Warning: mysqli_query(): (HY000/3): Error writing file '/tmp/MYq6KdPx' (Errcode: 28 - No space left on device) in /usr/share/nginx/html/syslogs/wp-includes/class-wpdb.php on line 2349

bind, oldukça yaygın olarak kullanılmasından dolayı bir dns sunucusuna ihtiyacınız olduğu zaman tercih edebileceğiniz alterntiflerin başında geliyor. ISC tarafından geliştirilen bind kolay kurulumu ve yönetimi nedeni ile de tercih edilebilecek bir nameserver uygulamasıdır. Bu yazıda bind kullanarak iki CentOS 6.5 üzerinde master/slave olarak çalışacak bir dns yapısının nasıl kurulabileceğinden bahsedeceğim.

Gereksinimler

---

dns, çok kritik bir servis olmasından dolayı devamlılığının garanti edilmesi gereken bir en temel servislerden birisidir. Zira DNS altyapınızda herhangi bir problem olması, bu DNS altyapısını kullanan diğer tüm servislerinizi de doğrudan etkileyecektir. Bu sebeple DNS altyapılarında miminun iki adet olmak üzere birden fazla sunucu kullanılır. Biz de bu yazıda birisi master diğer slave olarak çalışacak iki adet bind DNS server kuracağız ve master sunucuda oluşturulan her alan adı kaydı (zone) slave dns sunucusuna da replike (transfer) edilecek. Böylece sunucularınızdan birisinin down olması servis kesintisine neden olmayacak.

Bu yapı için iki adet minimal olarak kurulmuş CentOS 6.5 kullanacağım ve sunucuların ip ve fqdn bilgileri şu şekilde olacak:

Master DNS Server

master.crom.net (ns1.crom.net)
192.168.9.100

Slave DNS Server

slave.crom.net (ns2.crom.net)
192.168.9.101

Kurulama geçmeden önce her iki sunucuda da yapılması gereken ortak işleri tamamlayalım.

yum update

Öncelikle sunucuların güncel olduğundan emin olmak üzere yum update komutu çalıştıralım:

# yum update -y

Bu şekilde sistem update edilecektir.

iptables

İkinci olarak sunucularda tcp ve udp 53. portlara izin vermemiz gerekiyor. Sisteminizde iptables'ı devre dışı bırakmayı tercih ediyorsanız bu adımı atlayabilirsiniz ancak CentOS'larda iptables default olarak devrede gelmektedir ve ilgili portlara izin vermemeniz durumunda düzgün bir DNS hizmeti veremezsiniz.

Bu nedenle her iki sunucuda da /etc/sysconfig/iptables dosyasını editleyelim:

vi /etc/sysconfig/iptables

Sonrasında INPUT zincirine aşağıdaki iki satırları ekleyelim:

-A INPUT -p tcp --dport 53 -j ACCEPT
-A INPUT -p udp --dport 53 -j ACCEPT

Sonuç olarak default iptables dosyası aşağıdaki gibi görünmelidir:

*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A INPUT -p tcp --dport 53 -j ACCEPT
-A INPUT -p udp --dport 53 -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT

Sonrasında da iptables servisini restart edelim:

# service iptables restart

Bu şekilde hem UDP 53 hemde – DNS sunucuları aralarınaki zone transfer işlemlerini tcp üzerinden yaptıklarından ve ayrıca  512 byte'ın üzerindeki dns response'lar için de TCP kullanıldığından dolayı- TCP 53'e izin verdik de verdik. Ayrıca kuralları state tablosunu şişirmemek için stateless olarak ekledik.

 Kurulum

---

 Şimdi her iki sunucuda da gerekli paketlerin kurulumunu yapalım:

# yum install bind bind-utils bind-chroot -y

Bu şekilde yum üzerinden bind ve bind'ın chroot ortamında çalıştırılmasını sağlayan bind-chroot paketlerini kurduk.

Yapılandırma

---

Bind'ın ana yapılandırma dosyası /etc/named.conf ‘dur. Ayrıca, /var/named/ dizini altında diğer yapılandırma dosyaları bulunmaktadır. Oluşturulacak zone dosylarının tutulacağı dizin de /var/named ‘dir.

