TANet DNS及 Mail Server 系統規劃、維護與管理 期初報告:

Presentation on theme: "TANet DNS及 Mail Server 系統規劃、維護與管理 期初報告:"— Presentation transcript:

1 TANet DNS及 Mail Server 系統規劃、維護與管理 期初報告: 89.07.11
執行單位: 交通大學計算機與網路中心

2 內容概要 DNS 系統建置規劃與管理 系統建置規劃與管理 相關課題 附錄 – case study

3 1. DNS 系統課題 DNS 系統建置規劃與管理 因應網路攻擊 多國語言 mDNS 系統測試

4 1.1. DNS server 規劃需求 Availability/Reliability Load sharing/balancing
Scalability 防治網路入侵攻擊

5 1.2. DNS Server Hosts 配置與規劃(1)
主機系統選擇 ( platform/OS ) Unix , Windows NT, OS/2, ... 現階段, 仍以 Unix 為佳 硬體設備需求 主要 memory size, 原則是 named 將 90% 以上的 dns query 放在 RAM 中 caching 起來, 不需用到 swap. 目前而言, 建議 64Mb 以上, 專屬系統 系統軟體 ( BIND/named, ... ) 盡量使用最新版的軟體

6 1.2 DNS Server Hosts 配置與規劃 (2)
網路位址 (多重 servers) master/slave server host 分離, 放在不同的網路區段, 當然如果能放在不同單位, 通常更好. 例如, Slave server 建置於區網/縣網中心 重要 services 使用, 建立獨立的 caching servers 將一般用戶使用和 server 專用者區隔開來 proxy server, mail server 等 因應入侵攻擊, 以及不可預期的錯誤 實際案例 ( 課堂作業可能拖垮校園網路)

7 1.3. DNS 管理者的基本任務 - 掌理及定義資訊 網域授權 (domain zone -> NS RR)
網域名稱 ( domain name -> A RR) telnet bbs.cis.nctu.edu.tw 電子郵件交換 ( mail exchange -> MX RR) mail 網址對應 (pointer -> PTR RR) > ns1.nctu.edu.tw 常用別名 (alias naming -> CNAME RR) proxy.nctu.edu.tw -> wproxy1.nctu.edu.tw 其他功能

8 . Fig.1 DNS 運作基本架構圖 root servers gov, mil . . . INT tw Arpa
com, org,net cn,hk,.. NSAP IP6 gov,mil in-addr net edu org 203 192 . .. com 140 www ncku nctu 113 hc hgsh 127 ee 114 cc nehs cis ... ns1 6 hchs 250 bbs ... mail www .. ccserv2 2 ccserv2.cc.nctu.edu.tw <=> Fig.1 DNS 運作基本架構圖

9 1.4. DNS server list of “NCTU.edu.tw “
master/slave server 的差別 ? 如何分工 ? 目前 domain zone “NCTU.edu.tw” 登記有 4 個 DNS servers (*) ns.nctu.edu.tw / (primary/master) ns1.nctu.edu.tw / (secondary/slave) ns2.nctu.edu.tw / (secondary/slave) ns3.nctu.edu.tw / (臨時增加) master/slave servers 最好分佈在不同的 sub-nets

10 1.5. DNS/BIND Security 問題 BIND 最新的正式版本 8.2.2-P5
(released) BIND/named Security issues Buffer overflow 與 CNAME bug 等嚴重問題 參考 CERT 相關網頁報告 ( CERT Advisory ) Upgrade 到最新版本

11 1.5.1 DNS 設定與入侵嘗試 特定對象的入侵 尋找不特定的入侵對象 DNS zone transfer 設限
buffer overflow 等系統問題 尋找不特定的入侵對象 forward & reverse domain zone scanning DNS zone transfer 設限 阻擋不特定的目標搜索

12 1.5.2. DoS Network Attack via DNS
DNS 放大攻擊 ( DNS ACL) 假造 IP 封包 ( Router ACL) 疏緩之道 個別 DNS 設限

13 Fig 2 經由 DNS 的網路流量放大攻擊 Q: zone transfer Dn: n 是一個很大數目
A: 攻擊者 ( Attacker) Q(1) Q(n) D1 D2 Dn R(1) R(2) R(n) V: 被攻擊者 ( Victum)

14 1.5.3. DNS server 設限 BIND 8.x /etc/named.conf 的相關片段 // 省略
options { directory /var/named; allow-transfer { none; // 原則上, 阻擋所有 不相干的 zone transfer }; allow-query { Trusted-IP}; // 僅允許鄰近地區的使用者 // 省略 zone “nctu.edu.tw” { type master ; file “Zone-NCTU” ; allow-query { any; }; allow-transfer { ; ; // 允許 slave/secondary server zone “ in-addr.arpa” { ….

