第十一周作业

M36-Masuri • • Linux干货

1、详细描述一次加密通讯的过程，结合图示最佳。

一次通信加密过程：

发送方：

1.使用单向加密算法提取生成数据特征码；

2.使用自己的私钥加密特征码附加在数据后面；

3.生成用于对称加密的临时密钥；

4.用此临时密钥加密数据和已经使用私钥加密后的特征码；

5.使用接受方的公钥加密此临时密钥，附加在对称密钥后的数据后方；

接受方：

1.使用自己的私钥解密加密的临时密钥，从而获得临时密钥；

2.使用对称密钥解密对称加密的数据和私钥加密的特征码密文，从而获得数据和特征码密文；

3.使用对方的公钥解密特征码密文，从而获得从计算生成的特征码；

4.使用与对方同样的单向加密算法计算数据的特征码，并与解密而来的进行比较；

第十一周作业

2、描述创建私有CA的过程，以及为客户端发来的证书请求进行办法证书。

使用OpenSSL构建私有CA的步骤：

1.生成私钥；

[root@localhost ~]# (umask 077; openssl genrsa -out /etc/pki/CA/private/cakey.pem 4096)
Generating RSA private key, 4096 bit long modulus
…………………………………………………….++
…………………………………………………++
e is 65537 (0x10001)

2.生成自签署证书；

[root@localhost ~]# openssl req -new -x509 -key /etc/pki/CA/private/cakey.pem -out /etc/pki/CA/cacert.pem -days 3655
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter ‘.’, the field will be left blank.
—–
Country Name (2 letter code) [XX]:CN
State or Province Name (full name) []:Shanghai
Locality Name (eg, city) [Default City]:Shanghai
Organization Name (eg, company) [Default Company Ltd]:Magedu
Organizational Unit Name (eg, section) []:Ops
Common Name (eg, your name or your server’s hostname) []:ca.magedu.com
Email Address []:caadmin@magedu.com

-new：生成新签署证书请求；

-x509：生成自签格式证书，专用于创建私有CA时使用；

-key：生成请求时用到的自由文件路径；

-out：生成的请求文件路径；如果自签操作将直接生成签署过的证书；

-days：证书的有效时长，单位是day;

3.为CA提供所需的文件及目录；

[root@localhost ~]# mkdir -pv /etc/pki/CA/{certs,crl,newcerts}
[root@localhost ~]# touch /etc/pki/CA/{serial,index.txt}
[root@localhost ~]# echo 01> /etc/pki/CA/serial

 

3、描述DNS查询过程以及DNS服务器类别。

DNS查询过程：

此处以www.magedu.com为例，首先查询本地主机上的hosts文件是否有www.magedu.com主机与ip地址的对应关系，若有则直接给予响应；若没有则向指定的DNS server发起请求，DNS server收到请求后首先查询本地缓存记录是否有magedu.com的解析记录，若有则直接反馈给客户端，若没有此时DNS server会主动向根域名服务器发起查询www.magedu.com的请求，但是根只记录了.com的相关信息，此时根会告知.com的地址，DNS server收到.com后便向.com发起查询www.magedu.com的请求，而.com只记录了magedu.com的记录，此时.com服务器会告知DNS server  magedu.com的地址，DNS server收到magedu.com的地址后便向magedu.com主机发起查询www.magedu.com的请求，magedu.com主机查询本地的记录找到了www对应的IP地址，于是将www.magedu.com对应的IP地址反馈给DNS server，DNS server在收到结果后会先将结果存储在本地的DNS缓存中（此过程是为了方便下次如果有相同的解析请求时可以快速的响应），之后再将结果直接反馈给客户端，解析完成。