Bu aşamda master sunucuyu ayrı slave'i ayrı yapılandıracağız. Bu nedenle her iki yapılandırma işlemini kendi başlıkları altında anlatacağım.

Master Nameserver`daki İşlemler

Master'da temel olarak bind'ın hangi ip adresi üzerinden hizmet vereceği, hangi networkün recursive query izni olduğu ve hangi ip ya da iplere zone transferi için izin verileceğini belirteceğiz ve sonrasında da ilk zone dosyamızı oluşturacağız.

Temel Yapılandırma

Bunun için /etc/named.conf dosyasını açın:

# vi /etc/named.conf

ve dosyanın içerisinde aşağıda kırmızı ile belirilen düzenlemeleri kendi sisteminize uyarladıktan sonra ekleyin: (Bu düzenlemelerin anlamlarını aşağıda detaylandıracağım.)

acl recurseallow { 192.168.9.0/24; };

options {
        listen-on port 53 { 127.0.0.1; 192.168.9.100; };
        listen-on-v6 port 53 { ::1; };
        directory       "/var/named";
        dump-file       "/var/named/data/cache_dump.db";
        statistics-file "/var/named/data/named_stats.txt";
        memstatistics-file "/var/named/data/named_mem_stats.txt";
        allow-query     { any; };
        allow-recursion { recurseallow; };
        allow-transfer     { localhost; 192.168.9.101; };

        dnssec-enable yes;
        dnssec-validation yes;
        dnssec-lookaside auto;

        /* Path to ISC DLV key */
        bindkeys-file "/etc/named.iscdlv.key";

        managed-keys-directory "/var/named/dynamic";
};

logging {
        channel default_debug {
                file "data/named.run";
                severity dynamic;
        };
};

zone "." IN {
        type hint;
        file "named.ca";
};

include "/etc/named.rfc1912.zones";
include "/etc/named.root.key";

acl recurseallow { 192.168.9.0/24; }: Bu satırda, resursive query'lere izin vereceğimiz network için bir ACL tanımlıyoruz. Benim örneğimde recursive dns sorgusu 192.168.9.0/24 geliyorsa sorguya izin verilecek şekilde düzenleniyor. Burada siz kendi network ya da networklerinizi belirtebilirsiniz.

listen-on port 53 { 127.0.0.1; 192.168.9.100; }: Bu kısımda ise, 53 portun hangi ip üzerinden dinleneceğini belirtiyoruz. Benim master sunucumun ip'si 192.168.9.100 olduğu için bind'ın bu ip'yi de dinlemesini söylüyorum.

allow-query { any; }: Bu bölümde ise genel olarak heryerden sorgu yapılmasına izin veriyoruz. Ancak buradaki bölüm recursive sorgularla karıştırılmasın. Recursive sorguya kendi networkümüz dışından izin vermiyoruz ancak non-recursive sorgulara yani NS'i bu sunucu olan alan adlarına ait sorgulamalara heryerden izin veriyoruz.

allow-recursion { recurseallow; }: Burada ise daha önce tanımladığımız recurseallow isimli ACL'e recursive sorgulama izni veriyoruz. Yani conf'un en tepesinde tanımladığımız bu ACL 192.168.9.0/24 networkünü gösterdiğinden, dns sunucumuz bu networkten gelen herhangi bir dns sorgusu için ilgili domainin kendisinde olup olmamasına bakmaksızın çözümleme yapıp yanıtı dönecektir.

Bu recursion olayı DNS Cache Poisoning‘den, DNS Amplification‘a kadar bir çok saldırı yönteminde kullanılan tehlikeli bir özellik olduğundan, sunucunuzun bir open DNS' dönüşmemesi için recursive query'lere sadece belirli networkler için izin verilecek şekilde bir limitleme yapmanız gerekmektedir.

allow-transfer { localhost; 192.168.9.101; }: Bu son tanımlamada ise hangi iplerin zone transfere (zone kopyalamaya) izini olduğunu belirtiyoruz.

