Bind 9.9 pkg 0.3RC para pfSense

marcelloc

O comando para editar o xml é viconfig, mas use ele com muito cuidado para não ferrar seu pfsense.

Sobre a configuração do bind, abre num novo tópico específico sobre o assunto. Desta forma facilita pesquisas futuras.

JackL

@marcelloc:

@marcioducrato:

quais seriam as vantagens e aplicabilidades desse pacote?

Em ambientes maiores, o dns externos normalmente fica isolado do interno/ad. Neste caso o bind(com chroot) no pfsense fica perfeito.

Já temos o pacote dnserver rodando tinydns mas como o próprio nome diz, ele é limitado para algumas configurações.

blza obrigado pela resposta/

Além do que foi mencionado pelo colega marcelloc, o DNS Forwarder não faz cache. Ele apenas faz uma 'tradução estática e rebuscada' a cada solicitação. Isso em cenários de médio porte, já pode gerar gargalos!

Parabéns ao jorhardware pela publicação do port e ao marcelloc pela sempre (e incansável) ajuda à comunidade pfSense! ;)

Abraços!
Jack

jorhardware

Obrigado JackL.

marcelloc cara ficou tudo muito bom. Parabéns.

Preciso fazer o samba4 como AD para o pfsense, vou agendar também depois DNSSEC para o bind.

att.

marcelloc

@jorhardware:

marcelloc cara ficou tudo muito bom. Parabéns.

Trabalho em conjunto :)

@jorhardware:

Preciso fazer o samba4 como AD para o pfsense, vou agendar também depois DNSSEC para o bind.

O Luis já está fazendo o samba4, está usando o script dele como base?

Você tem alguma coisa do dnssec já em andamento?
Seria interessante terminar o pacote e passar para RC ou release mesmo.

marcosjost

Bom…agora chega de incomodar um pouco só pedindo..rs.... ::)
Gostaria de agradecer ao jorhardware por disponibilizar o pacote e por todo apoio....
Agradecer ao JackL, ao Luis Gustavo por disponibilizarem o conteudo do blog e dos hangouts que muito ajudam.....Sem falar na ajuda que eles dão aqui no forum e na lista.Ao johnnybe, ao LFCavalcanti e a todos os demais, que se for nominar aqui vou incorrer em falta grave por deixar alguem de fora, que sempre ajudam no forum e na lista de discussão.
Acho que nao esqueci ninguem ( ou sim ? rss...)....
Ah sim...claro.... :P
Ao marcello coutinho, por todo apoio a comunidade e ao projeto, por toda ajuda e esclarecimentos. :D

Nio

Pessoal, vale a pena também colaborar =) $$$ assim é dando que se recebe =D e fora que podemos montar uma estrutura sustentável.

Nielsen

marcosjost

Sobre o Responde Limit do pacote:
o valor limit do rate limit é o que? requisições por segundo, por minuto… ?
o 15 é um bom valor para um dns que responde externamente, e internamente como recursivo?

UPDATE:
o rate ja vi no named.conf que é pro segundo


                rate-limit {
                        responses-per-second 20;
                        log-only no;
                };

marcelloc

São respostas a mesma query, não o volume total de requisição. Segundo o pessoal do bind, 15 é um bom número. :)

marcosjost

@marcelloc:

São respostas a mesma query, não o volume total de requisição. Segundo o pessoal do bind, 15 é um bom número. :)

Beleza

Bom instalei e testei os pacotes em 2 pfsenses 2.1 - Um de 32bits ( que deu todo trabalho ) e agora num de 64 bits…..
Ambos funcionando redondo....sem erros nos logs.....nsllokup certinho....
;D

marcelloc

Excelente!

Fora o dnssec, tem alguma função do bind que não está no pacote?

marcosjost

@marcelloc:

Excelente!

Fora o dnssec, tem alguma função do bind que não está no pacote?

