DNS Domain name system : 도메인이름을 ip 주소로변환 Ip 숫자주소가기억하기어렵기때문에만들어짐. 큰통치킨시키는법. 전화번호부에서 ㅋ 으로시작하는부분찾기 => 크 으로시작하는부분찾기 => => 큰통치킨 : 를찾고전화걸기 2

Size: px

Start display at page:

Download "DNS Domain name system : 도메인이름을 ip 주소로변환 Ip 숫자주소가기억하기어렵기때문에만들어짐. 큰통치킨시키는법. 전화번호부에서 ㅋ 으로시작하는부분찾기 => 크 으로시작하는부분찾기 => => 큰통치킨 : 를찾고전화걸기 2"

내상 판
7 years ago
Views:

1 DNS & BIND moonde

2 DNS Domain name system : 도메인이름을 ip 주소로변환 Ip 숫자주소가기억하기어렵기때문에만들어짐. 큰통치킨시키는법. 전화번호부에서 ㅋ 으로시작하는부분찾기 => 크 으로시작하는부분찾기 => => 큰통치킨 : 를찾고전화걸기 2

3 Name server DNS 소프트웨어설치되어 DNS 를제공하는서버 DNS database 와 resolver 를포함함. DNS data 는 Resource record 형태로저장 3

4 Resource record Domain name 구성 과관련된정보항목을갖는레코드 Name : 도메인이름 Type : 정보유형 Class : internet 에서는 1(IN) TTL(time to live) : cache 에저장될시간 Rdlength : rddata field 의크기 Resource data : resource record 의내 4

5 Record resource(type) type A(address) info 호스트의 ipv4 NS(name server) Name server 의이름 CNAME(canonical name) 공식적인 host name SOA(start of authority) zone 의속성정보 PTR(pointer) Ip 주소에대한이름 MX(mail exchange) Mail server 의이름 TXT(text string) 문자열정 5

6 Resource record(class) DNS 를맨처음만들었을때가능한포괄적으로만들도록설계 => DNS 는다른프로토콜과동시에 TCP/IP 를지원 => 각프로토콜이서로다른 resource record 유형을가질수있도록정의 Class : 각 resource record 유형집합 이때, tcp/ip 는텍스트코드가 IN 인 1 을사용 ( 인터넷용 ) 6

7 Resolver 프로그램의 request 를네임서버에대한 query 형태로번역하고그 query 에대한 response 를프로그램에적절한형태로변경함 속도향상을위 Cache 에 시간동안저장해놓음 7

8 Domain name space : 도메인이름을트리형태로구성하고노드에도메인대응 Root zone 에서시작해서여러개의하위 DNS zone 으로나뉨 DNS zone 에서관리자가하위도메인에대한권한을갖음. + 하위도메인에관한권한을줄수있음 8

9 Zone file DNS zone 을나타내는 text file. <name><ttl><class><type><data> 형식으로구성됨 ex) Example.com 1h IN NS ns ns 는 example.com 의 name server Example.com 1h IN MX mail.example.com mail.example.com 은 example.com 의메일서버 (example.com 대신 domain name 를사용할수있음.) 9

10 Zone file 예 라고치면 sparcs zone file 이 db 에저장되어있는것을볼수있다. 10

11 해킹기법 : dns spoofing 정상적인동작은사용자가 dns 서버로부터 ip 주소를받아오는것. BUT 공격자가 dns 와 client 사이에침투해서 client 한테의도와다른 ip 주소를전해줌. 1. 중간자공격 client 가 dns server 로 query 할때침투하여 query 를바꿔줌 2. 사용자컴퓨터에저장된 dns 주소가바뀌었을때 client 가자기 local 을보고 query 해도의도하지않은응답이옴. 11

12 Sub domain 각각의도메인이서로다른서버를가리키게해줌 ( 서버식별 ) ex) sparcs.org 에서뭔가다른운영이필요해다른서버를사용해야할때, sparcs.org 와 bbs.spracs.org 가가리키는 ip 를다르게설정 => 하나의도메인이여러개의 ip => 비용절감하나의 ip 주소를가지는여러개의 domain 이 domain 이름에따라다른디렉토리파일을가져오게도할수있음 (virtual hosting) 12

