staging.inyokaproject.org

via DuckDuckGo

Frage zu named

Status: Gelöst | Ubuntu-Version: Ubuntu 18.04 (Bionic Beaver)
Antworten |

Krischu

Avatar von Krischu

Anmeldungsdatum:
5. März 2015

Beiträge: 146
Zitieren
14. Dezember 2021 16:25 (zuletzt bearbeitet: 14. Dezember 2021 16:46)

Auf einem System eines Bekannten, auf das ich gerade mal ein Auge geworfen habe im Zusammenhang mit dem log4j Sicherheitsleck, stelle ich fest, daß /usr/sbin/named als Prozess läuft und im syslog jede Menge "Attacken" stehen, etwa derart:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
 Dec 14 16:13:17 mail named[1145]: client @0xb2942e80 74.74.74.8#80 (sl): query (cache) 'sl/ANY/IN' denied
Dec 14 16:13:17 mail named[1145]: client @0xb2942e80 74.74.74.8#80 (sl): query (cache) 'sl/ANY/IN' denied
Dec 14 16:13:19 mail named[1145]: client @0xb2942e80 74.74.74.8#80 (sl): query (cache) 'sl/ANY/IN' denied
Dec 14 16:13:20 mail named[1145]: client @0xb2942e80 74.74.74.8#80 (sl): query (cache) 'sl/ANY/IN' denied
Dec 14 16:13:22 mail named[1145]: client @0xb2942e80 74.74.74.8#80 (sl): query (cache) 'sl/ANY/IN' denied
Dec 14 16:13:23 mail named[1145]: client @0xb2942e80 74.74.74.8#80 (sl): query (cache) 'sl/ANY/IN' denied
Dec 14 16:13:25 mail named[1145]: client @0xb2942e80 74.74.74.8#80 (sl): query (cache) 'sl/ANY/IN' denied
Dec 14 16:13:27 mail named[1145]: client @0xb2942e80 74.74.74.8#80 (sl): query (cache) 'sl/ANY/IN' denied
Dec 14 16:13:27 mail named[1145]: client @0xb2942e80 74.74.74.8#80 (sl): query (cache) 'sl/ANY/IN' denied
Dec 14 16:13:30 mail named[1145]: client @0xb2942e80 74.74.74.8#80 (sl): query (cache) 'sl/ANY/IN' denied
Dec 14 16:13:37 mail named[1145]: client @0xb2942e80 74.74.74.8#80 (sl): query (cache) 'sl/ANY/IN' denied
Dec 14 16:13:38 mail named[1145]: client @0xb2942e80 74.74.74.8#80 (sl): query (cache) 'sl/ANY/IN' denied
Dec 14 16:13:48 mail named[1145]: client @0xb2942e80 74.74.74.8#20 (sl): query (cache) 'sl/ANY/IN' denied
Dec 14 16:13:54 mail named[1145]: message repeated 3 times: [ client @0xb2942e80 74.74.74.8#20 (sl): query (cache) 'sl/ANY/IN' denied]
Dec 14 16:13:55 mail named[1145]: client @0xb2942e80 74.74.74.8#20 (sl): query (cache) 'sl/ANY/IN' denied
Dec 14 16:13:56 mail named[1145]: client @0xb2942e80 74.74.74.8#20 (sl): query (cache) 'sl/ANY/IN' denied

Erst mal weiß ich nicht, warum der Kollege /usr/sbin/named laufen hat. Ich kann im init.d keinen Start dafür finden. Im Verzeichnis /etc/apparmor.d gibt es ein usr.sbin.named. Ob das für den Start verantwortlich ist, kann ich so auf den ersten Blick nicht sagen.

Weiß jemand mehr darüber?

Moderiert von noisefloor:

Ins Serverdienste Forum verschoben und Titel aussagekräftiger gemacht.

noisefloor Team-Icon

Anmeldungsdatum:
6. Juni 2006

Beiträge: 29567
Zitieren
14. Dezember 2021 16:45

Hallo,

named gehört zum DNS Server bind.

Ich kann im init.d keinen Start dafür finden

init.d ist auch schon unter 18.04 veraltet, da wird auch schon systemd genutzt.

Gruß, noisefloor

DJKUhpisse Team-Icon

Supporter, Wikiteam
Avatar von DJKUhpisse

Anmeldungsdatum:
18. Oktober 2016

Beiträge: 18245
Zitieren
14. Dezember 2021 17:00

Erst mal weiß ich nicht, warum der Kollege /usr/sbin/named laufen hat.

