ISC BIND Nameserver unter CentOS 7.x

Damit unsere berechtigten Clients auch Verbindungen zu den geöffneten Ports UDP/53 UND TCP/53 unseres BIND-Name-Server aufbauen können müssen wir für diese noch Änderungen am Paketfilter firewalld vornehmen.

Unter CentOS 7 wird als Standard-Firewall die dynamische firewalld verwendet. Ein großer Vorteil der dynamischen Paketfilterregeln ist unter anderem, dass zur Aktivierung der neuen Firewall-Regel(n) nicht der Daemon durchgestartet werden muss und somit alle aktiven Verbiundungen kurz getrennt werden. Sondern unsere Änderungen können on-the-fly aktiviert oder auch wieder deaktiviert werden.

Mit Hilfe des Programms firewall-cmd legen wir nun eine permanente Regel in den zugehörigen Zonen, in diesem Konfigurationsbeispiel internal und external, an. Genug der Vorrede, mit nachfolgendem Befehl werden den Port 35 für die beiden Protokolle UDP und TCP geöffnet.

 # firewall-cmd --permanent --zone=internal --add-service=dns

 success

 #  firewall-cmd --permanent --zone=external --add-service=dns

 success

Anschließend können wir den Firewall-Daemon einmal durchstarten und anschließend überprüfen, ob die Regeln auch entsprechend unserer Definition, gezogen haben.

 # firewall-cmd --reload

 success

Anschließend können wir abfragen, welche Dienste in der Zone public geöffnet sind.

 # firewall-cmd --zone=public --list-services

 dns

Genauso können wir natürlich mit mit dem Befehl iptables abfragen, ob die Erweiterung unseres Paketfilter aktiv ist.

 # iptables -nvL IN_internal_allow

Chain IN_internal_allow (1 references)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:53 ctstate NEW
    0     0 ACCEPT     udp  --  *      *       0.0.0.0/0            0.0.0.0/0            udp dpt:53 ctstate NEW

Das Gleiche gilt natürlich auch für die Zone external

 # iptables -nvL IN_external_allow

Chain IN_internal_allow (1 references)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:53 ctstate NEW
    0     0 ACCEPT     udp  --  *      *       0.0.0.0/0            0.0.0.0/0            udp dpt:53 ctstate NEW

Nun können wir unseren DNS-Daemon das erste mal starten und prüfen, ob unsere Basis-Konfiguration den gewünschten Erfolg mitbringt.

 # systemctl start named-chroot.service

Den Status des laufenden Daemon fragen wir wie gewohnt wie folgt ab.

 # systemctl status named-chroot.service

● named-chroot.service - Berkeley Internet Name Domain (DNS)
   Loaded: loaded (/usr/lib/systemd/system/named-chroot.service; disabled; vendor preset: disabled)
   Active: active (running) since Thu 2017-12-28 18:26:38 CET; 8s ago
  Process: 4391 ExecStart=/usr/sbin/named -u named -c ${NAMEDCONF} -t /var/named/chroot $OPTIONS (code=exited, status=0/SUCCESS)
  Process: 4389 ExecStartPre=/bin/bash -c if [ ! "$DISABLE_ZONE_CHECKING" == "yes" ]; then /usr/sbin/named-checkconf -t /var/named/chroot -z "$NAMEDCONF"; else echo "Checking of zone files is disabled"; fi (code=exited, status=0/SUCCESS)
 Main PID: 4394 (named)
   CGroup: /system.slice/named-chroot.service
           └─4394 /usr/sbin/named -u named -c /etc/named.conf -t /var/named/chroot

Dec 28 18:26:38 vml000027.dmz.nausch.org named[4394]: command channel listening on ::1#953
Dec 28 18:26:38 vml000027.dmz.nausch.org named[4394]: managed-keys-zone: loaded serial 0
Dec 28 18:26:38 vml000027.dmz.nausch.org systemd[1]: Started Berkeley Internet Name Domain (DNS).
Dec 28 18:26:38 vml000027.dmz.nausch.org named[4394]: zone 0.in-addr.arpa/IN: loaded serial 0
Dec 28 18:26:38 vml000027.dmz.nausch.org named[4394]: zone 1.0.0.127.in-addr.arpa/IN: loaded serial 0
Dec 28 18:26:38 vml000027.dmz.nausch.org named[4394]: zone 1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa/IN: loaded serial 0
Dec 28 18:26:38 vml000027.dmz.nausch.org named[4394]: zone localhost/IN: loaded serial 0
Dec 28 18:26:38 vml000027.dmz.nausch.org named[4394]: zone localhost.localdomain/IN: loaded serial 0
Dec 28 18:26:38 vml000027.dmz.nausch.org named[4394]: all zones loaded
Dec 28 18:26:38 vml000027.dmz.nausch.org named[4394]: running

 # systemctl enable named-chroot.service

Created symlink from /etc/systemd/system/multi-user.target.wants/named-chroot.service to /usr/lib/systemd/system/named-chroot.service.

 # systemctl is-enabled named-chroot.service

enabled

 # netstat -tulpen | grep named

tcp        0      0 127.0.0.1:53            0.0.0.0:*               LISTEN      25         10197099   4394/named          
tcp        0      0 127.0.0.1:953           0.0.0.0:*               LISTEN      25         10197104   4394/named          
tcp6       0      0 ::1:53                  :::*                    LISTEN      25         10197101   4394/named          
tcp6       0      0 ::1:953                 :::*                    LISTEN      25         10197105   4394/named          
udp        0      0 127.0.0.1:53            0.0.0.0:*                           25         10197098   4394/named          
udp6       0      0 ::1:53                  :::*                                25         10197100   4394/named

 # ps auxwf | grep named

root      4517  0.0  0.0 112660   948 pts/0    S+   18:30   0:00                      \_ grep --color=auto named
named     4394  0.0  0.7 163712 14928 ?        Ssl  18:26   0:00 /usr/sbin/named -u named -c /etc/named.conf -t /var/named/chroot

 # df -ah | grep named

/dev/mapper/centos-root      10G  3.9G  6.2G  39% /var/named/chroot/etc/localtime
/dev/mapper/centos-root      10G  3.9G  6.2G  39% /var/named/chroot/etc/named
/dev/mapper/centos-root      10G  3.9G  6.2G  39% /var/named/chroot/etc/named.root.key
/dev/mapper/centos-root      10G  3.9G  6.2G  39% /var/named/chroot/etc/named.conf
/dev/mapper/centos-root      10G  3.9G  6.2G  39% /var/named/chroot/etc/named.rfc1912.zones
/dev/mapper/centos-root      10G  3.9G  6.2G  39% /var/named/chroot/etc/rndc.key
/dev/mapper/centos-root      10G  3.9G  6.2G  39% /var/named/chroot/etc/named.iscdlv.key
/dev/mapper/centos-root      10G  3.9G  6.2G  39% /var/named/chroot/etc/protocols
/dev/mapper/centos-root      10G  3.9G  6.2G  39% /var/named/chroot/etc/services
/dev/mapper/centos-root      10G  3.9G  6.2G  39% /var/named/chroot/usr/lib64/bind
tmpfs                       920M   90M  831M  10% /var/named/chroot/run/named
/dev/mapper/centos-root      10G  3.9G  6.2G  39% /var/named/chroot/var/named

/var/named/chroot/
├── dev
│   ├── log
│   ├── null
│   ├── random
│   └── zero
├── etc
│   ├── localtime
│   ├── named
│   ├── named.conf
│   ├── named.iscdlv.key
│   ├── named.rfc1912.zones
│   ├── named.root.key
│   ├── pki
│   │   └── dnssec-keys
│   ├── protocols
│   ├── rndc.key
│   └── services
├── run
│   └── named
│       ├── named.pid
│       └── session.key
├── usr
│   └── lib64
│       └── bind
└── var
    ├── log
    ├── named
    │   ├── chroot
    │   │   ├── dev
    │   │   │   ├── log
    │   │   │   ├── null
    │   │   │   ├── random
    │   │   │   └── zero
    │   │   ├── etc
    │   │   │   ├── localtime
    │   │   │   ├── named
    │   │   │   ├── named.conf
    │   │   │   ├── named.iscdlv.key
    │   │   │   ├── named.rfc1912.zones
    │   │   │   ├── named.root.key
    │   │   │   ├── pki
    │   │   │   │   └── dnssec-keys
    │   │   │   ├── protocols
    │   │   │   ├── rndc.key
    │   │   │   └── services
    │   │   ├── run
    │   │   │   └── named
    │   │   ├── usr
    │   │   │   └── lib64
    │   │   │       └── bind
    │   │   └── var
    │   │       ├── log
    │   │       ├── named
    │   │       ├── run -> ../run
    │   │       └── tmp
    │   ├── data
    │   │   └── named.run
    │   ├── dynamic
    │   │   ├── managed-keys.bind
    │   │   └── managed-keys.bind.jnl
    │   ├── named.ca
    │   ├── named.empty
    │   ├── named.localhost
    │   ├── named.loopback
    │   └── slaves
    ├── run -> ../run
    └── tmp

 # systemctl stop named-chroot.service

 # systemctl status named-chroot.service

● named-chroot.service - Berkeley Internet Name Domain (DNS)
   Loaded: loaded (/usr/lib/systemd/system/named-chroot.service; enabled; vendor preset: disabled)
   Active: inactive (dead) since Thu 2017-12-28 18:35:53 CET; 6s ago
  Process: 4677 ExecStop=/bin/sh -c /usr/sbin/rndc stop > /dev/null 2>&1 || /bin/kill -TERM $MAINPID (code=exited, status=0/SUCCESS)
 Main PID: 4394 (code=exited, status=0/SUCCESS)

Dec 28 18:35:53 vml000027.dmz.nausch.org systemd[1]: Stopping Berkeley Internet Name Domain (DNS)...
Dec 28 18:35:53 vml000027.dmz.nausch.org named[4394]: received control channel command 'stop'
Dec 28 18:35:53 vml000027.dmz.nausch.org systemd[1]: Stopped Berkeley Internet Name Domain (DNS).

