Seguridad Informatica

1
Objetivos (I)
Descubrir la necesidad de un servicio que proporcione un
mecanismo de conversión entre nombres de máquinas o
hosts y direcciones IP.
El concepto de 'resolució n' de nombres.
Conocer el funcionamiento básico del servicio DNS.
Conocer y diferenciar el funcionamiento del cliente y el
servidor DNS, procesos implicados y sus funciones.

2
Objetivos (II)
Poner en marcha un servidor DNS bajo Debian GNU/Linux,
comprobando su funcionamiento con diferentes parámetros de
configuració n.
Poner en marcha un servidor DNS bajo Windows 2003 Server,
comprobando su funcionamiento con diferentes parámetros de
configuració n.
Configurar los parámetros relativos a los clientes DNS para
ambos sistemas operativos.
Conocer la funcionalidad de las opciones más relevantes.

3
¿Qué es el servicio DNS?
El servicio DNS (Domain Name System) o servicio de nombres de
dominio, gestiona y mantiene de forma distribuida las direcciones de
Internet y los nombres de sistema. Es un servicio de búsqueda de
direcciones IP y de nombres de ordenadores para una red TCP/IP.
En una red TCP/IP las máquinas se identifican mediante su direcció n
de red o número IP. Sin embargo, para las personas resulta mucho
más sencillo recordar un nombre que se asocia a una máquina
concreta.

4
¿Qué es el servicio DNS?
Un dominio o nombre de dominio es el nombre que identifica un sitio
web. El dominio tiene que ser único en Internet. Por ejemplo,
www.google.es es el nombre de dominio del sitio web de Google
en Españ a.
Un servidor web puede hospedar sitios web correspondientes a
varios dominios, pero un dominio só lo puede apuntar a un servidor.
Si el dominio estuviese repartido entre varios servidores al llevar a
cabo la resolució n de nombres el servicio DNS só lo devolvería una
direcció n IP que deberáser la correspondiente al servidor que tiene
alojado el dominio.

5
Un poco de historia (I)
El servicio DNS apareció en 1983. Surgió de la necesidad de
almacenar de forma estructurada los nombres de todos los servidores
conectados a Internet.
Al principio el SRI (Stanford Research Institute) almacenaba en cada
máquina un archivo llamado hosts.txt con todos los nombres de
dominio conocidos. Durante la noche se actualizaba el archivo.
Internet fue creciendo y el tamañ o del archivo hosts.txt también. El
tamañ o del archivo desencadenó una serie de problemas, como tráfico
y carga de la red, posibilidad de colisió n de nombres (en aquel
momento no había una autoridad que garantizara que cada nombre
era único) e inconsistencia del archivo.

6
El espacio de nombres de dominio
El servicio DNS se compone de una base de datos distribuida en la que
se almacenan las asociaciones de nombres de dominios y direcciones
IP.
La base de datos de DNS está clasificada por nombres de dominio,
donde cada nombre de dominio es una rama en un árbol invertido
llamado espacio de nombres de dominio.
El árbol comienza en el nodo raíz situado en el nivel superior. Por
debajo de él pueden existir un número indeterminado de nodos de nivel
inferior. Normalmente se utilizan hasta cinco niveles. Por ejemplo, en
lliurex.cult.gva.es se utilizan 4 niveles.

7
El nodo raíz se identifica mediante un nombre nulo (0 caracteres).
El nombre completo de un nodo está formado por el conjunto de
nombres que forman la trayectoria desde ese nodo hasta el nodo raíz.
Como separador de nombres se utiliza el carácter punto.
El nombre de dominio completo se llama nombre de dominio
completamente cualificado o Fully Qualified Domain Name (FQDN).
El FQDN de un nodo del árbol debe acabar con un punto.

8
Los diferentes servidores DNS que existen en la red almacenan la
informació n relativa a los nombres de dominio DNS en los llamados
Registros de Recursos.
Un servidor DNS tendrá aquellos registros de recursos que le
permitan responder a las peticiones de nombres relativas a la parte
del espacio de nombres de dominio sobre la que tiene autoridad
dicho servidor.

