Differences

This shows you the differences between two versions of the page.

--- dns [2005/11/15 12:28] – delove
+++ dns [2019/01/22 11:18] (current) – external edit 127.0.0.1
@@ Line 38: / Line 38: @@
 ===== DNS dynamiques =====
-Ce document est également disponible au format PDF {{ddns_v6.pdf}}
+Ce document est également disponible au format PDF {{ddns_v6.pdf|DNS dynamiques}}
 ==== Introduction ====
@@ Line 107: / Line 107: @@
   Algorithm: 157 (HMAC_MD5)
   Key: wMkRFcweTFSBwlbWDaoF0w==
 ==== Configuration d'un poste client ====
+Il est maintenant nécessaire de copier le fichier contenant la clé privée (.private) et généré sur le serveur par le biais de la commande dnssec-keygen sur le poste client. Cette copie devra être sécurisée afin d'éviter qu'une personne mal intentionnée puisse récupérer cette clé et ainsi réaliser des mises à jours dynamiques non souhaitées sur le serveur. Pour les mêmes raisons, il faudra veiller à convenablement positionner les droits sur ce fichier pour que ce dernier ne soit pas lisible par n’importe quel utilisateur.
+La commande qui permet de réaliser les “updates” dynamiques sur un poste Linux est nsupdate. Son fonctionnement est très simple :
+  # nsupdate -k ./Kkey-dns.+157+20468.private
+  Creating key...
+  >  update delete host1.postes.ipv6.ciril.fr
+  > update add host1.postes.ipv6.ciril.fr 60  IN AAAA <IPv6_ADDR>
+  > send
+Cette séquence permet d'effacer l'enregistrement host1.postes.ipv6.ciril.fr sur le serveur concerné puis d'ajouter un enregistrement IPv6 pour cette même ressource. Il est bien évidemment possible de réaliser de la même façon l'enregistrement inverse pour cette ressource.  Pour des questions de sécurité il est indispensable que les horloges des postes clients et du serveur soient synchronisées (à 5 minutes près). Dans le cas contraire un message vous avertira que la commande a échoué.
+L'utilisation d'un script permet de faciliter le déploiement d'une solution à base de DNS dynamique. Voici un exemple de script permettant d'effectuer l'enregistrement dynamique d'un poste IPv6 :
+<file>
+#!/bin/sh
+HOSTNAME=`hostname`
+DOMAIN=postes.ipv6.ciril.fr
+IPADDR=`/sbin/ifconfig eth0|grep 'inet6'|grep 'Global'|tr -s " "|cut -d/ -f1|cut -d" " -f4`
+echo "server sargas.ciril.fr" > /etc/nsupdate
+echo "prereq nxrrset $HOSTNAME.$DOMAIN IN AAAA" >> /etc/nsupdate
+for i in $IPADDR
+do
+   echo "update add $HOSTNAME.$DOMAIN 60  IN AAAA $i" >> /etc/nsupdate
+done
+echo "" >> /etc/nsupdate
+/usr/bin/nsupdate -k Kupdate.postes.+157+56324.private -d /etc/nsupdate
+</file>
+La directive prereq nxrrset permet de tester la non préexistence d’une ressource possédant le même nom. En d'autres termes, si l'enregistrement testé existe déjà alors l'ajout suivant ne sera pas réalisé.
+Les enregistrements dynamiques n'apparaissent pas dans les fichiers des zones sur le serveur . En effet, ces derniers sont stockés dans des des fichiers .jnl aux côtés des fichiers de zones déjà existants. Le redémarrage du serveur n'entraine pas la suppression de ces fichiers. Si vous désirez donc effacer tous les enregistrements dynamiques pour une zone donnée il vous suffira alors de supprimer le fichier .jnl correspondant. Pour supprimer uniquement un seul enregistrement vous devrez utiliser la commande nsupdate.
+__Remarque__ : À la rédaction de cette documentation, il semblerait que seuls les systèmes Linux et BSD disposent d'un outil (nsupdate) permettant de réaliser des enregistrements dynamiques pour des ressources IPv6 vers un serveur de noms IPv6 (transport des messages de mises à jour en IPv6).
 ==== Conclusion ====
+L’inconvénient majeur de la mise en oeuvre d'un mécanisme de Dynamic DNS réside dans le fait qu’aucun système d’exploitation ne permet à l’heure actuelle de réaliser cette tâche directement du côté client. Cette extension du service DNS sensée faciliter la tâche d’administration s'avère donc assez contraignante pour le moment (diffusion des clés secrètes).  Une alternative possible consisterait à coupler l'utilisation de ce mécanisme à l'utilisation d'un service DHCPv6 (draft-ietf-dhc-dhcpv6-fqdn [5]). A l'heure actuelle aucune implémentation de DHCPv6 ne permet d'exploiter cette fonctionnalité cependant Dibbler [6] prévoit d'intégrer ce mécanisme.
 ==== Références ====
+__RFC__ :
+[1] RFC 2136 - Dynamic Updates in the Domain Name System (DNS UPDATE)
+[2] RFC 2137 - Secure Domain Name System Dynamic Update
+[4] RFC 2845 - Secret Key Transaction Authentication for DNS (TSIG)
+__Documents__ :
+[5] draft : The DHCPv6 Client FQDN Option
+__Sites Internet__ :
+[3] BIND (Berkeley Internet Name Domain)
+http://www.isc.org/index.pl?/sw/bind/
+[6] Dibbler - a portable DHCPv6
+http://klub.com.pl/dhcpv6/