09葵花宝典Openssl和DNS

openssl cd bind named

09葵花宝典Openssl和DNS

 

 

本节主要介绍网络上相关数据加密和DNS知识,以及在linux上的实现。

一、常见加解密知识

数据加密是现代网络应用的基础之一。加密技术好比人类的衣服,第一实现了抵御自然环境的变化,第二使人类迈向了文明。

通常来讲,加密就是使用密钥K将数据从A变成B,而解密就是将数据从B通过K(或者与K成对的K1)将其还原为A。其中B可以公开,得到B的人,如果没有密钥K或者K1,将无法或者A是什么。

有三个方面:对称加密、单项加密、公钥加密(非对称加密),每种加密类型都有其特点和相应的应用场景。

1、对称加密。

对称加密使用的加密密钥和解密密钥是相同的,即使用K来加密,也使用K来解密。加密方A和解密方B同时拥有密钥K。在传输数据时,双方必须事先约定好需要使用的密钥K。 常见的对称加密算法有:des,3des,AES等

2、单项加密。

单项加密主要是用于提出数据的特征码或者说指纹信息的。就是将给定的信息A,变成一个固定长度的数据(固定大小)B,这个B就称为A的特征码(指纹)。变化过程成为单项加密。其特点是只要A不变,变化过程使用的算法不变,B就一定不会变。当A有些许的变化时,B就有很大的改变 常见的单项加密算法有:MD5,sha1,sha256等

3、公钥加密。

公钥加密也叫非对称加密,其特点是加密和解密所使用的密钥是成对出现,加密时使用K,解密时使用与其成对的K1,或者加密时使用K1,解密时使用K。一般而言,我们将K和K1分别称为私钥和公钥。其中,公钥可通过私钥导出。

公钥加密有三个作用:一是加密。它可以像对称加密一样,对数据进行加密,但一般而言,公钥加密的计算量是对称加密的3个数量级以上,如果用其对大量数据进行加密,效率是非常低的。二是数字签名。如果用一个公钥能解密一段数据,那么这段数据必然是用与其对应的私钥进行加密的,私钥的拥有着,对其不能否认。第三是密钥分发。前面说到对称加密时,加密双方必须有约定相同的密钥,并且这个密钥不能被第三方获知,否则,加密将没有意义。公钥加密,即可实现双方实时的约定这个密钥,且密钥本身并不在信息传播路径上传送。

实现数据加密功能的公钥加密方法有:RSA,DSA,ElGamal等;实现数字签名功能的公钥加密算法有:RSA;实现密钥分发的公钥加密方法有:RSA,D-H等。

在公钥加密算法中,还有一个重要问题,就是公钥对由谁产生,由谁认证的问题。例如,在数字签名过程中,使用私钥对数据进行签名,那么,这个私钥由谁来认可,这就是一个认证的过程。通常,在网络上,有专门的认证机构,它们之间互相信任,然后,由这些认证机构对其他机构和个人签发证书,证书中包括了该证书的公钥以及使用人相关的信息,相当于电子身份证一样。这个专门的认证机构,称之为CA。在我们练习和某些小规模的生产环境中,需要建立一个私有的CA来签发证书。

二、openssl工具

下面,介绍Linux上面,使用Openssl工具,来实现数据的对称加密、单项加密、以及建立私有CA颁发证书等功能。Openssl命令有三类子命令,即标准命令、消息摘要命令(单项加密)、加解密命令,下面分别说明。

openssl工具的配置文件是/etc/pki/tls/openssl.cnf,定义了openssl的相关默认设置,特别是在用openssl创建私有CA时,也定义了其默认设置。