9
Figura 7.1

10
El servicio DNS, respecto a su organizació n, se basa en niveles
según la posició n del dominio.
El nivel superior o primer nivel (TLD, Top Level Domain) lo forman
aquellos dominios descendientes directos del dominio raíz.
Dentro de la estructura jerárquica existen dominios genéricos y
dominios de país.

11
Los principales TLDs gené ricos son:
.com: agrupa a organizaciones comerciales. Ejemplos: ibm.com,
yahoo.com, musicstrands.com, …
.edu: reúne a organizaciones educativas universitarias. Ejemplos:
berkeley.edu, uoc.ed, mit.edu, ...
.net: agrupa a organizaciones dedicadas a Internet y a las
telecomunicaciones. Ejemplos: rpmfind.net, Listas.net, php.net, ...
.org: reúne a organizaciones no comerciales. Ejemplos: linuxdoc.org
.gov: agrupa a organizaciones gubernamentales (EEUU). Ejemplo:
nasa.gov, nsf.gov, …

12
Algunos TLDs recientemente aparecidos son: .int, .aero, .biz, .coop, .info,
.pro, ... Ejemplos: europa.eu.int, responsables.biz, ideas.coop,
spain.info,...
Dominios de país: sus nombres representan a todos los países a través de
dos letras. Ejemplos: .es para Españ a, .fr para Francia, .de para Alemania, ...
Puede ocurrir que los dominios geográficos de primer nivel contengan a su vez
alguno de los dominios genéricos. Estos dominios serían de segundo nivel.
Ejemplos: com.es, edu.au, org.uk, ...

13
El ICANN (Internet Corporation for Assigned Names and Numbers) es
el organismo encargado de la gestió n de los dominios raíz y TLDs.
Los dominios asociados a cada país son registrados por las
autoridades locales que, en el caso de Españ a, es el ESNIC,
actualmente integrado en Red.es (entidad pública empresarial que
estáadscrita al Ministerio de Industria, Turismo y Comercio).
Por tanto, para la creació n de un dominio .es hay que solicitarlo al
ESNIC.

14
El servicio DNS define:
Un espacio de nombres jerárquico para las máquinas y las
direcciones IP.
Una base de datos distribuida que contiene asociaciones de
nombres de dominios a direcciones IP.
Un resolvedor ('resolver') o biblioteca de rutinas que permite
realizar consultas a esa base de datos.
Un protocolo para intercambiar informació n de nombres.

15
¿Qué es la delegació n?
La delegació n es la acció n de cesió n de la autoridad, por parte del
dominio padre, sobre alguno de sus subdominios, y que puede
volver a retomar cuando el dominio padre decida.
Este mecanismo permite llevar a cabo una administració n
descentralizada. Es decir, el dominio puede ser dividido en
subdominios por el administrador del dominio y el control de cada
subdominio puede ser delegado.
La condició n es que la autoridad que asume la delegació n debe
asumir también la responsabilidad de mantener actualizados los
datos (registros de recursos) de ese subdominio.

16
¿Qué es la delegació n?
Pero delegació n no significa independencia, sino coordinació n. Si al
dominio padre se le plantean consultas acerca de nombres incluidos
en uno de sus subdominios delegados puede hacer referencia a
dichos subdominios, ya que mantiene enlaces con ellos, para hacer
efectiva la consulta.
La divisió n de un dominio en subdominios no implica siempre la
cesió n de la autoridad sobre ellos. En principio un dominio puede
subdividirse en diferentes subdominios y el dominio mantener la
autoridad sobre ellos. Pero también puede, si así lo decide, delegar
la autoridad de alguno/s de sus subdominios.

17
Dominios y zonas
El dominio es un subárbol del espacio de nombres de dominio, es decir, un
nodo con todos los nodos por debajo de él.
La zona es un archivo que contiene determinados registros de la base de
datos del espacio de nombres de dominio. Estos registros identifican a uno o
más dominios. Mediante estos registros la zona puede atender las peticiones
de los clientes, y por ello también se les llama zonas de autoridad. Por lo
tanto, la generació n de zonas se hace mediante la delegació n de autoridad.
Un servidor de nombres podrátener autoridad sobre varias zonas.

