Redes de Computadores III DNS (Domain Naming System) Professor Eduardo Maroñas Monks Faculdade de Tecnologia SENAC Pelotas/RS Curso Superior de Tecnologia em Redes de Computadores

SUMÁRIO Prof. Eduardo M. Monks - Redes de Computadores III 2 HistóricoHistórico ObjetivosObjetivos ComponentesComponentes FuncionalidadesFuncionalidades ProtocoloProtocolo AplicaçõesAplicações SegurançaSegurança Referências BibliográficasReferências Bibliográficas

Histórico Prof. Eduardo M. Monks - Redes de Computadores III 3 No início da ARPANET, começou a ser necessária uma forma mais fácil de encontrar os hosts do que endereços numéricosNo início da ARPANET, começou a ser necessária uma forma mais fácil de encontrar os hosts do que endereços numéricos Foi criado um arquivo com o nome de HOSTS.TXT que continha o mapeamento entre endereços e nomesFoi criado um arquivo com o nome de HOSTS.TXT que continha o mapeamento entre endereços e nomes Este arquivo era mantido pelo SRI’s NIC (Stanford- Research-Institute: Network-Information-Center)Este arquivo era mantido pelo SRI’s NIC (Stanford- Research-Institute: Network-Information-Center) Os administradores enviavam as mudanças de endereços e nomes para o SRI NICOs administradores enviavam as mudanças de endereços e nomes para o SRI NIC O SRI NIC atualiza periodicamente o arquivo HOSTS.TXTO SRI NIC atualiza periodicamente o arquivo HOSTS.TXT Os administradores de rede faziam o download por FTP do arquivo HOSTS.TXTOs administradores de rede faziam o download por FTP do arquivo HOSTS.TXT

Histórico Prof. Eduardo M. Monks - Redes de Computadores III 4 Com o aumento no número de hosts, o arquivos HOSTS.TXT começou a apresentas problemas:Com o aumento no número de hosts, o arquivos HOSTS.TXT começou a apresentas problemas: Escalabilidade (tráfego e carga no repositório)Escalabilidade (tráfego e carga no repositório) Colisões de nomesColisões de nomes Inconsistência do arquivoInconsistência do arquivo Em 1984, Paul Mockapetris disponibilizou as primeiras RFCs (882 e 883) do DNSEm 1984, Paul Mockapetris disponibilizou as primeiras RFCs (882 e 883) do DNS As RFCs 1034 e 1035 foram as sucessoras e as melhorias continuam…As RFCs 1034 e 1035 foram as sucessoras e as melhorias continuam… A motivação inicial foi a organização do serviço de e- mailA motivação inicial foi a organização do serviço de e- mail Dificuldade para encontrar a caixa postal a qual entregar o Dificuldade para encontrar a caixa postal a qual entregar o O primeiro domínio no DNS foi isi.edu (Information Sciences Institute)O primeiro domínio no DNS foi isi.edu (Information Sciences Institute) Entrevista com Paul Mockapetris -

Objetivos Prof. Eduardo M. Monks - Redes de Computadores III 5 DNS (Domain Name System)DNS (Domain Name System) Sistema de gerenciamento de nomes hierárquico e distribuídoSistema de gerenciamento de nomes hierárquico e distribuído Protocolo de camada de aplicaçãoProtocolo de camada de aplicação Baseado em cliente/servidorBaseado em cliente/servidor Cliente solicita ao servidor de nomes a resolução de nome para endereçoCliente solicita ao servidor de nomes a resolução de nome para endereço Complexidade na “borda” da redeComplexidade na “borda” da rede FuncionalidadesFuncionalidades Nomes canônicos e alias (apelidos)Nomes canônicos e alias (apelidos) Definição de servidor de por domínioDefinição de servidor de por domínio Distribuição de carga (WWW, DNS)Distribuição de carga (WWW, DNS)

