dns-summer-knotdns-mikit-3.pptx

Size: px

Start display at page:

Download "dns-summer-knotdns-mikit-3.pptx"

こうたささおか
5 years ago
Views:

1 Knot DNS - DNS Summer Days 2014 NTT コミュニケーションズ株式会社先端 IP アーキテクチャセンタ高田美紀 2014/6/27

2 自己紹介 n 1993 ~株式会社 NTTPC コミュニケーションズ ISP (InfoSphere) サーバの運用ホスティング (WebARENA) 立立ち上げ ~開発 ~運用主に DNS メールシステム担当 n 2013/4 ~ NTT コミュニケーションズ株式会社先端 IP アーキテクチャセンタ ü R&D 部門 n 対外活動 ü DDoS 対策技術 DNS まわりでの事業部サポート対外活動 dnsops.jp 幹事ときどき JANOG meeting スタッフなどなど n エンジニア + 母親業の両輪輪で活動中 2

3 Knot DNS とは? n CZ( チェコ共和国 ) NIC 製の DNS サーバソフトウェア権威 DNS 専用オープンソース高速マルチスレッド大部分は lock free ü SMP で適切切にスケールするようデザイン ü userspace- rcu を利利用して lock を減らしている主な DNS プロトコルをサポート ü AXFR/IXFR, TSIG, EDNS0, NSID (RFC 5001) ü DNSSEC with NSEC3 (automatic signing) ü Response Rate Limiting ü Dynamic DNS, オンラインでの zone の追加 / 削除そのほかおまけ的機能 ü Auto Forward/Reverse Zone ü disable- any 3

4 実績? n Knot DNS update@2013 ENOG6/RIPE NCC Regional Meeting 6/210- KNOT- ENOG JT.pdf.CZ,.DK の root いくつかのチェコ共和国のレジストラ / ホスティング事業者ルートサーバでもテストした ü ICANN(I), RIPE NCC(K) 4

5 高速らしいと聞いて : ベンチマーク n 伊藤高年年 /ja/ ü BIND P1 vs NSD vs Knot DNS qps: BIND の 6 倍以上 NSD の 2.8 倍程度度高速 Knot DNS のみ lost 発生せず => まだ余力力があったのでは n Knot DNS 年年 dns.cz/pages/benchmark.html ü BIND P1 vs Knot DNS rc2,1.4.6 vs NSD ,4.0.4 vs PowerDNS 3.3 qps: 次ページ起動時間 : BIND と同じ ~ 2 倍程度度高速メモリ使用量量 : Knot DNS では BIND の 2.5 倍多く使用 ü rc2 では BIND より少ない使用量量 Dynamic DNS 処理理スピード ü 100 万 RR の巨大ゾーンでは BIND より 3 倍程度度遅い 5

6 Benchmark: Response Rate/Hosting(100k) 6

7 脱 BIND n DNS サーバソフトウェア == BIND? n ここがいけてないよ BIND さん権威 DNS 機能とキャッシュ DNS 機能が分離離されてない機能が豊富すぎるデフォルト設定がいけてない ü メモリ使い切切っちゃったりとか設定がわかりづらい ü notify まわり allow- なんとかバージョンによって同じ設定で挙動が違うやばい設定を書けてしまう ü ソースポート固定とか巨大すぎる n 脆弱性の多さ 7

8 この支配からの卒業 n 重複から卒業しませんか!? キャッシュ DNS: Unbound 権威 DNS: NSD, Knot DNS, PowerDNS, etc.. n 参考 : DNS 2012 DNS DAY 8

9 Knot DNS: 使い方 9 9

10 インストール n tarball ダウンロード dns.cz/pages/download.html n cat README yum なり apt- get なりで build に必要なパッケージを入れる configure して make, make install $ sudo apt-get install git-core libtool autoconf flex bison libssl-dev liburcu-dev or $ yum install libtool autoconf flex bison openssl-devel userspace-rcu-devel $./configure && make $ sudo make install n Knot DNS 用に knot ユーザ作成 n /var/run/knot, /var/lib/knot ディレクトリ作成 knot ユーザで書き込めるようにしておく $ useradd g users knot $ mkdir p /var/run/knot /var/lib/knot $ chown knot.users /var/run/knot /var/lib/knot

11 knotc n knotd コントロール用ユーティリティ rndc みたいなもの knotc 用の設定ファイルは * ない * ü simple is best! デフォルトでは UNIX ドメインソケット経由 n コマンド stop, reload, refresh [zone] flush ü journal ファイルを flush して zone に反映 status, zonestatus, memstats [zone] checkconf, checkzone [zone] ü knot.conf を reload する前に確認できる signzone [zone] ü DNSSEC の署名動作 11