18
Dominios y zonas
Figura 7.2

19
Servidores de nombres: clasificació n
Servidor primario (maestro): obtiene la informació n de sus zonas
de sus archivos locales. Todas las modificaciones sobre una zona se
llevan a cabo en el servidor primario.
Servidor secundario (esclavo): obtiene la informació n de su zona o
zonas de otro servidor de nombres (generalmente será un servidor
primario) que tiene autoridad sobre esa zona o zonas. El servidor
secundario contiene una copia de só lo lectura de los archivos de
zona.
Servidor caché : só lo atiende consultas de los clientes DNS
(resolvedores) sobre nombres de dominios. No contiene informació n
acerca de la zona. Se utiliza para acelerar las consultas.

20
Servidor de nombres autoritario
Un servidor de nombres de dominio DNS es autoritario para
una zona si contiene los registros de recursos para dicha zona.
Para ello se utilizan los registros de recursos SOA y NS.
Cada zona puede tener uno o más servidores de nombres de
dominio autoritarios. Uno de ellos debe ser primario y si tiene
varios, el resto puede ser secundario o caché.

21
Servidor de nombres autoritario
Si es servidor primario, los registros de recursos para la zona se
encuentran en los archivos de la zona que están almacenados en el
sistema de archivos del propio servidor DNS.
Si es servidor secundario, los registros de recursos de la zona se
cargan desde otro servidor de nombres (primario) utilizando el
proceso de transferencia de zona.
Si es servidor caché, utiliza el método de búsquedas recursivas. La
particularidad de este tipo de servidor es que los resultados de las
búsquedas que realiza los va almacenando en la caché.

22
Red ejemplo: aulaESI.com
Figura 7.3

23
Base de datos del protocolo DNS
Cada servidor de nombres de dominio mantiene una base de
datos que sirve para asociar los nombres de dominios con
direcciones IP llamada archivos de la zona, y una base de
datos de resolució n inversa llamada archivos de resolució n
inversa de la zona.
El formato de estas bases de datos es de archivos de texto.

24
Para resolver nombres los servidores DNS consultan las
zonas, las cuales contienen los registros de recursos (RR)
que describen la informació n relativa al dominio DNS.
El formato de cada registro de recursos es:
Propietario TTL Clase Tipo RDATA

25
Propietario: nombre de máquina o dominio DNS al que pertenece
el recurso.
TTL (Time To Live): número de segundos que puede estar el
registro en caché. Campo opcional. Por ejemplo: "4h40m". Un '0'
indica que no tiene que ser almacenado en caché.
Clase: define la familia de protocolos en uso. Suele ser siempre
"IN" de INternet, que representa una red TCP/IP.
Tipo: tipo de registro. Son diferentes en funció n del campo clase.
La tabla 7.1 indica los tipos de registros para la clase IN.
RDATA: informació n específica del tipo de recurso. Varía en
funció n del tipo de registro.

26

27
Registro de recurso SOA: campos
Propietario: nombre de dominio de la zona.
Tipo: "SOA"
Persona responsable: direcció n de correo del responsable de la
zona. En esta direcció n utiliza un punto en lugar del símbolo "@".
Número de serie: referencia para el servidor secundario de la zona
de cuándo debe hacer una actualizació n de su base de datos de la
zona (o transferencia de zona). Si el número de serie del secundario
es menor que el del primario, el primario ha cambiado la informació n
de la zona, y el secundario debe solicitar al primario una transferencia
de zona. El número es incrementado por el administrador de la zona
cada vez que realiza un cambio en algún registro de la zona. Formato
AAAAMMDDNN (añ o, mes, día del cambio) y NN el número del cambio
respecto al día en curso.