13 Top-level domain(tld) 도메인을구분하는가장큰카테고리 ( 성격에따라분류 ) 운영주체에따라국제인터넷관리기구 ICANN 에서분류 CcTLD(country code tld) : 개별국가에서사용 가격대가높고, 신청자격제한 Ex) kr, co.kr 등 gtld(generic tld) : 특정한조직계열에따라사용 가격대가낮고역사가오래됨. 신청자격제한없음 Ex ) com, net, org( 비영리단체라는뜻ㅎ ), edu, gov, mil,.xxx 등 New gtld : gtld 가너무많아져서 2014 년출시 가격에 gtlb 에비해비쌈, 모바일혹은특정브라우에서안될가능성있음 ex) coffee, , news 13

14 Root domain( 최상위 dns) 전세계 13 개뿐 ( 미국 10, 네덜란드 1, 노르웨이 1, 일본 1 ) 다른나라에서는미러서버운영 관리는 root 서버에서하지만내용은동일하다! But 자체적인터넷통신관리가능 미러서버가생긴이유 2002 년때디도스공격으로 root 서버 13 대중 9 개가영향을받음이를막기위해 anycast 기술을적용시켜전세계 67 곳의미러서버를만듦 => 이후국내에서 dns 질의대부분응답가능해짐. Anycast : 롸우팅경로가가장가까운곳으로통신하는기술우리나라의경우 2003 년에 3 대설치 (F-root, J-root, M-root) 각각한국인터넷진흥원, kt, 한국인터넷연동센터에서관리. 14

15 Domain name 만드는규칙 - Label 사이를. 으로구분하고각 label 은 LDH rule 을따름 LDH rule : Letter(a~z, A~Z) Digit(0-9) Hyphen(-) 사용가능 - 한 label 에 63 글자, 127 번째 label 까지가능 - hyphen 으로시작, 종료할수없음 - 대소문자구분없음한국어로만들고싶다면.. Punycode 이용 ( 유니코드문자열을호스트이름에서허용된문자로인코딩 ) 접두어 xn-- 와유니코드를붙여서만듦 ex) 한국 => xn--3e0b707e 15

16 Domain name 표기방법. - FQDN(fully qualified domain name) Root zone 에서부터시작하는 domain name. ex) - PQDN(partially qualified domain name) 상위도메인이명확해서알려줄필요가없는경우에사용 ex) naver.com 16

17 Domain name 이름으로보는계층관계 ex) =>.(root) > org.(gtld) > sparcs. > domain) 따라서클라이언트가 를열고싶으면 1. local dns 서버에서찾음 (/etc/host 에저장 ) 2. 가까운 dns 에없으면 root 네임서버로문의 3. root 네임서버는.org 를보고.org 가등록된네임서버에문의 이런식으로 의 ip 주소를얻는다. 17

18 BIND(Berkeley Internet Name Domain) BSD 기반의 Unix 시스템을위해설계된 DNS software. 서버와 resolver 라이브러리로구성. - DNS software 중가장많이쓰임 1980 년대초 UC 버클리 4 명의대학원생이처음만들었고 ISC(internet system consortium) 에서관리중 년 12 월 bind 10 출시 bind9 와구분하기위해 bundy 로개명함 18

19 BIND -master, slave server 같은내용인여러개의 DNS 서버를운영을때, 한서버를 master 로지정하고다른서버들이 master 서버로부터데이터를가져오도록할수있음! + 영역에따라 master Secondary master master 를바꿔줄수있다. 를사용할수없게될경우이 master 을참조할수있게한다. 19

20 BIND 설치 sudo apt-get install bind9 실행 : sudo /etc/init.d/bind9 start 중지 : sudo /etc/init.d/bind9 stop 재실행 : sudo /etc/init.d/bind9 restart 20

21 BIND nslookup(name server lookup) apt-get install dnsutils Domain name 을입력하면그주소에대한 ip 주소와기타정보등을알려줌 21

22 BIND - DIG(domain information groper) DNS name server 스툴 에질의하기위한네트워크관리명령줄인터페이 nslookup 보다상세한정보를줌. Option : query type any : all query soa : zone file 의 SOA 정보 a : network address hinfo : host 정보 mx : mail exchanger txt : txt 22