15 1.6. mDNS 測試(1) 建立兩個 測試 server Porting issues 中文 input tools
mdns1.nctu.edu.tw ( ) OS: FreeBSD 3.4-stable mdns2.nctu.edu.tw ( ) OS: FreeBSD 4.0-stable Porting issues Bind versions Vendors/OS 中文 input tools

16 1.6 mDNS 測試 (2) Zone transfer ( server-server )
mdns1.nctu.edu.tw ( master ) mdns2.nctu.edu.tw ( slave) dig 查詢 ( client-server ) ‘資工.交大.教育.tw’

17 2. Mail server 規劃需求 Reliability Load sharing/balancing Scalability
Mail Delivery Issues Anti-SPAM Issues Anti-virus Issues

18 2.1 E-mail 系統規劃原則 出入的 Mail 分流 E-mail, 收/送系統分開 兩段式, 的 e-mail 收送系統
增加系統彈性 提昇系統整體使用效能 兩段式, 的 收送系統 使用 mail relay/forwarder 有效提昇頻寬利用 提昇系統的穩定度 (availability/reliability) 加強系統安全管理

19 2.2 出入的 Mail 分流 分開不同機器 /usr/lib/sendmail –bd # incoming jobs
SMTP Server (outgoing) POP3/IMAP Server ( incoming ) 同一機器, 但 incoming 與 outgoing 經由不同 process /usr/lib/sendmail –bd # incoming jobs /usr/lib/sendmail -q30m # outgoing jobs

20 2.3 Incoming Mail 系統的規劃 使用 Mail Relay DNS 上 的相關配合設定
; 最終目的地 ==> cc.nctu.edu.tw. IN MX 10 mgate.nctu.edu.tw. ; mail relay ==> 宜善加利用, 可作為“備援與轉接”之用 cc.nctu.edu.tw. IN MX 20 m-relay.nctu.edu.tw. ;

21 2.4.1 Outgoing Mail 的轉送 (1) - Smart Relay + Mailer-table
Sendmail (Smart Relay) /etc/mail/sendmail.cf # Smart Relay DSm-fwd.nctu.edu.tw:m-relay.nctu.edu.tw

22 2.4.2 Outgoing Mail的轉送 (2) - Smart Relay + Mailer-table
Sendmail (Mailertable) /etc/mail/mailertable # DNS MX lookup cc.nctu.edu.tw smtp:ccms.nctu.edu.tw # No DNS MX lookup cc.nctu.edu.tw smtp:[math.nctu.edu.tw]

23 2.5. Mail Relay/Forwarder 的設立與管理
建立聯防體系 提供 relay/forwarder 列表, 處理誤用情況

24 Mail 的接收- 混成傳送模式 Internet 區網中心 Mail Relay
Fig.3 Hybrid Internet Mail Delivery

25 Mail 的接收- 轉送模式 Internet Fig.4 Mail aliasing/forwarding
Campus Mail Forwarding server Internet Fig.4 Mail aliasing/forwarding Grade-90 Mail Server Grade-89 Mail Server

26 Mail 的寄送- 間接傳送模式 Internet 區網中心 Mail Relay
Fig.5 Indirect Internet Mail Delivery Local SMTP Server

27 2.6. SPAM Mail & DNS SPAM Mail <=> UCE/UBE (不請自來) UCE/UBE 散佈途徑
UCE = Unsolicited Commercial UBE = Unsolicited Bulk UCE/UBE 散佈途徑 名單收錄 www homepage, USENET news articles account password files on individual servers 其他不當途徑 ( program bug, 招募會員活動, …) 找尋管理較鬆散的 mail relay Domain Zone scanning ( DNS) URL scanning (web pages )