Das ist ein DNS-Server. Zeige mal dessen Konfigurationsdateien, dann sehen wir, was der macht. Ob das aber auch so alles sein soll musst du beantworten. Fragen hier wären: Gibt es eine autoritative Zone, für die der DNS zuständig ist? Dann muss er auf ALLE Anfragen für diese Zone von allen IPV4- und IPV6-Adressen antworten.

Soll der rekursive Namensauflösung bieten (damit man ihm z.B. als DNS-Server in Windows, Ubuntu usw. eintragen kann)? Dann sollte hier per ACL der Zugriff auf bestimmte Bereiche festgelegt werden, zumindest wenn man kein öffentlicher Resolver sein will.

Krischu

(Themenstarter)
Avatar von Krischu

Anmeldungsdatum:
5. März 2015

Beiträge: 146
Zitieren
15. Dezember 2021 09:50 (zuletzt bearbeitet: 15. Dezember 2021 10:04)

Ich weiß, was named (bind) ist. Ich suchte nur nach dem Startscript bzw. "wer" es startet. Wo finde ich die systemd startup Skripte?

Zu den named.conf Dateien:

named.conf:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
// This is the primary configuration file for the BIND DNS server named.
//
// Please read /usr/share/doc/bind9/README.Debian.gz for information on the 
// structure of BIND configuration files in Debian, *BEFORE* you customize 
// this configuration file.
//
// If you are just adding zones, please do that in /etc/bind/named.conf.local

include "/etc/bind/named.conf.options";
include "/etc/bind/named.conf.local";
include "/etc/bind/named.conf.default-zones";

named.conf.options:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
options {
        directory "/var/cache/bind";

        // If there is a firewall between you and nameservers you want
        // to talk to, you may need to fix the firewall to allow multiple
        // ports to talk.  See http://www.kb.cert.org/vuls/id/800113

        // If your ISP provided one or more IP addresses for stable
        // nameservers, you probably want to use them as forwarders.
        // Uncomment the following block, and insert the addresses replacing
        // the all-0's placeholder.

        // forwarders {
        //      0.0.0.0;
        // };

        //========================================================================
        // If BIND logs error messages about the root key being expired,
        // you will need to update your keys.  See https://www.isc.org/bind-keys
        //========================================================================
        dnssec-validation auto;

        auth-nxdomain no;    # conform to RFC1035
        listen-on-v6 { any; };
};

named.conf.local:

1
2
3
4
5
6
7
//
// Do any local configuration here
//

// Consider adding the 1918 zones here, if they are not used in your
// organization
//include "/etc/bind/zones.rfc1918";

named.conf.default-zones:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
// prime the server with knowledge of the root servers
zone "." {
        type hint;
        file "/etc/bind/db.root";
};

// be authoritative for the localhost forward and reverse zones, and for
// broadcast zones as per RFC 1912

zone "localhost" {
        type master;
        file "/etc/bind/db.local";
};

zone "127.in-addr.arpa" {
        type master;
        file "/etc/bind/db.127";
};

zone "0.in-addr.arpa" {
        type master;
        file "/etc/bind/db.0";
};

zone "255.in-addr.arpa" {
        type master;
        file "/etc/bind/db.255";
};

