Tachtler's DokuWiki

Homepage | Kontakt | Rechtliche Informationen | Impressum

Benutzer-Werkzeuge

Webseiten-Werkzeuge

Zuletzt angesehen:
tachtler:dns_unbound_centos_7

Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

Link zu dieser Vergleichsansicht

Beide Seiten der vorigen RevisionVorhergehende Überarbeitung
Nächste Überarbeitung		Vorhergehende Überarbeitung
tachtler:dns_unbound_centos_7 [2018/09/05 08:16] – [/etc/unbound/unbound.conf] klaustachtler:dns_unbound_centos_7 [2021/11/28 17:11] (aktuell) – [/etc/unbound/unbound.conf] klaus
Zeile 17: Zeile 17:
                            +--------------+      +--------------+                            +--------------+      +--------------+
                            |    unbound   |      |     BIND     |                            |    unbound   |      |     BIND     |
----> lokales Netzwerk -->  | 192.168.0.20 | -->  |  127.0.0.1   | --> Internet für NICHT (*.)tachtler.net -->+---> lokales Netzwerk -->  | 192.168.0.20 | <->  |  127.0.0.1   | 
                            | 192.168.1.20 |      | tachtler.net |                            | 192.168.1.20 |      | tachtler.net |
                            |    DNSSec    |      |    DNSSec    |                            |    DNSSec    |      |    DNSSec    |
                            +--------------+      +--------------+                            +--------------+      +--------------+
 +                                  |
 +                                  +--> Internet für NICHT (*.)tachtler.net/0.168.192.in-addr.arpa -->
 </code> </code>
  
Zeile 349: Zeile 351:
 <code> <code>
 # chmod 664 /etc/unbound/keys.d/*.key # chmod 664 /etc/unbound/keys.d/*.key
 +</code>
 +
 +==== /etc/unbound/root.hints ====
 +
 +Anstatt Anfragen an einen öffentlichen DNS-Server (wie z.B. Google 8.8.8.8), oder einen DNS-Server des ISP (Internet Service Providers wie z.B. die Telekom) weiterzuleiten, kann es vorgezogen werden, die **Root-DNS-Server** abzufragen. Nachfolgender Befehl holt die neueste Root-Server-Liste als Datei ab. 
 +
 +:!: **HINWEIS** - **Dies wird später eingebunden, indem die Weiterleitungseinträge ("Forwardzone"-Abschnitte) in der Konfiguration ausgewählt werden.**
 +
 +<code>
 +# dig +bufsize=1200 +norec NS . @a.root-servers.net > /etc/unbound/root.hints
 </code> </code>
  
Zeile 411: Zeile 423:
  
 Interface, auf denen der [[http://www.unbound.net/|unbound]] Anfragen entgegen nimmt. Interface, auf denen der [[http://www.unbound.net/|unbound]] Anfragen entgegen nimmt.
 +
 +  * <code ini>        outgoing-interface: 192.168.1.20</code>
 +
 +Interface, auf denen der [[http://www.unbound.net/|unbound]] Anfragen weiterleitet/bzw. stellt nimmt (Hier der Root-Server-(Liste).
 +
 +:!: **HINWEIS** - **Es __kann__ auch ein Interface sein, auf dem der [[http://www.unbound.net/|unbound]] gar nicht lauscht!**
  
   * <code ini>        do-ip6: no</code>   * <code ini>        do-ip6: no</code>
Zeile 416: Zeile 434:
 **Deaktivieren** von IPv6. **Deaktivieren** von IPv6.
  
