Forum |  HardWare.fr | News | Articles | PC | S'identifier | S'inscrire | Shop Recherche
3725 connectés 

  FORUM HardWare.fr
  Windows & Software

  Serveur Mail interne et DNS externe... explication

 
 


Dernière réponse
Sujet : Serveur Mail interne et DNS externe... explication
mikala

olicel a écrit :

c'est bind  9.2.0 que j'ai pas 9.0.2 , trompé  :(  
 
Donc c bon je peux le garder OUF !


faut mettre la 9.2.2 :o
(enfin si tu suis les recommandations  
 

Name: "DoS internal consistency check"
Versions affected:
   
All BIND 9 version prior to 9.2.1
Severity:
   
SERIOUS
Exploitable:
   
Remotely
Type:
   
Denial of Service
 
Description:
When chasing additional data chains in a response it is possible to trigger an internal consistency check.  
Workarounds / fix:
Upgrade to 9.2.1.

 
voila :o
bref lis toute la page : http://www.isc.org/products/BIND/bind-security.html ;)


Votre réponse
Nom d'utilisateur    Pour poster, vous devez être inscrit sur ce forum .... si ce n'est pas le cas, cliquez ici !
Le ton de votre message                        
                       
Votre réponse
[b][i][u][strike][spoiler][fixed][cpp][url][email][img][*]   
 
   [quote]
 
Options

 
Vous avez perdu votre mot de passe ?


Vue Rapide de la discussion
mikala

olicel a écrit :

c'est bind  9.2.0 que j'ai pas 9.0.2 , trompé  :(  
 
Donc c bon je peux le garder OUF !


faut mettre la 9.2.2 :o
(enfin si tu suis les recommandations  
 

Name: "DoS internal consistency check"
Versions affected:
   
All BIND 9 version prior to 9.2.1
Severity:
   
SERIOUS
Exploitable:
   
Remotely
Type:
   
Denial of Service
 
Description:
When chasing additional data chains in a response it is possible to trigger an internal consistency check.  
Workarounds / fix:
Upgrade to 9.2.1.

 
voila :o
bref lis toute la page : http://www.isc.org/products/BIND/bind-security.html ;)

olicel c'est bind  9.2.0 que j'ai pas 9.0.2 , trompé  :(  
 
Donc c bon je peux le garder OUF !
olicel ok ca roule.
 
Merci beaucoup, c plus clair comme ca.
Au final, j'ai plus qu'a configuré les views, le reste etait deja fait.
 
@+
mikala

  • bah tu m'as dis que ton registar gérais ton domaine non ?

si oui les dns interrogés seront ceux indiqués par ton registar (les siens en l'occurence ) & pas  les tiens : je parle la pour le reste de l'internet, en ce qui concerne ton réseau si une machine demande des infos a ton dns  sur le domaine sus-cité & que ton dns soit configuré comme maitre sur ce domaine les choses s'arreteront a cette étape
en gros pour faire simple :
 
Si je fais une requete sur ton domaine , celle ci est transmise a mon dns , il regarde si il est maitre ou a en cache cette zone, si oui il me réponds si c'est non , il va demander aux roots qui gere la zone .fr puis au dns gérant le .fr qui gere ton domaine pour enfin finir par poser sa question au(x) dns gérant ton domaine ( en l'occurence ici d'apres ce que tu m'as dis ceux de ton registar ).
Dans ton cas a toi c'est la meme chose en interne sauf que comme tu auras configuré ton serveur comme étant maitre pour la zone on s'arrete bcp plus haut au niveau de la récursion ( sous réserve bien sur que la machine interroge ton dns  en premier, si elle interroge ton FAI ca marche plus, elle aura la 'vraie' zone ).