Die Abfrage nach den Mount-Points bleibt daher auch entsprechend „unbeantwortet“.

 # df -ah | grep named

Der Dokumenten-Baum des bind-daemon ist nunmehr nur noch der ursprüngliche Basiszustand bei der Installation des Daemon selbst.

/var/named/chroot/
├── dev
│   ├── log
│   ├── null
│   ├── random
│   └── zero
├── etc
│   ├── named
│   └── pki
│       └── dnssec-keys
├── run
│   └── named
├── usr
│   └── lib64
│       └── bind
└── var
    ├── log
    ├── named
    ├── run -> ../run
    └── tmp

Zu guter Letzt starten wir den Daemon wieder um weiter testen zu können.

 # systemctl start named-chroot.service

Ohne jegliche individuelle Konfiguration fungiert der DNS-Server als caching-only-resolver; daher könne wir auch unsere erste Anfrage gegen unseren „neuen“ DNS-Server machen.

 # dig @127.0.0.1 ccc.de

; <<>> DiG 9.9.4-RedHat-9.9.4-51.el7_4.1 <<>> @127.0.0.1 ccc.de
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 43047
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 4, ADDITIONAL: 9

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;ccc.de.				IN	A

;; ANSWER SECTION:
ccc.de.			7200	IN	A	213.73.89.123

;; AUTHORITY SECTION:
ccc.de.			86400	IN	NS	ns.ham.ccc.de.
ccc.de.			86400	IN	NS	ns.ber.ccc.de.
ccc.de.			86400	IN	NS	s-dns.irz42.net.
ccc.de.			86400	IN	NS	ns.vie.ccc.de.

;; ADDITIONAL SECTION:
ns.vie.ccc.de.		86400	IN	A	146.255.57.228
ns.vie.ccc.de.		86400	IN	AAAA	2a02:1b8:10:31::228
s-dns.irz42.net.	172800	IN	A	212.12.50.130
s-dns.irz42.net.	3600	IN	AAAA	2a00:14b0:4200:3280::130
ns.ber.ccc.de.		86400	IN	A	195.54.164.36
ns.ber.ccc.de.		86400	IN	AAAA	2001:67c:20a0:2:0:164:0:36
ns.ham.ccc.de.		86400	IN	A	212.12.55.77
ns.ham.ccc.de.		86400	IN	AAAA	2a00:14b0:4200:3000:23:55:0:77

;; Query time: 210 msec
;; SERVER: 127.0.0.1#53(127.0.0.1)
;; WHEN: Thu Dec 28 20:01:32 CET 2017
;; MSG SIZE  rcvd: 319

Im ersten Schritt wollen wir erst einmal einen caching-only Nameserver aufsetzen. Die mitgelieferte Konfigurationsdate /etc/named.conf des RPM-Pakets bind passen wir unseren Gegebenheiten an.

 # vim /etc/named.conf

/etc/named.conf

//
// named.conf
//
// Provided by Red Hat bind package to configure the ISC BIND named(8) DNS
// server as a caching only nameserver (as a localhost DNS resolver only).
//
// See /usr/share/doc/bind*/sample/ for example named configuration files.
//
// See the BIND Administrator's Reference Manual (ARM) for details about the
// configuration located in /usr/share/doc/bind-{version}/Bv9ARM.html
 
// Django : 2017-12-28 - Variablendefinition
// default: unset  
acl dmz   { 10.0.0.0/24; };
acl intra { 10.0.10.0/25; };
 
options {
	// Django : 2017-12-28
	// default: listen-on port 53 { 127.0.0.1; };
	listen-on port 53 { 127.0.0.1; 10.0.0.27; 10.0.10.27;};
	listen-on-v6 port 53 { ::1; };
	directory 	"/var/named";
	dump-file 	"/var/named/data/cache_dump.db";
	statistics-file "/var/named/data/named_stats.txt";
	memstatistics-file "/var/named/data/named_mem_stats.txt";
        // Django : 2017-12-28
        // default: allow-query     { localhost; };
	allow-query     { localhost; dmz; intra; };
 
	/* 
	 - If you are building an AUTHORITATIVE DNS server, do NOT enable recursion.
	 - If you are building a RECURSIVE (caching) DNS server, you need to enable 
	   recursion. 
	 - If your recursive DNS server has a public IP address, you MUST enable access 
	   control to limit queries to your legitimate users. Failing to do so will
	   cause your server to become part of large scale DNS amplification 
	   attacks. Implementing BCP38 within your network would greatly
	   reduce such attack surface 
	*/
	recursion yes;
 
	dnssec-enable yes;
	dnssec-validation yes;
 
	/* Path to ISC DLV key */
	bindkeys-file "/etc/named.iscdlv.key";
 
	managed-keys-directory "/var/named/dynamic";
 
	pid-file "/run/named/named.pid";
	session-keyfile "/run/named/session.key";
 
	// Django : 2017-12-28 - Rückmeldung Programm und Version verstecken
	// default: unset
	version "DNS - nausch.org";
 
};
 
logging {
        channel default_debug {
                file "data/named.run";
                severity dynamic;
        };
};
 
zone "." IN {
	type hint;
	file "named.ca";
};
 
include "/etc/named.rfc1912.zones";
include "/etc/named.root.key";

Bevor wir die Konfigurationsänderung aktivieren, prüfen wir noch kurz, ob in der Konfigurationsdatei kein syntaktischer Fehler eingeschlichen hat.

 # named-checkconf

Erfolgt keine Fehlermeldung bedeutet dies, dass alles O.K. ist. Nun starten wir den DNS-Daemon einmal durch.

 # systemctl restart named-chroot.service

Nun können wir prüfen, ob unser neuer DNS-Server von einem berechtigten Client-Rechner aus nach einer Anfrage zu einem externen Host.

 # dig @10.0.0.27 heise.de

; <<>> DiG 9.9.4-RedHat-9.9.4-51.el7_4.1 <<>> @10.0.0.27 heise.de
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 30660
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 5, ADDITIONAL: 7

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;heise.de.			IN	A

;; ANSWER SECTION:
heise.de.		85044	IN	A	193.99.144.80

;; AUTHORITY SECTION:
heise.de.		85043	IN	NS	ns.s.plusline.de.
heise.de.		85043	IN	NS	ns.plusline.de.
heise.de.		85043	IN	NS	ns.heise.de.
heise.de.		85043	IN	NS	ns.pop-hannover.de.
heise.de.		85043	IN	NS	ns2.pop-hannover.net.

;; ADDITIONAL SECTION:
ns.pop-hannover.de.	85043	IN	A	193.98.1.200
ns.s.plusline.de.	85043	IN	A	212.19.40.14
ns.heise.de.		85043	IN	A	193.99.145.37
ns.heise.de.		85043	IN	AAAA	2a00:e68:14:800::d1ce
ns2.pop-hannover.net.	171443	IN	A	62.48.67.66
ns.plusline.de.		85043	IN	A	212.19.48.14

;; Query time: 1 msec
;; SERVER: 10.0.0.27#53(10.0.0.27)
;; WHEN: Do Dez 28 20:58:43 CET 2017
;; MSG SIZE  rcvd: 287

Natürlich kann unser caching-resolver auch DNSsec-Anfragen bearbeiten, dies bedarf keiner gesonderten aufwändigen Konfiguration!

