12.2.1. Types courants de d�clarations
Les types de d�clarations suivants sont couramment utilis�s dans /etc/named.conf�:
12.2.1.1. D�claration acl
La d�claration acl (de l'anglais access control list, ou d�claration de liste de contr�le d'acc�s) d�finit des groupes d'h�tes qui peuvent ensuite �tre autoris�s ou non � acc�der au serveur de noms.
Une d�claration acl se pr�sente sous le format suivant�:
acl <acl-name> {
<match-element>;
[<match-element>; ...]
}; |
Dans cette d�claration, remplacez <acl-name> par le nom de la liste du contr�le d'acc�s et remplacez <match-element> par une liste d'adresses IP s�par�es entre elles par un point virgule. La plupart du temps, une adresse IP individuelle ou la notation r�seau de l'IP (telle que 10.0.1.0/24) est utilis�e pour identifier les adresses IP dans la d�claration acl.
Les listes de contr�le d'acc�s suivantes sont d�j� d�finies en tant que mots-cl�s afin de simplifier la configuration�:
any — Correspond � toutes les adresses IP.
localhost — Correspond � toute adresse IP utilis�e par le syst�me local.
localnets — Correspond � toute adresse IP sur tout r�seau auquel le syst�me local est connect�.
none — Ne correspond � aucune adresse IP.
Lorsqu'elles sont utilis�es avec d'autres d�clarations (telles que la d�claration options), les d�clarations acl peuvent �tre tr�s utiles pour �viter la mauvaise utilisation d'un serveur de noms BIND.
L'exemple ci-dessous �tablit deux listes de contr�le d'acc�s et utilise une d�claration options pour d�finir la mani�re dont elles seront trait�es par le serveur de noms�:
acl black-hats {
10.0.2.0/24;
192.168.0.0/24;
};
acl red-hats {
10.0.1.0/24;
};
options {
blackhole { black-hats; };
allow-query { red-hats; };
allow-recursion { red-hats; };
}
|
Cet exemple comporte deux listes de cont�le d'acc�s, black-hats et red-hats. Les h�tes de la liste black-hats se voient d�nier l'acc�s au serveur de noms, alors que ceux de la liste red-hats se voient eux donner un acc�s normal.
12.2.1.2. D�claration include
La d�claration include permet � des fichiers d'�tre inclus dans un fichier named.conf. Ce faisant, des donn�es de configurations critiques (telles que les cl�s, keys) peuvent �tre plac�es dans un fichier s�par� dot� de permissions restrictives.
Une d�claration include se pr�sente sous le format suivant�:
Dans cette d�claration, <file-name> est remplac� par le chemin d'acc�s absolu vers un fichier.
12.2.1.3. D�claration options
La d�claration options d�finit les options globales de configuration serveur et �tablit des valeurs par d�faut pour les autres d�clarations. Cette d�claration peut �tre utilis�e entre autres pour sp�cifier l'emplacement du r�pertoire de travail named ou pour d�terminer les types de requ�tes autoris�s.
La d�claration options se pr�sente sous le format suivant�:
options {
<option>;
[<option>; ...]
};
|
Dans cette d�claration, les directives <option> sont remplac�es par une option valide.
Ci-dessous figure une liste des options couramment utilis�es�:
allow-query — Sp�cifie les h�tes autoris�s � interroger ce serveur de noms. Par d�faut, tous les h�tes sont autoris�s � interroger le serveur de noms. Il est possible d'utiliser ici une liste de contr�le d'acc�s ou un ensemble d'adresses IP ou de r�seaux afin de n'autoriser que des h�tes particuliers � interroger le serveur de noms.
allow-recursion — Semblable � allow-query, cette option s'applique � des demandes r�cursives. Par d�faut, tous les h�tes sont autoris�s � effectuer des demandes r�cursives sur le serveur de noms.
blackhole — Sp�cifie les h�tes qui ne sont pas autoris�s � interroger le serveur de noms.
directory — Change le r�pertoire de travail named pour une valeur autre que la valeur par d�faut, /var/named/.
forward — Contr�le le comportement de retransmission d'une directive forwarders.
Les options suivantes sont accept�es�:
first — �tablit que les serveurs de noms sp�cifi�s dans la directive forwarders soient interrog�s avant que named ne tente de r�soudre le nom lui-m�me.
only — Sp�cifie que named ne doit pas tenter d'effectuer lui-m�me une r�solution de nom dans le cas o� des demandes vers les serveurs de noms sp�cifi�s dans la directive forwarders �chouent.
forwarders — Sp�cifie une liste d'adresses IP valides correspondant aux serveurs de noms vers lesquels les requ�tes devraient �tre envoy�es pour la r�solution.
listen-on — Sp�cifie l'interface r�seau sur laquelle named prend note des requ�tes. Par d�faut, toutes les interfaces sont utilis�es.
