IT (리눅스, 클라우드 등)

Master node 작업

1. kubernetes 대시보드 적용

2. kubernetes-dashboard service의 yaml 변경

kubectl edit services kubernetes-dashboard -n kubernetes-dashboard ClusterIP -> NodePort 로 수정

3. kubernetes 대시보드 실행

4. kubernetes 대시보드 접속

5. 대시보드 접속 시 필요한 token 생성

1) admin-user 생성

cat <<EOF | kubectl create -f - apiVersion: v1 kind: ServiceAccount metadata:   name: admin-user   namespace: kubernetes-dashboard EOF

2) 권한 부여

cat <<EOF | kubectl create -f - apiVersion: rbac.authorization.k8s.io/v1 kind: ClusterRoleBinding metadata:   name: admin-user roleRef:   apiGroup: rbac.authorization.k8s.io   kind: ClusterRole   name: cluster-admin subjects:   - kind: ServiceAccount     name: admin-user     namespace: kubernetes-dashboard EOF

3) token 생성 및 저장

kubectl -n kubernetes-dashboard create token admin-user > token.txt cat token.txt

6. 대시보드 접속시 필요한 token 입력 후 접속 확인

Master 1대, Worked 1대로 테스트 구성

Master / Worked 둘다 작업

[docker 설치]

1. 종속성 설치

2. GPG 키 가져오기

3. docker APT 리포지토리 추가

4. docker 설치

[kubernetes 설치 전 환경 설정]

1. swapoff

2. /etc/sysctl.d/k8s.conf 설정, 적용

3. 방화벽 disable

[kubeadm, kubectl, kubelet 설치]

1. apt kubernetes apt 리포지토리를 사용하는데 필수 패키지 설치

2. google cloud 공개 서명 키 다운로드

3. kubernetes apt 리포지토리 추가

4. kubelet, kubeadm, kubectl 설치

5. version hold

6. daemon start

Master 작업

1. initialize

※ 에러

※ 해결 방법

2. token.txt

※ 에러

※ 해결 방법

3. Installing a Pod network add-on

Worked node 작업

1. master join 작업(master 에서 initializing 시 join 값 입력)

2. join 확인

※ kubectl 명령어 자동완성

※ kubeadm 명령어 자동완성

명령어 사용법

(vi 편집기 열어 편집)

(nginx 이지미를 yaml 파일로 만들기)

(pod 파일 vi 편집기로 편집)

(pod 삭제)

(yaml 파일로 pod 실행)

(pod 생성 및 실행)

(pod 삭제)

LVS 구성_CentOS 7

(pacemaker + ldirectord)

Pacemaker 란 ?

Corosync 란 ?

1. 사전 준비

Hostname 설정 (master / slave 동일)

 Master 서버 설정

1. cluster package 설치 / pcs 데몬 시작 (master/slave 동일)

2. 클러스터 계정 설정 (master / slave 동일)

3. 각 노드에 대한 hacluster 사용자 인증(master)

4. 클러스터 생성/실행 (master)

5. STONITH 비활성화 (master)

- STONITH는 서비스가 중복으로 실행되어 충돌 나는 것을 방지하기 위해 오류가 발생한 호스트를 죽이는 Fencing 기능
- cluster를 실행하면 데이터의 무결성을 확보하기 위해 기본으로 STONITH가 활성화 되어 있음 (활성화 -> 비활성화)

- no-quorum-policy: 클러스터에 quorum이 없을 때의 수행 작업을 설정

※ quorum 이란 ?
분산 시스템에서 작업을 수행하기 위해 분산 트랜잭션이 획득해야 하는 최소 투표 수로 노드가 2개인 클러스터에는 불필요하기 때문에 no-quorum-policy=ignore 설정으로 무시하도록 설정

6. Active/Passive 클러스터 설정 - 가상IP 생성 (master)

#pcs resource create VirtualIP ocf:heartbeat:IPaddr2 ip=xxx.xxx.xxx.70 cidr_netmask=32 op monitor interval=30s #pcs resource enable VirtualIP

7. ldirectord 설치(master / slave 동일)

8. ocf:heartbeat resource 추가(master / slave 동일)

9. sysctl.conf 설정

10. ldirectord 설정

11. web 서비스 resource 추가(master)