 $ dig @10.0.0.27 sys4.de +dnssec

; <<>> DiG 9.9.4-RedHat-9.9.4-51.el7_4.1 <<>> @10.0.0.27 sys4.de +dnssec
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 57125
;; flags: qr rd ra ad; QUERY: 1, ANSWER: 2, AUTHORITY: 3, ADDITIONAL: 5

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags: do; udp: 4096
;; QUESTION SECTION:
;sys4.de.			IN	A

;; ANSWER SECTION:
sys4.de.		3600	IN	A	194.126.158.154
sys4.de.		3600	IN	RRSIG	A 8 2 3600 20180101183221 20171225211210 44430 sys4.de. YN5f4A3fjghKXy49Nou2ew8pxBC/8P2++NDEpD94WOe7vaqu2TivfW1r dxxomo/6KoonenENnMMzLEUGXIKCZ9bgref+6ihxN1j8CwBes38z+xdS xgaBaIan/P7MTTqADKssjmwoGvLOhHrgi2MWt/QB5idhN6ZpBNdaxY5Y R6A=

;; AUTHORITY SECTION:
sys4.de.		3599	IN	NS	ns.sys4.de.
sys4.de.		3599	IN	NS	ns.schiffbauer.net.
sys4.de.		3599	IN	RRSIG	NS 8 2 3600 20180104123423 20171228151217 44430 sys4.de. wmcNWlp1AbLQbqvMSjN1jTYl7NT+MVSDFEwGUWuAdfc93/PwVmEulRLj LPZ5o8N+Eiv52PVow9D07FjETDUpdirMOjUk55Omq+e+bt5j8TXYxkjH xkvBziyAciQf/77HazZKG2NpI6ASnPa2l3Hrm5KeVcmVVWAwYOlpPmHR WeY=

;; ADDITIONAL SECTION:
ns.sys4.de.		86399	IN	A	194.126.158.143
ns.schiffbauer.net.	172799	IN	A	188.40.110.137
ns.schiffbauer.net.	3599	IN	AAAA	2a01:4f8:221:2c82::2
ns.sys4.de.		3599	IN	RRSIG	A 8 3 3600 20171231181435 20171224191208 44430 sys4.de. h0hEMpr8zmYlrc5NI/yEkP7w6eZrAqRWqCmCnHYMRRT6bCE7TLYbo73A r1/BKK7fV4hdwRwXIeP28Mle9igBqm42m/JessFGzanLo+ckWSRfAx2/ sCrUNzIM+cy0BGTLXg7Pld8r7aouKT83kSwBAuxQr0ZK4S4j1zNWOvrW MbE=

;; Query time: 297 msec
;; SERVER: 10.0.0.27#53(10.0.0.27)
;; WHEN: Do Dez 28 20:38:01 CET 2017
;; MSG SIZE  rcvd: 662

Bei der Installation unseres Nameservers mit Hilfe des RPMs wurde eine Datei mit den 13 ROOT-Nameservern mitgeliefert. Diese Liste ist jedoch nicht statisch und sollte erfahrungsgemäß alle sechs Monate einmal aktualisiert werden.

Wir können uns diese Datei direkt vom FTP-Server der InterNIC laden. Hierzu benutzen wir z.B. folgenden Befehl:

 # wget --user=ftp --password=ftp ftp://ftp.rs.internic.net/domain/db.cache -O /var/named/named.ca

;       This file holds the information on root name servers needed to 
;       initialize cache of Internet domain name servers
;       (e.g. reference this file in the "cache  .  <file>"
;       configuration file of BIND domain name servers). 
; 
;       This file is made available by InterNIC 
;       under anonymous FTP as
;           file                /domain/named.cache 
;           on server           FTP.INTERNIC.NET
;       -OR-                    RS.INTERNIC.NET
; 
;       last update:     November 16, 2017 
;       related version of root zone:     2017111601
; 
; FORMERLY NS.INTERNIC.NET 
;
.                        3600000      NS    A.ROOT-SERVERS.NET.
A.ROOT-SERVERS.NET.      3600000      A     198.41.0.4
A.ROOT-SERVERS.NET.      3600000      AAAA  2001:503:ba3e::2:30
; 
; FORMERLY NS1.ISI.EDU 
;
.                        3600000      NS    B.ROOT-SERVERS.NET.
B.ROOT-SERVERS.NET.      3600000      A     199.9.14.201
B.ROOT-SERVERS.NET.      3600000      AAAA  2001:500:200::b
; 
; FORMERLY C.PSI.NET 
;
.                        3600000      NS    C.ROOT-SERVERS.NET.
C.ROOT-SERVERS.NET.      3600000      A     192.33.4.12
C.ROOT-SERVERS.NET.      3600000      AAAA  2001:500:2::c
; 
; FORMERLY TERP.UMD.EDU 
;
.                        3600000      NS    D.ROOT-SERVERS.NET.
D.ROOT-SERVERS.NET.      3600000      A     199.7.91.13
D.ROOT-SERVERS.NET.      3600000      AAAA  2001:500:2d::d
; 
; FORMERLY NS.NASA.GOV
;
.                        3600000      NS    E.ROOT-SERVERS.NET.
E.ROOT-SERVERS.NET.      3600000      A     192.203.230.10
E.ROOT-SERVERS.NET.      3600000      AAAA  2001:500:a8::e
; 
; FORMERLY NS.ISC.ORG
;
.                        3600000      NS    F.ROOT-SERVERS.NET.
F.ROOT-SERVERS.NET.      3600000      A     192.5.5.241
F.ROOT-SERVERS.NET.      3600000      AAAA  2001:500:2f::f
; 
; FORMERLY NS.NIC.DDN.MIL
;
.                        3600000      NS    G.ROOT-SERVERS.NET.
G.ROOT-SERVERS.NET.      3600000      A     192.112.36.4
G.ROOT-SERVERS.NET.      3600000      AAAA  2001:500:12::d0d
; 
; FORMERLY AOS.ARL.ARMY.MIL
;
.                        3600000      NS    H.ROOT-SERVERS.NET.
H.ROOT-SERVERS.NET.      3600000      A     198.97.190.53
H.ROOT-SERVERS.NET.      3600000      AAAA  2001:500:1::53
; 
; FORMERLY NIC.NORDU.NET
;
.                        3600000      NS    I.ROOT-SERVERS.NET.
I.ROOT-SERVERS.NET.      3600000      A     192.36.148.17
I.ROOT-SERVERS.NET.      3600000      AAAA  2001:7fe::53
; 
; OPERATED BY VERISIGN, INC.
;
.                        3600000      NS    J.ROOT-SERVERS.NET.
J.ROOT-SERVERS.NET.      3600000      A     192.58.128.30
J.ROOT-SERVERS.NET.      3600000      AAAA  2001:503:c27::2:30
; 
; OPERATED BY RIPE NCC
;
.                        3600000      NS    K.ROOT-SERVERS.NET.
K.ROOT-SERVERS.NET.      3600000      A     193.0.14.129
K.ROOT-SERVERS.NET.      3600000      AAAA  2001:7fd::1
; 
; OPERATED BY ICANN
;
.                        3600000      NS    L.ROOT-SERVERS.NET.
L.ROOT-SERVERS.NET.      3600000      A     199.7.83.42
L.ROOT-SERVERS.NET.      3600000      AAAA  2001:500:9f::42
; 
; OPERATED BY WIDE
;
.                        3600000      NS    M.ROOT-SERVERS.NET.
M.ROOT-SERVERS.NET.      3600000      A     202.12.27.33
M.ROOT-SERVERS.NET.      3600000      AAAA  2001:dc3::35

Zum Neueinlesen der Root Hints Daten Datei starten wir den BIND-Daemon einmal durch.

 # systemctl restart named-chroot.service

Alternativ dazu können wir auch die Datei mit Hilfe eines DNS-Lookups aktualisieren.

 # dig +bufsize=1200 +norec NS . @a.root-servers.net > /var/named/named.ca

; <<>> DiG 9.9.4-RedHat-9.9.4-51.el7_4.1 <<>> +bufsize=1200 +norec NS . @a.root-servers.net
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 42016
;; flags: qr aa; QUERY: 1, ANSWER: 13, AUTHORITY: 0, ADDITIONAL: 27
 
;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;.                              IN      NS
 
;; ANSWER SECTION:
.                       518400  IN      NS      e.root-servers.net.
.                       518400  IN      NS      h.root-servers.net.
.                       518400  IN      NS      l.root-servers.net.
.                       518400  IN      NS      i.root-servers.net.
.                       518400  IN      NS      a.root-servers.net.
.                       518400  IN      NS      d.root-servers.net.
.                       518400  IN      NS      c.root-servers.net.
.                       518400  IN      NS      b.root-servers.net.
.                       518400  IN      NS      j.root-servers.net.
.                       518400  IN      NS      k.root-servers.net.
.                       518400  IN      NS      g.root-servers.net.
.                       518400  IN      NS      m.root-servers.net.
.                       518400  IN      NS      f.root-servers.net.
 
;; ADDITIONAL SECTION:
e.root-servers.net.     518400  IN      A       192.203.230.10
e.root-servers.net.     518400  IN      AAAA    2001:500:a8::e
h.root-servers.net.     518400  IN      A       198.97.190.53
h.root-servers.net.     518400  IN      AAAA    2001:500:1::53
l.root-servers.net.     518400  IN      A       199.7.83.42
l.root-servers.net.     518400  IN      AAAA    2001:500:9f::42
i.root-servers.net.     518400  IN      A       192.36.148.17
i.root-servers.net.     518400  IN      AAAA    2001:7fe::53
a.root-servers.net.     518400  IN      A       198.41.0.4
a.root-servers.net.     518400  IN      AAAA    2001:503:ba3e::2:30
d.root-servers.net.     518400  IN      A       199.7.91.13
d.root-servers.net.     518400  IN      AAAA    2001:500:2d::d
c.root-servers.net.     518400  IN      A       192.33.4.12
c.root-servers.net.     518400  IN      AAAA    2001:500:2::c
b.root-servers.net.     518400  IN      A       199.9.14.201
b.root-servers.net.     518400  IN      AAAA    2001:500:200::b
j.root-servers.net.     518400  IN      A       192.58.128.30
j.root-servers.net.     518400  IN      AAAA    2001:503:c27::2:30
k.root-servers.net.     518400  IN      A       193.0.14.129
k.root-servers.net.     518400  IN      AAAA    2001:7fd::1
g.root-servers.net.     518400  IN      A       192.112.36.4
g.root-servers.net.     518400  IN      AAAA    2001:500:12::d0d
m.root-servers.net.     518400  IN      A       202.12.27.33
m.root-servers.net.     518400  IN      AAAA    2001:dc3::35
f.root-servers.net.     518400  IN      A       192.5.5.241
f.root-servers.net.     518400  IN      AAAA    2001:500:2f::f
 
;; Query time: 39 msec
;; SERVER: 198.41.0.4#53(198.41.0.4)
;; WHEN: Fri Dec 29 10:07:19 CET 2017
;; MSG SIZE  rcvd: 811

Auch hier müssen wir natürlich zum Neueinlesen der Datei den Daemon einmal durchstarten.