De cette mani�re, si le serveur DNS sert �galement de passerelle, BIND peut �tre configur� de telle sorte qu'il r�ponde seulement aux requ�tes en provenance de l'un des r�seaux.
Une directive listen-on peut ressembler � l'extrait ci-dessous�:
options {
listen-on { 10.0.1.1; };
}; |
Dans cet exemple, seules les requ�tes qui proviennent de l'interface r�seau servant le r�seau priv� (10.0.1.1) sont accept�es.
notify — �tablit si named notifie les serveurs esclaves lorsqu'une zone est mise � jour. Les options suivantes sont accept�es�:
yes — Notifie les serveurs esclaves.
no — Ne notifie pas les serveurs esclaves.
explicit — Notifie seulement les serveurs esclaves sp�cifi�s dans une liste also-notify � l'int�rieur d'une d�claration de zone.
pid-file — Sp�cifie l'emplacement du fichier de processus ID cr�� par named.
root-delegation-only — Active l'application des propri�t�s de d�l�gation dans les TLD (de l'anglais top-level domains ou domaines de premier niveau) et les zones root avec une liste d'exclusion facultative. Le proc�d� dit de D�l�gation consiste � diviser une zone unique en multiples sous-zones. Afin de cr�er une zone d�l�gu�e, des �l�ments connus sous le nom NS records sont utilis�s. Ces informations NameServer (ou delegation records) pr�cise les serveurs de noms d'autorit� pour une zone particuli�re.
L'exemple suivant de root-delegation-only sp�cifie une liste d'exclusion de TLD desquels des r�ponses non-d�l�gu�es sont attendues en toute confiance�:
options {
root-delegation-only exclude { "ad"; "ar"; "biz"; "cr"; "cu"; "de"; "dm"; "id;
"lu"; "lv"; "md"; "ms"; "museum"; "name"; "no"; "pa";
"pf"; "se"; "sr"; "to"; "tw"; "us"; "uy"; };
}; |
statistics-file — Sp�cifie un autre emplacement des fichiers de statistiques. Par d�faut, les statistiques named sont enregistr�es dans le fichier /var/named/named.stats.
De nombreuses autres options sont �galement disponibles, dont beaucoup d�pendent les unes des autres pour fonctionner correctement. Consultez le document BIND 9 Administrator Reference Manual dans la Section 12.7.1 et la page de manuel de bind.conf pour obtenir de plus amples informations.
12.2.1.4. D�claration zone
Une d�claration zone d�finit les caract�ristiques d'une zone tels que l'emplacement de ses fichiers de configuration et les options sp�cifiques � la zone. Cette d�claration peut �tre utilis�e pour remplacer les d�clarations globales d'options.
Une d�claration zone se pr�sente sous le format suivant�:
zone <zone-name> <zone-class> {
<zone-options>;
[<zone-options>; ...]
}; |
Dans la d�claration, <zone-name> correspond au nom de la zone, <zone-class> � la classe optionnelle de la zone et <zone-options> repr�sente une liste des options caract�risant la zone.
L'attribut <zone-name> de la d�claration de zone est particuli�rement important. Il repr�sente la valeur par d�faut assign�e � la directive $ORIGIN utilis�e au sein du fichier de zone correspondant qui se trouve dans le r�pertoire /var/named/. Le d�mon named ajoute le nom de la zone � tout nom de domaine qui n'est pas pleinement qualifi�, �num�r� dans le fichier de zone.
Par exemple, si une d�claration zone d�finit l'espace de nom pour example.com, utilisez example.com comme <zone-name> afin qu'il soit plac� � la fin des noms d'h�tes au sein du fichier de zone example.com.
Pour obtenir de plus amples informations sur les fichiers de zone, reportez-vous � la Section 12.3.
Parmi les options les plus courantes de la d�claration de zone figurent�:
allow-query — Sp�cifie les clients qui sont autoris�s � demander des informations � propos de cette zone. Par d�faut toutes les requ�tes d'informations sont autoris�es.
allow-transfer — Sp�cifie les serveurs esclaves qui sont autoris�s � demander un transfert des informations relatvies � la zone. Par d�faut toutes les requ�tes de transfert sont autoris�es.
allow-update — Sp�cifie les h�tes qui sont autoris�s � mettre � jour dynamiquement les informations dans leur zone. Par d�faut aucune requ�te de mise � jour dynamique n'est autoris�e.