Benim örneğimde slave sunucum 192.168.9.101 ip'li host olduğu için bu ip'den gelecek transfer isteklerine izin vereceğim. Bu şeklide Master üzerinde açtığım zone'lar slave sunucum tarafından kopyalanabilecek. Böylece de ilgili domainler için dns çözümleme işlemi hem master (ns1.crom.net) hem de slave (ns2.crom.net) üzerinden yapılabilir duruma gelecek.

Master sunucusundaki temel yapılandırma işlemleri bu kadardı. Ancak ilgil dosyadaki işimiz henüz bitmedi.

Zone Tanımlamaları

Master üzerinde temel yapılandırma işlerinden sonra dns sunucusunun global ismini de temsil edecek ilk zone dosyasını oluşturacağız. Ben bu iş için örnek olarak crom.net domainini kullanacağım ve ilk olarak ana conf dosyası içerisinde ilgili zone'a ait dosyanın ismi, tipi gibi genel bilgileri tanımlayacağız.

Bu işlem için yeniden /etc/named.conf dosyasını açın ve dosyanın en altında bulunan include satırlarının hemen üzerine aşağıdaki satırları ekleyin:

zone "crom.net" IN {
	type master;
	file "crom.net.zone";
	allow-update { none; };
};

Şimdi bu satırların anlamlarına değinelim.

zone “crom.net” IN: Burada alan adının ne olduğunu tanımladık.

type master: Bu satır ise bu alan adına ait zone'un master olduğunu, yani zone dosyasının bu sunucuda oluşturulacağı ifade edilmektedir.

file “crom.net.zone“: Burada ise ilgili alan adına ait zone dosyasının isminin ne olduğu belirtilmektedir. Zone dosyaları defualt olarak /var/named/ dizini altında bulunmaktadır. Dolayısı ile bizim zone dosyamızın /var/named/crom.net.zone isimli dosya olacağını bu şekilde belirtmiş oluyoruz.

allow-update { none; }: Burada da master zone üzerinde dinamik update'e izin vermediğimizi belirtiyoruz.

Tanımlamaları bitirdikten sonra /etc/named.conf dosyasından kayederek çıkalım. Şimdi ana conf dosyasında atıfta bulunduğumuz /var/named/crom.net.zone isimli dosyayı oluşturalım:

# vi /var/named/crom.net.zone

ve dosyanın içerisine aşağıdaki tanımları ekleyelim:

$TTL 86400
@   IN  SOA     ns1.crom.net. root.crom.net. (
        2014020801  ;Serial
        3600        ;Refresh
        1800        ;Retry
        604800      ;Expire
        86400       ;Minimum TTL
)

; NS sunucularini belirtiyoruz:
		IN	NS		ns1.crom.net.
		IN	NS		ns2.crom.net.

; NS'lere ait kayitlar. (bu domain ayni zamanda ana zone oldugundan ns1 ve ns2'yi de tanimliyoruz.):
ns1		IN	A	 	192.168.9.100
ns2		IN	A		192.168.9.101

; ve diger tum kayitlar.
@		IN	A		192.168.9.102
www		IN	CNAME		@

Zone dosyasının içeriğine ait tanımlama şu şekilde:

$TTL 86400: Default TTL değerini belirtir. Burada saniye cinsinden belirlediğimiz süreç diğer dns sunucularının bu domaine ait kayıtlarla ilgili ne kadar süre cache tutmaları gerektiğini söylemektedir. Yani bir dns sunucusu bizim dns sunucumuzdan crom.net'e ait herhangi bir kayıdı sorguladığında aldığı cevabı kendi cache'inde ne kadar tutması gerektiğini burada söylüyoruz. Bu şekilde ilgili dns aynı kayıt için tekrar tekrar gelip bize sormuyor hem kendisini hem de bizi yormuyor.

@ IN SOA ns1.crom.net. root.crom.net.: Bu satır ise alan adımız için SOA (Start of Authority) kaydını tarif etmektedir. SOA bir domaine ait global paramtertelerin belirtildiği ana kayıttır ve her bir zone için bir adet SOA kaydının bulunması gerekmektedir.