  • Les views  

Ici il s'agit d'une option tres interresante de bind , en effet dans ce cas tu configures bind pour répondre différemment en fonction des ips qui l'interrogent .
(on se trouve ici donc dans le cas ou tu es bien le dns primaire sur le whois fais sur ton domaine )
Bilan tu creeras deux zones 'différentes' , personnelement c'est ce que je fait car étant derriere un routeur matériel je ne peux pas réentrer avec mon ip a moins de passer par un proxy .  
je te mets un petit example de named.conf
 ;)
 

Code :
  1. //View local
  2. view "lan" {
  3. match-clients {
  4.  local;
  5.                 };
  6. notify no;
  8. zone "littleboboy.net"  {
  9. type master;
  10. file "zone/local/littleboboy.net";
  12. };
  13. zone "tafiole.net"  {
  14. type master;
  15. file "zone/local/tafiole.net";
  17. };
  18. zone "mikala.biz"  {
  19. type master;
  20. file "zone/local/mikala.biz";
  21. };
  23. zone "0.0.127.in-addr.arpa"  {
  24. type master;
  25. file "zone/reverse/127.0.0";
  27. };
  29. zone "0.168.192.in-addr.arpa"  {
  30. type master;
  31. file "zone/reverse/192.168.0";
  32.      
  33. };
  34. zone "." {
  35.         type hint;
  36.         file "zone/named.root";
  37. };
  39. };
  41. // Start default view
  42. view "default" {
  44. zone "." {
  45.         type hint;
  46.         file "zone/named.root";
  47. };
  50. zone "mikala.biz"  {
  51. type master;
  52. file "zone/mikala.biz";
  53. allow-transfer {
  54.   secondaires;
  55.   };
  56. };
  58. zone "tafiole.net"  {
  59. type master;
  60. file "zone/tafiole.net";
  61. allow-transfer {
  62.   secondaires;
  63.   };
  64. notify yes ;
  66. };
  67. zone "littleboboy.net"  {
  68. type master;
  69. file "zone/littleboboy.net";
  70. allow-transfer {
  71.   secondaires;
  72.   tichou;
  73.         };
  74.         notify yes;
  75. };
  77. zone "4.5.0.1.8.a.7.0.1.0.0.2.ip6.int" {
  78.       type master;
  79.       file "zone/reverse/littleboboy.ip6.int";
  80.       allow-transfer {
  81.              tichou;
  82.        };
  83. };
  85. zone "4.5.0.1.8.a.7.0.1.0.0.2.ip6.arpa" {
  86.       type master;
  87.       file "zone/reverse/littleboboy.ip6.arpa";
  88.      
  89. };
  90. zone "0.0.127.in-addr.arpa"  {
  91. type master;
  92. file "zone/reverse/127.0.0";
  93. };
  95. zone "0.168.192.in-addr.arpa"  {
  96. type master;
  97. file "zone/reverse/192.168.0";
  98. };
  100. };
  101. // End default view

 
j'ai défini bien sur les acl local , secondaires & tichou
les zones reverses pour 127.0.0.x & 192.168.0.x sont necessaires quand tu veux gérer une zone.fr ( va savoir pk ... ) du moins c'est dans le check de l'afnic ..
si tu gères des secondaires ( ce qui est mon cas ) tu les configureras bien sur dans la view ' default'
je t'invite a lire la petite doc en PDF & a installer aussi la derniere version de bind qui corrige certaines failles ;)

olicel je vais faire comme tu me dis rester master... de toute facon la table DNS va etre tres simple, j'ai que deux machines sur ma DMZ ...  :)
olicel bon donc tu me conseil de rester master de chmanosque.fr mais d'empecher la propagation vers d'auter serveur... et ca ne va gener en rien le fonctionnement du domaine ???
 