Soyez tr�s prudent lorsque vous autorisez des h�tes � mettre � jour des informations concernant leur zone. N'activez cette option que si l'h�te est sans aucun doute digne de confiance. De mani�re g�n�rale, il est pr�f�rable de laisser un administrateur mettre � jour manuellement les enregistrements de la zone et recharger le service named.
file — Sp�cifie le nom du fichier qui figure dans le r�pertoire de travail named et qui contient les donn�es de configuration de la zone.
masters — Sp�cifie les adresses IP � partir desquelles demander des informations sur la zone faisant autorit�. Cette option ne doit �tre utilis�e que si la zone est d�finie en tant que type slave.
notify — D�termine si named notifie les serveurs esclaves lorsqu'une zone est mise � jour. Cette directive accepte les options suivantes�:
yes — Notifie les serveurs esclaves.
no — Ne notifie pas les serveurs esclaves.
explicit — Notifie seulement les serveurs esclaves sp�cifi�s dans une liste also-notify � l'int�rieur d'une d�claration de zone.
type — D�finit le type de zone. Les types �num�r�s ci-dessous peuvent �tre utilis�s.
Ci-apr�s figure une liste des options valides�:
delegation-only — Applique l'�tat de d�l�gation des zones d'infrastructure comme COM, NET ou ORG. Toute r�ponse re�ue sans d�l�gation explicite ou implicite est trait�e en tant que NXDOMAIN. Cette option est seulement applicable dans des fichiers de zone TLD ou root en impl�mentation r�cursive ou de mise en cache.
forward — Retransmet toutes les requ�tes d'informations concerant cette zone vers d'autres serveurs de noms
hint — Repr�sente un type sp�cial de zone utilis� pour diriger des transactions vers les serveurs de noms racines qui r�solvent des requ�tes lorsqu'une zone n'est pas connue autrement. Aucune configuration autre que la valeur par d�faut n'est n�cessaire avec une zone hint.
master — D�signe le serveur de noms faisant autorit� pour cette zone. Une zone devrait �tre configur�e comme ma�tre (master) si les fichiers de configuration de la zone se trouvent sur le syst�me.
slave — D�signe le serveur de noms comme serveur esclave (slave) pour cette zone. Cette option sp�cifie �galement l'adresse IP du serveur de noms ma�tre pour cette zone.
zone-statistics — Configure named pour qu'il conserve des statistiques concernant cette zone en les �crivant soit dans l'emplacement par d�faut (/var/named/named.stats), soit dans le fichier sp�cifi� dans l'option statistics-file de la d�claration server. Reportez-vous � la Section 12.2.2 pour obtenir de plus amples informations sur la d�claration server.
12.2.1.5. Exemples de d�clarations zone
La plupart des changements apport�s au fichier /etc/named.conf d'un serveur de noms ma�tre ou esclave implique l'ajout, la modification ou la suppression de d�clarations de zone. Alors que ces d�clarations de zone peuvent contenir de nombreuses options, la plupart des serveurs de noms n�cessitent seulement quelques options pour fonctionner de mani�re efficace. Les d�clarations de zone figurant ci-dessous repr�sentent des exemples tr�s �l�mentaires pour illustrer une relation de serveurs de noms ma�tre/esclave.
Ci-dessous se trouve un exemple de d�claration zone pour le serveur de noms primaire h�bergeant example.com (192.168.0.1)�:
zone "example.com" IN {
type master;
file "example.com.zone";
allow-update { none; };
}; |
Dans cette d�claration, la zone est identifi�e en tant que example.com, le type est d�fini comme master et le service named a comme instruction de lire le fichier /var/named/example.com.zone. Elle indique � named de refuser la mise � jour � tout autre h�te.
La d�claration zone d'un serveur esclave pour example.com est l�g�rement diff�rente de l'exemple pr�c�dent. Pour un serveur esclave, le type est slave et une directive indiquant � named l'adresse IP du serveur ma�tre remplace la ligne allow-update.
Ci-dessous se trouve un exemple de d�claration zone de serveur de noms pour la zone example.com�:
zone "example.com" {
type slave;
file "example.com.zone";
masters { 192.168.0.1; };
}; |
Cette d�claration zone configure named sur le serveur esclave de mani�re � ce qu'il cherche le serveur ma�tre � l'adresse IP 192.168.0.1 pour y trouver les informations concernant la zone appel�e example.com. Les informations que le serveur esclave re�oit du serveur ma�tre sont enregistr�es dans le fichier /var/named/example.com.zone.