28
Actualizació n (Refresh Time): indica cada cuánto tiempo un servidor
secundario debe contactar con el servidor primario para comprobar los
cambios en la zona.
Reintentos (Retry Time): si la transferencia de zona ha fallado, este
parámetro indica el tiempo que espera el servidor secundario antes de
volver a intentarlo.
Caducidad (Expire Time): indica el tiempo en segundos de caducidad
de la informació n de la zona en un servidor secundario.
TTL mínimo (Minimal Time To Live): tiempo de validez del registro
SOA. En general todos los registros contienen este campo, y si en un
registro concreto no existe parámetro TTL se toma por defecto el que
tiene definido el registro SOA.

29

30
Registro de Recurso NS (Name Server)
El registro de recurso NS (Servidor de nombres) establece los
servidores de nombres autorizados para la zona. Cada zona debe
contener, como mínimo, un registro NS.
Estos registros también se utilizan para indicar quiénes son los
servidores de nombres con autoridad en los subdominios delegados.
Por tanto la zona debe contener, al menos, un registro NS por cada
subdominio que haya delegado.
En nuestro ejemplo el registro NS sería el siguiente: aulaESI.com.
IN NS servidor.aulaESI.com.

31
Registro de Recurso A (Address)
El registro de recursos A (direcció n) establece una correspondencia
entre un nombre de dominio completamente cualificado (FQDN) y una
direcció n IP.
Cada registro A identifica un nombre de máquina y el cliente DNS
puede obtener a través de él su direcció n IP.
Por ejemplo el registro A siguiente asigna una direcció n IP a la
máquina pc02:
pc02.aulaESI.com. IN A 192.168.1.2

32
Registro de Recurso PTR (PoinTeR)
El registro de recursos PTR (puntero), hace lo contrario que el
registro A, es decir, asigna una direcció n IP a un nombre de dominio
completamente cualificado. Este tipo de recursos se utilizan en la
resolució n inversa.
Ejemplo:
2.1.168.192.in-addr.arpa IN PTR pc02.aulaESI.com.

33
Registro de Recurso CNAME
El registro de recursos CNAME (nombre canó nico) crea un alias
para el nombre de dominio especificado.
En el ejemplo, a la máquina pc02 se le asigna el alias 'prueba':
prueba.aulaESI.com. IN CNAME pc02.aulaESI.com.

34
Registro de Recurso MX (Mail eXchange)
El registro MX (Intercambio de correo) es un registro de correo, e indica una o
varias máquinas encargadas de la entrega de correo en el dominio.
Si el dominio tiene varias máquinas como registros MX se puede indicar el
orden de preferencia de máquina que seguirá el servidor que envía el correo
para hacer la entrega del correo.
El ejemplo siguiente define la máquina mail.aulaESI.com como el servidor de
correo del dominio aulaESI.com.:
aulaESI.com. IN MX 0 mail.aulaESI.com.
En el ejemplo el 0 indica que la máquina mail.aulaESI.com es la primera a
contactar.

35
Registro de Recurso SRV (SeRVice)
Los registros de recursos SRV (de servicio) especifican los servidores
disponibles para un servicio o protocolo determinados, como www o
FTP. El formato de un registro SRV es el siguiente:
servicio.protocolo.nombre TTL clase SRV
prioridad peso puerto destino
Ejemplo de registro SRV para un hipotético servidor web del dominio
aulaESI.com.:
http.tcp.aulaESI.com. IN SRV 0 0 80
www.aulaESI.com.

36
Registro de Recurso SRV (SeRVice)

37
Resolució n de nombres
La resolució n de nombres es un mecanismo por el que se traducen los
nombres de máquinas, dados por los usuarios al conectarse a servidores
remotos, a direcciones IP.
El usuario intenta conectarse desde su máquina local a un servidor remoto
mediante su URL (nombre) que se ha de transformar en una direcció n IP
concreta para poder acceder al servidor remoto.
El cliente DNS de la máquina local, mediante los resolvedores, debe hacer la
consulta al servidor DNS.
El servidor DNS responde obteniéndose así la IP del servidor remoto y se
accede al sitio, todo ello de forma transparente al usuario.