Bu satırdaki “@” işareti alan adının kendine işsaret etmektedir. “IN“, kayıdın class'ını, “SOA“, resource record'unu (rr), “ns1.crom.net” alan adının master name server'ını, “root.crom.net” ise ilgili alan adından sorumlu kişiye ait e-mail adresini belirtmektedir. (Bu email adresinde @ yerine . işrareti kullanılır.)

SOA'nın diğer parametreleri ise şu şekildedir:

2014020801    ;Serial: Kayıda ait seri numarası. Bu zone üzerinde yaptığınız her değişiklikte bu rakamı arttırmanız gerekmektedir. Zira slave sunucu master üzerinde herhangi bir değişiklik olup olmadığına bu numaraya bakarak karar vermektedir. Dolayısı ile rakam değişirse değişiklik olduğunu anlar ve ilgili zone'daki değişikliği kendi üzerinde de uygular.

3600    ;Refresh: Saniye cinsinden tanımlanan bu rakam, slave'in ne kadarda bir master'dan değişiklikleri alıp ve kendisine uygulaması gerektiğini söylemektedir. Ancak bu paramtere bizim için pek de önemli değildir, zira bizim yapımızda master, kendi üzerinde bir değişiklik yapıldığı zaman slave'e bir uyarı göndermektedir. Bu şekilde slave, (serial number'da değişiklik görürse) ilgili zone'daki güncellemeyi kendi üzerine de yansıtmaktadır. Bu notification işlemi bind'ın notify parametresi sayesinde gerçekleştirilir ve bu özellik default olarak devrede gelmektedir.

1800    ;Retry: Slave'in zone update işlemlerinde master'a bağlanamaması durumunda ne kadar süre sonra yeniden denemesi gerektiğini burada belirtiyoruz.

604800    ;Expire: Slave'in update işlemi için master'a toplam olarak ne kadar süre ile bağlanamaması durumunda kaydı expire edip bu alan adı ile ilgili sorgulara cevap vermemesini burada belirliyoruz. Buradaki örnekte slave 7 gün boyunca master'a bağlanamazsa bu zone'u iptal edecek ve bu alan adı ile ilgili sorgulara cevap vermeyecektir.

86400    ;Minimum TTL: Bu değer ise, Default TTL'den hariç olmak üzere negative (NXDOMAIN – non-existent domain) cevapları için TTL süresini belirlemektedir. http://tools.ietf.org/html/rfc2308

Diğer satırlar ise gördüğünüz gibi zone'a ait NS bilgileri ve bu NS'lerin ipleri için birer A kaydından ibaret. Son satırlarda ise alan adına ait A kaydı ve www.crom.net için default A kaydını gösteren bir CNAME kaydımız mevcut.

Dosyadan kaydederek çıktıktan sonra master tarafındaki yapılandırma bitmiş oluyor. Şimdi bind'ı startup'a ekleyelim ve servisi start edelim:

# chkconfig named on && service named start

Bu şekilde master DNS normal bir şekilde çalışıyor olmalıdır. Dig ya da nslookup ile test edebiliriz:

# dig www.crom.net @192.168.9.100

Örnek alan adınızı sorunsuz bir şekilde çözümleyebildiyseniz Master tarafı tamam demektir.

Slave Nameserver`daki İşlemler

Slave DNS yapılandırmasında en büyük fark zone dosyaları Master'dan transfer edileceğnden dolayı bizim ayrıca zone dosyası oluşturmayacak olmamız. Bu nedenle tüm işlemleri /etc/named.conf dosyası içerisinde yapacağız.

Temel Yapılandırma

Şimdi ilgili dosyayı editleyin:

# vi /etc/named.conf

ve dosya içerisinde aşağıda kırmızı ile belirtilen değişiklikleri kendinize göre uyarladıktan sonra ekleyin:

acl recurseallow { 192.168.9.0/24; };

options {
	listen-on port 53 { 127.0.0.1; 192.168.9.101; };
	listen-on-v6 port 53 { ::1; };
	directory 	"/var/named";
	dump-file 	"/var/named/data/cache_dump.db";
        statistics-file "/var/named/data/named_stats.txt";
        memstatistics-file "/var/named/data/named_mem_stats.txt";
	allow-query     { any; };
        allow-recursion { recurseallow; };

	dnssec-enable yes;
	dnssec-validation yes;
	dnssec-lookaside auto;