Inicialmente acho que nao…

Uma coisa que notei agora....no named.conf do linux quando crio uma zona externa, coloco assim:


view "externa" IN {
        match-clients { !rede_interna; any; };
        allow-transfer { !rede_interna; any; };
        allow-query { !rede_interna; any; };
        notify yes;

Negando requisicoes da rede interna, de forma que nao retorne as entradas externas quando requisitado internamente…o pfsense nao tem essa opcao....ele cria assim:


view "externa" {

        recursion no;
        match-clients { any;};
        allow-recursion { none;};

Fiz os testes da rede interna e ele respondeu com os apontamentos da zona interna normalmente.
Não sei se isso influiencia alguma coisa…é apenas uma observação

Semana que vem vou colocar essa máquina de 32bits pra rodar com dois links, um dominio de teste que tenho e um servidor de e-mail zimba.

Nio

Pessoal quanto ao reverso, chegaram a testar ?

marcosjost

@Nio:

Pessoal quanto ao reverso, chegaram a testar ?

Eu apenas criei o arquivo da zona reversa…..aparentemente ta igual ao que uso no linux.
Semana que vem vou testar certinho.

marcelloc

Aqui também tudo certo.

marcelloc

Subi a versão 0.1.3 do pacote com alterações no texto dos campos e validação dos registros da zona.

marcosjost

@marcelloc:

Subi a versão 0.1.3 do pacote com alterações no texto dos campos e validação dos registros da zona.

Estou instalando aqui na maquina virtual 64bits pra ver…..ja que a de 32 desliguei antes de sair.....

marcosjost

@marcosjost:

@marcelloc:

Subi a versão 0.1.3 do pacote com alterações no texto dos campos e validação dos registros da zona.

Estou instalando aqui na maquina virtual 64bits pra ver…..ja que a de 32 desliguei antes de sair.....

Bom estou testando desde ontem numa maquina 32bits e numa 64bits, ambas com pfsense2-1.
Tudo certo tanto com as zonas internas como externas.
Amanha vou configurar a zona reversa num deles pra ver se esta ok tbm

marcelloc

Acabei de subir a versão 0.1.5 do pacote

Principais mudanças:

A aba de zona agora mostra o aquivo de configuração resultante.
Três opções de domínio(Master, Slave e Forward)
Incluído as configurações e criação de chave do rndc
Incluído widget para o dashboard
Incluído os devices dev/random,null and zero ao chroot do named
Verificação de permissões das pastas, principalmente para as zonas reversas

deivisonrpg

Atualizei agora e esta dando algumas advertências sobre permissoes. E isso mesmo ou tem algo errado?