 # systemctl restart named-chroot.service

Damit wir die Datei nun nicht manuell aktualisieren müssen, werden wir uns einen cronjob anlegen. Wir werden dabei die erste Variante verwenden, da in der heruntergeladenen Datei auch das Aktualisierungsdatum steht, welches wir ggf. später auswerten bzw. überwachen können.

 # vim /root/bin/update-dns-roots

/root/bin/update-dns-roots

#!/bin/bash
# Django : 2017-12-29 - Script zum Aktualisieren des Root Hints Data File
 
/usr/bin/wget --user=ftp --password=ftp ftp://ftp.rs.internic.net/domain/db.cache -O /var/named/named.ca
/usr/bin/systemctl restart named-chroot.service

Anschließen statten wir die Datei noch mit den eXecutable-Rechten aus, damit wir es direkt aufrufen können.

 # chmod +x /root/bin/update-dns-roots

Abschließend tragen wir noch in die crontab ein, dass alle 5 Monate die Datei aktualisiert werden soll.

 # vim /etc/crontab

/etc/crontab

SHELL=/bin/bash
PATH=/sbin:/bin:/usr/sbin:/usr/bin
MAILTO=root
 
# For details see man 4 crontabs
 
# Example of job definition:
# .---------------- minute (0 - 59)
# |  .------------- hour (0 - 23)
# |  |  .---------- day of month (1 - 31)
# |  |  |  .------- month (1 - 12) OR jan,feb,mar,apr ...
# |  |  |  |  .---- day of week (0 - 6) (Sunday=0 or 7) OR sun,mon,tue,wed,thu,fri,sat
# |  |  |  |  |
# *  *  *  *  * user-name  command to be executed
 
# Django : 2017-12-29 - alle fünft Monate Aktualisieren der BIND Root Hints Data File
20 3 * */5 * /root/bin/update-dns-roots >/dev/null 2>&1

In nun folgenden Konfigurationsbeispiel wollen wir einen primären DNS-Server aufsetzen, der folgende zwei Zonen verwalten soll:

• DMZ : Domäne dmz.nausch.org - IP-Netz: 10.0.0.0/24
• INTRA : Domäne intra.nausch.org - IP-Netz: 10.0.10.0/25

Die Clientanfragen aus den beiden Netzen sollen dabei mit Hilfe unterschiedlicher views voneinander getrennt werden, so dass ein Client aus dem Intranet für die gleiche Anfrage wie von einen anderen Client aus der DMZ unterschiedliche Antworten bekommen soll.

• view - INTRA
• view - DMZ

Bevor wir nun die notwendigen Zonen-Dateien für unseren DNS-Server anlegen werden, legen wir uns zunächst eine eigenen Verzeichnis an, in dem wir später dann die Zonen-Dateien ablegen werden.

 # mkdir /var/named/master
 # mkdir /var/named/intra

Anschließend statten wir unser neues Konfigurationsverzeichnis noch mit den nötigen Datei, Benutzer- und Gruppenrechten aus.

 # chown named:named /var/named/master
 # chown named:named /var/named/intra

 # chmod 770 /var/named/master
 # chmod 770 /var/named/intra

Nun können wir für jede Zone in unserem neuen Verzeichnis /var/named/master jeweils die benötigten Dateien anlegen.

• Zone INTRANET
  • Zonen-Datei für die Forward-Auflösung - /var/named/master/intra.nausch.org.zone.db
  • Zonen-Datei für die Reverse-Auflösung - /var/named/master/10.0.10.zone.db - Netz 10.0.10.0/25
• Zone DMZ (für die Anfragen aus der DMZ)
  • Zonen-Datei für die Forward-Auflösung - /var/named/master/dmz.nausch.org.zone.db
  • Zonen-Datei für die Reverse-Auflösung - /var/named/master/0.0.10.zone.db - Netz 10.0.0.0/24
• Zone DMZ (für die Anfragen aus dem Intranet)
  • Zonen-Datei für die Forward-Auflösung - /var/named/intra/dmz.nausch.org.zone.db für die Anfragen aus dem Intranet
  • Zonen-Datei für die Reverse-Auflösung - /var/named/intra/0.0.10.zone.db - Netz 10.0.0.0/24 für die Anfragen aus dem Intranet

Zunächst legen wir uns also die Zonen-Datei für die Forward-Auflösung der Zone INTRANET an.

 # vim /var/named/master/intra.nausch.org.zone.db

/var/named/master/intra.nausch.org.zone.db

$ORIGIN .
$TTL    86400 ; 1 day
intra.nausch.org        IN SOA  ns1.intra.nausch.org. hostmaster.nausch.org. (
                                2017122901 ; serial
                                28800      ; refresh (8 hours)
                                7200       ; retry (2 hours)
                                604800     ; expire (1 week)
                                86400      ; minimum (1 day)
                                )
                        NS      ns1.intra.nausch.org.
                        MX      10 mx1.nausch.org.
$ORIGIN intra.nausch.org.
ns1                     A       10.0.10.27
 
vml010027               A       10.0.10.27
pml010051               A       10.0.10.17
 
$ORIGIN intra.nausch.org.
test                    CNAME   ns1
 
fwi                     CNAME   vml010027
gateway			CNAME	vml010027
proton                  CNAME   pml010051

Zur Prüfung unserer gerade angelegten Zonendatei nutzen wir folgenden Befehl:

 # named-checkzone intra.nausch.org /var/named/master/intra.nausch.org.zone.db

zone intra.nausch.org/IN: loaded serial 2017122901
OK

Nun legen wir für die Reverseauflösung der Zone INTRANET für das IP-Netz 10.0.10.0/25 das zugehörige Zonenfile an.

 # vim /var/named/master/10.0.10.in-addr.arpa.zone.db

/var/named/master/10.0.10.in-addr.arpa.zone.db

$TTL    86400 ; 1 day
@                       IN SOA  ns1.intra.nausch.org. hostmaster.nausch.org. (
                                2017122901 ; serial
                                28800      ; refresh (8 hours)
                                7200       ; retry (2 hours)
                                604800     ; expire (1 week)
                                86400      ; minimum (1 day)
                                )
                        NS      ns1.intra.nausch.org.
                        MX      10 mx1.nausch.org.
 
27      		PTR    	ns1.intra.nausch.org.
51      		PTR    	pml010051.intra.nausch.org.

Wie schon zuvor bei der Zonen-Datei für die Forward-Auflösung checken wir nun auch hier die gerade angelegte Datei auf Tippfehler mit folgenden Befehl:

 # named-checkzone 10.0.10 /var/named/master/10.0.10.in-addr.arpa.zone.db

zone 10.0.10/IN: loaded serial 2017122901
OK

Nachdem wir die Konfiguration der Zone Intranet abgeschlossen haben, werden wir nun als nächstes die Zone DMZ konfigurieren. Als erstes werden wir auch hier das Zonefile für die Forwardauflösung anlegen.

 # vim /var/named/master/dmz.nausch.org.zone.db

/var/named/master/dmz.nausch.org.zone.db

$ORIGIN .
$TTL    86400 ; 1 day
dmz.nausch.org          IN SOA  ns1.dmz.nausch.org. hostmaster.nausch.org. (
				2017122901 ; serial
                                28800      ; refresh (8 hours)
                                7200       ; retry (2 hours)
                                604800     ; expire (1 week)
                                86400      ; minimum (1 day)
                                )
                        NS      ns1.dmz.nausch.org.
                        MX	10 mx1.nausch.org.
$ORIGIN dmz.nausch.org.
ns1			A	10.0.0.27
 
vml000017               A       10.0.0.17
vml000027		A       10.0.0.27
 
$ORIGIN dmz.nausch.org.
test			CNAME	ns1
fwe			CNAME   vml000017
fwi			CNAME   vml000027

Auch hier führen wir den Syntax- und Plausibilitäts-Check durch.

 # named-checkzone dmz.nausch.org /var/named/master/dmz.nausch.org.zone.db

zone dmz.nausch.org/IN: loaded serial 2017122901
OK

Was nun noch fehlt ist das Zonenfile für die Zonendatei für die Reverseauflösung der Zone DMZ.  

