Cela facilite la configuration des services et des applications, car vous n'avez plus besoin de vous souvenir des adresses IP privées et les fichiers seront plus faciles à lire et à comprendre. En outre, vous pouvez désormais modifier vos configurations pour qu'elles pointent vers un nouveau serveur à un emplacement unique, votre serveur DNS principal, au lieu de devoir modifier divers fichiers de configuration distribués, ce qui facilite la maintenance.

Une fois que vous avez configuré votre DNS interne et que vos fichiers de configuration utilisent des noms de domaine complets privés pour spécifier les connexions réseau, c'estcritical que vos serveurs DNS sont correctement entretenus. S'ils deviennent tous deux indisponibles, vos services et applications qui en dépendent cesseront de fonctionner correctement. C'est pourquoi il est recommandé de configurer votre DNS avec au moins un serveur secondaire et de conserver des sauvegardes actives de chacun d'entre eux.

Related