# pcs resource create WebService ocf:heartbeat:ldirectord op monitor interval="20" timeout="10"

12. 리소스 통합(master)
- VIP 와 웹 리소스가 나누어져 있어 한쪽으로 통합

# pcs constraint colocation add WebService with VirtualIP INFINITY

13. master 서버와 web 서버가 같은 네트워크 대역 대가 아니므로 라우팅 설정 추가(master)

14. 확인

# ipvsadm -Lnc

Slave 서버 설정
1. cluster package 설치 / pcs 데몬 시작 (master/slave 동일)

2. 클러스터 계정 설정 (master / slave 동일)
3. ldirectord 설치(master / slave 동일)
4. ocf:heartbeat resource 추가(master / slave 동일)
5. sysctl.conf 설정(master / slave 동일)
6. ldirectord 설정(master / slave 동일)

7. failover 테스트

# pcs cluster stop lvsm (lvsm 노드 stop) - lvss 로 넘어옴 #pcs cluster start lvsm - lvsm 노드 start 하여도 lvsm 로 넘어오지 않음(failback) ※ auto_failback off 실 서버 lvsm 서버에 문제가 생겨 리소스가 강제로 lvss 로 넘어간 경우, lvsm 서버 상태가 완벽하게 확인이 되지 않은 상태로 다시 넘어오게 하지 않기 위해 failback 기능을 사용하지 않는다.

※ constraint 란 ?

Pacemaker 리소스를 선호하는 위치로 설정이 가능 #pcs constraint location WebService prefers lvsm=50 (lvsm 에 우선순위 50지정) 1) 설정 값 확인 # crm_simulate -sL # pcs constraint show #pcs cluster stop lvsm - lvs M stop 시 lvsm → lvss 로 넘어감 # pcs cluster start lvsm - lvs M start 시 lvss → lvsm 으로 넘어옴

8. 확인
- 웹 에서 vip 접근 시

# ipvsadm -Lnc

Web 서버 설정

1. sysctl 설정

2. 리얼 서버(web)는 가상 IP(VIP)를 로컬 주소로 인식하도록 lo:0 설정

3. vip 확인

LVS란(Linux Virtual Server) ?