 # vim /var/named/master/0.0.10.in-addr.arpa.zone.db

/var/named/master/0.0.10.in-addr.arpa.zone.db

$TTL    86400 ; 1 day
@                       IN SOA  ns1.dmz.nausch.org. hostmaster.nausch.org. (
                                2017122901 ; serial
                                28800      ; refresh (8 hours)
                                7200       ; retry (2 hours)
                                604800     ; expire (1 week)
                                86400      ; minimum (1 day)
                                )
                        NS      ns1.dmz.nausch.org.
                        MX      10 mx1.nausch.org.
 
17                      PTR     vml000017.dmz.nausch.org.
27                      PTR     vml000027.dmz.nausch.org.

Wie schon zuvor bei der Zonen-Datei für die Forward-Auflösung checken wir nun auch hier die gerade angelegte Datei auf Tippfehler mit folgenden Befehl:

 # named-checkzone 0.0.10 /var/named/master/0.0.10.in-addr.arpa.zone.db

zone 0.0.10/IN: loaded serial 2017122901
OK

Nachdem wir die Konfiguration der Zone Intranet abgeschlossen haben, werden wir nun als nächstes die Zone DMZ konfigurieren. Als erstes werden wir auch hier das Zonefile für die Forwardauflösung anlegen.

 # vim /var/named/intra/dmz.nausch.org.zone.db

/var/named/intra/dmz.nausch.org.zone.db

$ORIGIN .
$TTL    86400 ; 1 day
dmz.nausch.org          IN SOA  ns1.dmz.nausch.org. hostmaster.nausch.org. (
				2017122901 ; serial
                                28800      ; refresh (8 hours)
                                7200       ; retry (2 hours)
                                604800     ; expire (1 week)
                                86400      ; minimum (1 day)
                                )
                        NS      ns1.dmz.nausch.org.
                        MX	10 mx1.nausch.org.
$ORIGIN dmz.nausch.org.
ns1			A	10.0.0.27

Auch hier führen wir den Syntax- und Plausibilitäts-Check durch.

 # named-checkzone dmz.nausch.org /var/named/intra/dmz.nausch.org.zone.db

zone dmz.nausch.org/IN: loaded serial 2017122901
OK

Was nun noch fehlt ist das Zonenfile für die Zonendatei für die Reverseauflösung der Zone DMZ.

 # vim /var/named/intra/0.0.10.in-addr.arpa.zone.db

/var/named/intra/0.0.10.in-addr.arpa.zone.db

$TTL    86400 ; 1 day
@                       IN SOA  ns1.dmz.nausch.org. hostmaster.nausch.org. (
                                2017122901 ; serial
                                28800      ; refresh (8 hours)
                                7200       ; retry (2 hours)
                                604800     ; expire (1 week)
                                86400      ; minimum (1 day)
                                )
                        NS      ns1.dmz.nausch.org.
                        MX      10 mx1.nausch.org.
 
27                      PTR     ns1.dmz.nausch.org.

Wie schon zuvor bei der Zonen-Datei für die Forward-Auflösung checken wir nun auch hier die gerade angelegte Datei auf Tippfehler mit folgenden Befehl:

 # named-checkzone 0.0.10 /var/named/intra/0.0.10.in-addr.arpa.zone.db

zone 0.0.10/IN: loaded serial 2017122901
OK

Für unser Konfigurationsbeispiel legen wir uns nun eine eigene individuelle Konfigurationsdatei an, die all unsere Anwendungsfälle abdeckt. Die enizelnen Optionen sind in der Konfigurationsdatei /etc/named.conf ausführlich beschrieben.

 # vim /etc/named.conf

/etc/named.conf

/* ****************************** named.conf ****************************** */
 
// ISC Bind Konfigurationsdatei auf Basis der Beispiels-Konfigurationsdatei
//       /usr/share/doc/bind*/sample/ aus dem zugehörigen RPM-Paket
// Konfig-Beschreibung: https://dokuwiki.nausch.org/doku.php/centos:bind_c7
 
/* ********** Variablendefinition für die unterschiedlichen ACLs ********** */
acl dmz        { 
		10.0.0.0/24;
};
 
acl intra      {
		10.0.10.0/25;
};
 
acl primary    { 
		10.0.0.27/32;
};
 
acl interfaces { 
		10.0.0.27/32;
		10.0.10.27/32;
};
 
 
/* *********************** rndc Schlüsseldefinition *********************** */
include "/etc/rndc_local.key";
 
 
/* *********************** rndc Control-Definition ************************ */
controls {
        inet 127.0.0.1 port 953
        allow { 127.0.0.1; } keys { "rndc-key"; };
};
 
 
/* ***************** Definition der allgemeinen Optionen ****************** */
options {
	// Arbeitsverzeichnis des Servers 
	directory "/var/named";
 
	// Das Verzeichnis, in dem sich die öffentlichen und privaten 
	// DNSSEC-Schlüsseldateien befinden sollen. 
	key-directory "/var/named";
 
	// Das Verzeichnis, in dem die Dateien gespeichert werden, welche 
	// die verwalteten DNSSEC-Schlüssel verfolgen.
	managed-keys-directory "/var/named/dynamic";
 
	// Pfadname der Datei, um die eingebauten vertrauenswürdigen Schlüssel 
	// von named zu überschreiben. Pfad zum ISC DLV Schlüssel.
	bindkeys-file "/etc/named.iscdlv.key";
 
        // Der Pfadname der Datei, in die ein TSIG-Sitzungsschlüssel geschrieben 
        // werden soll, der mit named für die Verwendung durch nsupdate -l 
        // erzeugt wurde.
        session-keyfile "/run/named/session.key";
 
	// Der Pfadname der Datei, auf die der Server die security roots 
	// schreibt, wenn er hierzu angewiesen wird.
	secroots-file "/var/named/data/named_secroots.db";
 
	// Der Pfadname der Datei, auf die der Server die Datenbank übergibt, 
	// wenn er angewiesen wird.
	dump-file "/var/named/data/cache_dump.db";
 
	// Der Pfadname der Datei, an die der Server Statistiken anhängt, 
	// wenn er Server hierzu angewiesen wird.
	statistics-file "/var/named/data/named_stats.txt";
 
	// Der Pfadname der Datei, in die der Server beim Beenden die 
	// Speicherverbrauchsstatistik schreibt.
	memstatistics-file "/var/named/data/named_mem_stats.txt";
 
	// Pfadname der Datei, in die der Server Abfragen, die gerade 
	// wiederkehren, ausgibt, wenn er dazu angewiesen wird.
	recursing-file "/var/named/data/named_recursing.db";
 
	// Pfadname der Datei, in die der Server seine Prozess-ID schreibt.
	pid-file "/run/named/named.pid";
 
	// Wird folgender Parameter auf "yes" gesetzt, dann fügt der Server 
	// bei der Generierung von Antworten nur dann Datensätze zur authority
	// und additional data sections hinzu, wenn sie benötigt werden.
	minimal-responses no;
 
	/* Wird folgender Parameter auf "yes" gesetzt, dann wird der Server
	   versuchen bei einer rekursiven DNS-Abfrage, alles versuchen um die
	   Anfrage bestmöglich abzuarbeiten. Ist die Rekursion ausgeschaltet 
	   ist und der Server die Antwort noch nicht kennt, gibt er eine 
	   referral response (Empfehlungsantwort) zurück. 
	   Die Default-Einstellung ist "yes". 
	   Wichtig: Das Setzen der Rekursions-Option auf "no" verhindert nicht,
	   dass Clients Daten aus dem Server-Cache beziehen; es verhindert nur, 
	   dass neue Daten als Folge von Client-Abfragen zwischengespeichert werden.
 
	   Sofern der rekursiver DNS-Server über eine öffentliche IP-Adresse 
	   verfügt, MUSS zwingend eine Zugriffskontrolle aktiviert werden, um 
	   Abfragen auf die legitimen Benutzer zu beschränken!
	   Nichtbeachtung kann zu Folgen haben, dass sonst der Server ein Teil 
	   von groß angelegten DNS-Amplifikations-Angriffen werden könnte.
	   Die Implementierung von BCP38 in Ihrem Netzwerk würde diese 
	   Angriffsfläche erheblich reduzieren!
	 */
	recursion yes;
 
	// DNSsec-Support aktivieren
	dnssec-enable yes;
 
	/* DNSsec-Validierung aktivieren und mit den Root-Zertificaten abgleichen.
	   "yes" = DNSSEC-Validierung ist aktiviert, aber ein Vertrauensanker muss 
		   manuell konfiguriert werden. Eine Validierung findet erst dann 
		   statt, wenn mindestens einen vertrauenswürdigen Schlüssel 
		   manuell konfiguriert haben. Dies ist die Voreinstellung.
	   "no"  = Die DNSSEC-Validierung ist deaktiviert, und rekursive Server 
		   verhalten sich in der "altmodischen" Art und Weise, unsichere 
		   DNS-Lookups durchzuführen.
	   "auto"= Die DNSSEC-Validierung ist aktiviert, und es wird ein 
		   Standard-Trust-Anker (als Teil von BIND enthalten) für die 
		   DNS-Rootzone verwendet.
	 */
	dnssec-validation auto;
 
