week11
1、詳細描述一次加密通訊的過程，結合圖示最佳。 2、描述創建私有CA的過程，以及為客戶端發來的證書請求進行頒發證書。 3、描述DNS查詢過程以及DNS服務器類別。 4、搭建一套DNS服務器，負責解析magedu.com域名（自行設定主機名及IP） (1)、能夠對一些主機名進行正向解析和逆向解析； (2)、對子域cdn.magedu.com進行子域授權，子域負責解析對應子域中的主機名； (3)、為了保證DNS服務系統的高可用性，請設計一套方案，并寫出詳細的實施過程;
題目1：
A-->B加密通信過程： 1.A生成數據； 2.A先使用單向加密算法計算出這段數據的特征碼； 3.A使用自己的私鑰加密加密這段特征碼并附加在數據后面； 4.A生成一個臨時的對稱秘鑰，并使用此臨時秘鑰(對稱加密算法)加密整段數據； 5.A獲取B的公鑰，然后使用B的公鑰加密之前的數據，然后發送給A； 6.B收到A發來的數據； 7.B使用自己的私鑰解密這段數據，得到A的對稱秘鑰；(秘鑰交換) 8.B使用此對稱秘鑰解密數據，得到加密后的數據內容；(數據加密) 9.B使用A的公鑰解密加密之前得到的數據(數據+特征碼+單向加密算法)，實現身份驗證； 10.B使用同樣的單向加密算法計算數據的特征碼，然后進行比較，從而實現數據完整性校驗；
題目2：
構建私有CA：
1)生成私鑰
[root@director3 ~]# yum -y install openssl
[root@director3 CA]# (umask 077;openssl genrsa -out /etc/pki/CA/private/cakey.pem 4096)
2)生成自簽證書并自簽
[root@director3 CA]# openssl req -new -x509 -key /etc/pki/CA/private/ca-key.pem \
-out /etc/pki/CA/cacert.pem -days 365
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [XX]:CN
State or Province Name (full name) []:shanghai
Locality Name (eg, city) [Default City]:shanghai
Organization Name (eg, company) [Default Company Ltd]:DevOps
Organizational Unit Name (eg, section) []:OPS
Common Name (eg, your name or your server's hostname) []:director3
Email Address []:
3)為CA提供所需的目錄及文件
[root@director3 CA]# mkdir /etc/pki/CA/{certs,crl,newcerts}
[root@director3 CA]# touch /etc/pki/CA/{serial,index.txt}
[root@director3 CA]# echo 01 > /etc/pki/CA/serial
為客戶端頒發證書過程(以apache為例)：
1)生成一個私鑰
[root@apache client]# (umask 077;openssl genrsa -out /tmp/client/http.key 4096)
2)生成一個證書簽署請求
[root@apache client]# openssl req -new -key /tmp/client/http.key -out /tmp/client/http.csr -days 365
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [XX]:CN
State or Province Name (full name) []:shanghai
Locality Name (eg, city) [Default City]:shanghai
Organization Name (eg, company) [Default Company Ltd]:Test
Organizational Unit Name (eg, section) []:Test1
Common Name (eg, your name or your server's hostname) []:apache.example.com
Email Address []:
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:
3)將此客戶端的證書請求通過可靠方式發送到CA上，讓CA簽署；
[root@apache client]# scp /tmp/client/http.csr director3:~
4)在CA上簽署證書請求
[root@director3 CA]# openssl ca -in /root/http.csr -out /etc/pki/CA/certs/http.csr -days 365
Using configuration from /etc/pki/tls/openssl.cnf
Check that the request matches the signature
Signature ok
The organizationName field needed to be the same in the
CA certificate (DevOPS) and the request (Test)
5)將簽署的證書傳給客戶端
題目3：
DNS查詢過程：
分為兩段式查詢：遞歸查詢+迭代查詢
遞歸查詢：客戶端首先向本地DNS發起查詢，最終的查詢結果由本地DNS返回；客戶端只發出一次查詢請求;
迭代查詢：本地DNS開始向根DNS服務器發出查詢請求；如果查詢不到，會向對應的頂級域發出查詢請求，
依次遞歸，直到得到解析結果(正常解析或無法解析)；
DNS服務器類別：
主DNS服務器；
輔助DNS服務器；
緩存DNS服務器；
轉發DNS服務器；
題目4：
(1)
安裝bind軟件：
[root@ns1 ~]# yum -y install bind bind-utils
編輯/etc/named.conf配置文件，修改添加如下幾項：
listen-on port 53 { any; };
allow-query { 10.0.0.0/24; };
dnssec-enable no;
dnssec-validation no;
include "/etc/named.magedu.com" ;
創建及修改magedu.com域配置文件：
[root@ns1 ~]# (umask 027;touch /etc/named.magedu.com)
[root@ns1 ~]# chgrp named /etc/named.magedu.com
[root@ns1 ~]# cat /etc/named.magedu.com
zone "magedu.com" IN {
type master;
file "db.magedu.com";
};
zone "0.0.10.in-addr.arpa" IN {
type master;
file "db.reverse";
};
創建域正向及反向解析文件：
[root@ns1 ~]# touch /var/named/{db.magedu.com,db.reverse}
[root@ns1 ~]# chgrp -R named /var/named/
正向解析文件：
[root@ns1 ~]# cat /var/named/db.magedu.com
$ORIGIN magedu.com.