Componentes Prof. Eduardo M. Monks - Redes de Computadores III 6 Servidores RaizServidores Raiz São contatados pelos servidores de nomes locais que não podem resolver um nomeSão contatados pelos servidores de nomes locais que não podem resolver um nome Servidores de nomes raiz:Servidores de nomes raiz: Buscam servidores de nomes autorizados se o mapeamento do nome não for conhecidoBuscam servidores de nomes autorizados se o mapeamento do nome não for conhecido Conseguem o mapeamentoConseguem o mapeamento Retornam o mapeamento para o servidor de nomes localRetornam o mapeamento para o servidor de nomes local Haviam 13 servidores de nomes raiz no mundo, mas devido a ataques de DDOS…

Componentes Prof. Eduardo M. Monks - Redes de Computadores III 7 Servidores top-level domain (TLD):Servidores top-level domain (TLD): Responsáveis pelos domínios com, org, net, edu etc. e todos os domínios top-level nacionais (ccTLD – Country Code TLD): br, ar, uk, fr, ca, jp...Responsáveis pelos domínios com, org, net, edu etc. e todos os domínios top-level nacionais (ccTLD – Country Code TLD): br, ar, uk, fr, ca, jp... Network Solutions mantém servidores para o TLD “com” TLDNetwork Solutions mantém servidores para o TLD “com” TLD Educause para o TLD “edu”Educause para o TLD “edu” No Brasil, é Comitê Gestor da Internet no Brasil, a parte operacional é no Registro.br ( Brasil, é Comitê Gestor da Internet no Brasil, a parte operacional é no Registro.br ( Servidores DNS autorizadosServidores DNS autorizados Servidores DNS de organizações, provêem mapeamento de nomes para endereços de forma autorizada no domínio da organização (ex.: Web e mail).Servidores DNS de organizações, provêem mapeamento de nomes para endereços de forma autorizada no domínio da organização (ex.: Web e mail). Podem ser mantidos por uma organização ou provedor de serviçosPodem ser mantidos por uma organização ou provedor de serviços Lista de TLDs no Brasil ccTLD (IANA) -

Prof. Eduardo M. Monks - Redes de Computadores III 8 Servidor de nomes localServidor de nomes local Não pertence estritamente a uma hierarquiaNão pertence estritamente a uma hierarquia Cada ISP (ISP residencial, companhia, universidade) possui umCada ISP (ISP residencial, companhia, universidade) possui um Também chamado de “servidor de nomes default”Também chamado de “servidor de nomes default” Quando um host faz uma pergunta a um DNS, a pergunta é enviada para seu servidor DNS localQuando um host faz uma pergunta a um DNS, a pergunta é enviada para seu servidor DNS local Funciona como um proxy, encaminhando as perguntas para dentro da hierarquia de servidoresFunciona como um proxy, encaminhando as perguntas para dentro da hierarquia de servidores Componentes

Funcionalidades Prof. Eduardo M. Monks - Redes de Computadores III 9 Cliente quer o IP do domínio quer o IP do domínio Cliente consulta o servidor local de DNS; Se estiver no cache responde localmente;Cliente consulta o servidor local de DNS; Se estiver no cache responde localmente; Caso contrário, o Cliente ou o Servidor local, consulta os servidores raiz para encontrar o servidor DNS responsável pelos domínios.comCaso contrário, o Cliente ou o Servidor local, consulta os servidores raiz para encontrar o servidor DNS responsável pelos domínios.com Cliente ou Servidor Local consulta o servidor DNS.com para obter o servidor de DNS autoritário para amazon.comCliente ou Servidor Local consulta o servidor DNS.com para obter o servidor de DNS autoritário para amazon.com Cliente ou Servidor Local consulta o servidor de DNS amazon.com para obter o endereço IP de ou Servidor Local consulta o servidor de DNS amazon.com para obter o endereço IP de Cliente e Servidor Local armazenam em cache o resultado da consultaCliente e Servidor Local armazenam em cache o resultado da consulta

Funcionalidades Prof. Eduardo M. Monks - Redes de Computadores III 10 O hospedeiro em cis.poly.edu quer o endereço IP para gaia.cs.umass.eduO hospedeiro em cis.poly.edu quer o endereço IP para gaia.cs.umass.edu