1. 사전 준비

2. LVS master 구성

1) hostname 설정 # vi /etc/hosts(LVS master, slave, web 동일) ----------------------------------------------- xxx.xxx.xxx.78 lvsm.hwlee.hsop xxx.xxx.xxx.117 lvss.hwlee.shop xxx.xxx.xxx.121 www.hwlee.shop ----------------------------------------------- # hostname ------------------------ lvsm.hwlee.shop ------------------------ # vi /etc/sysconfig/network ------------------------------------------- NETWORKING=yes HOSTNAME=lvsm.hwlee.shop GATEWAYDEV=eth0 ------------------------------------------- 2) sysctl 설정(패킷 포워딩) # vi /etc/sysctl.conf ------------------------------------------------ net.ipv4.ip_forward = 1 net.ipv4.vs.secure_tcp=3 net.ipv4.vs.drop_packet=0 net.ipv4.vs.drop_entry=0 net.ipv4.vs.am_droprate=10 net.ipv4.vs.amemthresh=1024 ------------------------------------------------ - > 설정 적용 ------------------- # sysctl -p ------------------- 3)  heartbeat + ldirectord 설치(LVS master / slave 동일) ------------------------------------------------------------------------------------------------------------------------------------------------------------------------ # wget https://archives.fedoraproject.org/pub/archive/epel/6/x86_64/ # wget http://rpms.famillecollet.com/enterprise/remi-release-6.rpm # rpm -Uvh remi-release-6*.rpm epel-release-6*.rpm # yum -y install heartbeat # yum -y install heartbeat-* # yum -y install ipvsadm # yum -y install perl-IO-Socket-INET6 # yum -y install perl-Email-Send # yum -y install perl-MailTools # yum -y install perl-Net-SSLeay # yum -y install perl-libwww-perl # wget ftp://ftp.pbone.net/mirror/ftp5.gwdg.de/pub/opensuse/repositories/network:/ha-clustering:/Stable/CentOS_CentOS-6/x86_64/ldirectord-3.9.5-3.1.x86_64.rpm # rpm -ivh ldirectord-3.9.5-3.1.x86_64.rpm ------------------------------------------------------------------------------------------------------------------------------------------------------------------------ 4) ha.cf 설정(Master 상태 체크) # vi /etc/ha.d/ha.cf ---------------------------------------------------------------------------------------------------------------------- debugfile /var/log/ha-debug.log logfile /var/log/ha.log keepalive 2 deadtime 10 udpport 694 node lvsm.hwlee.shop node lvss.hwlee.shop auto_failback on ucast eth0 xxx.xxx.xxx.117 --------------------------------------------------------------------------------------------------------------------- - debugfile : 디버깅 메시지가 기록될 파일 위치 지정 - logfile : 로그 파일 위치 지정 - keepalive : 두 노드 간(master/salve) 얼마나 자주 heartbeat를 주고 받을 것인가 설정 - deadtime : slave 서버가 죽었다고 판단하는 시간 - udpport : UDP heartbeat 패킷을 보낼 포트 - node lvsm.hwlee.shop : 시스템의 한 장치를 의미, Primary 노드 - node lvss.hwlee.shop : Secondary 노드 - auto_failback : 자동 복구 여부 설정 - ucast eth0 xxx.xxx.xxx.117 : Heartbeat를 보낼 인터페이스 5) auto_failback 테스트 ------------------------------------------------------------------------------------------------------------------------------------------------------------------------ ex ) master(on) / slave(off) => master heartbeat stop 시 slave 로 넘어감 => master heartbeat start 시 master 로 넘어옴 ex ) master(off) / slave(off) => master heartbeat stop 시 slave 로 넘어감 => master heartbeat start 시 master 로 넘어오지 않고 그대로 유지 ex ) master(off) /slave(on) => master heartbeat stop 시 slave 로 넘어감 => master heartbeat start 시 master 로 넘어오지 않고 그대로 유지 ex ) master(on) / slave(on) => master heartbeat stop 시 slave 로 넘어감 => master heartbeat start 시 master 로 넘어옴 ※ 결론 - master 서버 stop 으로 slave 에 넘어간 상태에서 master 서버의 auto_failback on일 경우 Primary(master)가 다시 살아나면 자동으로 VIP가 Primary(master)로 넘어간다. (현재 Primary 서버의 설정 값을 따라간다.) ------------------------------------------------------------------------------------------------------------------------------------------------------------------------ 6)  VIP 설정 (줄바꿈 뒤에 공백 없어야 함) # vi /etc/ha.d/haresources 설정(LVS master, slave 설정 동일) ----------------------------------------------------------------------------------------------------- lvsm.hwlee.shop \ ldirectord::ldirectord.cf \ Ipaddr2::xxx.xxx.xxx.70/32/eth0 => eth0으로 설정 Ipaddr2::xxx.xxx.xxx.70/32/eth0:0 => eth0:0으로 설정 ----------------------------------------------------------------------------------------------------- - 노드간에 공유할 자원 및 스크립트 지정 7)  LVS 인증 파일 설정 # vi /etc/ha.d/authkeys ----------------------- auth 2 2 sha1 lvs ----------------------- - 노드간의 인증 방법을 지정 보안 강화순서(crc < md5 < sha1) 8) root 만 읽고 쓸 수 있도록 변경 # chmod 600 /etc/ha.d/authkeys 9) ldirectord 설정 (LVS master / slave 설정 동일) # vi /etc/ha.d/conf/ldirectord.cf ------------------------------------------------------------------------------------------------------------------------------------------------------------------------ checktimeout=10 checkinterval=10 autoreload=no logfile="/var/log/ldirectord.log" quiescent=no # Web Server LVS virtual=xxx.xxx.xxx.70:80 real=xxx.xxx.xxx.121:80 gate 10 service=http request="lvsm.hwlee.shop" receive="lvss.hwlee.shop" scheduler=rr persistent=3600 protocol=tcp checktype=nogotiate ------------------------------------------------------------------------------------------------------------------------------------------------------------------------ - checktimeout : 정해진 시간 동안 통신이 안되면 노드 가중치를 0으로 설정 - checkinterval : 테스트 페이지 요청 주기 - autoreload : 다시 통신이 될 경우 노드 가중치 설정 - logfile : 로그 파일 경로 설정 - quiescent (yes/no) yes : weight 값만 0으로 만들어 분리함 no : lvs 테이블에서 다운 된 웹 서버의 ip를 삭제하여 라우팅 제거 - virtual : 가상 서비스 네트워크 - real : 리얼 서버 ip 및 포트, 포워드 방식 gate = Direct Routing (상대의 ip 주소를 변경하지 않고 MAC 주소만 리얼서버의 주소로 변환해서 전송) masq = Network address translation (상대의 ip주소를 리얼서버 주소로 변환해서 전송) ipip = IP Tunneling (수신한 패킷을 리얼서버의 ip 헤더를 캡슐화해서 전송) - service : 서비스 프로토콜 (ftp, smtp, dns, http, pop, imap, mysql 등) - request : 서버가 정상 작동 하는지 확인 요청할 페이지 이름 - receive : 요청 페이지에서 찾을 문자열 - scheduler : 스케줄링 방식 rr = Round-Robin (모든 클라이언트는 동일하게 취급되며 실 서버 혹은 경로는 같은 처리량을 보유해야 한다) wrr = Weighted Round-Robin (서로 다른 처리 능력을 가진 서버가 있을 경우 사용한다. 가중치를 주어 많이 처리할 수 있는 서버로 많은 트래픽을 할당한다) lc = Least-Connection (연결 수가 가장 적은 서버에 네트워크 연결 방향을 정한다.) wlc = Weighted Least-Connection (서버의 처리 능력을 고려하여 가중치를 부여하면서 least-connection scheduling을 적용하여 트래픽을 고르게 분산시키는 방법이다) ※ Weighted(가중치) 란? ------------------------------------------------------------------------------------------------------------------------------------------------------------------------ - 각 서버에 부여되는 중요도나 수치를 말함 ex) 서버 A가 가중치 1로 되어 있고, 서버 B가 가중치 3으로 되어 있을 경우 가중치 1로 된 서버가 1번 연결될 때 마다 가중치 3로 되어 있는 서버는 3번 연결 * 가중치 설정 방법(/etc/ha.d/conf/ldirectord.cf) => real=xxx.xxx.xxx.121:80 gate 10 ----------------------------------------------------------------------------------------------------------------------------------------------------------------------- - persistent : 지속적으로 클라이언트 연결을 위한 시간 (초) - protocol : 프로토콜 종류 (tcp, udp, fwm) tcp / udp = 사용할 프로토콜 종류, ip 주소 및 포트로 지정된 경우에 설정 fwm = 방화벽 표시인 경우 설정 - checktype : 연결 확인 방법 (기본 값 negoitate) connect = 오직 TCP/IP 로만 연결 확인 negotiate = 요청을 보내고 수신 문자열을 일치 시킴 on = 점검 on, 실제 서버가 항상 활성화 off = 점검 off , 예비 서버가 활성화 되지 않음을 의미 ping = ICMP ping이 실제 서버의 가용성을 테스트하는데 사용 ※ FWM 설정 방법 # vi ldirectord.cf ----------------------------------------------------------------------------------------------------------------------------------------------------------------------- virtual=1 real=xxx.xxx.xxx.121 gate 1 real=xxx.xxx.xxx.117 gate 3 service=http request="lvsm.hwlee.shop" receive="lvss.hwlee.shop" scheduler=rr persistent=3600 protocol=fwm checkport=80 checktype=negotiate ----------------------------------------------------------------------------------------------------------------------------------------------------------------------- - virtual에 VIP:PORT 대신 mark 숫자를 표시 - checkport = 체크할 포트 설정 (서비스 포트와 다를 수 있음) - 특정 패킷에 대한 태그를 표시하도록 LVS 에서 iptables 설정 # iptables -t mangle -A PREROUTING -p tcp -s 0.0.0.0/0 -d 121.254.175.70/32 --dport 80 -j MARK --set-mark 1 => 전체 ip 대역 대에서 xxx.xxx.xxx.70/32 ip 의 목적지 포트 80으로 가는 패킷을 MARK 1로 라우팅 설정. Mangle : packet 내부의 TOS, TTL, MARK의 packet 정보 변경을 위한 rule과 해당 action(target)의 리스트가 저장되어 있는 iptables 종류 중 하나 이다. (mangle 테이블은 통과하는 패킷의 헤더 정보를 변경하고자 할때 사용) 10) ldirectord 적용 # /etc/ha.d/resource.d/ldirectord /etc/ha.d/conf/ldirectord.cf reload 11) 방화벽 허용 - LVS master / slave / web 서버 허용