1、对称加密

]# openssl des3 -e -base64 -in /tmp/fstab -out /tmp/fstab1

使用des3算法,用base64格式,对/tmp/fstab文件进行加密,加密后文件为/tmp/fstab1

]# openssl des3 -d -base64 -in /tmp/fstab1 -out /tmp/fstab1-jie

使用des3算法,对使用base64格式的加密文件/tmp/fstab1进行解密,解密后文件为fstab1-jie

-e 加密(encode) -d 解密(decode) -base64 编码格式(同-a),-in 指明要加密或解密的文件,-out 指明加密后或解密后的文件。

可选的常见对称加密算法可用 openssl ? 来查看 Cipher commands

2、单项加密

]# openssl dgst -md5 fstab
MD5(fstab)= f91e11874e54184589b273386c49c81a

可使用md5sum命令来验证,该命令也是使用md5算法来计算输入数据的特征码

]# md5sum fstab
f91e11874e54184589b273386c49c81a fstab

使用-sha1、-sha256等算法选项,与sha1sum、sha256sum等命令相同,即只要输入数据相同,算法相同,输出必定相同。

使用openssl的dgst自命令对/tmp/fstab来进行单项加密,使用的单项加密算法为sha256,使用openssl ?来查看可使用的单项加密算法

3、公钥加密

3-1、生成私钥

]# openssl genrsa -out /tmp/private.key 1024

但是,通常情况下,私钥文件是不能被除root以外的用户读取的,默认情况下,生成私钥文件的权限时644,需要将其修改为600,可以这样操作:

]# (umask 077; openssl genrsa -out /tmp/private.key 1024)
]# ll private.key 
-rw-------. 1 root root 887 May 10 22:29 private.key

3-2、生成CA的自签名证书

CA的自签名证书,需要一个私钥,在openssl.cnf文件中,默认私钥文件存放路径为:private_key = $dir/private/cakey.pem# The private key,其中,$dir 为/etc/pki/CA

生成的证书文件为:certificate = $dir/cacert.pem # The CA certificate

1、生成私钥:

]# (umask 077; openssl genrsa -out /etc/pki/CA/private/cakey.pem 2048

2、生成CA自签名证书:

]# openssl req -new -x509 -key /etc/pki/CA/private/cakey.pem -out /etc/pki/CA/cacert/pem
-new 指明这是一个新的证书签署请求
-x509 outputs a self signed certificate instead of a certificate request,输出自签证书
-key 私钥
-out 自签证书文件

执行上述命令后,会出现交互式命令行,需要输入该自签证书的相关信息,后面请求CA签署的签名除

输入完成后,即可生成CA的自签证书

创建CA所需的目录和文件,其中目录3个,文件2个
mkdir /etc/pki/CA/{certs,newcerts,crr}
    
    touch /etc/pki/CA/{serial,index.txt}
    
    echo 01 > /etc/pki/CA/serial

3、证书请求者生成请求签名的私钥,方法同1,

生成证书请求文件:

openssl req -key file/to/private.key -out /file/to/certs.csr

4、使用相应的工具,将请求签名的私钥安全拷贝至CA上,如scp命令

scp root@ipaddr:/path/tofile /path/to/dest/file

将ipaddr主机中/path/tofile文件拷贝至本机的/path/to/dest/file中,前面表示源文件,后面表示目标,也可以源是本机,目标是远程主机。

5、使用ca命令对请求进行签署

]# openssl ca -in /etc/pki/CA/certs/certs.out -out /etc/pki/CA/newcerts/certs.crt

6、使用openssl x509查看以签署证书相关信息

]# openssl x509 -in certs.crt -noout -serial -subject
serial=01
subject= /C=CN/ST=SHANNXI/O=xfy/OU=cb/CN=cb.koala.com/emailAddress=admin.koala.com

三、DNS服务

DNS(domain name service)域名服务,是将主机名或域名转换为IP地址的服务,或者反过来讲ip地址转换为主机名或域名。因为人类不容易记忆IP地址,而容易记忆与访问相关的名字。

DNS有2种解析分类,一种是主机名(域名)到IP的解析,称为正向解析,相应的解析域称为正向域。另一种是IP到主机名(域名)的解析,称为反向解析,对应的解析域称为方向域。