	/* Path to ISC DLV key */
	bindkeys-file "/etc/named.iscdlv.key";

	managed-keys-directory "/var/named/dynamic";
};

logging {
        channel default_debug {
                file "data/named.run";
                severity dynamic;
        };
};

zone "." IN {
	type hint;
	file "named.ca";
};

include "/etc/named.rfc1912.zones";
include "/etc/named.root.key";

Yukarıda belirtilen önergelerin anlamları Master tarafındaki yapılandırma işlemlerinde anlatıldığı için bunlara yeniden değinmeyeceğim. Ancak dikkat ettiyseniz fark olarak listen ip'si slave'in ip adresi olarak set edilmiş durumda ve master'dan farklı olarak bu yapılandırmada “allow-transfer” önergesi bulunmuyor.

Zone Tanımlamaları

Şimdi örneğimizdeki crom.net için ana conf dosyasında tanımlama yapacağız. Bunun için /etc/named.conf dosyasının en altta bulunan include satırlarının hemen üzerine aşağıdaki eklemeleri -kendinize göre düzenledikten sonra- yapın.

zone "crom.net" IN {
        type slave;
	file "slaves/crom.net.zone";
	masters { 192.168.9.100; };
};

Gördüğünüz gibi burada kaydın tipini slave olarak belirledik ve master sunucunun ip adresini belirtirek transfer işleminin nereden yapılacağını belirttik.

Dosyadan kaydederek çıktıntan sonra slave tarafındaki işlemleri tamamlamış oluyoruz. Şimdi bind'ı startup'a ekleyelim ve start edelim:

# chkconfig named on && service named start

Herşey sorunsuz gittiyse, crom.net ile ilgili sorgulamalar slave üzerinden de yapılabilecektir. Bunu test etmek için aşağıdaki gibi bir dig komutu çalıştırabilirsiniz:

# dig www.crom.net @192.168.9.101

Sorguya doğru cevap dönüyorsa yapılandırma tamam demektir.

Bundan sonrası için master üzerinde herhangi bir zone üzerinde değişiklik yaptığınız zaman (elbette seri numarasını arttırmayı unutmayın) aşağıdaki komutu çalıştırarak değişikliğin devreya alınmasını ve slave'in update için notify edilmesini sağlayabilirsiniz.

# rndc reload

Aynı şekilde yeni bir zone eklemeniz durumunda aşağıdaki komutu kullanmanız gerekir

# rndc reconfig

Ancak nedense benim test sistemimde yeni eklenen zone'lar rndc reconfig ile devreye alınmadı, bu nedenle değişikliklerin algılanması için named servisini restart etmemem gerekti:

# service named restart

rndc reconfig'in düzgün çalışmaması ile ilgili http://bugs.centos.org/view.php?id=5916 adresinde bir bug kaydı var, her ne kadar 6.5 final'de problem giderlimiş dense de öyle olmadığı anlaşılıyor. Sizde de aynı durum cereyan ederse yeni zone ekledikten sonra named servisini restart ederek sorunu çözebilirsiniz. (Gerçi özellikle çok fazla sayıda [yüzlerce] zone barındıdan dns sunucularda named restart pek de iyi bir yöntem değil, ancak çok zone'unuz yoksa sorun olmayacaktır.)

Sorun Giderme

Herhangi bir nedenle yapılandırmanızda bir sorun olması durumunda, pronlemi tespit etmek için bind'ın named-checkconfig ve named-checkzone komutlarını kullanabilirsiniz.

Örnek olarak /etc/named.conf dosyanızın check etmek için:

# named-checkconf /etc/named.conf

Herhangi bir zone (örnekte crom.net zone'u) ile alakalı bir sorun olup olmadığını kontrol etmek için ise:

# named-checkzone crom.net /var/named/crom.net.zone

komutlarınızı kullanabilirsiniz.

Temel olarak bind kurulumu ve yapılandırması ile ilgili bilgiler bu kadar. Detaylı bilgi için aşağıdaki linkten de yararlanabilirsiniz:
https://kb.isc.org/article/AA-01031