[Sysadmins] PowerDNS+LDAP

[Sysadmins] PowerDNS+LDAP

[Вадим Илларионов]

Долго бился с этой связкой.
Таки победил - спасибо Михаилу Шигорину за подсказки.

Первым делом никак не получалось затолкать зоны из bind'a в лдап-каталог.

1. Скрипт zone2ldap выдаёт не вполне тот лдиф-файл, какой ожидается.
а) У каждой записи генерится несъедобный для OpenLDAP атрибут
   changetype: add
б) но отсутствует необходимый ему же
   structuralObjectClass: dnsDomain2
Поправил тривиальным субстом.

2. Некоторые записи дублируются
   (вытягивал зоны не из файлов, а посредством dig)
Покоцал дубликаты вручную.

Результирующий zones.ldif мой slapadd скушал аж с причмокиванием.

Вторым делом, когда всё завелось, упёрся в то, что записи прописанных зон
PowerDNS резолвит, а извне - фигу.

Здесь, наверное, уместно процитировать переписку с Михаилом:
====================================
Михаил Шигорин 25 июня 2008 16:58:32
мож он нерекурсивный из коробки? (non-recursive)
свойство резолвить для клиентов адреса из зон, за которые NS не
authoritative -- рекурсивностью называется, по умолчанию должно быть
выключено на любом приличном сервере
см. тж. DNS-HOWTO -- нетолстое, но полезное

Дым 25 июня 2008 17:44:11
Спасибо, помогло!
Рекурсия-то по умолчанию включена, причём отовсюду.
Укоротил её до своих подсетей.
Но вот не было указано рекурсора - аналога форвардера в бинде.
На том и подорвался. :)
====================================
То есть, достаточно в конфиге пауэрдээнэса прописать в качестве рекурсора
какой-либо из корневых серверов - и вуаля!
_________________________________
С уважением,
Вадим Илларионов
системный администратор
ООО "Новые Системы Телеком"
UIN: 7899517
JID: master at usib dot irkps dot ru
Телефоны:
- рабочий    +7 495 6414045+5885
- мобильный  +7 916 3889337

Re: [Sysadmins] PowerDNS+LDAP

[Slava Dubrovskiy]

[-- Attachment #1: Type: text/plain, Size: 1954 bytes --]

Вадим Илларионов пишет:
> Вторым делом, когда всё завелось, упёрся в то, что записи прописанных зон
> PowerDNS резолвит, а извне - фигу.
>
> Здесь, наверное, уместно процитировать переписку с Михаилом:
> ====================================
> Михаил Шигорин 25 июня 2008 16:58:32
> мож он нерекурсивный из коробки? (non-recursive)
> свойство резолвить для клиентов адреса из зон, за которые NS не
> authoritative -- рекурсивностью называется, по умолчанию должно быть
> выключено на любом приличном сервере
> см. тж. DNS-HOWTO -- нетолстое, но полезное
>
> Дым 25 июня 2008 17:44:11
> Спасибо, помогло!
> Рекурсия-то по умолчанию включена, причём отовсюду.
> Укоротил её до своих подсетей.
> Но вот не было указано рекурсора - аналога форвардера в бинде.
> На том и подорвался. :)
> ====================================
> То есть, достаточно в конфиге пауэрдээнэса прописать в качестве рекурсора
> какой-либо из корневых серверов - и вуаля!
>   
Вообще это разные функции. Отдача своих зон и рекурсивный поиск. Мы 
привыкли к bind что в нем эти 2 функции объединены.
Для рекурсора хорошо указывать unbound. Он вешается на localhost, а на 
внешние IP уже PowerDNS или что еще.

