Deaktivieren von IPv6¶

Wenn nur IPv4 im Netzwerk verwendet wird, kann der Paramter "-4" in /etc/default/bind9 unter OPTIONS="..." hinzugefügt werden. Dies sollte nur aktiviert werden, wenn kein IPv6 genutzt wird, da BIND sonst nicht per IPv6 angesprochen werden kann.

Die Zeile

OPTIONS="-u bind"

sieht dann so aus

OPTIONS="-4 -u bind"

Deaktivieren von IPv4¶

Für reine IPv6-Netzwerke kann auch die Option -6 anstatt -4 genutzt werden. BIND ist dann nur noch über IPv6 ansprechbar.

Vertrauenswürdige Clients festlegen¶

Man erstellt vor dem options-Block den Block acl <Wunschname>

acl goodclients { //Name kann frei gewählt werden
 192.168.0.0/24; // Lokales Netz (IP-Adressbereich anpassen).
 10.0.10.45 //normaler Client im Netz
 localhost; //sollte immer eingetragen sein
 localnets;
};

Danach muss im options-Block diese ACL aktiviert werden.

options {
    directory "/var/cache/bind";
    allow-query { goodclients; }; //ACL-Name von oben
...
};

Netzwerkschnittstellen¶

Zur Änderung der Netzwerkschnittstellen muss man in einem Editor mit Root-Rechten ^[5] die Datei named.conf.options bearbeiten und die folgende Zeile in den options-Block eintragen:

        listen-on { 127.0.0.1; 192.168.0.10; 10.0.20.25; };

Die Beispieladressen müssen natürlich an die IP-Adressen des Bind-Servers im lokalen Netzwerk angepasst werden. Wichtig ist auch, den Localhost, also 127.0.0.1, nicht zu vergessen, sowie auf die korrekte Verwendung der Semikolons zu achten.

forwarders-DNS-Server festlegen¶

Hat der eigene BIND-DNS für bestimmte Anfragen keine Einträge, so kann er diese weiterleiten.

Im options-Block wird ein weiterer forwarders-Block angelegt. Hier können auch mehrere Server eingetragen werden.

forwarders {
10.0.0.1;
8.8.8.8;
};

Jetzt kann der Server mit

sudo service bind9 restart

neugestartet werden. Er ist somit lauffähig.

Testen kann man im mit

dig ubuntuusers.de 127.0.0.1

Forward Lookup¶

Die Datei db.domainname könnte so aussehen:

;; db.domainname
;; Forwardlookupzone für domainname
;;
$TTL 2D
@       IN      SOA     rechnername.domainname. mail.domainname. (
                        2006032201      ; Serial
                                8H      ; Refresh
                                2H      ; Retry
                                4W      ; Expire
                                3H )    ; NX (TTL Negativ Cache)

@                               IN      NS      rechnername.domainname.
                                IN      MX      10 mailserver.domainname.
                                IN      A       192.168.0.10

rechnername                     IN      A       192.168.0.10
localhost                       IN      A       127.0.0.1
rechner1                        IN      A       192.168.0.200
mailserver                      IN      A       192.168.0.201
rechner2                        IN      CNAME   mailserver

Ressourcen von MX-Records (in diesem Beispiel also der "mailserver") müssen immer auf einen A-Record verweisen (RFC 2181).

Besonders wichtig an dieser Stelle ist eine Leerzeile am Ende der Datei!

Das TTL (time to live) gibt an, wie lange Informationen im Cache gültig bleiben und danach neu angefordert werden (in diesem Fall 2Days also 2 Tage).

Als nächstes kommt dann der SOA (start of authority resource records), welcher folgende Werte für den Bereich der Domäne festlegt:

• zone-origin ist der vollqualifizierte Domainname (FQDN) des primären DNS-Servers. (In diesem Fall server.domainname., der Name des Servers, den gerade konfigurieren wird.) Der Punkt am Ende ist übrigens wichtig!

• zone-contact ist die Mail-Adresse des DNS-Verwalters. Das "@" wird hier jedoch durch einen Punkt ersetzet, somit müsste hier "mail.domainname." eingetragen werden. Auch hier den Punkt am Ende nicht vergessen!

• serial ist eine Seriennummer, die der Administrator nach seinen Vorstellungen vergeben kann. Allerdings muss die Seriennummer bei jeder Änderung erhöht werden, da diese Nummer sekundären DNS-Servern als Indiz dafür dient, dass sich was geändert hat. Nach allgemeiner Konvention benutzt man deswegen die Form YYYYMMDDSS, mit YYYY=Jahr, MM=Monat, DD=Tag und SS=zweistellige Seriennummer, die bei mehreren Änderungen an einem Tag jeweils um eins erhöht wird.

• Die folgenden Einträge des SOA-Abschnitts befinden sich für die meisten Fälle schon auf vernünftigen Voreinstellungen und müssen im Allgemeinen nicht angetastet werden.

Als nächstes kommen die Einträge der DNS-Server, die für die Zone verantwortlich sind. Diese haben alle die Form

Name                            IN      RR      Wert

Der Name kann dabei weggelassen werden, in welchem Fall er aus der vorherigen Zeile übernommen wird. Namen ohne Punkt am Ende werden dabei durch den Zonen-(Domain-)namen ergänzt, Namen mit Punkt gelten als vollqualifiziert. Ein besonderer Name ist das Zeichen @, das dem Zonennamen entspricht.

RR (Resource Record) muss einer von mehreren offiziellen RR-Bezeichnungen sein und der Wert hängt von der Art des RR ab. Einige RRs:

Weitere Resource Records finden sich in Wikipedia oder in der Fachliteratur.

Reverse Lookup¶

In der Datei db.z.y.x, bspw. db.0.168.192 für das Subnetz 192.168.0.0, befinden sich überwiegend die Einträge aus der db.domainname, allerdings erfolgt der Lookup nun in umgekehrter Richtung:

;; db.0.168.192
;; Reverselookupzone für domainname
;;
$TTL 2D
@       IN      SOA     rechnername.domainname. mail.domainname. (
                                2006032201      ; Serial
                                        8H      ; Refresh
                                        2H      ; Retry
                                        4W      ; Expire
                                        2D )    ; TTL Negative Cache

@       IN      NS      rechnername.domainname.

10      IN      PTR     rechnername.domainname.
200     IN      PTR     rechner1.domainname.
201     IN      PTR     rechner2.domainname.

Man beachte die PTR-Records, die für die Rückwärtsübersetzung von IP-Adressen in Namen zuständig sind. Die Zahlen in der ersten Spalte stellen dabei das letzte Byte der IP-Adresse dar. Wichtig ist, dass die übersetzten Namen FQDNs (mit Punkt am Ende) sind.

Alias-Einträge, MX-Records, etc. werden hier nicht nochmal aufgeführt.