$TTL 1D
@IN SOAns1.magedu.com. admin.magedu.com. (
2016110401
6H
1H
1W
1D)
NS ns1
MX 10 mail
ns1 A 10.0.0.5
www A 10.0.0.3
ftp A 10.0.0.2
mail A 10.0.0.6
php CNAME www
cdn NS ns.cdn
ns.cdn A 10.0.0.4
反向解析文件：
[root@ns1 ~]# cat /var/named/db.reverse
$TTL 1D
@IN SOAns1.magedu.com. admin.magedu.com. (
2016110410; serial
1D; refresh
1H; retry
1W; expire
3H ); minimum
NS ns1.magedu.com.
MX 10 mail.magedu.com.
5 PTR ns1.magedu.com.
4 PTR ns.cdn.magedu.com.
2 PTR ftp.magedu.com.
3 PTR www.magedu.com.
3 PTR php.magedu.com.
6 PTR mail.magedu.com.
檢查配置：
[root@ns1 ~]# named-checkconf
[root@ns1 ~]# named-checkzone magedu.com /var/named/db.magedu.com
[root@ns1 ~]# named-checkzone 0.0.10.in-addr.arpa db.reverse
啟動服務：
[root@ns1 ~]# systemctl start named.service
測試：
正向解析：
[root@ns1 ~]# nslookup -q=NS magedu.com 10.0.0.5
Server:10.0.0.5
Address:10.0.0.5#53
magedu.comnameserver = ns1.magedu.com.
[root@ns1 ~]# nslookup -q=A www.magedu.com 10.0.0.5
Server:10.0.0.5
Address:10.0.0.5#53
Name:www.magedu.com
Address: 10.0.0.3
反向解析：
[root@ns1 ~]# nslookup -q=PTR 10.0.0.3 10.0.0.5
Server:10.0.0.5
Address:10.0.0.5#53
3.0.0.10.in-addr.arpaname = www.magedu.com.
3.0.0.10.in-addr.arpaname = php.magedu.com.
(2)
修改(1)中db.magedu.com文件，添加如下記錄：
cdn NS ns.cdn
ns.cdn A 10.0.0.4
重啟服務：
[root@ns1 ~]# systemctl restart named.service
在ns.cdn.magedu.com主機上安裝bind,bind-utils;
修改配置文件/etc/named.conf;
添加cdn.magedu.com域的配置文件及解析文件；如下：
配置文件：
[root@ns ~]# cat /etc/named.cdn.magedu.com
zone "cdn.magedu.com" IN {
type master;
file "db.cdn.magedu.com";
};
解析文件：
[root@ns ~]# cat /var/named/db.cdn.magedu.com
$ORIGIN cdn.magedu.com.
$TTL 1D
@ IN SOA ns.cdn.magedu.com. admin.cdn.magedu.com. (
2016110433
6H
1H
1W
1D)
NS ns
MX 10 mail
ns A 10.0.0.4
www A 10.0.0.8
檢查配置及啟動服務：
[root@ns ~]# systemctl start named.service
測試：
在ns.cdn.magedu.com主機上測試：
[root@ns ~]# dig -t A www.cdn.magedu.com @10.0.0.4
; <<>> DiG 9.9.4-RedHat-9.9.4-29.el7_2.4 <<>> -t A www.cdn.magedu.com @10.0.0.4
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 21374
;; flags: qr aa rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 1, ADDITIONAL: 2
;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;www.cdn.magedu.com.INA
;; ANSWER SECTION:
www.cdn.magedu.com.86400INA10.0.0.8
;; AUTHORITY SECTION:
cdn.magedu.com.86400INNSns.cdn.magedu.com.
