DNS

cirkus, foruten å være webserver, er også Samfundets DNS-server. Mer spesifikt kjører cirkus BIND 9 som en systemd-tjeneste. Denne noden inneholder en del vanlige interaksjoner en ITK-er kan ha med bind.

Innholdsfortegnelse

1 Legge en vert til i DNS
2 Opprette et underdomene for en utviklingsinstans på cirkus
3 Signering av soner (DNSSEC)

3.1 Hvordan skru på automatisk signering

4 Legge til en sone for et nytt domene

Legge en vert til i DNS

Går her ut fra at verten skal få et samfundet.no-underdmene.

For forward, rediger /etc/bind/pz/samfundet.no på cirkus, og legg et passende innslag et passende sted. Et nøkkelord her er "kok". Hvis du ikke trenger IPv4, holder det med en IPv6-adresse.
Rediger /etc/bind/pz/0.0.0.0.4.f.9.2.c.7.6.0.1.0.0.2.ip6.arpa for IPv6 revers.
Rediger /etc/bind/pz/52.35.193 for IPv4 revers.
Husk også å endre seriellen. Denne finner du i toppen av filen og skal være på formatet <yyyy><mm><dd><nn> der nn står for hvor mange endringer som er gjort i dag; er det første gang du endrer den skal det stå 01, endrer du den igjen samme dag skal det stå 02 og så videre. Eksempel: første endring 29. november 2020 gir seriellen «2020112901».
Last inn den nye sonefilen med systemctl reload bind9

Deretter sjekker vi at endringene har tredd i kraft. Dette bør gjøres fra en annen boks enn cirkus, for eksempel cassarossa.

dig underdomene.samfundet.no A # IPv4
dig underdomene.samfundet.no AAAA # IPv6
host IPV4ADRESSE # revers
host IPV6ADRESSE # revers

Hvis du ikke får forventet svar, legg til @cirkus helt til slutt i dig -kommandoen, f.eks. dig underdomene.samfundet.no A @cirkus .

Hvis du nå får ønsket svar, er problemet sannsynligvis seriellen. Sjekk at den er riktig, inkrementer den, reload bind, test igjen. Hvis du derimot ikke får svaret du forventer, sjekk at sonefilen faktisk er korrekt, last inn bind, test igjen.

Opprette et underdomene for en utviklingsinstans på cirkus

Case: du skal sette opp en testinstans for å gjøre utvikling på f.eks. medlem.samfundet.no. Da må DNS være i orden! Oppskriften er nokså enkel:

Kom deg på cirkus
sudo -i
cd /etc
vim bind/pz/samfundet.no (ev. uka.no for UKEsystemer)
Inkrementer seriellen til dagens dato, ev. inkrementer endringsnummeret
Finn linjene på formen mdb2-brukernavn IN CNAME cirkus og lag din egen
:wq
systemctl reload bind9
git add bind/pz/samfundet.no
git commit -m "Add DNS for mdb2-brukernavn" (eller liknende)
Ctrl-D deg ut av rotskallet :)

Signering av soner (DNSSEC)

BIND håndterer signering av de sonene på Samfundet som har DNSSEC påskrudd hos sin domeneregistrar. Ideelt sett burde nok dette vært alle, men i skrivende stund gjelder dette la1k.no, samfundet.no, uka.no, noen reverssoner og dessuten en del privatsoner.

Hvordan skru på automatisk signering

Legg til dnssec-policy nsec3; under sonen i named.conf.local
Kjør rndc reconfig for å få BIND til å generere nøkler og signere sonen. Om noe gikk galt, vil siden mest sannsynlig bli utilgjengelig :)
Hopp inn i /etc/bind/keys/ og finn sonens nøkkel
Ekstraher DS-posten til sonen med dnssec-dsfromkey <nøkkelnavn>.key
Logg deg inn hos domeneregistraren og legg til DS-posten (Domeneshop spør cirkus og limer inn automatisk, men det er viktig at du verifiserer at nøkkelen stemmer overens med den du fikk i forrige steg)
Vent på at Norid skal publisere nye sonefiler
Sjekk at alt er grønt med dnssec-analyzer

Legge til en sone for et nytt domene

Case: en gjeng på Samfundet vil at vi skal håndtere DNS for dem. Eksempler på dette er la1k.no, mannskor.no og studentkor.no. Stegene er da som følger:

Få gjengen til å legge inn cirkus.samfundet.no, ns1.ntnu.no og ns2.ntnu.no som navneservere hos sin domeneregistrar (f.eks. Domeneshop). Om domeneregistraren ikke støtter slaving, må de også fjerne registrarens navneservere fra oppsettet.
Lag en sonefil i /etc/bind/pz med navnet til domenet, f.eks. ved å kopiere mannskor.no-filen.
Rediger sonefilen slik at den matcher DNS-oppsettet slik det var hos registraren og gjør eventuelle forespurte endringer.
Sett seriellen til dagens dato.
Legg til sonen i /etc/bind/named.conf.local med type master og tillat transfer til ntnu. For DNSSEC, legg til «dnssec-policy nsec3;» (se forrige avsnitt.).
Send epost til orakel@ntnu.no og spør pent om de kan være slave for sonen. (Se RT-sak #168915 for eksempel.)
Reload bind.
Sist, men ikke minst: commit endringene dine!

Lenker: Start, avvikuka hvordan utvikle, innsida, hvordan utvikle, medlemsdb2, hvordan utvikle, ufs, hvordan utvikle, utleggsys