38
Mé todos de búsqueda
Búsqueda recursiva
Se realiza una petició n de resolució n de nombre al servidor DNS
local.
Si el servidor no dispone de la informació n solicitada va a buscarla
al servidor de nombres con autoridad que la contiene.
El servidor de nombres local consulta a un servidor raíz y éste le
daráinformació n acerca de los servidores de nombres autoritarios
intermedios hasta llegar al servidor que contiene el nombre del
dominio objeto de la consulta.
El servidor local asume la responsabilidad de dar una respuesta al
cliente, y él consulta a los otros servidores en nombre del cliente.

39
Búsqueda recursiva
Figura 7.4

40
Mé todos de búsqueda
Búsqueda iterativa
El servidor DNS local devuelve la mejor respuesta que puede
ofrecer al cliente en funció n del contenido de su caché,.
Pero si el servidor no dispone de la informació n solicitada indica la
IP del siguiente servidor de nombres autorizado a preguntar,
comenzando siempre por un servidor raíz.
É ste le refiere al servidor del nivel siguiente que lo contiene, y el
servidor local vuelve a lanzar la petició n al servidor referido
Este si no dispone de la informació n solicitada, le refiere al servidor
del nivel siguiente que lo contiene; el servidor DNS local vuelve a
lanzar la petició n al este servidor y así sucesivamente.

41
Búsqueda iterativa
Figura 7.5

42
Resolució n de nombres: esquema

43
Resolució n inversa
Es el proceso por el cual dada una direcció n IP se obtiene el
nombre de un dominio.
Es utilizada por algunas aplicaciones para comprobar la identidad
del cliente, sobre todo por temas de seguridad.
De la misma forma que los nombres de dominio se resuelven
efectuando consultas para cada componente de derecha a izquierda
y el punto final indica el dominio raíz, las direcciones IP siguen el
mismo esquema y su dominio raíz se llama in-addr.arpa.

44
Ejemplo: para la IP (192.168.1.2) el servidor de nombres buscarálos
servidores arpa., luego los servidores in-addr.arpa., luego 192.in-
addr.arpa., luego 168.192.in-addr.arpa. y, por último, los servidores
1.168.192.in-addr.arpa. En este último encontraráel registro buscado:
2.1.168.192.in-addr.arpa.
Por lo tanto, las direcciones IP están escritas en orden inverso en el
dominio in-addr.arpa.; es decir, se utiliza una notació n de puntos
invertida.

45
El registro de recurso (RR) que define la resolució n inversa se llama
registro PTR. En el caso anterior en el archivo /etc/named.conf.local
debe existir la declaració n de la zona correspondiente al dominio de
in-addr.arpa que sería 1.168.192.in-addr.arpa:
zone "1.168.192.in-addr.arpa" {
type master;
file "/etc/bind/db.192.168.1";
};

46
Y, en el archivo /etc/bind/db.192.168.1 se encontrarán todos los
registros de recurso PTR definidos para esa red:

47
Para comprobar el funcionamiento de la resolució n inversa, en
concreto para la máquina dada, hay que ejecutar la orden:
# host 192.168.1.1
1.1.168.192.in-addr.arpa domain name pointer
servidor.aulaESI.com.
1.1.168.192.in-addr.arpa domain name pointer
gateway.aulaESI.com.

48
Servidor DNS en Debian GNU/Linux
La configuració n de un servidor DNS en Debian GNU/Linux requiere
la instalació n de los paquetes siguientes (como root):
# apt-get install bind9 bind9-doc dnsutils
El servicio DNS estácompuesto por dos programas:
El demonio named: es el servidor de nombres de dominio, es
decir el que contiene la base de datos con informació n relativa a
un segmento de la red y responde a las peticiones.
El 'resolver' (cliente): es el que genera las peticiones. Es un
conjunto de rutinas que permiten que los clientes accedan a los
servidores de nombres para resolver la búsqueda de una direcció n
IP asociada a un nombre.