3. LVS slave 구성

4. WEB1 서버 구성

1) hostname 설정 # /etc/hosts(LVS master, slave, web 동일) # hostname ----------------------- www.hwlee.shop ----------------------- # vi /etc/sysconfig/network ----------------------------------------------------------------- NETWORKING=yes HOSTNAME=www.hwlee.shop ----------------------------------------------------------------- 2) sysctl 설정 # vi /etc/sysctl.conf ------------------------------------------------------------------------------------------------------------------------------------------------------------------------ - 패킷 포워딩 net.ipv4.ip_forward = 1 - 실서버에 ARP 문제 해결을 위해 ARP에 대한 응답 없음 설정 추가 net.ipv4.conf.default.arp_ignore = 1 net.ipv4.conf.default.arp_announce = 2 net.ipv4.conf.all.arp_ignore = 1 net.ipv4.conf.all.arp_announce = 2 net.ipv4.conf.lo.arp_ignore = 1 net.ipv4.conf.lo.arp_announce = 2 net.ipv4.conf.eth0.arp_ignore = 1 net.ipv4.conf.eth0.arp_announce = 2 ------------------------------------------------------------------------------------------------------------------------------------------------------------------------ # sysctl -p (설정 적용) 3) 리얼 서버(web)는 가상 IP(VIP)를 로컬 주소로 인식하도록 lo:0 설정 ------------------------------------------------------------------------------------------------------------------------- # ifconfig lo:0 xxx.xxx.xxx.70 netmask 255.255.255.255 up -------------------------------------------------------------------------------------------------------------------------

5. LVS 확인

Master 확인 방법(VIP master 할당) # vi lvs.sh ------------------------------------------------------------------------------------------------------------------------------------------------------------------------ watch -n1 -t "echo ; ip addr ; echo ; ipvsadm -Ln ; ipvsadm -Ln --rate ; ipvsadm -Lnc" ------------------------------------------------------------------------------------------------------------------------------------------------------------------------ # sh lvs.sh(TCP) # sh lvs.sh(FWM) 웹 페이지 접속(vip로 접속)

6. Master -> Slave 전환 테스트

Master 서버에서 heartbeat 종료 # /etc/init.d/heartbeat stop - sh lvs.sh 실행 시 VIP 제외된 부분 확인 - Slave 서버에 VIP 올라온 부분 확인

1. mysql 설치

cd $SOURCE/mysql-5.1.73

export CFLAGS="-g -O3 -fno-omit-frame-pointer"
export CXX="gcc"
export CXXFLAGS=" -g -felide-constructors -fno-exceptions -fno-rtti -O3 -fno-omit-frame-pointer"
./configure --prefix=/usr/local/mysql_5.1 --with-client-ldflags=-all-static \
--with-mysqld-ldflags=-all-static --with-charset=euckr --without-debug \
--enable-assembler --enable-local-infile --with-readline \
--with-plugins=innobase --with-big-tables --with-plugins=partition

make

make install

2. 확인

mysql ((none))>show variables like '%partition%';
+-------------------+-------+
| Variable_name     | Value |
+-------------------+-------+
| have_partitioning | YES   |
+-------------------+-------+
1 row in set (0.00 sec)

=======================================================================================

파티션 분할 테스트

1. partition table 설정(uidx 값) 
alter table chk_kopx_history PARTITION BY RANGE (uidx)
(
PARTITION p202005 VALUES LESS THAN (6867072),
PARTITION p202006 VALUES LESS THAN (7763739),
PARTITION p202007 VALUES LESS THAN (8747177),
PARTITION p202008 VALUES LESS THAN (9748633),
PARTITION pmax VALUES LESS THAN MAXVALUE
);

2. 파티션 분할 확인

3. 파티션 추가 작업(pmax 파티션을 추가로 분할)
alter table chk_kopx_history REORGANIZE PARTITION pmax INTO
(
PARTITION p202205_2 VALUES LESS THAN (39930091),
PARTITION p202207 VALUES LESS THAN (13633138),
PARTITION p202208 VALUES LESS THAN (13633138),
PARTITION p202209 VALUES LESS THAN (13633138),
PARTITION pmax VALUES LESS THAN MAXVALUE
);