12 knotc # /usr/local/sbin/knotc Usage: knotc [parameters] <action> Parameters: -c, --config <file> Select configuration file. -s <server> Remote UNIX socket/ip address (default /var/run/knot/knot.sock). -p <port> Remote server port (only for IP). -y <[hmac:]name:key> Use key specified on the command line. -k <file> Use key file (as in config section 'keys'). -f, --force Force operation - override some checks. -v, --verbose Verbose mode - additional runtime information. -V, --version Print knot server version. -i, --interactive Interactive mode (do not daemonize). -h, --help Print help and usage. Actions: stop Stop server. reload refresh [zone] Reload configuration and changed zones. Refresh slave zone (all if not specified). Flag '-f' forces retransfer. flush Flush journal and update zone files. status Check if server is running. zonestatus Show status of configured zones. checkconf Check current server configuration. checkzone [zone] Check zone (all if not specified). memstats [zone] Estimate memory use for zone (all if not specified). signzone [zone] Sign all zones with available DNSSEC keys. 12

13 knotd.conf ( システム的なとこ ) system { rundir "/var/run/knot"; user knot.users; max- udp- payload 1220; interfaces { all_ ipv4 { address ; all_ ipv6 { address [::]; log { syslog { any info; } 権限分離離ユーザで読み書きできることが必要 pid ファイル control 用ソケットファイルなど権限分離離ユーザ UDP のペイロードサイズ上限 Listen するインタフェースの設定書かないと Listen しない (!) IPv4 と IPv6 を別々に書く必要がある名前 (all_ipv4 とか ) は何でも ok 名前に対する address は 1 行行のみ ok ログの出し方設定 syslog, stdout, stderr など 13

14 knotd.conf ( マスターサーバ ) remotes { ns2_ ipv4 { address @53; ns2_ ipv6 { address 2001:db8::53@53; zones { storage "/var/lib/knot"; example.jp { file example.jp"; xfr- out ns2_ ipv4, ns2_ ipv6; notify- out ns2_ ipv4, ns2_ ipv6; スレーブサーバの IP アドレスポートの定義 /24 などサブネット単位でも ok ゾーンの設定ワーキングディレクトリゾーン定義ゾーンファイルの場所このアドレスからのゾーン転送のみ許可するこのアドレスに notify を送信する 14

15 knotd.conf ( スレーブサーバ ) remotes { ns1_ ipv4 { address @53; ns1_ ipv6 { address 2001:db8::53@53; zones { storage "/var/lib/knot"; example.jp { file example.jp"; xfr- in ns1_ ipv4, ns1_ ipv6; notify- in ns1_ ipv4, ns1_ ipv6; マスターサーバの IP アドレスポートの定義 /24 などサブネット単位でも ok ゾーンの設定ワーキングディレクトリゾーン定義ゾーンファイル storage ディレクトリ配下このアドレスに対しゾーン転送を要求するこのアドレスからの notify のみ受け取る 15

16 Automatic forward/reverse records n 指定したアドレス帯の A/AAAA/PTR を自動生成 BIND でいう $GENERATE みたいなの (forward reverse) <prefix> <ttl> <address>/<netblock> n Knot DNS 1.5 以降降 n 設定例例 : zones{ example. { file "ns_soa_only_zone"; query_module { synth_record "forward dynamic :db8::/32"; synth_record "forward dynamic /25"; } } in-addr.arpa { file "ns_soa_only_zone"; query_module { synth_record "reverse dynamic- example /25"; } } 8.b.d ip6.arpa { file "ns_soa_only_zone"; query_module { synth_record "reverse dynamic- example :db8::/32"; } } }

17 Automatic forward/reverse records n 実行行例例 : $ kdig -x +norec ;; ->>HEADER<<- opcode: QUERY; status: NOERROR; id: 5688 ;; Flags: qr aa; QUERY: 1; ANSWER: 1; AUTHORITY: 0; ADDITIONAL: 0 ;; QUESTION SECTION: ;; f.e.e.b.d.a.e.d.8.b.d ip6.arpa. IN PTR ;; ANSWER SECTION: f.e.e.b.d.a.e.d.8.b.d ip6.arpa IN PTR dynamic db8-deadbeef example. ;; Received 159 B ;; Time :11:48 JST ;; From ::1@53(UDP) in 0.0 ms

18 disable- any n ANY で問い合わせられたら空のレスポンスに TC をつけて返す権威 DNS サーバを狙った DNS reflection attack の踏み台になりづらくなるデフォルトでは disable zones { disable-any on; : : } zones { example.jp { file example.jp"; : : disable-any on; } }

