Co je BIND a kdy provozovat vlastní DNS?
Autor: Redakce Domeny.ForSale Zveřejněno
Stručně: BIND (Berkeley Internet Name Domain) je otevřený software pro server DNS, používaný především v systémech Linux a Unix. Může zveřejňovat informace o doménách nebo vyhledávat odpovědi DNS za uživatele. Hodí se, pokud potřebujete mít provoz DNS pod kontrolou, ale pro běžný web zpravidla stačí DNS spravované poskytovatelem.
K čemu slouží BIND?
DNS (Domain Name System) je systém doménových jmen: umožňuje mimo jiné zjistit, jaká IP adresa odpovídá názvu zadanému do prohlížeče. Uchovává také další informace, například údaje o poštovních serverech domény nebo data používaná k ověřování služeb. BIND je jedním z programů, které tento systém zajišťují, nikoli označením samotného DNS.
BIND vyvíjí organizace Internet Systems Consortium (ISC). Současnou řadou softwaru je BIND 9 a jeho hlavní serverový proces se jmenuje named. Balíček obsahuje také nástroje pro správu, které slouží mimo jiné ke kontrole konfigurace a diagnostice odpovědí DNS.
BIND neuchovává soubory webu a nenahrazuje webový server. Ani neregistruje domény. Jeho úkolem je poskytovat odpovědi DNS, díky nimž může prohlížeč nebo jiná aplikace zjistit, kam se připojit k příslušné službě.
Dvě role: autoritativní server a resolver
Autoritativní server poskytuje směrodatné údaje o doménách, za které odpovídá. Správce je definuje v zóně DNS, tedy ve vyčleněné části jmenného prostoru. Taková zóna může obsahovat záznamy A a AAAA určující IP adresy, záznamy MX směrující poštu a záznamy TXT uchovávající textové informace.
Rekurzivní resolver vyhledává odpovědi za klienta. Pokud nemá potřebnou informaci v mezipaměti, dotazuje se příslušných serverů DNS, dokud nezíská výsledek. Odpověď pak může uchovat po dobu určenou hodnotou TTL, tedy parametrem, který stanovuje přípustnou dobu jejího uložení v mezipaměti.
BIND dokáže plnit obě role, ale každá má jiné požadavky na přístup. Veřejný autoritativní server by měl odpovídat na dotazy týkající se obsluhovaných zón. Firemní resolver by naopak měl přijímat rekurzivní dotazy pouze od oprávněných klientů, například zařízení v místní síti nebo VPN.
Při veřejném nasazení je obvykle vhodné tyto role oddělit. Usnadňuje to uplatňování odlišných bezpečnostních pravidel a omezuje dopady chyb v konfiguraci.
Jak vypadá správa domény v praxi?
Představme si, že firma přesouvá web na nový server, ale poštu ponechává u dosavadního poskytovatele. Pokud její zónu obsluhuje BIND, správce změní záznam A a při používání IPv6 také záznam AAAA. Záznamy MX zůstávají beze změny, protože způsob doručování pošty se nemění.
Změna se nemusí projevit okamžitě u všech uživatelů. Resolvery mohou nadále používat předchozí odpověď, dokud nevyprší její TTL. Před plánovanou migrací lze s dostatečným předstihem snížit TTL měněných záznamů. Je však třeba pamatovat na to, že pro již uložené odpovědi stále platí původní, delší hodnota.
BIND může pro zónu fungovat také jako primární nebo sekundární server. Primární server je zdrojem dat zóny a sekundární server získává jejich kopii přenosem zóny. Nejde o rozdělení na „aktivní“ a „záložní“ server: oba mohou běžně odpovídat na dotazy.
Samotné spuštění BIND nepřesměruje obsluhu domény na vlastní infrastrukturu. Je zapotřebí také správná delegace, tedy určení jmenných serverů v nadřazené zóně, obvykle prostřednictvím ovládacího panelu registrátora domény.
Co je třeba zabezpečit a zkontrolovat?
Správa BIND vyžaduje více než jen úpravy záznamů. Zvlášť důležité jsou:
- Omezení rekurze. Veřejně dostupný otevřený resolver lze zneužít k zesilování útoků DDoS.
- Kontrola přenosů zón. Kopie zón by měly získávat pouze oprávněné sekundární servery.
- Aktualizace softwaru. Verzi a informace o podpoře a opravách je třeba ověřovat v oznámeních ISC a v dokumentaci používané distribuce.
- Dostupnost infrastruktury. Jmenné servery by měly běžet v nezávislých prostředích, aby jediná porucha nevyřadila celý provoz DNS.
BIND podporuje DNSSEC, tedy mechanismus podepisování dat DNS a ověřování jejich pravosti. DNSSEC nešifruje dotazy ani neskrývá navštěvované názvy. Jeho nasazení vyžaduje správnou správu klíčů a propojení podepsané zóny s nadřazenou zónou.
Před použitím změn lze zkontrolovat syntaxi konfigurace nástrojem named-checkconf a soubor zóny nástrojem named-checkzone. Po nasazení umožňuje nástroj dig ověřit odpovědi jednotlivých serverů. Správná syntaxe však nezaručuje správnou delegaci ani dostupnost služby z internetu.
Kdy zvolit BIND a kdy spravovanou službu?
BIND dává smysl, pokud organizace potřebuje vlastní infrastrukturu DNS, místní zóny, podrobné řízení přístupu nebo integraci se stávající správou systémů. Hodí se také k výuce DNS, protože umožňuje samostatně nakonfigurovat zónu a sledovat odpovědi serveru.
Pro majitele firemního webu nebo e-shopu bývá spravovaná služba často jednodušší. Poskytovatel udržuje servery DNS a jejich software, zatímco uživatel upravuje záznamy v ovládacím panelu. Neznamená to vzdát se vlastní domény ani nutnost provozovat web a DNS u stejné firmy.
Před instalací si tedy ujasněte jednu věc: potřebujete jen měnit záznamy domény, nebo skutečně provozovat server DNS? Pokud jde pouze o záznamy, začněte možnostmi svého současného panelu DNS — vlastní BIND znamená další odpovědnost za dostupnost, aktualizace a bezpečnost.
Přečtěte si také