db.root:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
;       This file holds the information on root name servers needed to
;       initialize cache of Internet domain name servers
;       (e.g. reference this file in the "cache  .  <file>"
;       configuration file of BIND domain name servers).
;
;       This file is made available by InterNIC 
;       under anonymous FTP as
;           file                /domain/named.cache
;           on server           FTP.INTERNIC.NET
;       -OR-                    RS.INTERNIC.NET
;
;       last update:    February 17, 2016
;       related version of root zone:   2016021701
;
; formerly NS.INTERNIC.NET
;
.                        3600000      NS    A.ROOT-SERVERS.NET.
A.ROOT-SERVERS.NET.      3600000      A     198.41.0.4
A.ROOT-SERVERS.NET.      3600000      AAAA  2001:503:ba3e::2:30
;
; FORMERLY NS1.ISI.EDU
;
.                        3600000      NS    B.ROOT-SERVERS.NET.
B.ROOT-SERVERS.NET.      3600000      A     192.228.79.201
B.ROOT-SERVERS.NET.      3600000      AAAA  2001:500:84::b
;
; FORMERLY C.PSI.NET
;
.                        3600000      NS    C.ROOT-SERVERS.NET.
C.ROOT-SERVERS.NET.      3600000      A     192.33.4.12
C.ROOT-SERVERS.NET.      3600000      AAAA  2001:500:2::c
;
; FORMERLY TERP.UMD.EDU
;
.                        3600000      NS    D.ROOT-SERVERS.NET.
D.ROOT-SERVERS.NET.      3600000      A     199.7.91.13
D.ROOT-SERVERS.NET.      3600000      AAAA  2001:500:2d::d
;
; FORMERLY NS.NASA.GOV
;
.                        3600000      NS    E.ROOT-SERVERS.NET.
E.ROOT-SERVERS.NET.      3600000      A     192.203.230.10
;
; FORMERLY NS.ISC.ORG
;
.                        3600000      NS    F.ROOT-SERVERS.NET.
F.ROOT-SERVERS.NET.      3600000      A     192.5.5.241
F.ROOT-SERVERS.NET.      3600000      AAAA  2001:500:2f::f
;
; FORMERLY NS.NIC.DDN.MIL
;
.                        3600000      NS    G.ROOT-SERVERS.NET.
G.ROOT-SERVERS.NET.      3600000      A     192.112.36.4
;
; FORMERLY AOS.ARL.ARMY.MIL
;
.                        3600000      NS    H.ROOT-SERVERS.NET.
H.ROOT-SERVERS.NET.      3600000      A     198.97.190.53
H.ROOT-SERVERS.NET.      3600000      AAAA  2001:500:1::53
;
; FORMERLY NIC.NORDU.NET
;
.                        3600000      NS    I.ROOT-SERVERS.NET.
I.ROOT-SERVERS.NET.      3600000      A     192.36.148.17
I.ROOT-SERVERS.NET.      3600000      AAAA  2001:7fe::53

; OPERATED BY VERISIGN, INC.
;
.                        3600000      NS    J.ROOT-SERVERS.NET.
J.ROOT-SERVERS.NET.      3600000      A     192.58.128.30
J.ROOT-SERVERS.NET.      3600000      AAAA  2001:503:c27::2:30
;
; OPERATED BY RIPE NCC
;
.                        3600000      NS    K.ROOT-SERVERS.NET.
K.ROOT-SERVERS.NET.      3600000      A     193.0.14.129
K.ROOT-SERVERS.NET.      3600000      AAAA  2001:7fd::1
;
; OPERATED BY ICANN
;
.                        3600000      NS    L.ROOT-SERVERS.NET.
L.ROOT-SERVERS.NET.      3600000      A     199.7.83.42
L.ROOT-SERVERS.NET.      3600000      AAAA  2001:500:3::42
;
; OPERATED BY WIDE
;
.                        3600000      NS    M.ROOT-SERVERS.NET.
M.ROOT-SERVERS.NET.      3600000      A     202.12.27.33
M.ROOT-SERVERS.NET.      3600000      AAAA  2001:dc3::35
; End of file

Krischu

(Themenstarter)
Avatar von Krischu

Anmeldungsdatum:
5. März 2015

Beiträge: 146
Zitieren
15. Dezember 2021 10:14 (zuletzt bearbeitet: 15. Dezember 2021 10:34)

Ich fand schließlich:

/etc/systemd/system/multi-user.target.wants/bind9.services

als vermutlichen Verantwortlichen für den Start von named.

Wer entscheidet wann in der Systeminstallation, ob bind gestartet wird? Es sieht mir nicht so aus, als ob hier die Intention besteht, mit bind irgendetwas Spezifisches zu bewerkstelligen, also würde ich ihn am liebsten eliminieren. Also systemctl disable bind9

kB Team-Icon

Supporter, Wikiteam
Avatar von kB

Anmeldungsdatum:
4. Oktober 2007

Beiträge: 9837
Zitieren
15. Dezember 2021 12:24

Da Dein Bekannter/Kollege den DNS-Server bind9 offenbar haben wollte und dafür extra das Paket bind9 installiert hat, fragst Du am besten ihn nach seinen Gründen dafür. Nur er kann es wissen.

Wenn Du meinst, dass dieser Server nicht benötigt wird: Warum deinstalliert Du nicht einfach das Paket bind9?
Antworten |