Ca m'arrangerais que ca marche ca, puisque j'etais deja configurer comme ca :D
 
c koi les views ??
mikala Sinon tu peux aussi ( si tu veux gérer ton domaine en master ) fonctionner avec des views ;)
mikala

olicel a écrit :

precisions... j'ai deux serveur DNS interne qui gere mon domaine HOPITAL et jusque la il gerait chmanosque.fr
 
deuxieme precision :
mes serveur DNS sous sous linux (BIND 9.02)


Bon il te faudrais upgrader le bind en 9.2.2 ( probleme de sécurité :p )
sinon tu peux tjs gruger & te mettre master sur ton dns interne pour la zone  concerné a savoir chmanosque.fr avec un allow-query situé sur ton réseau interne ( suffit de copier la zone que tu as chez ton registar ) avec un changement des ips ad hoc pour correspondre notamment pour le serveur de mail a son ip interne .

olicel precisions... j'ai deux serveur DNS interne qui gere mon domaine HOPITAL et jusque la il gerait chmanosque.fr
 
deuxieme precision :
mes serveur DNS sous sous linux (BIND 9.02)
olicel je precise ...
J'ai un serveur de mail interne sous postfix/linux.
Mon domaine public est chmanosque.fr, ainsi que les machines de ma DMZ evidement. Dont mon serveur postfix de messagerie.
En interne j'ai un domaine "hopital", sur lequel tourne mes pcs et mes serveur interne.
 
Donc pour s'envoyer des mails en interne, mes users utiliseront leur adresses public du genre dupont.m@chmanosque.fr sur le serveur de la DMZ
Or pour envoyer un mail sur chmanosque.fr il faut bien resoudre le nom du domaine chmanosque.fr... et son champ MX, donc sortir sur internet pour avoir acces au serveur DNS.
 
Si ma connexion internet tombe, cette resolution DNs n'aura plus lieu et on ne pourra meme plus s'envoyer des mail en interne.
 
Voila mon probleme.
A moins que je fasse quelques chose de travers... ce qui est possible :D
 
olivier
Jef34 Tes clients n'utiliseraient que le DNS externe ??
 
Pas de DNS interne ?
mikala Bah de secondaires dns tu n'en as pas besoins de masses non plus deux suffisent .
Ensuite la bp généré par un serveur dns n'est vraiment pas énorme .
Ensuite je n'ai pas compris ton probleme de requete dns  :/
si tu n'as pas de connexion internet , tu ne pourras pas faire la requete de toute maniere ...
Ton probleme ( qui n'en est pas un a mon avis ) de consommation de bp est ou ? de toute maniere tu devras résoudre les mails des autres domaines si tu envoies des mails a d'autres domaines .
Si tu précisais un peu plus ce que tu voulais faire cela serait pas mal ;)
Ah oui tu peux tres bien etre DNS primaire & utiliser comme dns secondaires ceux de ton registar ( c'est possible chez gandi ) voir ceux de ton fai ( c'est possible chez nerim ).
Saches encore une fois que cela ne consomme rien comme bande passante & que c'est assez simple a mettre en place ( tout du moins un BIND , en ce qui concerne le win2k avec dns je n'en ai aucune idée ( déja le truc de virer la zone "." me laisse pantois :D )
 
 
olicel salut,
 
J'ai un serveur de mail sur la DMZ de mon LAN.
Je vais connecter mon reseau a l'ADSL, et donc on m'a proposer d'heberger les serveur DNS de mon domain.
 
J'ai choisit cette solution pour eviter d'avoir a mettre en place plusieurs machines serveur DNS secondaire.
Mais je me pose une petite question....
 
Lorsque je vais essayer de faire un acces ( pour envoyer un mail, ou autre chose par exemple) la resolution DNS va faire appelle au serveur DNS de mon provider. Donc bouffer de la bande passante pour rien(puis en cas de panne de l'acces internet mon mail ne fonctionnera plus ....)
 
Comment faire alors ?? demander d'avoir un serveur esclave sur mon LAN .????
 
olivier

Forum MesDiscussions.Net, Version 2010.2
(c) 2000-2011 Doctissimo

Copyright © 1997-2025 Groupe LDLC (Signaler un contenu illicite / Données personnelles)