Atelier Administration des services réseaux 2020-2021

Configuration d'un serveur DNS récursif

(serveur DNS Cache)

Objectif du TP :

 Exploiter un serveur DNS en tant que serveur récursif

***********

On veut maintenant configurer votre serveur DNS (vu au TP1) en tant que serveur
récursif pour des résolutions de noms sur internet.
Pour cela il faut s'assurer d'abord que la machine serveur a accès à Internet.

1. Configurer le serveur DNS récursif

Par défaut, votre serveur DNS bind n’est pas capable de résoudre un nom DNS
accessibles sur internet comme www.google.com (car il n’est pas renseigné dans la
configuration). Si vos machines locales utilisent votre DNS local, les machines
n’auront pas d’accès internet.

C’est ici qu’intervient le serveur DNS récursif ( dit aussi serveur cache).

Un serveur DNS récursif interroge tour à tour un (ou plusieurs) autre(s) serveur(s)
DNS, pour résoudre un nom quand il ne le peut pas lui-même. Cette fonctionnalité
est utile si l’on souhaite utiliser son serveur DNS local dans la configuration de nos
machines tout en ayant accès à internet.

 Éditez le fichier named.conf.options :

Ce fichier contient l’ensemble des options de configuration du serveur DNS.

 Repérez la ligne suivante :

dnssec-validation auto;

DNSSEC est une extension du DNS, il ajoute des mécanismes de cryptographie

asymétrique pour authentifier les échanges; il permet une validation plus stricte des
interactions entre les différents composants de l'architecture DNS (les
enregistrements DNS sont signés).

Une multitude d'options existe ; en voici quelques unes :

 recursion yes | no;

Sana HAOUAS Page 1

Atelier Administration des services réseaux 2020-2021

=>Le DNS est autorisé à faire ou pas de la résolution récursive.

 Forwarders {adresse_ip1; ...,;}
=> adresses IP correspondant aux serveurs de noms vers lesquels les requêtes
seront envoyées pour la résolution des requêtes que notre serveur ne sait pas
résoudre.
 forward ( first | only );
=> first : les serveurs de noms spécifiés dans la directive forwarders sont interrogés
en premier puis en cas d'echec named tentera de résoudre le nom lui-même.
only : seul le serveur de noms spécifié dans la directive forwarders sera interrogé ;
en cas d'échec named ne tentera pas d'effectuer cette résolution.

 Ajoutez les lignes suivantes dans la partie options { }; :

// Renseignez la ou les adresses des serveurs DNS que votre

// serveur interrogera, les uns en dessous des d'autres, séparés par
// un ;
forwarders {
8.8.8.8;
// IPServeurDNS2;
// ...
};

// Précisez ici si votre serveur DNS est autorisé à faire ou pas de

// la résolution récursive
recursion yes;

// Indique que le serveur doit transmettre toutes les demandes, sans

// tenter de résoudre les demandes lui-même
forward only;

// Indique que l'on utilise un service de sécurité DNS (activé par

// défaut sur BIND)
dnssec-enable yes;

dnssec-validation yes;

L'adresse 8.8.8.8 est celle du DNS de google.

 Enregistrez les modifications.

 Redémarrez le service bind9.
 Testez la récursion en local (depuis votre VM serveur) à l’aide de la commande
dig, qui permet d’interroger un serveur DNS, en tentant de résoudre l’adresse de
google par exemple :

dig @127.0.0.1 www.isetn.rnu.tn

Synthaxe : dig @IPServeurDNS NomàRésoudre

Le serveur doit vous retourner l’adresse IP associée au nom renseigné dans la partie
ANSWER SECTION.
Sana HAOUAS Page 2
Atelier Administration des services réseaux 2020-2021

; <<>> DiG 9.9.5-3ubuntu0.17-Ubuntu <<>> @127.0.0.1 www.isetn.rnu.tn

; (1 server found)

;; global options: +cmd

;; Got answer:

;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 8416

;; flags: qr rd ra; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:

; EDNS: version: 0, flags:; udp: 4096

;; QUESTION SECTION:

;www.isetn.rnu.tn. IN A

;; ANSWER SECTION:

www.isetn.rnu.tn. 11322 IN CNAME heberg40.cck.rnu.tn.

heberg40.cck.rnu.tn. 2648 IN A 196.203.79.216

;; Query time: 2 msec

;; SERVER: 127.0.0.1#53(127.0.0.1)

;; WHEN: Fri Oct 12 15:12:51 CET 2018

;; MSG SIZE rcvd: 88

L'enregistrement CNAME indique que le nom est un alias.

On peut vérifier dans la cache du serveur récursif que l'information a été enregistrée :

en fait le cache dns est stocké en mémoire vive, ce qui veut dire qu'a chaque fois que
le serveur dns ou même la machine embarquant le serveur dns sont redémarrés, on
perd le contenu du cache.

La commande suivante permet de créer le fichier

/var/cache/bind/named_dumb.db contenant le cache (renseignez-vous sur la
commande en tapant man rndc) :
$ rndc dumpdb -cache
$ cat /var/cache/bind/named_dump.db | grep www.isetn.rnu.tn
www.isetn.rnu.tn. 7681 CNAME heberg40.cck.rnu.tn.

Sana HAOUAS Page 3