Oct 17 16:41:48   named[43881]: Please check file and directory permissions or reconfigure the filename.
Oct 17 16:41:48   named[43881]: generating session key for dynamic DNS
Oct 17 16:41:48   named[43881]: Required root permissions to open '/var/run/named/session.key'.
Oct 17 16:41:48   named[43881]: Please check file and directory permissions or reconfigure the filename.
Oct 17 16:41:48   named[43881]: sizing zone task pool based on 2 zones
Oct 17 16:41:48   named[43881]: zone 'cpn.vwg' allows updates by IP address, which is insecure
Oct 17 16:41:48   named[43881]: /etc/namedb/named.conf:9: using specific query-source port suppresses port randomization and can be insecure.
Oct 17 16:41:48   named[43881]: set up managed keys zone for view externo, file '731ece29362c5c265fa9e5a48c8ece9c55b386753450ec4c1b412fd96ffac74f.mkeys'
Oct 17 16:41:48   named[43881]: /etc/namedb/named.conf:9: using specific query-source port suppresses port randomization and can be insecure.
Oct 17 16:41:48   named[43881]: open: /usr/pbi/bind-amd64/etc/rndc.key: file not found
Oct 17 16:41:48   named[43881]: couldn't add command channel 127.0.0.1#953: file not found
Oct 17 16:41:48   named[43881]: open: /usr/pbi/bind-amd64/etc/rndc.key: file not found
Oct 17 16:41:48   named[43881]: couldn't add command channel ::1#953: file not found
Oct 17 16:41:48   named[43881]: could not open entropy source /dev/random: file not found
Oct 17 16:41:48   named[43881]: using pre-chroot entropy source /dev/random
Oct 17 16:41:48   named[43881]: the working directory is not writable
Oct 17 16:41:48   check_reload_status: Syncing firewall
Oct 17 16:41:48   check_reload_status: Reloading filter
Oct 17 16:42:47   check_reload_status: Syncing firewall
Oct 17 16:42:51   named[78717]: starting BIND 9.9.4 -c /etc/namedb/named.conf -u bind -t /cf/named/
Oct 17 16:42:51   named[78717]: built with '--localstatedir=/var' '--disable-linux-caps' '--disable-symtable' '--with-randomdev=/dev/random' '--without-python' '--with-openssl=/usr' '--with-libxml2=/usr/pbi/bind-amd64' '--without-idn' '--enable-largefile' 'STD_CDEFINES=-DDIG_SIGCHASE=1' '--enable-ipv6' '--enable-filter-aaaa' '--enable-rrl' '--with-dlz-filesystem=yes' '--enable-threads' '--without-gssapi' '--prefix=/usr/pbi/bind-amd64' '--mandir=/usr/pbi/bind-amd64/man' '--infodir=/usr/pbi/bind-amd64/info/' '--build=x86_64-portbld-freebsd8.3' 'build_alias=x86_64-portbld-freebsd8.3' 'CC=cc' 'CFLAGS=-O2 -pipe -fno-strict-aliasing' 'LDFLAGS= -Wl,-rpath=/usr/lib:/usr/pbi/bind-amd64/lib' 'CPPFLAGS=' 'CPP=cpp'
Oct 17 16:42:51   named[78717]: ----------------------------------------------------
Oct 17 16:42:51   named[78717]: BIND 9 is maintained by Internet Systems Consortium,
Oct 17 16:42:51   named[78717]: Inc. (ISC), a non-profit 501(c)(3) public-benefit
Oct 17 16:42:51   named[78717]: corporation. Support and training for BIND 9 are
Oct 17 16:42:51   named[78717]: available at https://www.isc.org/support
Oct 17 16:42:51   named[78717]: ----------------------------------------------------
Oct 17 16:42:51   named[78717]: found 4 CPUs, using 4 worker threads
Oct 17 16:42:51   named[78717]: using 4 UDP listeners per interface
Oct 17 16:42:51   named[78717]: using up to 4096 sockets
Oct 17 16:42:51   named[78717]: loading configuration from '/etc/namedb/named.conf'
Oct 17 16:42:51   named[78717]: using default UDP/IPv4 port range: [49152, 65535]
Oct 17 16:42:51   named[78717]: using default UDP/IPv6 port range: [49152, 65535]
Oct 17 16:42:51   named[78717]: listening on IPv4 interface bge1, 10.0.0.1#53
Oct 17 16:42:51   named[78717]: Required root permissions to open '/var/run/named/pid'.
Oct 17 16:42:51   named[78717]: Please check file and directory permissions or reconfigure the filename.
Oct 17 16:42:51   named[78717]: generating session key for dynamic DNS
Oct 17 16:42:51   named[78717]: Required root permissions to open '/var/run/named/session.key'.
Oct 17 16:42:51   named[78717]: Please check file and directory permissions or reconfigure the filename.
Oct 17 16:42:51   named[78717]: sizing zone task pool based on 2 zones
Oct 17 16:42:51   named[78717]: zone 'cpn.vwg' allows updates by IP address, which is insecure
Oct 17 16:42:51   named[78717]: /etc/namedb/named.conf:20: using specific query-source port suppresses port randomization and can be insecure.
Oct 17 16:42:51   named[78717]: set up managed keys zone for view externo, file '731ece29362c5c265fa9e5a48c8ece9c55b386753450ec4c1b412fd96ffac74f.mkeys'
Oct 17 16:42:51   named[78717]: /etc/namedb/named.conf:20: using specific query-source port suppresses port randomization and can be insecure.
Oct 17 16:42:51   named[78717]: command channel listening on 127.0.0.1#953
Oct 17 16:42:51   named[78717]: could not open entropy source /dev/random: file not found
Oct 17 16:42:51   named[78717]: using pre-chroot entropy source /dev/random
Oct 17 16:42:51   named[78717]: the working directory is not writable

marcelloc

Reinstala em 15 minutos, acabei de atualizar um arquivo sem mudar a versão do pacote.