Configuration et maintenance de DNS

1. Vue d’ensemble de l’espace de noms DNS

DNS est construit sur un système hiérarchique. Le serveur racine permet de rediriger les requêtes vers les serveurs DNS juste en dessous de lui. Il est représenté par un point. On trouve en dessous les différents domaines de premier niveau (fr, net, com…). Chacun de ces domaines est géré par un organisme (AFNIC pour le .fr), IANA (Internet Assigned Numbers Authority) gère pour sa part les serveurs racines.

Au second niveau se trouvent les noms de domaine...

1. Composants du serveur

Une solution DNS est constituée de plusieurs composants. Les serveurs DNS, pour commencer, ont pour fonction de répondre aux requêtes de leurs clients mais d’assurer également l’hébergement et la gestion d’une ou plusieurs zones. Ces dernières contiennent plusieurs enregistrements de ressources. Les serveurs DNS publics gèrent également des zones et des enregistrements de ressource. Néanmoins ces derniers ne concernent que les ressources qui doivent être accessibles depuis Internet. Enfin les clients DNS ont eux la fonction d’envoyer au serveur DNS les différentes requêtes de résolution

2. Requêtes effectuées par le DNS

Une requête permet de demander une résolution à un serveur DNS. Ainsi ce dernier peut apporter deux types de réponses, celles faisant autorité et celles ne faisant pas autorité. Un serveur fournit une réponse faisant autorité si la demande concerne une ressource présente dans une zone sur laquelle il a autorité. Dans le cas contraire, il ne peut répondre au client. Il utilise donc un redirecteur ou des indications de racines afin d’obtenir cette réponse. Deux types de requêtes peuvent donc être utilisés, itératif ou récursif.

Avec les requêtes itératives, le poste client envoie à son serveur DNS une requête afin de résoudre le nom www.editions-eni.fr par exemple. Le serveur interroge le serveur racine. Ce dernier le redirige vers le serveur ayant autorité sur la zone FR. Il peut ainsi connaître l’adresse IP du serveur DNS ayant autorité sur la zone editions-eni. L’interrogation de ce dernier permet la résolution du nom www.editions-eni.fr. Le serveur DNS interne répond à la demande qu’il a reçue au préalable de son client.

Avec les requêtes récursives, le poste client souhaite résoudre le nom www.editions-eni.fr. Il envoie la demande...

1. Vue d’ensemble des zones DNS

Il est possible de créer dans un serveur DNS trois types de zone : une zone primaire, une zone secondaire ou une zone de stub.

La zone primaire possède des droits de lecture et d’écriture sur l’ensemble des enregistrements qu’elle contient. Ce type de zone peut être intégré à Active Directory ou simplement être contenu dans un fichier texte. Dans le cas où la zone n’est pas intégrée à Active Directory, il est nécessaire de configurer le transfert de zone.

La zone secondaire est une simple copie d’une zone primaire. L’écriture sur ce type de zone est impossible, seule la lecture est autorisée. Il est impossible de l’intégrer à Active Directory, un transfert de zone est donc obligatoire.

Une zone de stub est une copie d’une zone, néanmoins cette dernière contient uniquement les enregistrements nécessaires à l’identification du serveur DNS qui a autorité sur la zone qui vient d’être ajoutée.

Prenons un exemple : le serveur PAR-DC01 a autorité sur la zone Formation.eni. Le serveur PAR-DC02...

1. Présentation du transfert de zone

Un transfert de zone est utilisé lorsque les zones ne sont pas intégrées à Active Directory. Il est effectué généralement entre une zone primaire et une zone secondaire. Plusieurs types de transfert de zone peuvent être effectués, le transfert de zone intégral qui consiste à copier une zone entière d’un serveur vers l’autre ou le transfert de zone incrémentiel qui permet une réplication de l’enregistrement modifié uniquement. Le serveur maître avertit ses serveurs secondaires à l’aide du DNS Notify, par la suite les serveurs secondaires interrogent le serveur principal pour obtenir la mise à jour.

Pour configurer le transfert d’une zone DNS, il faut modifier les propriétés de la zone DNS comme le montre la capture ci-dessous.

Lorsque la zone est intégrée à Active Directory, cette dernière est répliquée au même moment que celle de l’annuaire Active Directory. On parle ainsi de réplication multimaître, tous les serveurs DNS ayant la possibilité d’effectuer des modifications.

Dans ce cas pratique, nous avons besoin de trois machines virtuelles :

Domaine Active Directory : Formation.eni avec comme les VM PAR-DC01 et PAR-SRV1

Domaine Active Directory : Demo.local avec comme contrôleur de domaine PAR-SRV2

1. Implémenter DNSSEC

Une méthode d’attaque courante consiste à intercepter et falsifier la réponse à une requête DNS d’une organisation. Si une personne malveillante peut modifier la réponse d’un serveur DNS ou envoyer une réponse falsifiée afin de diriger les ordinateurs clients vers ses propres serveurs, elle peut accéder à des informations sensibles. Tous les services qui s’appuient sur DNS pour la connexion initiale, tels que les serveurs web d’e-commerce et les serveurs de messagerie, sont vulnérables. DNSSEC est conçu pour protéger les clients, émettant des requêtes DNS en les empêchant d’accepter de fausses réponses DNS.

Quand un serveur DNS qui héberge une zone numériquement signée reçoit une requête, il renvoie les signatures numériques avec les enregistrements demandés. Un résolveur ou un serveur différent peut obtenir la clé publique de la paire clé publique/clé privée d’une ancre d’approbation, puis confirmer que les réponses sont authentiques et n’ont pas été falsifiées. Pour ce faire, le résolveur ou le serveur doit être configuré avec une ancre d’approbation pour la zone signée ou pour un parent de la zone signée. 

Ancre d’approbation

Une Ancre d’approbation est une entité faisant autorité, elle est représentée par une clé publique. La zone TrustAnchors enregistre les clés publiques préconfigurées qui sont associés à une zone spécifique. L’ancre d’approbation est un enregistrement de ressource DNSKEY ou DS. Si le serveur DNS est un contrôleur de domaine, les zones intégrées à Active Directory peuvent distribuer les ancres d’approbation. 

La table de stratégie de résolution de nom NRPT

La table de stratégie de résolution de nom NRPT contient...

1. Scénarios d’utilisations

De nombreuses stratégies DNS peuvent être mises en œuvres selon les besoins. Voici quelques exemples d’utilisation possibles :

2. Les objets DNS correspondants

En fonction des scénarios énoncés ci-dessus, il existe différents objets pour configurer les stratégies de résolutions DNS :