4. 파티션 별 카운트 갯수

select PARTITION_NAME,table_rows from information_schema.partitions where table_name ='chk_kopx_history';

5. 파티션 자동 분할(crontab)

vi /root/partition.sh

========================================================================================

#/bin/sh

Fday=`date +"%Y-%m-01"`;

LOG=/root/partition_$(/bin/date  +\%Y\%m\%d).txt

DBROOTPW='zhxhdlelqlfnxm'

echo `date` "partition Start" >> $LOG

# 오늘 날짜의 uidx 값 추출
uidx=`/usr/local/mysql/bin/mysql -N -uroot -p${DBROOTPW} kotoi -e "select MIN(uidx) as uidx from chk_kopx_history where reg_date='${Fday}';"`


# 파티션 분할
Ymonth=`date -d '1 month ago' +'%Y%m'`

table_a="alter table chk_kopx_history REORGANIZE PARTITION pmax INTO
(
PARTITION p${Ymonth} VALUES LESS THAN (${uidx}),
PARTITION pmax VALUES LESS THAN MAXVALUE
)"

/usr/local/mysql/bin/mysql -uroot -p${DBROOTPW} kotoi -e "${table_a}"


# 파티션 분할 확인
P_check="select PARTITION_NAME,table_rows from information_schema.partitions where table_name ='chk_kopx_history';"

/usr/local/mysql/bin/mysql -uroot -p${DBROOTPW} kotoi -e "${P_check}" >> $LOG


echo `date` "partition Finish" >> $LOG

============================================================================================

1. ucspi-tcp 설치

 

 

 

 

 

 

 

 

 

 

 

※ Centos7 은 daemontools 에서 initctl 이 없으므로 다른 방법으로 설정 필요

 

 

/sbin/nologin 으로 쉘을 설정하여 로그인이 되지 않도록 설정

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

◆ DNS(Domain Name System) 란 ?

chroot는 DNS 서버의 보안을 높이기 위한 방식으로 /var/named/chroot 디렉터리를 최상위 루트로 인식하여 상대경로로 파일을 참조

 

listen-on port 53 : 외부영역에서 네임서버가 53번 포트 접속에 대한 ip를 설정하는 부분

 

any로 변경하지 않으면 로컬에서만 사용 가능하게 됨

 

directory : 각 도메인의 zone 파일의 위치를 지정

 

dump-file : 정보가 갱신될 때 저장되는 파일

 

statistics-file : 통계파일이 생성되는 절대경로와 파일이름을 지정

 

memstatistics-file : 메모리 관련 통계파일이 생성되는 절대경로와 파일이름을 지정

 

allow-query : 네임서버 쿼리를 허용할 IP 혹은 IP 대역을 설정

 

allow-transfer : 네임서버로의 접근을 제어

 

blackhole : 서버가 문의를 받아들이지 않거나 해결하기 위해서 사용하지 않게되는 주소의 리스트 지정, 이 주소로부터의 문의는 응답 없음

 

recursion yes : 재시도를 의미, 여러개의 네임서버가 존재 할 때 순차적으로 질의 후 다시 1차 네임서버로 질의를 할 것인지를 선택

 

dnssec-enable yes : DNSSEC 서명검증 기능 설정(공개키 암호화 방식으로 데이터 위조-변조 공격을 막는 설정)

 

dnssec-validation yes : DNSSEC 검증 확인 설정

 

session-keyfile : master 와 slave 간의 보안 트랙잭션 설정

 

forwarders : 자신의 네임서버에 질의 요청이 들어오면 지정한 IP 주소의 네임서버로 forwarding 함

 

pid-file : 네임 서버의 PID를 기록할 경로를 지정

 

notify yes_or_no : zone 영역이 바뀌었음을 2차 네임 서버에 알리는 설정 항목

 

cleaning-interval number : 입력한 시간마다 네임 서버는 캐시를 청소

 

interface-interval number : 입력한 시간마다 인터페이스를 검색함

 

logging : 네임서버 실행에 있어서 디버깅시 참고 할 수 있는 로그파일 생성 위치 지정

 

zone : 루트도메인에 대한 설정을 named.ca라는 파일에 참조하라는 설정,

 

type 값은 hint(루트도메인 지정), master(1차 네임서버), slave(2차 네임서버)

listen-on port 53 {any;};