Funcionalidades Prof. Eduardo M. Monks - Redes de Computadores III 11 Consulta recursiva:Consulta recursiva: Transfere a tarefa de resolução do nome para o servidor de nomes consultadoTransfere a tarefa de resolução do nome para o servidor de nomes consultado Carga pesada?Carga pesada? Consulta encadeada:Consulta encadeada: Servidor contatado responde com o nome de outro servidor de nomes para contatoServidor contatado responde com o nome de outro servidor de nomes para contato “Eu não sei isto, mas pergunte a este servidor”“Eu não sei isto, mas pergunte a este servidor”

Funcionalidades Prof. Eduardo M. Monks - Redes de Computadores III 12 CacheCache Uma vez que um servidor de nomes apreende um mapeamento, ele armazena o mapeamento num registro do tipo cacheUma vez que um servidor de nomes apreende um mapeamento, ele armazena o mapeamento num registro do tipo cache Registros do cache tornam-se obsoletos (desaparecem) depois de um certo tempo Registros do cache tornam-se obsoletos (desaparecem) depois de um certo tempo Servidores TLD são tipicamente armazenados em cache nos servidores de nome locais Servidores TLD são tipicamente armazenados em cache nos servidores de nome locais Mecanismos de atualização e notificação estão sendo projetados pelo IETFMecanismos de atualização e notificação estão sendo projetados pelo IETF RFC 2136RFC charter.htmlhttp:// charter.htmlhttp:// charter.htmlhttp:// charter.html

Funcionalidades Prof. Eduardo M. Monks - Redes de Computadores III 13 Tipos de registrosTipos de registros base de dados distribuída que armazena registros de recursos (RR)base de dados distribuída que armazena registros de recursos (RR) formato dos RR: (name, value, type, ttl)formato dos RR: (name, value, type, ttl)  Type = NS  name é um domínio (ex.: foo.com)  value é o endereço IP do servidor de nomes autorizados para este domínio Type = A  Type = A  name é o nome do computador  value é o endereço IP  Type = CNAME  name é um “apelido” para algum nome “canônico” (o nome real) é realmente é realmente servereast.backup2.ibm.com servereast.backup2.ibm.com  value é o nome canônico  Type = MX  value é o nome do servidor de correio associado com name

Protocolo Prof. Eduardo M. Monks - Redes de Computadores III 14 Protocolo DNS: mensagem de consulta e resposta, ambas com o mesmo formato de mensagemProtocolo DNS: mensagem de consulta e resposta, ambas com o mesmo formato de mensagem Cabeçalho da mensagemCabeçalho da mensagem Identificação: número de 16 bits para consulta, resposta usa o mesmo númeroIdentificação: número de 16 bits para consulta, resposta usa o mesmo número Flags:Flags: Consulta ou respostaConsulta ou resposta Recursão desejadaRecursão desejada Recursão disponívelRecursão disponível Resposta é autorizadaResposta é autorizada

Protocolo Prof. Eduardo M. Monks - Redes de Computadores III 15 Exemplo: empresa recém-criada “Network Utopia”Exemplo: empresa recém-criada “Network Utopia” Registrar o nome networkutopia.com num “registrar” (ex.: Network Solutions)Registrar o nome networkutopia.com num “registrar” (ex.: Network Solutions) É necessário fornecer ao registrar os nomes e endereços IP do seu servidor nomes autorizados (primário e secundário)É necessário fornecer ao registrar os nomes e endereços IP do seu servidor nomes autorizados (primário e secundário) Registrar insere dois RRs no servidor TLD do domínio com:Registrar insere dois RRs no servidor TLD do domínio com: (networkutopia.com, dns1.networkutopia.com, NS)(networkutopia.com, dns1.networkutopia.com, NS) (dns1.networkutopia.com, , A)(dns1.networkutopia.com, , A) No servidor autorizado, inserir um registro Tipo A para e um registro Tipo MX para networkutopia.comNo servidor autorizado, inserir um registro Tipo A para e um registro Tipo MX para networkutopia.com