	/* Wird diese option gesetzt, stellt dnssec-lookaside dem validator eine 
	   alternative Methode zur Verfügung, um DNSKEY-Einträge bei Start einer
	   Zone (top of a zone) zu validieren. Wenn dnssec-lookaside auf auto 
	   gesetzt ist, dann werden die eingebauten Standardwerte für die 
	   DLV-Domäne und den Vertrauensanker verwendet, zusammen mit einem 
	   eingebauten Schlüssel für die Validierung.
	 */
	dnssec-lookaside auto;
 
	// Diese Option wird verwendet, um den Zeichensatz und die Syntax 
	// bestimmter Domänennamen in Masterdateien und/oder DNS-Antworten, 
	// die vom Netzwerk empfangen werden, einzuschränken.
	check-names master warn;
 
	// Gibt an, welche Hosts diesen Server, einen Slave, zusätzlich zu den 
	// Zonen-Mastern über Zonenänderungen benachrichtigen dürfen. 
        allow-notify { 127.0.0.1; };
 
        // Definiert, welche Hosts gewöhnliche DNS-Fragen stellen dürfen.
        allow-query { ::1; 127.0.0.1; dmz; intra; };
 
        // Legt fest, welche Hosts rekursive Abfragen über diesen Server 
	// durchführen dürfen.
        allow-recursion { ::1; 127.0.0.1; dmz; intra; };
 
        // Gibt an, welche Hosts Zonentransfers vom Server empfangen dürfen.
        allow-transfer { 127.0.0.1; primary; };
 
	// Gibt eine Liste von Adressen an, von denen der Server keine Anfragen 
	// annimmt oder die zur Lösung einer Anfrage verwendet werden. Anfragen 
	// von diesen Adressen werden nicht beantwortet.
        blackhole { none; };
 
	// Die Schnittstellen und Ports, von denen der Server Anfragen 
	// beantwortet, können mit der Listen-On-Option angegeben werden.
	listen-on port 53 { 127.0.0.1; interfaces; };
	listen-on-v6 port 53 { ::1; };
 
	// Sofern der Server die Antwort auf eine Frage nicht kennt, fragt er 
	// andere Nameserver ab. query-source gibt die Adresse und den Port an, 
	// die für solche Abfragen verwendet werden.
        query-source address * port *;
 
	// Maximale Größe eines Core Dump
	coresize default;
 
	// Maximale Größe an RAM, die der Server verbrauchen darf.
	datasize default;
 
	// Maximale Anzahl von geöffneten Dateien.
        files unlimited;
 
        // Maximale Menge an Stack-Speicher, die der Server verwenden darf.
        stacksize default;
 
	// Maximale Größe jeder Journaldatei fest. 
	// (default ist unbegrenzt, was auch 2 Gigabyte bedeutet)
        max-journal-size unlimited;
 
	// Maximale Anzahl gleichzeitiger rekursiver Suchvorgänge, die der Server
	// für Clients durchführt. Der Standardwert ist 1000.
        recursive-clients 1000;
 
	// Maximale Anzahl gleichzeitiger TCP Verbindungen die der Server von 
	// Clients akzeptiert. Der Standardwert ist 100.
        tcp-clients 100;
 
	/* Maximale Menge an Arbeitsspeicher (in Bytes), die für den Server-Cache 
	   verwendet werden kann. Ein Wert von 0 ist speziell, d.h. Datensätze 
	   werden nur aus dem Cache gelöscht, wenn ihre TTLs ablaufen ist. Ein 
	   weiteres spezielles Schlüsselwort unlimited bedeutet den maximalen Wert
	   von 32-Bit-Ganzzahlen ohne Vorzeichen (0xffffffffffff), die haben nicht
	   den gleichen Effekt wie 0 auf Maschinen, die mehr als 32 Bit unterstützen.
           Alle positiven Werte kleiner als 2MB werden ignoriert und auf 2MB gesetzt.
           Bei einem Server mit mehreren Views gilt die Begrenzung separat für
         den Cache der einzelnen Views. Der Standardwert ist 0.
	 */
        max-cache-size 0;
 
	/* List Queue Depth: Die Standardeinstellung und das Minimum ist 10. Sofern
	   der Kernel Accept-Filter-Verbindungen unterstützt, werden die Daten im
	   Kernel-Space gehalten und gewartet bevor die Anfrage weiterverarbeitet
	   wird. Werte ungleich 0 unter 10 werden stillschweigend erhöht. 
	   ein Wert von 0 kann gesetzt werden und definiert auf den meisten 
	   Plattformen, dass die Länge der Listen-Warteschlange auf einen 
           systembedingter Standardwert gesetzt wird.
	 */
	tcp-listen-queue 10;
 
	/* Der Server scannt die Liste der Netzwerkschnittstellen in regelmäßigen
	   Abständen (Minuten). Die Standardeinstellung ist 60 Minuten. Der 
	   Maximalwert beträgt 28 Tage (40320 Minuten). Wird der wert auf 0 gesetzt,
	   erfolgt die Überprüfung der Schnittstelle nur dann, wenn die 
	   Konfigurationsdatei geladen wird. Nach dem Scan beginnt der Server mit 
	   dem Abhören von Abfragen auf neu entdeckte Interfaces (vorausgesetzt, sie 
	   sind durch die Listen-On-Konfiguration erlaubt) und hört auf, auf nicht 
	   mehr vorhandene Interfaces zu hören.
	 */
	interface-interval 0;
 
	/* Definiert die Zeit in Sekunden, in denen eine lahme Serveranzeige 
	   zwischengespeichert wird. 0 deaktiviert das Caching. (Dies wird NICHT 
	   empfohlen!) Der Standardwert ist 600 (10 Minuten) und der Maximalwert 
	   ist 1800 (30 Minuten).
	 */
        lame-ttl 600;
 
	/* Um den Netzwerkverkehr zu reduzieren und die Leistung zu erhöhen, 
	   speichert der Server negative Antworten. max-ncache-ttl wird verwendet, 
	   um eine maximale Aufbewahrungszeit für diese Antworten im Server in 
	   Sekunden festzulegen. Die Standardeinstellung von max-ncache-ttl ist 
	   10800 Sekunden (3 Stunden). max-ncache-ttl kann nicht länger als 7 Tage 
	   dauern und wird stillschweigend auf 7 Tage gekürzt, sollte er auf einen 
	   größeren Wert gesetzt werden!
	 */
        max-ncache-ttl 10800;
 
	/* Legt die maximale Zeit fest, für die der Server gewöhnliche (positive) 
	   Antworten zwischenspeichert. Der Standardwert ist eine Woche (7 Tage). 
	   Ein Wert von Null kann dazu führen, dass alle Abfragen SERVFAIL 
	   zurückgeben, da im Auflösungsprozess verloren gegangene Caches von 
	   Zwischen-RRsets (z.B. NS und glue AAAA/A-Records) verloren gehen!
	 */
        max-cache-ttl 604800;
 
	 /* Definiert die Größe des angebotenen EDNS UDP-Puffers (in Bytes), um 
	    die Größe der empfangenen Pakete zu kontrollieren. Gültige Werte sind 
	    512 bis 4096 (Werte außerhalb dieses Bereichs werden stillschweigend 
	    angepasst). Der Standardwert ist 4096. Der übliche Grund für das 
	    Setzen von edns-udp-size auf einen nicht standardmäßigen Wert ist es, 
	    UDP-Antworten zu erhalten, um durch gebrochene Firewalls zu gehen, die 
	    fragmentierte Pakete blockieren und/oder UDP-Pakete blockieren, die 
	    größer als 512 Bytes sind. named wird auf die Verwendung von 512 Bytes 
	    zurückgreifen, wenn es eine Reihe von Zeitüberschreitungen beim 
	    Anfangswert erhält. 512 Bytes werden nicht angeboten, um Websites zu 
	    ermutigen, ihre Firewalls zu reparieren. Kleine EDNS UDP-Größen führen 
	    zu einer übermäßigen Nutzung von TCP. 
	  */
	edns-udp-size 4096;
 
	/* Legt die maximale EDNS UDP-Nachrichtengröße fest, die in Bytes gesendet 
	   wird. Gültige Werte sind 512 bis 4096 (Werte außerhalb dieses Bereichs 
	   werden stillschweigend angepasst). Der Standardwert ist 4096. Der 
	   übliche Grund für das Setzen von max-udp-size auf einen nicht 
	   standardmäßigen Wert ist es, UDP-Antworten zu erhalten, um durch defekte 
	   Firewalls zu gehen, die fragmentierte Pakete blockieren und/oder 
	   UDP-Pakete blockieren, die größer als 512 Bytes sind. Dies ist unabhängig
	   vom beworbenen Empfangspuffer (edns-udp-size). Wird dieser Wert auf einen 
	   niedrigen Wert gesetzt, wird zusätzlicher TCP-Verkehr zum Nameserver 
	   erzeugt!
	 */
        max-udp-size 4096;
 