28 2.6.2. Anti SPAM Mail & DNS ACL SMTP server upgrade/patch DNS 設ACL
限定 mail relaying 對象 DNS 設ACL 可相當程度阻擋不特定的 relay 嘗試 系統管理人員介入 聯絡相關系統的管理人員 rbl 建立 (Real-time Block List )

29 Fig.6 Anti-SPAM & Anti-virus Mail 流程示意(二)
Mail Server Internet Mail 暫存區 sendmail 掃毒軟體 POP3/IMAP server Mail spool 用戶 PC Netscape/MS-IE 用戶 Mail 存放區 掃毒軟體

30 3. Todo List 建立DNS/Mail server 示範網站 網路流量分析與追蹤 (netflow) 建立聯防資訊系統
區網與縣市網工作配合事項 Dnswalk, anti-spam mail

31 3.1. 網路流量分析與追蹤 了解正常的 DNS 與 SMTP 流量 (netflow) 流量異常的可能原因 系統工作或設定不正常
系統被入侵, 當作攻擊他站的跳板 系統被偽裝使用 e.g. 以 tcp port 跑其他非 DNS 程式 其他

32 3.2. 問題處理與追蹤 各單位聯絡 e-mail address (Internet 慣例)
例如,

33 3.3. 建立聯防管理系統 落實 contact person/address 共享管理資訊
Online alert information Offline probing/scanning Dnswalk [DNS/bind] Anti-spam probing [SMTP]

34 附錄- DNS/Mail 系統個案研究 mbox@xyz.com.tw 轉到 德國某公司 WINS 與 DNS 搭配問題
前幾年有 BBS/Mail, 戲稱要暗殺美國總統柯林頓 未即時處理, 引起軒然大波. 轉到 德國某公司 本地公司設定錯誤 回報到該公司, 該國的 CERT, 以及TWNIC WINS 與 DNS 搭配問題 網路攻擊的中途站( ) TANet 竹苗區網某校的 DNS server 被入侵

35 A.1.1 DNS & Mail - 烏龍事件 成因 舊版 BIND/named 有 bug 系統管理人員觀念不夠清楚
前幾年,有德國X公司反應, 持續不斷接收到, 許多應該是寄往台灣Y公司的 , 卻一直被轉往該公司. 因為收信的帳號不存在, 系統於是一直產生, user 不在的退信, 持續往系統管理信箱塞, 信件越累積越多, 導致server performance 大受影響. 由於該公司並無台灣分公司, 也找不出合理的解釋, 於是開始擔心有台灣的競爭對手, 想癱瘓他們網路的正常運作, 接下來只好採取正式的防衛行動, 透過正式的 CERT 向相關單位反應, ... 成因 舊版 BIND/named 有　bug 系統管理人員觀念不夠清楚 系統管理人員輸入資料時, IP address 打錯

36 A.1.2. DNS & Mail - 烏龍事件(續) 示意範例 $origin xyz.com.tw.
底下 IP address 與 domain name 都是隨意假定 這個 server 上的 BIND/named 有 bug $origin xyz.com.tw. Xyz.com.tw. IN MX mail.xyz.com.tw. Xyz.com.tw. IN MX 10 mail.ABC.net.tw. ; 錯誤 Mail.xyz.com.tw. In A mail.ABC.net.tw. IN A ; 設定錯誤 ;mail.ABC.net.tw. IN A ;台灣 ;mserver.ZYX.de IN A ;德國

37 A.2. WINS 與 DNS WINS 設定不當, 導致大量消耗可用頻寬 啟動 Negative Caching 功能
實例,過去 TANet 竹苗區網某一學校, 曾經發生 (MOECC newsletter, 參考 期 ) 儘量避免使用 啟動 Negative Caching 功能 自我保護 避免拖累網路大環境 請Upgrade 到最新版本 ( BIND 8.x 以後) 內建 Negative Caching

38 A.3. 竹苗區網 DNS server 入侵事件 某校在區網的網域, 登錄有兩個 DNS server
該 server-A 有 security hole, 被外來者闖入 入侵者, 持續透過該 server-A, 嘗試入侵國外網站 網域上層, 持續收到國外不同地方轉來的抱怨與求助 電話通知該校管理者處理. 後來轉維護廠家工程師. 將近一週, 仍無改善. 區網接手, 協助處理. 設 tcp_wrapper, 擋掉不明來源的連線.