-  * <code ini>        access-control: 127.0.0.0/8 allow+  * <code ini>        access-control: 127.0.0.0/8 allow_snoop
         access-control: 192.168.0.0/24 allow         access-control: 192.168.0.0/24 allow
         access-control: 192.168.1.0/24 allow         access-control: 192.168.1.0/24 allow
Zeile 423: Zeile 441:
  
 Von welchen Netzwerken bzw. IP-Adressen Anfragen entgegengenommen werden. Von welchen Netzwerken bzw. IP-Adressen Anfragen entgegengenommen werden.
 +
 +Wenn [[http://www.unbound.net/|unbound]], die **''+trace''**-Funktion von ''dig'' ebenfalls ausführen soll, kann [[http://www.unbound.net/|unbound]] so konfiguriert werden, dass dieser iterative (**__nicht__ rekursive**) Abfragen ermöglicht. Dies geschieht durch die Verwendung der Option **''allow_snoop''**, anstelle von ''allow'' in der **''access-control:''** Konfiguration.
 +
 +:!: **HINWEIS** - **Aus Sicherheitsgründen wird empfohlen, ''allow_snoop'' __nur__ für administrative Netzwerke zu aktivieren, __nicht für die allgemeinen Client-Netzwerke__, die den [[http://www.unbound.net/|unbound]] DNS-Server verwenden!**
 +
 +  * <code ini>        root-hints: "/etc/unbound/root.hints"</code>
 +
 +Einbinden der der **ROOT-Server-Liste**, da anstatt Anfragen an einen öffentlichen DNS-Server (wie z.B. Google 8.8.8.8), oder einen DNS-Server des ISP (Internet Service Providers wie z.B. die Telekom) weiterzuleiten, sollen die **Root-DNS-Server** verwendet werden.
  
   * <code ini>        hide-identity: yes</code>   * <code ini>        hide-identity: yes</code>
Zeile 445: Zeile 471:
  
 **__Erweitern__** der **''auto-trust-anchor-file''** Angaben um **__weitere__ KSK (Key Signing Keys)**, damit die **Chain-of-Trust / Vertrauenskette** auch für **lokale Zonen** abgefragt werden kann und eingehalten wird! **__Erweitern__** der **''auto-trust-anchor-file''** Angaben um **__weitere__ KSK (Key Signing Keys)**, damit die **Chain-of-Trust / Vertrauenskette** auch für **lokale Zonen** abgefragt werden kann und eingehalten wird!
 +
 +  * <code>        domain-insecure: "localhost"
 +        domain-insecure: "1.0.0.127.in-addr.arpa."</code>
 +
 +Damit auch eine **__forward__** Anfrage nach ''localhost'' und eine **''reverse''** Anfrage nach ''127.0.0.1'' erfolgreich beantwortet werden können, ist es erforderlich diese von den **DNSSec** gesicherten Zonen auszunehmen.
  
   * <code ini>        # Tachtler   * <code ini>        # Tachtler
Zeile 471: Zeile 502:
         # local-zone: "31.172.in-addr.arpa." nodefault         # local-zone: "31.172.in-addr.arpa." nodefault
         local-zone: "168.192.in-addr.arpa." nodefault         local-zone: "168.192.in-addr.arpa." nodefault
-        # local-zone: "0.in-addr.arpa." nodefault+        local-zone: "0.in-addr.arpa." nodefault
         # local-zone: "254.169.in-addr.arpa." nodefault         # local-zone: "254.169.in-addr.arpa." nodefault
         # local-zone: "2.0.192.in-addr.arpa." nodefault         # local-zone: "2.0.192.in-addr.arpa." nodefault
Zeile 492: Zeile 523:
 **__Beispiel bei NICHT-Definition__** **__Beispiel bei NICHT-Definition__**
 <code> <code>
-# dig -x 10.7.0.10+# dig -x 192.168.0.10
  
 ; <<>> DiG 9.9.4-RedHat-9.9.4-61.el7_5.1 <<>> -x 192.168.0.10 ; <<>> DiG 9.9.4-RedHat-9.9.4-61.el7_5.1 <<>> -x 192.168.0.10
Zeile 515: Zeile 546:
  