	/* Definiert den Anfangswert (Minimum) der Anzahl rekursiver gleichzeitiger 
	   Clients für eine beliebige Abfrage (<qname,qtype,qclass>) fest, die der 
	   Server akzeptiert, bevor er weitere Clients ignorieren wird. Named wird 
	   versuchen, diesen Wert selbst zu tunen und Änderungen werden 
	   protokolliert. Der Standardwerte ist 10.
	 */
        clients-per-query 10;
 
	/* Definiert den Anfangswert (Maximum) der Anzahl rekursiver gleichzeitiger 
	   Clients für eine beliebige Abfrage (<qname,qtype,qclass>) fest, die der 
	   Server akzeptiert, bevor er neue Client-Verbindungen anlehnen wird.
	   Named wird versuchen, diesen Wert selbst zu tunen und Änderungen werden 
	   protokolliert. Die Standardeinstellung ist 100.
	 */ 
        max-clients-per-query 100;
 
	/* Festlegung der Angaben (Version), die der Server über eine Abfrage des 
	   Namens version.bind mit dem Typ TXT, Klasse CHAOS, melden soll. Der
	   Default-Wert ist die reale Versionsnummer des Servers. Durch die Angabe 
	   der Version none wird die Verarbeitung der Abfragen deaktiviert.
	 */
	version "DNS - nausch.org";
 
	/* Der Hostname, den der Server über eine Abfrage des Namens hostname.bind 
	   mit dem Typ TXT, Klasse CHAOS, melden soll. Dies ist standardmäßig der 
	   Hostname des Rechners, auf dem sich der Name-Server befindet, wie er von
	   der Funktion gethostname() gefunden wird. Die ID, die der Server beim 
	   Empfang einer NSID-Abfrage (Name Server Identifier) oder einer Abfrage 
	   des Namens ID.SERVER vom Typ TXT, Klasse CHAOS, melden soll. Der primäre 
	   Zweck solcher Abfragen ist es, herauszufinden, welcher einer Gruppe von 
	   Anycast-Servern Ihre Anfragen tatsächlich beantwortet. 
	   Angabe von server-id none; deaktiviert die Verarbeitung der Abfragen. 
	   Die Angabe von server-id hostname; bewirkt, dass named den Hostnamen 
	   verwendet, wie er durch die Funktion gethostname() gefunden wurde. 
	   Der Standardwert ist none.
	 */
        server-id none;
};
 
/* ******************* Definition der Logging-Parameter ******************* */
logging {
 
        // Definition der unterschiedlichen Kanäle
 
        // Standard-Startmeldungen
        channel default_debug {
                file "data/named.run";
                severity dynamic;
                print-category yes;
                print-severity yes;
                print-time yes;
        };
        // Genehmigung und Ablehnung von DNS-Anfragen
        channel custom_security {
                file "data/named.security";
                severity info;
                print-category yes;
                print-severity yes;
                print-time yes;
        };
        // Lame servers. Dabei handelt es sich um Fehlkonfigurationen bei
        // Remote-Servern, die von BIND 9 entdeckt wurden, als dieser
        // versuchte, diese Server während der Auflösung abzufragen.
        channel custom_lame-servers {
                file "data/named.lame-servers";
                severity info;
                print-category yes;
                print-severity yes;
                print-time yes;
        };
 
        // Definition der beiden Kathegorien security und lame-servers
 
        category security {
                custom_security;
                default_syslog;
                default_debug;
        };
        category lame-servers {
                custom_lame-servers ;
                default_syslog;
                default_debug;
        };
};
 
/* ******************** Definition der Views and Zones ******************** */
/*
                                WICHTIG:
                                ========
 
           Die Reihenfolge der View-Anweisungen ist signifikant. 
           Eine Client-Anfrage wird im Kontext der ersten Ansicht 
                      beantwortet, zu der sie passt!
 */
view "intra" IN {
        // Ist der Anfragende Client aus dem Netz 10.0.10.0/25 (Intranet)?
        match-clients { intra; };
 
        /* ACHTUNG: Eine Zone kann entweder durch Bearbeiten von Zonendateien 
                    und Neuladen des Servers oder durch dynamisches Update 
		    aktualisiert werden, aber NIEMALS durch beides! 
		    Ist die dynamische Aktualisierung für eine Zone mit der 
		    Option "allow-update" aktiviert, darf KEINENFALLS die 
		    Zonendatei manuell bearbeitet werden! Der Server würde 
		    dann nicht mehr versuchen, die Informationen zur Zone
		    aus der Datei zu laden!
	 */
 
        // Zone: root server
        zone "." IN {
                type hint;
                file "named.ca";
        };
 
        // Zone: localhost
        include "/etc/named.rfc1912.zones";
 
        // Zone: intra.nausch.org (forward)
        zone "intra.nausch.org" IN {
                type master;
                file "master/intra.nausch.org.zone.db";
        };
 
        // Zone: intra.nausch.org (reverse)
        zone "10.0.10.in-addr.arpa" IN {
                type master;
                file "master/10.0.10.in-addr.arpa.zone.db";
        };
 
        // Zone: dmz.nausch.org   (forward)
        zone "dmz.nausch.org" IN {
                type master;
                file "intra/dmz.nausch.org.zone.db";
        };
 
        // Zone: dmz.nausch.org   (reverse)
        zone "0.0.10.in-addr.arpa" IN {
                type master;
                file "intra/0.0.10.in-addr.arpa.zone.db";
        };
 
};
 
view "dmz" IN {
        // Ist der Anfragende Client aus dem Netz 10.0.0.0/24 (DMZ)?
        match-clients { localhost; dmz; };
 
        /* ACHTUNG: Eine Zone kann entweder durch Bearbeiten von Zonendateien 
                    und Neuladen des Servers oder durch dynamisches Update 
                    aktualisiert werden, aber NIEMALS durch beides! 
                    Ist die dynamische Aktualisierung für eine Zone mit der 
                    Option "allow-update" aktiviert, darf KEINENFALLS die 
                    Zonendatei manuell bearbeitet werden! Der Server würde 
                    dann nicht mehr versuchen, die Informationen zur Zone
                    aus der Datei zu laden!
         */
 
        // Zone: root server
        zone "." IN {
                type hint;
                file "named.ca";
        };
 
        // Zone: localhost
        include "/etc/named.rfc1912.zones";
 
        // Zone: intra.nausch.org (forward)
        zone "intra.nausch.org" IN {
                type master;
                file "master/intra.nausch.org.zone.db";
        };
 
        // Zone: intra.nausch.org (reverse)
        zone "10.0.10.in-addr.arpa" IN {
                type master;
                file "master/10.0.10.in-addr.arpa.zone.db";
        };
 
        // Zone: dmz.nausch.org   (forward)
        zone "dmz.nausch.org" IN {
                type master;
                file "master/dmz.nausch.org.zone.db";
        };
 
        // Zone: dmz.nausch.org   (reverse)
        zone "0.0.10.in-addr.arpa" IN {
                type master;
                file "master/0.0.10.in-addr.arpa.zone.db";
        };
};
 
 
/* *************************** sonstige includes ************************** */
include "/etc/named.root.key";

Bevor wir zur Aktivierung unserer Konfiguration nun den Nameserver einmal durchstarten überprüfen wir noch, ob sich kein Schreibfehler oder sonstiger Konfigurationsfehler eingeschlichen hat.

 # named-checkconf

Geben wir beim Aufruf des Befehls named-checkconf die Option -p an, wird uns die (aufgelöste) Konfiguration ohne die ganzen Kommentare ausgegeben.