DNS服务器的类别：

DNS域名服务器是用来存储主机-域名映射信息的，这些服务器具体又可以分为4类：

（1）主DNS服务器：负责维护一个区域的所有域名信息，是特定的所有信息的权威信息源，数据可以修改。

（2）辅助DNS服务器：当主域名服务器出现故障、关闭或负载过重时，辅助域名服务器作为主域名服务器的备份提供域名解析服务。辅助域名服务器中的区域文件中的数据是从另外的一台主域名服务器中复制过来的，是不可以修改的。

（3）高速缓存服务器：从某个远程服务器取得每次域名服务器的查询回答，一旦取得一个答案就将它放在高速缓存中，以后查询相同的信息就用高速缓存中的数据回答，缓存域名服务器不是权威的域名服务器，因为它提供的信息都是间接信息。

（4）转发DNS服务器：负责所有非本地域名的本地查询。转发域名服务器接到查询请求后，在其缓存中查找，如找不到就将请求依次转发到指定的域名服务器，直到查找到结果为止，否则返回无法映射的结果。

4、搭建一套DNS服务器，负责解析magedu.com域名（自行设定主机名及IP）

(1)、能够对一些主机名进行正向解析和逆向解析；

(2)、对子域cdn.magedu.com进行子域授权，子域负责解析对应子域中的主机名；

(3)、为了保证DNS服务系统的高可用性，请设计一套方案，并写出详细的实施过程；

一、安装DNS服务器软件

[root@localhost ~]# yum install -y named

二、配置相关配置文件

DNS的配置文件有很多个，其中：

/etc/named.conf，/etc/named.rfc1912.zones：为DNS的主配置文件；

/var/named/：该目录为DNS数据库文件的存放目录，所有的域文件都存放在此目录下；

/etc/rc.d/init.d/named：为DNS服务的服务脚本

首先编辑/etc/named.conf文件

[root@localhost ~]# vim /etc/named.conf

options {
listen-on port 53 { any; };          53为监听的端口，将后面的参数修改为any,any表示所有主机都可以进行访问解析
listen-on-v6 port 53 { ::1; };
directory “/var/named”;              对应的数据库文件的目录位置
dump-file “/var/named/data/cache_dump.db”;
statistics-file “/var/named/data/named_stats.txt”;
memstatistics-file “/var/named/data/named_mem_stats.txt”;
allow-query { any; };                允许那些主机请求查询，any表示所有主机
recursion yes;                       允许递归查询

dnssec-enable no;
dnssec-validation no;

/* Path to ISC DLV key */
bindkeys-file “/etc/named.iscdlv.key”;

managed-keys-directory “/var/named/dynamic”;
};

编辑完成后启动DNS服务

[root@localhost ~]# service named start

查看服务是否启动并监听在53端口上

[root@localhost ~]# ss -tnl | grep :53
LISTEN 0 3 ::1:53 :::*
LISTEN 0 3 192.168.1.101:53 *:*
LISTEN 0 3 127.0.0.1:53 *:*

编辑/etc/named.rfc1912.zones文件，在文件中添加zone；

[root@localhost ~]# vim /etc/named.rfc1912.zones

zone “magedu.com” IN {                  zone名字为magedu.com
type master;                   此处为主DNS服务器zone的类型为master
file “magedu.zone”;            zone的解析库文件的名称为magedu.zone,对应的文件路径为/var/named目录下

zone “1.168.192.in-addr.arpa” IN {      反向解析的名称为ip网段部分的反写后面加上in-addr.arpa
type master;                   此处为反向的主DNS服务器，zone的类型为master
file “1.168.192.zone”;         zone的解析库文件的名称为1.168.192.zone，对应的文件路径为/var/named目录下
};