域名是层次或者说层级结构,有根,顶级域,二级域等等。

根用点 . 来表示,顶级域有.com .mil .org .gov .edu 等,后面有增加了国家域(地区域),如 .cn .hk 等

一个完整的主机名,如www.haidu.com,称为FQDN,即Full Qualified Domain Name

DNS解析,有两种方法,一种叫迭代,另一种叫递归。所谓迭代,就是,当客户端向服务器端请求查询某个域名时,服务器端如果不负责该域名的解析(或者没有这个域名的解析结果),会返回给客户端一个结果,该结果指明了客户端应该向那个服务器去请求解析该域名,然后客户端再去向指向的服务器去请求;指向的服务器根据其配置,返回解析结果或再回合一个指向服务器,让客户端去请求解析,直至解析成功或返回错误结果。所谓递归,是指客户端向某服务器发出请求后,该服务器通过向其他服务器查询,得到解析结果或错误结果,直接返回给客户端。可以看出区别就是,迭代查询,客户端可能查询一次或多次才能得到结果,而递归查询,客户端只需一次查询,就可以得到结果。

在互联网上的DNS解析服务,通常是客户端到其指向的服务器间,是迭代查询,即客户端只需向DNS服务器发出DNS请求,服务器通过迭代或递归的方式得到结果后,最后返回给客户端查询结果。而服务器在查询时,一般采用迭代,先向根服务器发出请求,然后根据根的相应,迭代出结果。

1、bind

在Linux上,使用的DNS服务端程序叫bind(berkeley Internet name domain ),对应的进程为named。下面介绍bind程序的配置和使用。

1-1、bind程序主配置文件。

主配置文件为/etc/named.conf,通过该文件中的include指令,将其他配置区域配置文件包含进来

在主配置文件中,options段需要特别注意:一是监听端口,应该监听在该机提供DNS服务的地址的53号端口上;二是directory,指明了主目录,后面相关的配置,都是在这个主目录下的(/var/named);三是allow-query 允许查询,根据情况改为可查询的地址;四是recursion,即允许该服务器为哪些地址进行递归查询,这个应该只允许公司内部网段的机器。还有两个安全选项:dnssec-enable和dnssec-validation 一般都设为no

在次配置文件/etc/named.rfc1912.zones中,主要定义了一些解析区域,如localhost.localdomain 以及一个反向的解析区域。

由于反向解析域用的较少,这里只介绍正向解析域的相关配置

对于正向解析域的定义,一般遵循以下格式:

zone "ZONE_NAME" IN {
        type master|slave|stub|hint|forward;
        file "file/to/zonefile";
        allow-transfer { 192.168.1.181; };
};

ZONE_NAME 指明该区域的名字,如二级域名magedu.com type 该区域的类型,有master(主),slave(从),hint(根),forward(只转发)等 file 说明该区域所定义的域名解析存放域名与地址间对应关系的文件,可以认为是数据库 allow-transfer 当该区域是主区域是,允许那个地址上的从服务器来同步该区域的信息。

1-2、下来看区域文件如何定义

区域文件是一条一条的域名和IP地址的对应关系,基本需要有以下几个组成部分

name [TTL] IN rr_type value 其中 TTL值是time to live 生存时间,指该记录被其他主机查询到后,可在其他主机上缓存的时间 rr_type resource record type 有以下几种类型,SOA start of authority 起始记录(每个区域文件的必须以一个SOA记录起始);A address 即域名至ip地址的解析;NS name server 指该记录是一个域名服务器记录 AAAA 域名到IPv6地址的解析;MX 邮件服务器;CNAME 别名记录 记录 PTR反解记录,即ip地址到域名的解析记录。

SOA记录 name 和区域定义中的ZONE_NAME一致 TTL 可在SOA记录前,使用$TTL 来统一定义,默认时间为s 可使用单位是H M D等 IN 规定格式,必须有 rr_type SOA value值包括 该区域域名 管理员邮件地址(@符合需要用.代替,因为@在区域文件中代表区域名) 相关数据定义 包括 serial_num(序列号) freshtime(刷新时间) retrytime(重试时间) deadtime(死亡时间) negotiatetime(否定回答重试时间)

MX 记录 name 邮件服务器的域名 rr_type MX priority 邮件服务器的优先级(0-100),越小越优先 value FQDN 一个MX记录,需要有一个与其FQDN对应的A记录