Protocolo Prof. Eduardo M. Monks - Redes de Computadores III 16 Programa do usuário solicita endereço IP para um nome de domínio;Programa do usuário solicita endereço IP para um nome de domínio; Módulo tradutor (resolver) no host ou ISP local formula consulta para servidor de nomes local (mesmo domínio do tradutor);Módulo tradutor (resolver) no host ou ISP local formula consulta para servidor de nomes local (mesmo domínio do tradutor); Servidor de nomes local verifica banco de dados/cache local;Servidor de nomes local verifica banco de dados/cache local; se encontrado, retorna endereço IP ao solicitante;se encontrado, retorna endereço IP ao solicitante; se não encontrado, consulta outros servidores de nomes disponíveis, começando pela raiz da árvore do DNS ou o mais alto possível na árvore;se não encontrado, consulta outros servidores de nomes disponíveis, começando pela raiz da árvore do DNS ou o mais alto possível na árvore; Quando a resposta é recebida, o servidor de nomes local armazena o mapeamento nome/endereço no cache local;Quando a resposta é recebida, o servidor de nomes local armazena o mapeamento nome/endereço no cache local; Programa do usuário recebe endereço IP ou mensagem de erro.Programa do usuário recebe endereço IP ou mensagem de erro.

Protocolo Prof. Eduardo M. Monks - Redes de Computadores III 17 Consulta começa com tradutor de nomes localizado no sistema host do usuárioConsulta começa com tradutor de nomes localizado no sistema host do usuário Se o nome solicitado não estiver no cache, é enviada uma consulta ao servidor de DNS localSe o nome solicitado não estiver no cache, é enviada uma consulta ao servidor de DNS local retorna um endereço imediatamente, ouretorna um endereço imediatamente, ou retorna endereço após consultar outros servidoresretorna endereço após consultar outros servidores Dois tipos de consultas possíveisDois tipos de consultas possíveis RecursivaRecursiva IterativaIterativa

Protocolo Prof. Eduardo M. Monks - Redes de Computadores III 18 Busca recursiva para obter a resolução do nome gaia.cs.umass.eduBusca recursiva para obter a resolução do nome gaia.cs.umass.edu Host requisitante surf.eurecom.fr Servidor de nomes local dns.eurocom.fr Servidor de Nome Raiz Servidor de nomes autoritário (Authoritative) dns.umass.edu gaia.cs.umass.edu

Protocolo Prof. Eduardo M. Monks - Redes de Computadores III 19 Busca recursiva com um servidor intermediário entre o servidor raiz e o servidor autoritárioBusca recursiva com um servidor intermediário entre o servidor raiz e o servidor autoritário 1 2 Host requisitante surf.eurecom.fr Servidor de nomes local dns.eurocom.fr Servidor de Nome Raiz Servidor de nomes intermediário dns.umass.edu Gaia.cs.umass.edu Servidor de nomes autoritário (Authoritative) dns.umass.edu

Protocolo Prof. Eduardo M. Monks - Redes de Computadores III 20 Busca recursiva com um servidor intermediário entre o servidor raiz e o servidor autoritárioBusca recursiva com um servidor intermediário entre o servidor raiz e o servidor autoritário 1 2 Host requisitante surf.eurecom.fr Servidor de nomes local dns.eurocom.fr Servidor de Nome Raiz Servidor de nomes intermediário dns.umass.edu Gaia.cs.umass.edu Servidor de nomes autoritário (Authoritative) dns.umass.edu

Aplicações Prof. Eduardo M. Monks - Redes de Computadores III 21 Clientes e servidores de DNS existem para a maioria dos sistemas operacionais.Clientes e servidores de DNS existem para a maioria dos sistemas operacionais. Nos sistemas operacionais, existe, pelo menos, um cliente (resolver) nativoNos sistemas operacionais, existe, pelo menos, um cliente (resolver) nativo No Linux, a implementação mais comum é o ISC BIND para servidorNo Linux, a implementação mais comum é o ISC BIND para servidor No Windows, o MS DNS Server é o mais utilizadoNo Windows, o MS DNS Server é o mais utilizado Atualmente, todos os modens/roteadores ADSL possuem uma implementação de servidor DNS para cache (DNS Relay)Atualmente, todos os modens/roteadores ADSL possuem uma implementação de servidor DNS para cache (DNS Relay) Exemplo de configuração do ISC BIND

