Sicurezza Reti

Tutto (o quasi) lo scibile sulla sicurezza delle reti e dei server

Dns ridondati

Può capitare, se gestisci in autonomia i Dns dei tuoi domini usando un tuo server, che un problema di rete o del server stesso renda temporaneamente indisponibili TUTTI i siti e servizi, con conseguenti ripercussioni sul tuo lavoro e sui tuoi clienti.

Se a questo aggiungi la possibilità che potresti non accorgerti del problema prima di qualche ora (es. sei in vacanza, sei fuori ufficio ecc), il problema diventa molto serio.

Fortunatamente c’è una semplicissima soluzione per ovviare al 99% dei problemi di questo tipo: un server Dns secondario. Altrettanto fortunatamente non è affatto complicato da implementare (almeno nella maggior parte dei casi).

Se usi Webmin come pannello di controllo del tuo server E ne hai almeno un altro a disposizione, l’operazione non richiede più di qualche minuto.

Sul server “primario”, accedi a Webmin, recati nella sezione “Webmin” e successivamente alla voce “Elenco dei server Webmin”. Qui, se non l’hai già fatto, clicchi su ” Registra un nuovo server” e compila i campi del Nome del server secondario (dominio!), della relativa porta webmin, del tipo di server, se gira in SSL o meno e soprattutto del “Collegati tramite Webmin con nome utente e password”, sezione nella quale dovrai inserire i dati di accesso al Webmin “secondario”.

Salva e verifica che sia andato tutto a buon fine e che il “primario” sia in grado di connettersi (clicca su “edit” e, sotto le voci appena viste, apaprirà qualcosa del tipo “Stato del server: E’ in esecuzione Webmin 1.770”).

Se i due server riescono a comunicare, sempre sul “primario” vai nella sezione “Server” e da qui su “BIND DNS Server”. Clicca quindi su “Cluster Slave Servers” e compila i campi relativi, prestando particolare attenzione ai valori relativi alla replicazione (DEVONO essere impostati a “Sì”).

Salva, applica, riavvia il server Dns su entrambi i server (prima il “primario”, poi il “secondario”) e verifica che sul “secondario” siano presenti le zone che hai configurato sul “primario”. Come noterai sono tutte, ovviamente, zone “slave”, quindi quando aggiorni sul “primario”, se il tutto è ben configurato, vedrai automaticamente riflesse sul “secondario” le modifiche.

Questo piccolissimo e facilissimo “trucco” ti permette di poter sopportare un “down” del primario senza vedere offline i siti e i servizi.

Piccolo particolare non trascurabile…nei tuoi domini avrai impostato almeno due record ns standard, validi per tutti (es: ns1.tuodominio.it e ns2.tuodominio.it) che, generalmente, puntano o allo stesso IP, cosa di per sè assolutamente sbagliata!, o a due IP diversi MA sullo stesso server o subnet (altra cosa di per sè sbagliata, ma meno grave della precedente). Per avere ridondanza, almeno uno dei due NS DEVE puntare al nuovo server, al “secondario”, in modo che se il “primario” cade o diventa irraggiungibile, i Dns padre si rivolgono al secondario…*

Ovviamente è sempre bene ricordare che questa configurazione è MINIMALE, cioè NON garantisce la sicurezza necessaria ai trasferimenti delle zone NE’ tantomeno ti mette al riparo da trasferimenti e aggiornamenti non voluti (da te….ma voluti magari da un hacker….).

A tale proposito conviene che approfondisci almeno gli argomenti delle “Chiavi DNS”, delle “Access Control List”,  e dei “DNSSEC Verification”.

 

* ns1 = 123.456.789.1, ns2 = 123.456.789.2
Se cade il server, entrambi i NS sono irraggiungibili perchè sullo stesso server. Se cade la rete, entrambi i NS sono irraggiungibili perchè appunto…è fuori uso la rete. Se invece ns2 = 234.567.890.1 (altro server, altra rete, altro provider) allora se cade il primario, il secondario può essere interrogato e risponderà con le ultime informazioni che ha recuperato dal primario, rendendo così i servizi e i siti raggiungibili senza grossi problemi … sempre che servizi e siti siano su un ULTERIORE ALTRO server … e sempre che per sfiga non ci siano problemi anche sul secondario o su quello dedicato a siti e servizi ……… 😀

Sicurezza Reti © 2015 Frontier Theme