A记录 name 一般为FQDN rr_type A value ip地址

NS记录

name 域名 rr_type NS value FQDN 一个NS记录需要有一个与其FQDN对应的A记录

CNAME记录 name 域名 rr_type CNAME value 域名

下面以一个例子来说明区域文件的定义和格式

$TTL 1D
@ IN SOA @ koala.com. (
                                3; serial                          
                                1D; refresh
                                12H; retry
                                3H; expire
                                3D; min
                                )
        IN NS ns1.koala.com.
        IN NS ns2.koala.com.
fin IN NS ns1.fin.koala.com.
ns2 IN A 192.168.1.181
ns1 IN A 192.168.1.180
web IN A 192.168.1.180
ns1.fin IN A 192.168.1.187

$TTL 1D 全局定义该区域文件中的所有记录在查询主机上的缓存有效时间 @ 代表该区域,和named配置文件中的ZONE_NAME一样 必须以SOA记录开始 SOA记录中()内的值,分别是序列号,刷新时间、重试时间、死亡时间、否定回答过期时间

如果下一条记录没有name值,则隐含表示该name值是继承上一条的name值

在FQDN中可使用两种格式:一种是全格式,全格式的域名必须以.结尾;一种是简化格式,简化格式一定不能以点结尾,如上例中的fin,转换为全格式为:fin.koala.com. 主意,后面必须有.

3、安装配置:

安装 配置好yum源后,使用yum install bind 来安装,

更改主配置文件,主要该监听ip地址,allow-query地址,recursive 还有dnssec等内容

默认安装好后,使用systemctl start named.service来启动DNS服务 named进程监听在TCP UDP的53端口 可使用ss -tan命令来查看53端口是否启动

3-1、配置一个简单的域

1、在/etc/named.rfc1912.zones中添加域定义文件,

2、根据上面域文件中定义的域数据文件位置,创建一个域记录文件,即以SOA记录开头的文件 域类型可定义为master

3-2、配置第一步定义的DNS域的从域

对于DNS而言,主从关系只是域层面上的,一个DNS可以有多个域,说主从,只是说是哪个域是主域,哪个域是从域,而不是服务器级别的

定义一个从域,需要两个步骤:

1、依据配置简单域的方法,配置一个DNS域,域类型必须为master 在域定义文件中,可是用 allow-transfer { IPaddr } 来限制那些地址的DNS服务器中的域可以称为次域的从域,以上都在设置为主域的DNS上配置。

2、在设置为从域的DNS上 首先配置一个和主域ZONE_NAME 相同的域定义文件,该文件中 配置与主域文件不同地方如下: type slave 说明这是从域 masters { ipaddr } 主域服务器的地址 其余可以不用配置

可以使用 named-checkconf来检查配置文件是否正确 使用named-checkzone ZONE_NAME /path/to/zonefile来检查区域文件是否正确

使用dig -t TYPE(rr_type) typevalue @ip 来测试,也可以使用host命令来测试

3-3、配置子域授权

即在当前域下,再配置一个子域,配置方法如下:

1、在父域的域记录文件中,首先定义一个NS记录,该NS记录的name为自域的名称,value为该自域DNS服务器的FQDN (根据前面描述,该NS记录,必须有一个与之对应的A记录,来指向该自域DNS的服务器) 2、在子域中,如配置一个简单的DNS域一样,配置好该域的域定义文件和域记录文件即可。

以上修改完配置文件,需要重新启动named服务或者重新加载配置文件,可使用systemctl 或者rndc reload

named服务还可以实现acl控制,view试图等功能,结合起来可实现,对于不同的解析请求,根据请求者的ip不同,返回不同的解析地址。

本文来自投稿,不代表Linux运维部落立场,如若转载,请注明出处:/98672

发表评论

登录后才能评论

联系我们

400-080-6560

在线咨询:点击这里给我发消息

邮件:1823388528@qq.com

工作时间:周一至周五,9:30-18:30,节假日同时也值班

友情链接:万达娱乐开户  万达娱乐直属  万达娱乐  万达主管QQ  万达直属  guoqibee.com  万达娱乐注册  万达娱乐招商QQ  万达招商