Aplicações Prof. Eduardo M. Monks - Redes de Computadores III 22 Cliente DNS (resolver)Cliente DNS (resolver) Responsável por solicitar as consultas ao servidorResponsável por solicitar as consultas ao servidor No Microsoft Windows e no Linux, o utilitário nslookup possui funcionalidades para diagnóstico do serviço de DNSNo Microsoft Windows e no Linux, o utilitário nslookup possui funcionalidades para diagnóstico do serviço de DNS No Linux, o utilitário dig substituiu o nslookup na distribuições mais recentesNo Linux, o utilitário dig substituiu o nslookup na distribuições mais recentes

Segurança Prof. Eduardo M. Monks - Redes de Computadores III 23 Problemas de segurança mais comuns ao serviço de DNS :Problemas de segurança mais comuns ao serviço de DNS : Ataques de negação de serviço (DOS – Denial of Service)Ataques de negação de serviço (DOS – Denial of Service) Clientes ficam impossibilitados de resolver nomesClientes ficam impossibilitados de resolver nomes Se o usuário souber o IP do host destino, poderá acessar sem problemas. Você sabe o IP do Terra de cabeça?Se o usuário souber o IP do host destino, poderá acessar sem problemas. Você sabe o IP do Terra de cabeça? Envenenamento de DNSEnvenenamento de DNS Enganar o cache do DNS e forçar a resolução de nomes para um IP maliciosoEnganar o cache do DNS e forçar a resolução de nomes para um IP malicioso Os usuários poderiam ser direcionados para qualquer endereço que o atacante desejasse, mesmo buscando de forma correta o domínioOs usuários poderiam ser direcionados para qualquer endereço que o atacante desejasse, mesmo buscando de forma correta o domínio Conhecida como Kaminsky Vulnerabilty ( vuln.html)Conhecida como Kaminsky Vulnerabilty ( vuln.html) vuln.htmlhttp://unixwiz.net/techtips/iguide-kaminsky-dns- vuln.html

Referências Bibliográficas Prof. Eduardo M. Monks - Redes de Computadores III 24 RFC DOMAIN NAMES - CONCEPTS AND FACILITIESRFC DOMAIN NAMES - CONCEPTS AND FACILITIES RFC 1035 – DOMAIN NAMES - IMPLEMENTATION AND SPECIFICATIONRFC 1035 – DOMAIN NAMES - IMPLEMENTATION AND SPECIFICATION Serviço WHOIS da ARIN - WHOIS da ARIN - Serviço WHOIS da RIPE - WHOIS da RIPE - Serviço WHOIS da APNIC - info/whois_search2Serviço WHOIS da APNIC - info/whois_search2http:// info/whois_search2http:// info/whois_search2 Arquivos HOSTS.TXT antigos - ev83b-bm/01/new-system/hosts.txt.htmlArquivos HOSTS.TXT antigos - ev83b-bm/01/new-system/hosts.txt.htmlhttp://pdp-10.trailing-edge.com/bb- ev83b-bm/01/new-system/hosts.txt.htmlhttp://pdp-10.trailing-edge.com/bb- ev83b-bm/01/new-system/hosts.txt.html Servidores Raiz (IANA) - Raiz (IANA) Informações e localização dos servidores raiz - servers.org/Informações e localização dos servidores raiz - servers.org/ servers.org/ servers.org/ Os cinco piores incidentes de segurança no serviço DNS - incidentsOs cinco piores incidentes de segurança no serviço DNS - incidents incidents incidents ALBITZ, Paul; LIU, Cricket. DNS and BIND. 4th edition, O’Reilly, 2001.ALBITZ, Paul; LIU, Cricket. DNS and BIND. 4th edition, O’Reilly, 2001.