主配置文件添加完后使用named-checkconf命令检查是否有语法错误

[root@localhost ~]# named-checkconf

在/var/named/目录下创建区域解析库文件；

[root@localhost ~]# vim /var/named/magedu.zone           创建正向解析库文件；

$TTL 600                                                设置所有变量TTL的值为600秒
magedu.com. IN SOA ns1.magedu.com. admin.magedu.com. (  SOA记录
2017092901                           序列号
1H                                   刷新时间
10M                                  重试时间
1W                                   过期时间
1D                                   否定答案的TTL值
)
IN NS ns1.magedu.com.                       NS记录，当前域的名称magedu.com,DNS服务其名字为ns1.magedu.com
IN NS ns2.magedu.com.                       从DNS服务器名字为ns2.magedu.com
IN MX 10 mx1.magedu.com.                    MX记录，当前域的MX服务器名字为mx1.magedu.com
IN MX 20 mx2.magedu.com.                    10为MX服务器的优先级，数字越小优先级越高
pop3.magedu.com. IN CNAME mx1.magedu.com.               CNAME记录，pop3.magedu.com为mx1.magedu.com的别名
ns1.magedu.com. IN A 192.168.1.101                      A记录，此处为所有主机名对应的ipv4地址
ns2.magedu.com. IN A 192.168.1.102                      从DNS服务器地址
www.magedu.com. IN A 192.168.1.101
mx1.magedu.com. IN A 192.168.1.101
mx2.magedu.com. IN A 192.168.1.102

正向解析库文件配置完成，完成后使用named-checkzone命令查看解析库文件是否有错误

[root@localhost ~]# named-checkzone “magedu.com” /var/named/magedu.zone

没有报错，随后需要将配置文件的权限设为O=0，属组设置为named用户，

[root@localhost ~]# chmod o= /var/named/magedu.zone
[root@localhost ~]# chown :named /var/named/magedu.zone

使用rndc命令进行重载配置文件

[root@localhost ~]# rndc reload
server reload successful

 

此时，正向DNS解析已可以使用。

测试：

[root@localhost ~]# dig -t A www.magedu.com @192.168.1.101

; <<>> DiG 9.8.2rc1-RedHat-9.8.2-0.62.rc1.el6_9.4 <<>> -t A www.magedu.com @192.168.1.101
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 64569
;; flags: qr aa rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 2, ADDITIONAL: 2

;; QUESTION SECTION:
;www.magedu.com. IN A

;; ANSWER SECTION:
www.magedu.com. 600 IN A 192.168.1.101

;; AUTHORITY SECTION:
magedu.com. 600 IN NS ns2.magedu.com.
magedu.com. 600 IN NS ns1.magedu.com.

;; ADDITIONAL SECTION:
ns1.magedu.com. 600 IN A 192.168.1.101
ns2.magedu.com. 600 IN A 192.168.1.102

;; Query time: 1 msec
;; SERVER: 192.168.1.101#53(192.168.1.101)
;; WHEN: Thu Oct 12 16:52:37 2017
;; MSG SIZE rcvd: 116

创建反向解析库文件：

[root@localhost ~]# vim /var/named/1.168.192.zone

$TTL 600
@                IN SOA ns1.magedu.com. admin.magedu.com. (
2017092901
1H
10M
1W
1D
)
IN NS ns1.magedu.com.
IN NS ns2.magedu.com.
101              IN PTR ns1.magedu.com.
IN PTR mx1.magedu.com.
102              IN PTR ns2.magedu.com.
IN PTR mx2.magedu.com.

完成后修改属组和权限，并检查区域文件

[root@localhost ~]# chmod o= /var/named/1.168.192.zone
[root@localhost ~]# chown :named /var/named/1.168.192.zone
[root@localhost ~]# named-checkzone “1.168.192.in-addr.arpa” /var/named/1.168.192.zone

使用rndc命令进行重载配置文件

[root@localhost ~]# rndc reload
server reload successful

测试：

使用rndc命令进行重载配置文件

[root@localhost named]# dig -x 192.168.1.101 @192.168.1.101

; <<>> DiG 9.8.2rc1-RedHat-9.8.2-0.62.rc1.el6_9.4 <<>> -x 192.168.1.101 @192.168.1.101
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 60637
;; flags: qr aa rd ra; QUERY: 1, ANSWER: 2, AUTHORITY: 2, ADDITIONAL: 2

;; QUESTION SECTION:
;101.1.168.192.in-addr.arpa. IN PTR

;; ANSWER SECTION:
101.1.168.192.in-addr.arpa. 600 IN PTR ns1.magedu.com.
101.1.168.192.in-addr.arpa. 600 IN PTR mx1.magedu.com.

