DHCP-Server mit DNS #

Dieser Artikel beschreibt ein älteres Setup, das wir im KrefixLinux-Router benutzt haben. Eine für normale Heimnetze viel einfachere Lösung bietet das neuere Paket DnsMasq. Die hier verwendete Kombination aus Bind und dem DHCP-Server vom ISC ist für sehr komplexe Aufgabenstellungen immer noch die leistungsfähigere, aber DnsMasq sollte eigentlich für jeden, der einen Server in seinem Heim- oder Firmennetz benötigt, die bessere Wahl sein.

Ein DHCP-Server mit einer herkömmlichen Konfiguration gibt an neue, unbekannte Clients lediglich IP-Adressen aus einem vorgegebenen Adresspool. Bei unserem Projekt KrefixLinux wollen wir jedoch, dass das gesamte Netz komplett automatisch konfiguriert werden kann. Dazu gehört, daß für einen neuen Client auch ein Name vergeben wird, der dann auch vom Nameserver richtig aufgelöst wird.

Dabei sind folgende Schritte nötig:

• Vergabe einer IP-Adresse
• automatische Erzeugung eines Namens und Übergabe an den Client
• Übergabe des Namens an den Nameserver
• Konfiguration des Nameservers, damit er diesen Namen annimmt

Benutzte Softwarepakete #

Wir benutzen für KrefixLinux die Debian-Pakete dhcp3-server und bind9, die beide vom Internet Software Consortium kommen. Diese beiden arbeiten gut miteinander und auch mit dem von uns verwendeten DHCP-Client (siehe NetzKonfigMitDHCP) zusammen. Außerdem stellt bind sowieso den de-facto-Standard für DNS-Server im Internet dar.

Leider ist die (hier beschriebene) Konfiguration der Server des ISC nicht gerade einfach und übersichtlich. Deshalb an dieser Stelle eine einfache Alternative, die im Wesentlichen in einer Datei konfiguriert wird: Das Debian-Paket DnsMasq enthält einen DNS-Proxy. Er kann die /etc/hosts-Datei des Servers auslesen und benutzt die IP-Adresse/Name-Zuordnung für die lokale Domain. Und IP-Adressen per DHCP vergeben kann er auch! Das wäre sicher eine Alternative für KrefixLinux2...

Nach Installation des dhcp3-server-Paketes muss die Datei /etc/dhcp3/dhcpd.conf angepasst werden. Einfache Beispiele sind darin bereits enthalten, so daß wir keine besonderen Probleme hatten. Für kompliziertere Dinge ist dieser Server allerdings auch zu haben. Dieser DHCP-Server ist wohl auch der einzige, der direkt (ohne Hilfs-Skripte) einen Nameserver updaten kann, wenn neue Hosts angemeldet werden.

Vergabe einer IP-Adresse #

Mit folgendem Ausschnitt aus der dhcpd.conf vergeben wir unsere IP-Adressen:

 default-lease-time 86400;  # ein Tag
 max-lease-time 604800;     # eine Woche

 subnet 192.168.200.0 netmask 255.255.255.0 {
   range 192.168.200.2 192.168.200.127;
   option host-name = concat("alpha", binary-to-ascii(
                        10,8,"",substring(leased-address,3,1)));
   option routers 192.168.200.1;
 }
 subnet 192.168.201.0 netmask 255.255.255.0 {
   range 192.168.201.2 192.168.201.127;
   option host-name = concat("beta", binary-to-ascii(
                        10,8,"",substring(leased-address,3,1)));
   option routers 192.168.201.1;
 }
 subnet 192.168.202.0 netmask 255.255.255.0 {
   range 192.168.202.2 192.168.202.127;
   option host-name = concat("gamma", binary-to-ascii(
                        10,8,"",substring(leased-address,3,1)));
   option routers 192.168.202.1;
 }
 subnet 192.168.203.0 netmask 255.255.255.0 {
   range 192.168.203.2 192.168.203.127;
   option host-name = concat("delta", binary-to-ascii(
                        10,8,"",substring(leased-address,3,1)));
   option routers 192.168.203.1;
 }

Dabei benutzen wir für KrefixLinux immer 4 Interfaces, weil das die von uns gewählte Höchstzahl an Interfaces ist. Bei der Anwendung für einen speziellen Rechner braucht man natürlich nur soviele subnet-Deklarationen wie Netzwerkkarten. Falls eine dieser subnet-Deklarationen kein passendes Interface findet (weil es z.B. gar nicht so viele Interfaces gibt), wird die Deklaration einfach verworfen. Nachdem der Server selber die Adresse 192.168.20x.1 hat, werden die restlichen Clients jetzt auf die Adressen ...20x.2 bis ...20x.127 verteilt. (Die Adressen 128-255 behalten wir uns vor, falls ein Admin Adressen fest vergeben will.)

Erzeugung des Namens #

Zur dynamischen Erzeugung von Namen hat der dhcp eine Art Skriptsprache, die mächtig genug ist, um alle benötigten Ausdrücke auszuwerten. Diese ist auf der dhcp-eval-Manpage beschrieben. Um nun unsere Namen zu erzeugen, benutzen wir folgende Zeile:

 option host-name = concat("alpha", binary-to-ascii(10,8,"",substring(leased-address,3,1)));

Die host-name-Zeile wandelt die letzte Zahl der vergebenen IP-Adresse in einen Textstring und hängt diesen an das Wort "alpha" (den Basisnamen für unsere Clients) an. So heisst z.B. der Rechner mit der IP-Adresse 192.168.200.42 dann alpha42. In unserer Konfiguration haben wir für verschiedene Netzwerkkarten (die jeweils andere IP-Subnetze versorgen) dann verschiedene Basisnamen benutzt.

Übergabe des Namens an den Client #

Die folgenden Optionen haben wir in unserer Konfiguration auch noch eingesetzt. Durch diese meldet der DHCP-Server dem angegebenen Nameserver (auf 127.0.0.1) alle Namen, die er vergibt.

 ddns-update-style interim;
 ddns-domainname "intranet";
 update-static-leases true;
 ignore client-updates;
 authoritative;

 zone intranet. {
   primary 127.0.0.1;
 }
 zone 168.192.in-addr.arpa. {
   primary 127.0.0.1;
 }

Konfiguration des Nameservers #

Wie im folgenden Ausschnitt der named.conf gezeigt, muss im Nameserver lediglich die allow-update-Direktive gesetzt werden:

 zone "intranet" {
   type master;
   file "/etc/bind/db.intranet";
   allow-update { 127.0.0.1; };
 };

 zone "168.192.in-addr.arpa" {
   type master;
   file "/etc/bind/db.192.168";
   allow-update { 127.0.0.1; };
 };

Sicherheit #

Es ist natürlich wichtig, daß nicht irgendein anderes Programm einfach den Nameserver manipuliert. Andere Beispiel-Lösungen und die manpage zeigen, wie man eine Authentifizierung benutzen kann, um sicherzustellen, daß nur der DHCP-Server dies kann. Dadurch, das wir updates nur von der localhost-Adresse 127.0.0.1 zulassen, haben wir bereits den wichtigsten Schritt getan. Updates von anderen als dem eigenen Rechner aus sollten eigentlich nie nötig sein. Dennoch haben jetzt alle Benutzer und Dienste auf diesem Rechner die Möglichkeit, die angegebenen DNS-Zonen zu verändern.

Links #

• http://www.pl-berichte.de/t_netzwerk/dhcpunddns.html - Artikel über dieses Thema