-- 
WBR,
Dubrovskiy Vyacheslav


[-- Attachment #2: S/MIME Cryptographic Signature --]
[-- Type: application/x-pkcs7-signature, Size: 3249 bytes --]

Re: [Sysadmins] PowerDNS+LDAP

[Вадим Илларионов]

Slava Dubrovskiy wrote:

> Вообще это разные функции. Отдача своих зон и рекурсивный поиск. Мы
> привыкли к bind что в нем эти 2 функции объединены.
> Для рекурсора хорошо указывать unbound. Он вешается на localhost, а на
> внешние IP уже PowerDNS или что еще.

Дело в том, что старый шлюз с биндом потихоньку помирает.
Стояла задача перенести днс на второй шлюз, а с биндом возиться не хотелось.
А хотелось чего-то легко конфигурируемого с хранением зон в ЛДАПе.
Первым, на что наткнулся, был как раз ПауэрДНС.
Вот, собсно, потому и так. Может, ещё кому сгодится.
_________________________________
С уважением,
Вадим Илларионов
системный администратор
ООО "Новые Системы Телеком"
UIN: 7899517
JID: master at usib dot irkps dot ru
Телефоны:
- рабочий    +7 495 6414045+5885
- мобильный  +7 916 3889337

Re: [Sysadmins] PowerDNS+LDAP

[Michael Shigorin]

On Wed, Jun 25, 2008 at 06:27:09PM +0400, Вадим Илларионов wrote:
> Первым, на что наткнулся, был как раз ПауэрДНС.

Unbound is a validating, recursive, and caching DNS resolver.
                                                ^^^^^^^^^^^^
The C implementation of Unbound is developed and maintained by NLnet
Labs. It is based on ideas and algorithms taken from a java prototype
developed by Verisign labs, Nominet, Kirei and ep.net.

Unbound is designed as a set of modular components, so that also
DNSSEC (secure DNS) validation and stub-resolvers (that do not run
as a server, but are linked into an application) are easily possible.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [Sysadmins] PowerDNS+LDAP

[Eugene Ostapets]

2008/6/25 Вадим Илларионов <master nstel.ru>:
> 1. Скрипт zone2ldap выдаёт не вполне тот лдиф-файл, какой ожидается.
> а) У каждой записи генерится несъедобный для OpenLDAP атрибут
>   changetype: add
> б) но отсутствует необходимый ему же
>   structuralObjectClass: dnsDomain2
Что за ерунда?
> Поправил тривиальным субстом.
>
> 2. Некоторые записи дублируются
>   (вытягивал зоны не из файлов, а посредством dig)
> Покоцал дубликаты вручную.
>
> Результирующий zones.ldif мой slapadd скушал аж с причмокиванием.
Результат работы zone2ldap кушается ldapadd без единого возражения! Вы
уверены в своих действиях?

-- 
С уважением,
Евгений Остапец
uin: 23747217
jid: eugene_ostapets@jabber.ru

Re: [Sysadmins] PowerDNS+LDAP

[Вадим Илларионов]

Eugene Ostapets wrote:

> 2008/6/25 Вадим Илларионов <master nstel.ru>:
>> 1. Скрипт zone2ldap выдаёт не вполне тот лдиф-файл, какой ожидается.
>> а) У каждой записи генерится несъедобный для OpenLDAP атрибут
>>   changetype: add
>> б) но отсутствует необходимый ему же
>>   structuralObjectClass: dnsDomain2
> Что за ерунда?
>> Поправил тривиальным субстом.
>>
>> 2. Некоторые записи дублируются
>>   (вытягивал зоны не из файлов, а посредством dig)
>> Покоцал дубликаты вручную.
>>
>> Результирующий zones.ldif мой slapadd скушал аж с причмокиванием.
> Результат работы zone2ldap кушается ldapadd без единого возражения! Вы
> уверены в своих действиях?

Хм. Я посредством slapadd скармливал. Видимо, зря.

_________________________________
С уважением,
Вадим Илларионов
системный администратор
ООО "Новые Системы Телеком"
UIN: 7899517
JID: master at usib dot irkps dot ru
Телефоны:
- рабочий    +7 495 6414045+5885
- мобильный  +7 916 3889337