49
El archivo de configuració n del demonio named es
/etc/bind/named.conf.
En este mismo directorio se encuentran el resto de archivos de
configuració n relacionados con bind.
El archivo /etc/bind/named.conf no se suele modificar. Las zonas
específicas del servidor DNS que se configura se definen en
/etc/bin/named.conf.local y se incluyen al final de este archivo
con un 'include'.
El directorio de trabajo de named es /var/cache/bind/.

50
Para lanzar el servicio debe ejecutarse la orden siguiente:
# /etc/init.d/bind9 start
y el proceso demonio que se lanza es el named.
Además de los archivos de configuració n /etc/bind/named.conf y
/etc/bind/named.conf.local, otros archivos implicados para nuestro
dominio particular son db.aulaESI.com y db.192.168.1.

51
El archivo /etc/bind/named.conf almacena la configuració n de las
diferentes zonas generadas por defecto en el momento de la
instalació n, entre ellas la correspondiente a la interfaz local o loopback
para el dominio arpa llamada 0.0.127.in-addr.arpa.
El archivo /etc/bind/named.conf.local contiene informació n
específica de las zonas de resolució n directa e inversa para el servidor
DNS, eliminando la informació n no específica.

52

53
En el có digo anterior se incluyen opciones de seguridad, cuyo
significado se explica a continuació n:
allow-transfer: restringe las transferencias de zona. Se suele
incluir en el servidor primario restringiendo las transferencias a sus
servidores secundarios.
allow-query: deja activas, única y exclusivamente, las consultas
internas y a la máquina local. Supone una protecció n contra
falsificaciones que impliquen un ataque al sistema.

54
El archivo de configuració n /etc/bind/db.aulaESI.com almacena
informació n de la zona aulaESI.com. a definir.

55
Una vez configurado el servidor DNS, y para comprobar que está
atendiendo a las peticiones que le llegan, conviene ejecutar las dos
ó rdenes siguientes: la primera relanza el servicio (si se han hecho
modificaciones) y la segunda comprueba que atiende peticiones de
resolució n de nombres.
servidor:/etc/bind# /etc/init.d/bind9 restart
servidor:/etc/bind# dig any servidor.aulaESI.com
Para analizar posibles fallos en el funcionamiento del servidor DNS
conviene visualizar el contenido del archivo de logs /var/log/syslog.
servidor:/etc/bind# tail -f /var/log/syslog

56
Cliente Debian GNU/Linux
El cliente del servicio de DNS se llama ''resolver''. El resolvedor
('resolver') es parte de una biblioteca de funciones de C que se
enlazan a otros programas que necesitan utilizarlas para consultar un
servidor DNS. Esto se realiza de forma transparente al usuario.
Las tareas del 'resolver' son:
Interrogar al servidor de nombres.
Interpretar respuestas (que pueden ser registros RR o errores).
Devolver informació n al programa que la solicita.
El 'resolver' de GNU/Linux posee una configuració n muy sencilla que
se realiza a través del archivo /etc/resolv.conf.

57
El archivo /etc/resolv.conf consta de un conjunto de directivas o
atributos con la sintaxis siguiente:
<atributo> <valor1> <valor2> ... <valorN>
Los atributos pueden ser nameserver, domain, search y options.
nameserver indica la direcció n IP de los servidores de DNS. El
'resolver' los consulta en el orden en que aparecen definidos. Si no se
indica ningún servidor se asume el local. El algoritmo para consultar un
conjunto de servidores consiste intentar con uno; si transcurre un
tiempo (time out) sin obtener respuesta se intenta con el otro, hasta
probar con todos.
nameserver 192.168.1.1 127.0.0.1

58
El atributo domain indica el dominio por defecto. Si no existe esta línea
en el archivo /etc/resolv.conf y la máquina local se llama
servidor.aulaESI.com, se toma por defecto como nombre de
dominio, a partir del primer punto hacia la derecha (aulaESI.com).
domain aulaESI.com
search especifica la lista de dominios donde se harán las consultas. Por
defecto esta lista só lo contiene el nombre del dominio local y de todos
los dominios que lo contienen, excluyendo el de primer nivel y el
dominio raíz.
search aulaESI.com
Las directivas domain y search son mutuamente excluyentes.