   * <code ini>forward-zone:   * <code ini>forward-zone:
-        name: "."+        name: "tachtler.net" 
 +        forward-addr: 127.0.0.1 
 +forward-zone: 
 +        name: "2.168.192.in-addr.arpa" 
 +        forward-addr: 127.0.0.1 
 +forward-zone: 
 +        name: "1.168.192.in-addr.arpa" 
 +        forward-addr: 127.0.0.1 
 +forward-zone: 
 +        name: "0.168.192.in-addr.arpa"
         forward-addr: 127.0.0.1</code>         forward-addr: 127.0.0.1</code>
  
-**__Alle__** Anfragen sollen an den DNS-Server, welcher auf der IP-Adresse ''127.0.0.1'' lauscht weitergeleitet werden.+**__Interne__** Anfragen sollen an den DNS-Server, welcher auf der IP-Adresse ''127.0.0.1'' lauscht weitergeleitet werden. **__Alle__** anderen Anfragen, sollen an die **ROOT-Server-(Liste)** gesendet werden.
  
 :!: **HINWEIS** - **Dies könnte hier z.B. ein __Authorativer DNS-Server__ sein**, siehe auch den internen Link: :!: **HINWEIS** - **Dies könnte hier z.B. ein __Authorativer DNS-Server__ sein**, siehe auch den internen Link:
Zeile 535: Zeile 575:
  interface: 192.168.1.20  interface: 192.168.1.20
  interface-automatic: no  interface-automatic: no
 +        outgoing-interface: 192.168.1.20
  so-reuseport: yes  so-reuseport: yes
  ip-transparent: yes  ip-transparent: yes
Zeile 549: Zeile 590:
  log-time-ascii: yes  log-time-ascii: yes
  pidfile: "/var/run/unbound/unbound.pid"  pidfile: "/var/run/unbound/unbound.pid"
 +        root-hints: "/etc/unbound/root.hints"
  hide-identity: yes  hide-identity: yes
  hide-version: yes  hide-version: yes
Zeile 567: Zeile 609:
  auto-trust-anchor-file: "/etc/unbound/keys.d/Ktachtler.net.+010+41592.key"  auto-trust-anchor-file: "/etc/unbound/keys.d/Ktachtler.net.+010+41592.key"
  auto-trust-anchor-file: "/etc/unbound/keys.d/K171.217.88.in-addr.arpa.+010+05364"  auto-trust-anchor-file: "/etc/unbound/keys.d/K171.217.88.in-addr.arpa.+010+05364"
 +        domain-insecure: "localhost"
 +        domain-insecure: "1.0.0.127.in-addr.arpa."
         local-zone: "localhost." nodefault         local-zone: "localhost." nodefault
         local-zone: "127.in-addr.arpa." nodefault         local-zone: "127.in-addr.arpa." nodefault
         local-zone: "168.192.in-addr.arpa." nodefault         local-zone: "168.192.in-addr.arpa." nodefault
 +        local-zone: "0.in-addr.arpa." nodefault
  val-clean-additional: yes  val-clean-additional: yes
  val-permissive-mode: no  val-permissive-mode: no
Zeile 585: Zeile 630:
 include: /etc/unbound/conf.d/*.conf include: /etc/unbound/conf.d/*.conf
 forward-zone: forward-zone:
- name: "." +        name: "tachtler.net" 
- forward-addr: 127.0.0.1+        forward-addr: 127.0.0.1 
 +forward-zone: 
 +        name: "2.168.192.in-addr.arpa" 
 +        forward-addr: 127.0.0.1 
 +forward-zone: 
 +        name: "1.168.192.in-addr.arpa" 
 +        forward-addr: 127.0.0.1 
 +forward-zone: 
 +        name: "0.168.192.in-addr.arpa" 
 +        forward-addr: 127.0.0.1
 </code> </code>
  
tachtler/dns_unbound_centos_7.1536128160.txt.gz · Zuletzt geändert: 2018/09/05 08:16 von klaus