DNS
Введение
ОС REFOS имеет поддержку многофункционального DNS-resolver, который выполняет роль посредника между пользовательскими устройствами и DNS серверами, что позволяет устройствам осуществлять эффективный процесс преобразования доменных имен в соответствующие IP-адреса.
Благодаря DNS-resolver возможно получать быстрый и безопасный доступ к ресурсам сети, облегчая навигацию и обмен данных для пользователей.
Основные функциональные особенности:
Кэширование запросов для ускорения времени обработки повторных запросов;
Проверка запросов с применением стандартов для обеспечения надежности;
Создание авторизированных зон для переадресации или перезаписи запросов;
Организация черного списка для блокировки определенных доменных имен;
Предоставление защиты от перегрузки системы запросами.
Статус службы DNS
Служба имеет следующие состояния активности:
Служба запущена
;
Служба остановлена
.
Процесс конфигурации и основные параметры
Конфигурация DNS-resolver производится на основных вкладках, обеспечивающих весь базовый функционал.
Вкладка Общие настройки представлена в таблице.
Всего существует 11 типов локальных зон, описанных в таблице.
Параметр |
Описание |
|---|---|
transparent |
Если есть совпадение с локальными данными, на запрос дается ответ. В противном случае, если запрос имеет другое имя, запрос разрешается нормально. Если запрос относится к имени, указанному в локальных данных, но такой тип данных не указан в локальных данных, то возвращается ответ noerror nodata. Если локальная зона не указана, локальные данные вызывают создание прозрачной зоны по умолчанию. |
deny |
Ответ блокируется, запрос сбрасывается. Если есть совпадение с локальными данными, на запрос дается ответ. |
inform |
На запрос отвечает нормально, так же, как transparent. IP-адрес клиента (@portnumber) печатается в файл журнала. Сообщение журнала: timestamp, unbound-pid, info: zonename inform IP@port queryname class type. Эту опцию можно использовать для нормального разрешения, но машины ищущие зараженные имена, регистрируются. |
inform_deny |
Запрос отбрасывается, как «deny», и регистрируется, как «inform». Т.е. найти зараженные машины, не отвечая на запросы. |
nodefault |
Используется для отключения содержимого по умолчанию для зон AS112. Другие типы также отключают содержимое зоны по умолчанию. Параметр «nodefault» не имеет никакого другого эффекта, кроме отключения содержимого по умолчанию для данной зоны. Используйте nodefault, если вы используете именно эту зону, если вы хотите использовать подзону, используйте transparent. |
refuse |
Отправить ответное сообщение об ошибке с rcode REFUSED. Если есть совпадение с локальными данными, на запрос дается ответ. |
static |
Если есть совпадение с локальными данными, на запрос дается ответ. В противном случае на запрос отвечает nodata или nxdomain. При отрицательном ответе SOA включается в ответ, если он представлен как локальные данные для домена вершины зоны. |
typetransparent |
Если есть совпадение с локальными данными, на запрос дается ответ. Если запрос для другого имени или для того же имени, но для другого типа, запрос разрешается нормально. Таким образом, аналогично прозрачному, но типы, которые не указаны в локальных данных, разрешаются нормально, поэтому, если запись A находится в локальных данных, это не вызывает ответа nodata для запросов AAAA. |
always_refuse |
Аналогично refuse, но игнорирует локальные данные и отклоняет запрос. |
always_nxdomain |
Аналогичен static, но игнорирует локальные данные и возвращает для запроса nxdomain. |
always_transparent |
Как и transparent, но игнорирует локальные данные и разрешается нормально. |
Для применения конфигурации необходимо нажать на кнопку Сохранить с последующем подтверждением применения изменений.
Стандартная настройка DNS-resolver в режиме переадресации с включенным DNSSEC
Вкладка Переопределение.
В данном разделе можно задать как переопределение непосредственно для зон и клиентов, так и переопределение всего домена в целом.
Переопределение хоста при добавлении имеет параметры, указанные в таблице.
На рисунке представлен пример использования переопределения хоста. В данном случае DNS-resolver обслуживает зону nyc1.testrustel1234.com с типом A и IP адресом 192.168.7.1 в transparent режиме. Также для этой зоны существуют записи для двух хостов host1 и host2.
Переопределение домена указывается при помощи следующих параметров:
Указать домен для переопределения при помощи параметра Домен;
Указать IP адрес полномочного DNS сервера в параметре IP-адрес;
По желанию указать название для записи в параметре Описание;
На рисунке представлен пример использования переопределения домена. В данном случае DNS будет отправлять запросы по домену nyc1.testrustel1234.com на IP адрес 192.168.7.1.
Важно
При создании записей переопределения, для их работы убедитесь, что не включен режим переадресации запросов во вкладке Общие настройки.
Вкладка Дополнительно
Данный используется для настройки дополнительных функций управления DNS-resolver. Для стандартной работы ответчика достаточно оставить все пункты по умолчанию. Каждый пункт описан в таблице.
Вкладка Списки доступа
На данной вкладке присутствует возможность добавления дополнительных списков доступа помимо тех, что указываются по стандарту при указании интерфейсов во вкладке Общие настройки.
Для создания списка доступа необходимо:
Задать имя списка доступа в параметре Имя списка доступа;
Указать необходимое действие для сети в пункте Действие, описание каждого действия представлено в таблице;
Указать Сеть(-и). Для этого указать саму сеть и необходимый CIDR в пункте Сети, по желанию можно добавить описание для каждой сети;
По желанию добавить описание для списка доступа в параметре Описание.
Пример создания списка доступа представлен на рисунке.
Вкладка Черный список.
В данной вкладке присутствует возможность управления черными списками доменов.
Для загрузки черного списка необходимо:
Указать желаемый тип черного списка в параметре Тип черного списка. Описание ;
в случае необходимости загрузки собственных списков, можно нажать на кнопку расширенный режим в левом верхнем углу, после чего появится пункт URL черных списков, в котором указывается ссылка, с которой можно загрузить пользовательский черный список;
По необходимости указать список доменов, которые будут исключены из черного списка в параметре Белый список доменов.
Важно
При любом действии с черным списком необходимо нажать кнопку применить и дождаться пока он загрузится. Обычно это занимает не более 1-2 минут. Если загрузка идет дольше, то необходимо перезагрузить страницу.
Если черный список был успешно загружен, тогда появится значок 
.
Если черный список не был загружен, тогда появится значок восклицательного знака 
, при наведении на который отобразится ошибка, связанная с загрузкой черного списка.
Пример выбора черного списка представлен на рисунке.
Вкладка Прочее.
На данный момент на вкладке присутствует только функция Частные домены, которая позволяет указать список доменов, которые не должны быть отправлены на общедоступные DNS-сервера. В основном эта функция нужна для некоторых списков DNSBL, которые разрешаются в частные адреса.
Вкладки Статистические данные и Журнал.
Данные вкладки необходимы для сбора информации о работе DNS ответчика, а также статистики по обработанным запросам.
в случае необходимости возможно отключить автоматическое обновление статистических данных. Необходимо это затем, чтобы не нагружать систему, т.к. сбор статистики (особенно с включенным параметром расширения статистики) может занимать некоторое место в памяти процессора.
Также существует возможность загрузки логов журнала и его очистки.
Пример вкладки Статистические данные представлен на рисунке.
Пример вкладки Журнал представлен на рисунке