59
Options permite modificar el valor de algunos atributos internos del
'resolver'. Se expresa de la forma:
options <opcion1> <opcion2> ... <opcionN>
Las opciones más importantes son las siguientes:
debug: cambia el modo del 'resolver' para que genere informació n
adicional hacia la salida estándar acerca de su funcionamiento.
timeout:<n>- tiempo en segundos que espera el 'resolver' la
respuesta de un servidor de nombres de dominio. Por defecto es 5”.
attempts:<n>- número de intentos que realiza el 'resolver' con cada
servidor para obtener una respuesta. Por defecto es de 2 intentos.

60
En el archivo /etc/host.conf se define el orden de búsqueda de
informació n:
La opció n multi puede estar en on o en off. Si está en on el
'resolver' devuelve todas las direcciones IP válidas para una
máquina que aparecen en el archivo /etc/hosts. Si estáen off (valor
por defecto) só lo devuelve la primera.

61
Orden dig
dig (domain information groper) es un cliente DNS que permite
realizar consultas a un servidor de DNS. Se suele utilizar para
detectar problemas de configuració n en el servidor DNS.
Con dig se pueden hacer consultas completamente definidas en la
línea de orden o se pueden incluir en un archivo y pasarlo como
argumento a dig utilizando la opció n -f. Si no se indica el servidor a
consultar se asumen los dados en el archivo /etc/resolv.conf.

62
Orden dig
Su sintaxis es la siguiente:
dig <@servidor> [opciones] [nombre] [tipo]
@servidor es el nombre o la direcció n IP del servidor a consultar.
nombre es el nombre de dominio donde se hace la pregunta.
tipo es el tipo del registro por el que se consulta (ANY, NS, SOA, MX, A, etc.).
Las opciones generales de esta orden son las siguientes:
-h muestra la ayuda del comando.
-x hace consultas inversas.
-f <filename> toma las consultas a partir de un archivo. É stas se definen una
por línea y con la misma sintaxis que en la línea de orden.

63
Orden dig
Ejemplos de utilizació n:
$ dig @192.168.1.1 aulaESI.com
$ dig @192.168.1.1 aulaESI.com SOA
$ dig -x 192.168.1.1
$ dig any aulaESI.com

64
Orden host
La orden host permite hacer búsquedas en el DNS. Se utiliza para
convertir nombres en direcciones IP y viceversa.
Su sintaxis es:
host [opciones] <dominio> [servidor]
Algunas de sus opciones son las siguientes:
-t <tipo> indica el tipo de registro a devolver (A, ANY, PTR, NS,...).
-R <n> permite modificar el número de intentos que se hacen para
obtener la respuesta, ya que por defecto es uno.
-l lista toda la informació n del dominio.

65
Orden host
$ host www.google.com
$ host -t NS aulaESI.com
$ host -t PTR 192.168.1.1

66
Orden nslookup
La orden nslookup permite realizar diversas consultas a los servidores de
DNS. Este programa puede funcionar de dos formas o modos de trabajo:
Interactivo: permite realizar un número ilimitado de consultas diversas
acerca de distintas máquinas y dominios utilizando varios servidores de
DNS. Muestra un prompt (>) en el que se puede ejecutar la orden
introduciendo diferentes argumentos. Para terminar basta pulsar Ctrl-D o
teclear exit.
No interactivo: realiza una única consulta y devuelve la
informació n exacta de una máquina o un dominio a partir de un
servidor.
La orden nslookup está disponible tanto en GNU/Linux como en
Windows.

67
Orden nslookup
$ nslookup
> www.google.es
informacion......
> exit
$ nslookup www.ibm.es
$ nslookup servidor.aulaESI.com
$ nslookup www.onobox.com

68
Caso Práctico 1
Proponemos la realizació n del Caso Práctico 1 cuyo objetivo es
llevar a cabo la configuració n de un servidor DNS bajo Debian
GNU/Linux en el aula.
Se recomienda leer atentamente las 'consideraciones' que
determinan el punto de partida para su resolució n.
En el Caso Práctico 2 se configura la máquina del aula pc03 como
servidor DNS secundario para una subred del aula bajo Debian
GNU/Linux.