 # named-checkconf -p

options {
	bindkeys-file "/etc/named.iscdlv.key";
	blackhole {
		"none";
	};
	coresize default;
	datasize default;
	session-keyfile "/run/named/session.key";
	directory "/var/named";
	dump-file "/var/named/data/cache_dump.db";
	files unlimited;
	interface-interval 0;
	listen-on port 53 {
		127.0.0.1/32;
		"interfaces";
	};
	listen-on-v6 port 53 {
		::1/128;
	};
	managed-keys-directory "/var/named/dynamic";
	memstatistics-file "/var/named/data/named_mem_stats.txt";
	pid-file "/run/named/named.pid";
	recursing-file "/var/named/data/named_recursing.db";
	recursive-clients 1000;
	secroots-file "/var/named/data/named_secroots.db";
	server-id none;
	stacksize default;
	statistics-file "/var/named/data/named_stats.txt";
	tcp-clients 100;
	tcp-listen-queue 10;
	version "DNS - nausch.org";
	allow-recursion {
		::1/128;
		127.0.0.1/32;
		"dmz";
		"intra";
	};
	check-names master warn;
	clients-per-query 10;
	dnssec-enable yes;
	dnssec-lookaside auto;
	dnssec-validation auto;
	edns-udp-size 4096;
	lame-ttl 600;
	max-cache-size 0;
	max-cache-ttl 604800;
	max-clients-per-query 100;
	max-ncache-ttl 10800;
	max-udp-size 4096;
	minimal-responses no;
	query-source address 0.0.0.0 port 0;
	recursion yes;
	allow-notify {
		127.0.0.1/32;
	};
	allow-query {
		::1/128;
		127.0.0.1/32;
		"dmz";
		"intra";
	};
	allow-transfer {
		127.0.0.1/32;
		"primary";
	};
	key-directory "/var/named";
	max-journal-size unlimited;
};
controls {
	inet 127.0.0.1 port 953 allow {
		127.0.0.1/32;
	} keys {
		"rndc-key";
	};
};
acl "dmz" {
	10.0.0.0/24;
};
acl "intra" {
	10.0.10.0/25;
};
acl "primary" {
	10.0.0.27/32;
};
acl "interfaces" {
	10.0.0.27/32;
	10.0.10.27/32;
};
logging {
	channel "default_debug" {
		file "data/named.run";
		severity dynamic;
		print-time yes;
		print-severity yes;
		print-category yes;
	};
	channel "custom_security" {
		file "data/named.security";
		severity info;
		print-time yes;
		print-severity yes;
		print-category yes;
	};
	channel "custom_lame-servers" {
		file "data/named.lame-servers";
		severity info;
		print-time yes;
		print-severity yes;
		print-category yes;
	};
	category "security" {
		"custom_security";
		"default_syslog";
		"default_debug";
	};
	category "lame-servers" {
		"custom_lame-servers";
		"default_syslog";
		"default_debug";
	};
};
view "intra" IN {
	match-clients {
		"intra";
	};
	zone "." IN {
		type hint;
		file "named.ca";
	};
	zone "localhost.localdomain" IN {
		type master;
		file "named.localhost";
		allow-update {
			"none";
		};
	};
	zone "localhost" IN {
		type master;
		file "named.localhost";
		allow-update {
			"none";
		};
	};
	zone "1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa" IN {
		type master;
		file "named.loopback";
		allow-update {
			"none";
		};
	};
	zone "1.0.0.127.in-addr.arpa" IN {
		type master;
		file "named.loopback";
		allow-update {
			"none";
		};
	};
	zone "0.in-addr.arpa" IN {
		type master;
		file "named.empty";
		allow-update {
			"none";
		};
	};
	zone "intra.nausch.org" IN {
		type master;
		file "master/intra.nausch.org.zone.db";
	};
	zone "10.0.10.in-addr.arpa" IN {
		type master;
		file "master/10.0.10.in-addr.arpa.zone.db";
	};
	zone "dmz.nausch.org" IN {
		type master;
		file "intra/dmz.nausch.org.zone.db";
	};
	zone "0.0.10.in-addr.arpa" IN {
		type master;
		file "intra/0.0.10.in-addr.arpa.zone.db";
	};
};
view "dmz" IN {
	match-clients {
		"localhost";
		"dmz";
	};
	zone "." IN {
		type hint;
		file "named.ca";
	};
	zone "localhost.localdomain" IN {
		type master;
		file "named.localhost";
		allow-update {
			"none";
		};
	};
	zone "localhost" IN {
		type master;
		file "named.localhost";
		allow-update {
			"none";
		};
	};
	zone "1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa" IN {
		type master;
		file "named.loopback";
		allow-update {
			"none";
		};
	};
	zone "1.0.0.127.in-addr.arpa" IN {
		type master;
		file "named.loopback";
		allow-update {
			"none";
		};
	};
	zone "0.in-addr.arpa" IN {
		type master;
		file "named.empty";
		allow-update {
			"none";
		};
	};
	zone "intra.nausch.org" IN {
		type master;
		file "master/intra.nausch.org.zone.db";
	};
	zone "10.0.10.in-addr.arpa" IN {
		type master;
		file "master/10.0.10.in-addr.arpa.zone.db";
	};
	zone "dmz.nausch.org" IN {
		type master;
		file "master/dmz.nausch.org.zone.db";
	};
	zone "0.0.10.in-addr.arpa" IN {
		type master;
		file "master/0.0.10.in-addr.arpa.zone.db";
	};
};
key "rndc-key" {
	algorithm "hmac-md5";
	secret "TLtbjaRq8ci9RivwIseG42qAL88Vt05UESRrOtT4Kh2oUvU81tosVmHQWeX488lbuVxYfdpKZMD7d76Q6jyCJw==";
};
managed-keys {
	"." initial-key 257 3 8 "AwEAAagAIKlVZrpC6Ia7gEzahOR+9W29euxhJhVVLOyQbSEW0O8gcCjF FVQUTf6v58fLjwBd0YI0EzrAcQqBGCzh/RStIoO8g0NfnfL2MTJRkxoX bfDaUeVPQuYEhg37NZWAJQ9VnMVDxP/VHL496M/QZxkjf5/Efucp2gaD X6RS6CXpoY68LsvPVjR0ZSwzz1apAzvN9dlzEheX7ICJBBtuA6G3LQpz W5hOA2hzCTMjJPJ8LbqF6dsV6DoBQzgul0sGIcGOYl7OyQdXfZ57relS Qageu+ipAdTTJ25AsRTAoub8ONGcLmqrAmRLKBP1dfwhYB4N7knNnulq QxA+Uk1ihz0=";
	"." initial-key 257 3 8 "AwEAAaz/tAm8yTn4Mfeh5eyI96WSVexTBAvkMgJzkKTOiW1vkIbzxeF3 +/4RgWOq7HrxRixHlFlExOLAJr5emLvN7SWXgnLh4+B5xQlNVz8Og8kv ArMtNROxVQuCaSnIDdD5LKyWbRd2n9WGe2R8PzgCmr3EgVLrjyBxWezF 0jLHwVN8efS3rCj/EWgvIWgb9tarpVUDK/b58Da+sqqls3eNbuv7pr+e oZG+SrDK6nWeL3c6H5Apxz7LjVc1uTIdsIXxuOLYA4/ilBmSVIzuDWfd RUfhHdY6+cn8HFRm+2hM8AnXGXws9555KrUB5qihylGa8subX2Nn6UwN R1AkUTV74bU=";
};

Da mit der zuvor erstellten Konfiguration unseres Servers alles in Ordnung war, spricht nun nichts mehr dagegen, zur Aktivierung unserer Konfiguration den Daemon einmal durchzustarten.

 # systemctl restart named-chroot.service

Den Status des laufenden Daemon fragen wir wie gewohnt wie folgt ab.

 # systemctl status named-chroot.service

● named-chroot.service - Berkeley Internet Name Domain (DNS)
   Loaded: loaded (/usr/lib/systemd/system/named-chroot.service; enabled; vendor preset: disabled)
   Active: active (running) since Sat 2017-12-30 18:38:53 CET; 13s ago
  Process: 13221 ExecStop=/bin/sh -c /usr/sbin/rndc stop > /dev/null 2>&1 || /bin/kill -TERM $MAINPID (code=exited, status=0/SUCCESS)
  Process: 13324 ExecStart=/usr/sbin/named -u named -c ${NAMEDCONF} -t /var/named/chroot $OPTIONS (code=exited, status=0/SUCCESS)
  Process: 13322 ExecStartPre=/bin/bash -c if [ ! "$DISABLE_ZONE_CHECKING" == "yes" ]; then /usr/sbin/named-checkconf -t /var/named/chroot -z "$NAMEDCONF"; else echo "Checking of zone files is disabled"; fi (code=exited, status=0/SUCCESS)
 Main PID: 13327 (named)
   CGroup: /system.slice/named-chroot.service
           └─13327 /usr/sbin/named -u named -c /etc/named.conf -t /var/named/chroot

Dec 30 18:38:53 vml000027.dmz.nausch.org named[13327]: automatic empty zone: view dmz: B.E.F.IP6.ARPA
Dec 30 18:38:53 vml000027.dmz.nausch.org named[13327]: automatic empty zone: view dmz: 8.B.D.0.1.0.0.2.IP6.ARPA
Dec 30 18:38:53 vml000027.dmz.nausch.org named[13327]: command channel listening on 127.0.0.1#953
Dec 30 18:38:53 vml000027.dmz.nausch.org named[13327]: managed-keys-zone/intra: loaded serial 0
Dec 30 18:38:53 vml000027.dmz.nausch.org named[13327]: managed-keys-zone/dmz: loaded serial 0
Dec 30 18:38:53 vml000027.dmz.nausch.org named[13327]: zone 0.in-addr.arpa/IN/intra: loaded serial 0
Dec 30 18:38:53 vml000027.dmz.nausch.org named[13327]: zone 10.0.10.in-addr.arpa/IN/intra: loaded serial 2017122901
Dec 30 18:38:53 vml000027.dmz.nausch.org named[13327]: zone 1.0.0.127.in-addr.arpa/IN/intra: loaded serial 0
Dec 30 18:38:53 vml000027.dmz.nausch.org named[13327]: zone intra.nausch.org/IN/intra: loaded serial 2017122901
Dec 30 18:38:53 vml000027.dmz.nausch.org systemd[1]: Started Berkeley Internet Name Domain (DNS).

 # rndc status

version: 9.9.4-RedHat-9.9.4-51.el7_4.1 (DNS - nausch.org) <id:8f9657aa>
CPUs found: 1
worker threads: 1
UDP listeners per interface: 1
number of zones: 208
debug level: 0
xfers running: 0
xfers deferred: 0
soa queries in progress: 0
query logging is OFF
recursive clients: 0/0/1000
tcp clients: 0/100
server is up and running