23 BIND - dig dig [hostname] : hostname s zone 반환 에서발견된 A record dig [hostname] [record type] : hostname s zone 에서발견된이 record type 의 record 과 record type 의 list 출력 dig [hostname] +short : ip address 출력 address] [hostname] :ISP 신 name server 를직접 query 의결정자대 23

24 BIND -dig dig [hostname] +trace : +trace 를추가하면 dig 가 root name server 의 query 를아래쪽으로분석하고각 query 단계의결과를보고하도록지시 dig -X [IP address] : ip 주소에대한역방향조회 dig [hostname] any : host name 반환 에대한모든 record 24

25 WHOIS( 등록을해야만알수있음 ) Whois server 에서 domain ex) whois naver.com 정보를찾아주는 software domain 에대한정보가아주자세하게나옴 + 등록자에대한정보도나옴 25

26 BIND 설정파일 - /etc/bind/db - Zone file 의 RR 기록 - /etc/resolv.conf local 의 name server 와 domain 설정 - /etc/bind/named.conf Zone file 의 db 위치설정 26

27 BIND 설정파일 /etc/host.conf => Ip 를찾을때순서를정해주는파일 Order : 붙여진순서대로 dns 를찾음. host(local 에서 ), bind(dns 네임서버에서 ), nis( 네트워크정보서비스 nis protocol 에서 ) Multi => on/off. on 되어있다면 /etc/hosts 에둘이상의 ip 주소를등록하게허용함. Alert => on/off. on 되어있다면 spoof 시도가 log 되 게함. Nospoof => on/off. spoof Trim => domain name 을인수취급함 시도를막지만느려지게함 27

28 BIND 설정파일 /etc/resolv.conf 네임서버에쓸 dns 를저장해둠 Domain [local domain] Search [ Nameserver [ 생략하고싶은것 ] 사용할네임서버 ] 를추가하여 PQDN 으로제작가능 28

29 BIND 설정파일 /etc/bind/db.~ Zone file 의 RR type 정보를기록해둠. ex) /etc/bind/db.local(local 에대한정보 ) 29

30 BIND 설정파일 /etc/bind/named.conf => zone file 의 db 위치, 타입등여러정보들을설정. 30

31 BIND 설정파일 Zone file 등록및설정 zone example.com { type [master or slave]; file [ 파일위치 ]; //slave 일경우 // master{ [master 주소 ];}; // allow-transfer{[secondary master 주소 ];}; // 을이용해서 master 설정가능 }; 31

32 BIND 설정파일 모든 dns query 를 query file 로보내주도록 category 설정 Logging { Channel query.log{ File ~; }; Category queries {query.log;}; }; 32

33 BIND 설정파일 33

34 실습하기 1. Ara, wiki, sparcs 만입력해도그사이트의네임서버정보를알게하기. 34

35 실습하기 2. local 네임서버에 local 이외의 dns 를만들고 (ip 는임의 ) 그것의 zone file 에자기이름으로된 dns 를만들어보자. 두개모두연결되는지확인해보자. 3. 방금만든 dns 들어보자. 를 master 로갖는 slave zonefile 만 35

36 실습하기 1.Local host 설정 2.Zone file 정보만들기 36

37 실습하기 3. Zone 등록 4. 다른 zone 을 slave 로설정해서 aaa.com 다고설정한다. 5. dig 로잘되었는지확인한다. 의 master 을만들겠 37

38 참고자료 Potato, onion, coffee 선배님들의 wheel 세미나자료 erecordfieldformats-2.htm o

KISA-GD

KISA-GD KISA-GD-2011-0002 2011.9 1) RD(Recursive Desired) 플래그 : 리커시브네임서버로하여금재귀적 (recursive) 질의 ( 항목 1.3. 참고 ) 요청을표시함. RD 플레그값이 0 이면반복적 (iterative) 질의를요청 2) AA 플래그 : Authoritative Answer 의약자로써, 네임서버가해당응답데이터를자신이보유하고있는지유무를표시