DNS क्वेरी फ़िल्टरिंग

बाइंड डीएनएस सर्वर के संस्करण 9.8.1 के साथ शुरू, एक नई सुविधा दिखाई दी है - डीएनएस आरपीजेड। यह एक दिलचस्प उपकरण है जो कई सिस्टम प्रशासकों के लिए बहुत उपयोगी हो सकता है। अजीब बात है, लेकिन इंटरनेट के रूसी भाषा के खंड में, यह विषय पूरी तरह से कवर नहीं किया गया है। मैं इस अंतर को भरने के लिए जल्दबाजी करता हूं।

यह किस तरह का जानवर है और यह किसके साथ खाता है?

संक्षिप्त नाम RPZ प्रतिक्रिया नीति क्षेत्र के लिए है। यह आईएससी द्वारा विकसित एक तकनीक है जो दूरसंचार ऑपरेटरों को कुछ संसाधनों के लिए DNS प्रश्नों को ब्लॉक करने का एक आसान तरीका प्रदान करती है या उन्हें वैकल्पिक पते पर पुनर्निर्देशित करती है। RPZ एक ज़ोन है जिसे सर्वर (DNS AXFR / IXFR) के बीच स्थानांतरित किया जा सकता है, लेनदेन हस्ताक्षरों (DNS TSIG) द्वारा संरक्षित है और वास्तविक समय (DNS NOTIFY) में अपडेट किया जाता है।

ज़ोन प्रारूप

किसी भी अन्य DNS ज़ोन के साथ, एक SOA रिकॉर्ड और कम से कम एक NS रिकॉर्ड की आवश्यकता होती है। SOA एक सीरियल नंबर और टाइमर के साथ एक वैध रिकॉर्ड है, जिसका उपयोग ज़ोन के प्रतिनिधिमंडल और रिकॉर्ड लाइफटाइम (TTL) को दर्शाने के लिए किया जाता है। एक NS रिकॉर्ड का उपयोग कभी नहीं किया जाता है और संगतता उद्देश्यों के लिए होता है। आमतौर पर, एक एकल एनएस रिकॉर्ड में डमी लोकलहोस्ट वैल्यू होती है। शेष क्षेत्र DNS नीतियों के लिए अभिव्यक्ति हैं। नीतियां डोमेन नाम या उनके टेम्प्लेट पर लागू की जा सकती हैं।

यह कैसे काम करता है

सरलीकृत RPZ कार्य को निम्न योजना द्वारा दर्शाया जा सकता है:

दायां भाग एक नियमित कैशिंग DNS सर्वर के साथ काम करने की योजना को दर्शाता है, जो घोड़े के सर्वर से सभी प्रतिक्रियाओं को क्लाइंट को देता है, जैसा कि है। RPZ के मामले में, सुरक्षा नीति प्रदाता प्रकट होता है - DNS सर्वर जिसमें से हम डोमेन नाम संकल्प नीतियां लेते हैं। तृतीय-पक्ष प्रदाता की उपस्थिति पूरी तरह से वैकल्पिक है, हम अपनी स्थानीय नीतियां निर्धारित कर सकते हैं। इस बारे में अधिक बाद में, उदाहरण के लिए।

कई प्रदाता हो सकते हैं, जिनमें हम अपना RPZ सर्वर बना सकते हैं:

आप आधिकारिक दस्तावेज में प्रोटोकॉल के बारे में अधिक पढ़ सकते हैं (नीचे दिए गए लिंक) - मुझे लगता है कि जिन लोगों को विवरण की आवश्यकता है वे इसे अपने दम पर मास्टर करेंगे।

आइए कार्य विन्यास के उदाहरण का उपयोग करके RPZ के कार्य को दर्शाते हैं। इसका मतलब यह है कि आपके पास पहले से ही एक कॉन्फ़िगर DNS सर्वर है, मैं केवल उन विकल्पों को दिखाऊंगा जिन्हें आपको काम करने के लिए हर चीज के लिए सक्षम करने की आवश्यकता है। कार्रवाई Ubuntu 12.10 में होती है।

सबसे पहले, "प्रतिक्रिया-नीति" विकल्प के साथ /etc/bind/ame.conf.options फ़ाइल में RPM को सक्षम करें:

response-policy { zone "rpz.zone"; }; 

"प्रतिक्रिया-नीति" के भीतर कई क्षेत्र हो सकते हैं, और प्रत्येक की अपनी नीति हो सकती है (विवरण के लिए विवरण देखें)।