;; ADDITIONAL SECTION:
ns.cdn.magedu.com.86400INA10.0.0.4
;; Query time: 1 msec
;; SERVER: 10.0.0.4#53(10.0.0.4)
;; WHEN: Fri Oct 21 09:35:34 CST 2016
;; MSG SIZE rcvd: 96
在ns1.magedu.com主機上測試：
[root@ns1 ~]# dig -t NS cdn.magedu.com @10.0.0.5
; <<>> DiG 9.9.4-RedHat-9.9.4-29.el7_2.4 <<>> -t NS cdn.magedu.com @10.0.0.5
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 18288
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 2
;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;cdn.magedu.com.INNS
;; ANSWER SECTION:
cdn.magedu.com.86400INNSns.cdn.magedu.com.
;; ADDITIONAL SECTION:
ns.cdn.magedu.com.86400INA10.0.0.4
;; Query time: 2 msec
;; SERVER: 10.0.0.5#53(10.0.0.5)
;; WHEN: Fri Nov 04 16:03:09 CST 2016
;; MSG SIZE rcvd: 76
[root@ns1 ~]# dig -t A www.cdn.magedu.com @10.0.0.5
; <<>> DiG 9.9.4-RedHat-9.9.4-29.el7_2.4 <<>> -t A www.cdn.magedu.com @10.0.0.5
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 35925
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 1, ADDITIONAL: 2
;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;www.cdn.magedu.com.INA
;; ANSWER SECTION:
www.cdn.magedu.com.86400INA10.0.0.8
;; AUTHORITY SECTION:
cdn.magedu.com.86376INNSns.cdn.magedu.com.
;; ADDITIONAL SECTION:
ns.cdn.magedu.com.86376INA10.0.0.4
;; Query time: 2 msec
;; SERVER: 10.0.0.5#53(10.0.0.5)
;; WHEN: Fri Nov 04 16:03:33 CST 2016
;; MSG SIZE rcvd: 96
(3)
為了保證DNS服務的高可用性，可以采取主從架構，一主多從；或對DNS服務做HA；
本例采取一主一從架構：
ns1.magedu.com 主dns服務器
ns2.magedu.com 輔助dns服務器
備注：初始化(2)中的子域
首先時間需要保持同步
分別在兩臺主機上安裝chrony，啟動chronyd服務；
修改ns1主機上的正向解析記錄，添加：
NS ns2
ns2 A 10.0.0.4
在ns2上安裝bind，bind9；
修改配置文件基本類似ns1：
添加配置文件：
[root@ns2 ~]# cat /etc/named.slave.magedu.com
zone "magedu.com" IN {
type slave;
file "slaves/magedu.com.zone";
masters { 10.0.0.5; };
};
檢查配置文件并啟動服務：
[root@ns2 ~]# systemctl start named.service
查看slaves目錄下是否生成域解析文件：
[root@ns2 ~]# ll /var/named/slaves/
total 4
-rw-r--r-- 1 named named 540 Nov 4 16:22 magedu.com.zone
此時說明dns主從復制成功；也可以在dns slave主機上測試解析：
[root@ns2 ~]# dig -t A www.magedu.com @10.0.0.4
; <<>> DiG 9.9.4-RedHat-9.9.4-29.el7_2.4 <<>> -t A www.magedu.com @10.0.0.4
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 30244
;; flags: qr aa rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 1, ADDITIONAL: 2
;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;www.magedu.com.INA
;; ANSWER SECTION:
www.magedu.com.86400INA10.0.0.3
;; AUTHORITY SECTION:
magedu.com.86400INNSns1.magedu.com.
;; ADDITIONAL SECTION:
ns1.magedu.com.86400INA10.0.0.5
;; Query time: 0 msec
;; SERVER: 10.0.0.4#53(10.0.0.4)
;; WHEN: Fri Nov 04 16:24:41 CST 2016
;; MSG SIZE rcvd: 93
原創文章，作者：devon，如若轉載，請注明出處：http://www.www58058.com/57447
具體的操作步驟挺不錯的，在做DNS主從的時候，能添加些注意事項會更好，比如每次修改下時間戳會更好.