;; AUTHORITY SECTION:
1.168.192.in-addr.arpa. 600 IN NS ns1.magedu.com.
1.168.192.in-addr.arpa. 600 IN NS ns2.magedu.com.

;; ADDITIONAL SECTION:
ns1.magedu.com. 600 IN A 192.168.1.101
ns2.magedu.com. 600 IN A 192.168.1.102

;; Query time: 1 msec
;; SERVER: 192.168.1.101#53(192.168.1.101)
;; WHEN: Thu Oct 12 17:44:30 2017
;; MSG SIZE rcvd: 154

反向解析成功。

三、从服务器配置

配置从DNS服务器配置文件。

[root@localhost ~]# vim /etc/named.conf

options {
listen-on port 53 { 192.168.1.102; 127.0.0.1; };      此处允许访问解析的主机地址为自己
listen-on-v6 port 53 { ::1; };
directory “/var/named”;
dump-file “/var/named/data/cache_dump.db”;
statistics-file “/var/named/data/named_stats.txt”;
memstatistics-file “/var/named/data/named_mem_stats.txt”;
allow-query { any; };
recursion yes;

// dnssec-enable yes;
// dnssec-validation yes;

/* Path to ISC DLV key */
bindkeys-file “/etc/named.iscdlv.key”;

managed-keys-directory “/var/named/dynamic”;
};

完成后启动dns服务

修改named.rfc1912.zones文件

[root@localhost ~]# vim /etc/named/named.rfc1912.zones

zone “magedu.com” IN {
type slave;                     域类型设置为slave
file “slaves/magedu.zone”;      由于为从dns服务器此处区域文件存放的位置为/var/named/slaves目录下
masters { 192.168.1.101; };     此处为指向主DNS服务器的地址
};

zone “1.168.192.in-addr.arpa” IN {
type slave;
file “slaves/1.168.192.zone”;
masters { 192.168.1.101; };
};

从dns服务器配置文件修改完成后无需创建数据库文件，会主动去和主服务器同步，不过在此之前需要在主服务器的区域数据库文件中添加从DNS服务器的ns记录和A记录。

四、子域授权

首先在主DNS服务器的区域解析库文件上添加NS记录及A记录

[root@localhost ~]# vim /var/named/magedu.zone

$TTL 600
magedu.com.      IN SOA ns1.magedu.com. admin.magedu.com. (
2017092901
1H
10M
1W
1D
)
IN NS ns1.magedu.com.
IN NS ns2.magedu.com.
IN MX 10 mx1.magedu.com.
IN MX 20 mx2.magedu.com.
cdn.magedu.com.  IN NS ns1.cdn.magedu.com.          添加子域NS记录
pop3.magedu.com. IN CNAME mx1.magedu.com.
ns1.magedu.com.  IN A 192.168.1.101
ns2.magedu.com.  IN A 192.168.1.102
www.magedu.com.  IN A 192.168.1.101
mx1.magedu.com.  IN A 192.168.1.101
mx2.magedu.com.  IN A 192.168.1.102
ns1.cdn.magedu.com. IN A 192.168.1.103              添加子域A记录

在192.168.1.103主机上修改子域DNS服务器配置文件：

[root@localhost ~]# vim /etc/named.conf

options {
//       listen-on port 53 { any; };               此处全部注释也可；
//       listen-on-v6 port 53 { ::1; };
directory “/var/named”;
dump-file “/var/named/data/cache_dump.db”;
statistics-file “/var/named/data/named_stats.txt”;
memstatistics-file “/var/named/data/named_mem_stats.txt”;
//       allow-query { localhost; };
recursion yes;

dnssec-enable no;                  此处两项dnssec需要设置为no
dnssec-validation no;