69
Servidor DNS con Windows 2003 Server
En Windows 2003 el servicio DNS viene integrado en Active Directory,
y las funciones que lleva a cabo dicho servicio son:
Resolució n de nombres, tanto directa como inversa, siguiendo el
esquema de funcionamiento explicado en los puntos iniciales de la
unidad.
Integració n de los nombres de dominio asignados por Active
Directory y los nombres de dominio de DNS. Siguen ambos la
misma estructura jerárquica de nombres, aunque representan dos
espacios de nombres distintos, ya que almacenan distinta
informació n. Pero las máquinas y dominios DNS son los mismos
que las máquinas y dominios de Active Directory.

70
La instalació n de Active Directory deja definido el dominio raíz, que
es aulaESI.com, y tenemos instalado un controlador de dominio
local.
Sobre el controlador de dominio aulaESI creado se instala y
configura el servidor DNS. Para ello iremos a:
Inicio ⇒ Administre su servidor ⇒ Agregar o quitar función
⇒ Asistente para configurar su servidor DNS
Seguir la secuencia de pantallas del proceso de configuración
creando una zona de búsqueda directa que llamaremos
aulaESI.com y con sólo actualizaciones dinámicas seguras.

71
Para comprobar que el servidor DNS está funcionando bastará con abrir el
navegador web Internet Explorer y al escribir servidor.aulaESI.com aparecerála
informació n del servidor DNS.
A continuació n se crea la zona de búsqueda inversa en el servidor DNS.
Inicio ⇒ Administre su servidor⇒ Administrar este servidor DNS
Menú ⇒ Acción ⇒ Zona nueva ⇒ Zona principal
Ámbito de replicación de la zona de Active Directory: Para todos los
controladores de dominio en el dominio aulaESI.com de Active Directory.
Nombre de la zona de búsqueda inversa: introducir el ID de la red (192.168.1.)
Actualización dinámica: «Permitir sólo actualizaciones dinámicas seguras»,
recomendado para Active Directory.
Es posible ver la caché de DNS utilizando la orden: c:> ipconfig /displaydns

72
Configuración del cliente bajo Windows 2000 Profesional
Para ello hay que ir al escritorio y, estando sobre Mis sitios de red,
pulsar el botó n derecho y seleccionar Propiedades:
Escritorio ⇒ Mis sitios de red ⇒ Propiedades (botó n derecho).
En las Propiedades de Conexió n de área local
seleccionar Protocolo Internet (TCP/IP) y a
continuació n, seleccionar Propiedades.
En la ventana que aparece, en la pestañ a DNS, asignar
la direcció n IP del servidor DNS primario.
Tambié n es posible llegar a las ventanas de
configuració n del cliente DNS:
Inicio ⇒ Configuración ⇒ Conexiones de red y de acceso
teléfónico ⇒ Conexión de área local ⇒ Propiedades

73
Caso Práctico 3
Proponemos la realizació n del Caso Práctico 3 cuyo objetivo es
llevar a cabo la configuració n de un servidor DNS bajo Windows
2003 Server en el aula.
Objetivo general: Configurar una máquina del aula con Windows
2003 Server como servidor DNS para la red local del aula, utilizando
la herramienta VMware para la instalació n de dicho sistema
operativo sobre GNU/Linux.
Se recomienda leer atentamente las 'consideraciones' que
introducen el concepto de máquina virtual y la instalació n y
configuració n de la herramienta Vmware Workstation para su
resolució n.

Seguridad Informatica

Recomendados

Recomendados

Más contenido relacionado

La actualidad más candente

La actualidad más candente (20)

Destacado

Destacado (9)

Similar a Seguridad Informatica

Similar a Seguridad Informatica (20)

Seguridad Informatica