फ़ाइल /etc/bind/onym.conf.local में हम ज़ोन का विवरण देते हैं:

 zone "rpz.zone" { type master; file "/etc/bind/db.rpz.zone"; allow-query {any;}; allow-update {none;}; }; 

और अंत में, जोन ही (फ़ाइल /etc/bind/db.rpz.zone):

 ;RPZ $TTL 10 @ IN SOA rpz.zone. rpz.zone. ( 5; 3600; 300; 86400; 60 ) IN NS localhost. vk.com CNAME habrahabr.ru. *.gov.by CNAME . gov.by MX 0 gmail.com. *.blabla.com A 1.2.3.4 *.xxx A 127.0.0.1 1.by CNAME abcde-net.by. 

हम नई सेटिंग्स लागू करते हैं:

 sudo rndc reload 

और देखो क्या हुआ:

 dig vk.com ; <<>> DiG 9.8.1-P1 <<>> vk.com ;; global options: +cmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 11880 ;; flags: qr rd ra; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 0 ;; QUESTION SECTION: ;vk.com. IN A ;; ANSWER SECTION: vk.com. 10 IN CNAME habrahabr.ru. habrahabr.ru. 466 IN A 212.24.43.44 ;; Query time: 0 msec ;; SERVER: 192.168.3.204#53(192.168.3.204) ;; WHEN: Thu Apr 25 00:56:49 2013 ;; MSG SIZE rcvd: 66 

जैसा कि आप सर्वर की प्रतिक्रिया से देख सकते हैं, पता habrahabr.ru द्वारा खराब कर दिया गया है।
ब्राउज़र में, हम निम्नलिखित देखेंगे:

बेशक, हम अपने आंतरिक सर्वर पर एक प्रतिस्थापन कर सकते हैं, जो उदाहरण के लिए, ग्राहक को सूचित करेगा कि अनुरोधित डोमेन तक पहुंच सुरक्षा नीति द्वारा निषिद्ध है।

 dig gov.by ; <<>> DiG 9.8.1-P1 <<>> gov.by ;; global options: +cmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 10961 ;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 0 ;; QUESTION SECTION: ;gov.by. IN A ;; AUTHORITY SECTION: rpz.zone. 10 IN SOA rpz.zone. rpz.zone. 8 3600 300 86400 60 ;; Query time: 11 msec ;; SERVER: 192.168.3.204#53(192.168.3.204) ;; WHEN: Thu Apr 25 00:59:18 2013 ;; MSG SIZE rcvd: 68 

यहां यह अनुरोध अनुत्तरित रहा। यही बात किसी gov.by उपडोमेन के साथ भी होगी:

यह अनुमान लगाना आसान है कि blabla.com डोमेन के सभी उप डोमेन को 1.2.3.4 पते के साथ बदल दिया जाएगा, और xxx ज़ोन के सभी डोमेन को लोकलहोस्ट के साथ बदल दिया जाएगा।

मैं जोन की अंतिम पंक्ति को अलग से बताऊंगा। एक प्रांतीय शहर में एक छोटे प्रदाता के रूप में, हम अक्सर पूरी तरह से तंग उपयोगकर्ताओं की समस्या का सामना करते हैं, जिनके लिए हमारे होम पेज का पता लिखना एक भारी काम है (और यह हमारे सभी आंतरिक संसाधनों के लिए शुरुआती बिंदु है)।
यह कभी-कभी कॉमिक मामलों में आता है जब तकनीकी सहायता मेज पर अपने सिर के साथ हिस्टेरिक्स में धड़कती है। यह इस रिकॉर्ड के लिए बनाया गया था। यह क्लाइंट के लिए ब्राउजर के एड्रेस बार (बिना कोट्स) में "1.by" टाइप करने के लिए पर्याप्त है, और उसे वह जगह मिलनी चाहिए, जहां उसे जरूरत है:


और इसलिए कि इस तरह के अपमान से अधिक या कम साक्षर उपयोगकर्ताओं की आंखों में जलन नहीं होती है, वेब सर्वर (अपाचे में रिवेरिएट) का उपयोग करके, मेजबान "1.by" को वैध सर्वर पते पर पुनर्निर्देशित किया जाता है।

संदर्भ:
ftp.isc.org/isc/dnsrpz/isc-tn-2010-1.txt
kb.isc.org/category/110/0/10/Software-Products/BIND9/Features/DNSRPZ