DNS&BIND——DNS的ACL和视图

时间 2019-12-20

原文原文链接

bind中的基础安全相关配置数据库

(一)ACL定义:把一个或多个主机归并为一个集合,并经过一个统一的名称调用vim
```
acl acl_name{
 ip;
 ip;
 net/prelen;
} ;
```
```
实例:

acl mynet{机
 172.25.0.0/46;
};
```

bind 由四个内置的acl
none:    没有一个主机
any:     任意主机
local:   本机
localnet:本机的IP同掩码运算后获得的网络地址

注意: acl,先定义后使用,通常定义在配置文件中的option前面安全

访问控制的指令:

allow-query {};                  #容许查询的主机 (白名单)
allow-transfer {};               #容许区域传送的主机 (白名单)
allow-recursion {};              #容许递归的主机(一般全局option)
allow-upadte {};                 #容许更新区域数据库中内容

(二)视图( view)服务器

1. 一旦启用view,全部zone都只能定义在view中网络
2. 仅有必要在匹配到容许递归请求(本地dns)的客户端所在view中定义根区域ide
3. 客户端请求到达时,是自上而下匹配每一个view所服务的客户端列表spa
4. 一个bind服务器能够定义多个view,每一个view中可定义一个或多个zonecode
5. 每一个view用来匹配一组客户端请求orm
6. 多个view可能对同一个区域进行解析,但使用不一样的区域解析文件server
7. 实例
8. ```
view VIEW_NAME {
    match-clients { };          #指定不一样主机(客户端),看到不一样视图           match-destinations { };     #指定不一样IP,看到不一样视图
    match-recursive-only { };   #用来针对递归和非递归,查询不一样的视图
};
```
9. 注意

下面咱们来看一组ACL和view结合使用的实例~~

定义个人acl

[root@server named]# vim /etc/named.conf
acl mynet{
        172.25.254.11;
        172.25.254.10;
        127.0.0.0/8;
};

注意: acl要定义在bind以外,由于没法在视图中使用acl

定义视图

[root@server named]# vim /etc/named.rfc1912.zones
view internal {
        match-clients { mynet; };   #匹配的客户端列表
        allow-recursion { mynet; }; #容许递归的列表

zone "." IN {
        type hint;
        file "named.ca";
};

zone "lalala.com" IN {
        type master;
        file "lalala.com.zone";
        allow-update { none; };
        also-notify {172.25.254.10;};
    };
};

在acl中的主机,就能够成功解析 ^-^

[root@server named]# dig -t A www.lalala.com @172.25.254.11

; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> -t A www.lalala.com @172.25.254.11
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 65311
;; flags: qr aa rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 2, ADDITIONAL: 3

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;www.lalala.com.            IN    A

;; ANSWER SECTION:
www.lalala.com.        86400    IN    A    172.25.254.11

不在acl中主机就不能访问 =-=

[root@foundation88 ~]# ip addr show br0
4: br0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP 
    link/ether 34:17:eb:76:53:97 brd ff:ff:ff:ff:ff:ff
    inet 172.25.254.88/24 brd 172.25.254.255 scope global br0
[root@foundation88 ~]# dig -t A www.lalala.com @172.25.254.11

; <<>> DiG 9.9.4-RedHat-9.9.4-29.el7 <<>> -t A www.lalala.com @172.25.254.11
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: REFUSED, id: 49304
;; flags: qr rd; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 1
;; WARNING: recursion requested but not available

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;www.lalala.com.            IN    A

不一样客户端解析同一个域名结果不同

[root@server named]# vim /etc/named.rfc1912.zones 
....
view external {
        match-clients {any;};  
        #由于view按照视图定义顺序匹配主机,因此这里的any为剩下的主机
        zone "lala la.com" IN {
                type master;
                file "lalala.com.external";
                allow-update {none;};
        };
};

[root@server named]# vim lalala.com.external 
$TTL 1D
@       IN SOA   ns1.lalala.com. admin.lalala.com (
                                        2016060905; serial
                                        1D      ; refresh
                                        1H      ; retry
                                        1W      ; expire
                                        3H )    ; minimum
        NS      ns1.lalala.com.
        NS      ns2.lalala.com.
        MX  10  mx1.lalala.com.
        MX  20  mx2.lalala.com.
ns1     A       172.25.254.11
ns2     A       172.25.254.18
www    A       2.2.2.2
*      A       2.2.2.2

使用同一个DNS服务器,acl列表中解析的是172.25.254.11 ^-^

[root@server named]# dig -t A www.lalala.com @172.25.254.11

; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> -t A www.lalala.com @172.25.254.11
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 10150
;; flags: qr aa rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 2, ADDITIONAL: 3

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;www.lalala.com.            IN    A

;; ANSWER SECTION:
www.lalala.com.        86400    IN    A    172.25.254.11

使用同一个DNS服务器,其余主机解析的是2.2.2.2 ^-^

[root@foundation88 ~]# dig -t A www.lalala.com @172.25.254.11

; <<>> DiG 9.9.4-RedHat-9.9.4-29.el7 <<>> -t A www.lalala.com @172.25.254.11
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 51279
;; flags: qr aa rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 2, ADDITIONAL: 3

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;www.lalala.com.            IN    A

;; ANSWER SECTION:
www.lalala.com.        86400    IN    A    2.2.2.2