19 起動 $ sudo /usr/local/sbin/knotd d $ sudo tail /var/log/messages Jun 24 16:09:00 ns1 knot[3974]: Knot DNS rc2 starting. Jun 24 16:09:00 ns1 knot[3974]: Binding to interface @53. Jun 24 16:09:00 ns1 knot[3974]: Binding to interface ::@53. Jun 24 16:09:00 ns1 knot[3974]: Configured 2 interfaces and 4 zones. Jun 24 16:09:00 ns1 knot[3974]: Changing group id to '100'. Jun 24 16:09:00 ns1 knot[3974]: Changing user id to '521'. Jun 24 16:09:00 ns1 knot[3974]: PID stored in '/var/run/knot/knot.pid' Jun 24 16:09:00 ns1 knot[3974]: Changed directory to /. Jun 24 16:09:00 ns1 knot[3974]: Loading zones... Jun 24 16:09:00 ns1 knot[3974]: Zone ' in-addr.arpa.' will be loaded (serial 0) Jun 24 16:09:00 ns1 knot[3974]: Zone 'example.jp.' will be loaded (serial 0) Jun 24 16:09:00 ns1 knot[3974]: Zone 'example.' will be loaded (serial 0) Jun 24 16:09:00 ns1 knot[3974]: Zone '8.b.d ip6.arpa.' will be loaded (serial 0) Jun 24 16:09:00 ns1 knot[3974]: Starting server... Jun 24 16:09:00 ns1 knot[3974]: Zone ' in-addr.arpa.' loaded (0 -> ). Jun 24 16:09:00 ns1 knot[3974]: Zone 'example.jp.' loaded (0 -> ). Jun 24 16:09:00 ns1 knot[3974]: Zone 'example.' loaded (0 -> ). Jun 24 16:09:00 ns1 knot[3974]: Zone '8.b.d ip6.arpa.' loaded (0 -> ). Jun 24 16:09:00 ns1 knot[3974]: Server started as a daemon, PID = 3974 Jun 24 16:09:00 ns1 knot[3974]: Binding remote control interface to '/var/run/knot/ knot.sock. 19

20 BIND からの移行行 n 違うとこ viewがない設定ファイル形式ログの形式 n 同じとこゾーンファイル形式は BIND と同じ Dynamic DNS のインタフェースは同じ 20

21 まとめ n Knot DNSのいいとこ紹介しましたわかりやすいシンプル速い新しい設計 ü 競合を少なくしたとか n BINDとさよならしよう選択肢はいくつもある権威 / キャッシュの分離離 viewも無くしてシンプルな世界に n 重複に怯えない暮らしを! 21

22 おまけ : 権威 DNS サーバでの DDoS 対策 n 権威 DNS サーバソフトウェアの DDoS 対策機能として必要なもの大きな返答を source IP へ返さない ü 詐称されてるかもしれないから ü TCP へのフォールバック (TC=1) ü disable- any 同じ返答を短時間にたくさん返さない ü レートリミット ü Response Rate Limiting n これらは必須の機能となってきます n しかしここまでやったとしても世界中の bot から 1 つずつ別々の権威 DNS サーバに query を送られると 22

23 権威 DNS サーバを使った DDoS の仕組み送信元 IP を n.n.n.n と偽造ターゲット n.n.n.n 権威 DNS 権威 DNS 権威 DNS 権威 DNS 23

24 ANY への対策 : disable- any 送信元 IP を n.n.n.n と偽造ターゲット n.n.n.n ANY query TC=1 権威 DNS 権威 DNS 権威 DNS 権威 DNS 24

25 その他 RR の対策 : Response Rate Limiting 送信元 IP を n.n.n.n と偽造 DNSKEY, TXT など返答サイズが大きくなる query ターゲット n.n.n.n 送信元アドレス帯 NAME,QTYPE 等で制限該当すれば TC=1 権威 DNS 権威 DNS 権威 DNS 権威 DNS 25

e164.arpa DNSSEC Version JPRS JPRS e164.arpa DNSSEC DNSSEC DNS DNSSEC (DNSSEC ) DNSSEC DNSSEC DNS ( ) % # (root)

e164.arpa DNSSEC Version JPRS JPRS e164.arpa DNSSEC DNSSEC DNS DNSSEC (DNSSEC ) DNSSEC DNSSEC DNS ( ) % # (root) 1.2.0.0.1.8.e164.arpa DNSSEC Version 1.0 2006 3 7 JPRS JPRS 1.2.0.0.1.8.e164.arpa DNSSEC DNSSEC DNS DNSSEC (DNSSEC ) DNSSEC DNSSEC DNS ( ) % # (root) BIND DNS 1. DNSSEC DNSSEC DNS DNS DNS - 1 - DNS DNS