/* Path to ISC DLV key */
bindkeys-file “/etc/named.iscdlv.key”;

managed-keys-directory “/var/named/dynamic”;
};

[root@localhost ~]# vim /etc/named.rfc1912.zones

zone “cdn.magedu.com” IN {               定义子域服务器名字
type master;                    类型为主服务器
file “cdn.magedu.com.zone”;     区域解析库文件位置
};

当需要解析的主机不再子域内时，则转发给上级DNS服务器，转发的zone定义方法如下

zone “magedu.com” IN {                   上级主服务器名称
type forward;                   定义类型为转发
forward only;                   只转发不负责解析
forwarders { 192.168.1.101; };  转发的主DNS服务器地址
};

配置完成后创建解析库文件

[root@localhost ~]# vim /var/named/cdn.magedu.com.zone

$TTL 600
@ IN SOA ns1.cdn.magedu.com. admin.magedu.com. (
2017100101
1H
10M
1W
1D
)
IN NS ns1.cdn.magedu.com.
IN NS ns2.cdn.magedu.com.
ns1 IN A 192.168.1.103
ns2 IN A 192.168.1.104
*   IN A 192.168.1.105

完成后修改属组及权限，至此子域授权完成。

原创文章，作者：M36-Masuri，如若转载，请注明出处：http://www.178linux.com/84013

赞 (0)
M36-MasuriM36-Masuri
0
上一篇 2017-10-01 09:19
下一篇 2017-10-02

相关推荐

  • 文件、目录2——Linux基本命令（8） Linux干货

    文件、目录2——Linux基本命令（8）

    1.复制文件和目录 cp  SRC  DEST 源 目的地 规则： 如果目标目录下还有一个目录与源文件同名，则无法复制：            -i 覆盖前提示        &n…

    2017-07-18

  • Linux的文件压缩、解压之tar的使用

    文件的压缩   一、压缩、解压缩及归档工具 压缩 解压 后缀（压缩后） file-roller 图形操作界面上的使用（略） compress 解压一：uncompress 或compress -d （注：使用上面的解压命令，实际上是在屏幕上打印解压的文件信息，并不是真正上解压到文件，所以需要在命令后面加上“重定向到指定的文件中”，方可完成解压。如：…

    Linux干货 2016-08-18

  • gitlab-ce并发超过30引起ip被封1小时的问题

    系统环境描述 System information System:     Ubuntu 14.04 Current User:   git Using RVM:  no Ruby Version: …

    Linux干货 2015-09-06

  • ​Linux基础知识之文件权限

    实验环境：    Linux系统版本为CentOS6.8_x86_64版本，以root用户和sjsir用户远程用xshell连接系统，进行试验。 文本目录：    1.文件的属性    2.文件权限相关的命令    3.umask 新建文件和目录的默认权限   &nbs…

    Linux干货 2016-08-05

  • N25_第十二周作业

    1、请描述一次完整的http请求处理过程；     1）建立或者处理连接：建立请求或拒绝请求     2）接收请求：接收来自于网络上的主机请求报文中对特定资源的一次请求的过程；     3）处理请求：对请求报文进行解析，主要获取客户端请求的…

    Linux干货 2017-03-06

  • Linux目录配置整理

    FHS：   为了规范各种Linux发行版的目录配置方法和目录定义而制定了FHS规范。   在FHS规范的Linux中，所有的文件和目录都由根目录开始，即“/”，它是所有文件和目录的起点。然后按层次化的树状划分下来。这种目录结构被称为“目录树”。 目录树的特性：   ·起始点为根目录（/或root）   ·每一个目录不…

    Linux干货 2016-07-07
电话咨询
在线咨询