: DNS port 53 에 대한 모든 IP 가 접근 가능하도록 설정

 

allow-query {any;};

: DNS 서버의 쿼리를 모든 ip 대역이 허용하도록 설정

 

recursion yes

: 도메인에 접속하기 위해 어떤 과정을 거쳐 답을 찾아 오는지에 대한 정보를 설명

zone : 도메인을 입력

type : 서버 타입 지정(master,slave)

file : zone 파일 이름 설정

allow-update : 동기화 할 slave 서버의 ip 지정

named 데몬시작 -> /etc 디렉토리에 위치한 네임서버의 원본 설정 파일이 해당 디렉터리에 복사

기존의 named.localhost 파일을 이용하여 새로운 zone 파일 생성 후 소유권을 root 에서 named로 변경

Record 종류

 

A : 호스트 IP 주소

 

NS : 도메인의 네임서버 정보

 

CNAME : 원래 도메인 네임을 별칭으로 매핑

 

SOA : 도메인의 Start of Authority(시작점), Zone의 속성 정보 지정

 

WKS : 호스트의 특정 IP주소 및 해당 IP 주소를 통해 제공하는 TCP/UDP 서비스 포트정보 지정

 

PTR : 도메인 네임을 매핑함, 주로 IP 주소의 도메인네임 지정에 사용

 

HINFO : 호스트의 CPU 정보와 운영체제 정보

 

MINFO : 메일박스와 메일리스트 정보

 

MX : 도메인의 MX(Mail Exchange) 서버

 

TXT : 호스트에 대한 텍스트 정보

 

RP : 도메인 네임별 담당자 정보

 

AFSDB : AFS DB 위치정보

 

X25 : 도메인 네임의 X.25 주소정보

 

ISDN : 도메인 네임의 ISDN 주소정보

 

NASP : 주소정보

 

SIG : 보안 서명을 저장

 

KEY : 보안 키를 저장

 

GPOS : 도메인 네임의 지리적 위치정보 위도, 경도 , 고도

 

AAAA : AAAA 레코드의 값은 16진법 형식의 IPv6 주소

 

SRV : 특정유형의 서비스를 지정된 DNS호스트의 목록에 매핑

 

A6 : IPv6 Prefix 및 주소정보

 

DNAME : 도메인 매핑 정보

 

 

 

 

 

 

 

 

 

 

◆ slave 서버 구성

 

외부영역에서 네임서버가 53번 포트 접속에 대한 ip를 설정하는 부분

any로 변경하지 않으면 로컬에서만 사용 가능하게 됨

recursion no

: 보조 서버로서 recursion 이 허용 되어 있으면 DNS cache poisoning 공격에 최약하며 일종의 증폭기 또는 좀비로 악용되어 특정 시스템 또는 네트워크에 공격할 가능성이 있음

 

 

slave는 master에서 파일을 가져오기 때문에 allow-update를 할 필요 없음

대신 master가 누군지 알려주는 정보가 있어야 함

named 데몬(slave 서버) master정보를 master 서버에서 받아옴

 

 

named 그룹에 쓰기권한 부여

=> 쓰기 권한이 있어야 slave 파일을 master 파일로부터 받아와서 쓸 수 있음

 

 

 

 

 

 

 

 

 

 

 

resolv.conf : 다양한 운영 체제에서 시스템의 도메인 이름 시스템 확인자를 구성하는 데 사용

 

 

 

 

 

 

 

 

 

슬레이브 dns 서버 작동 확인

dig 를 이용하여 ns2.hwlee.hyee.site 에 질의, 대상은 hwlee.hyee.site 타입은 ns(네임서버 정보)

 

 

 

master 네임 서버가 동작하지 않을 경우 slave 네임 서버가 대신하여 정보를 제공하는지 테스트

 

 

slave 네임 서버 nslookup 명령어 정방향 조회 시도(성공)

 

 

 

(2) rndc 사용

 

● rndc 란?

: remote named controy utility의 약자로 다수의 네임서버를 안전하게 컨트롤하기 위해 설정

 

 

 

/etc/named/conf 파일에 설정

control 은 제어할 원격 네임서버 ip, 포트 , 키를 설정

 

첫번째 controls 는 로컬에서 사용

 

두번째 controls 는 slave에서 사용

 

named.conf 에 rndc.key 를 직접 설정하는 방법이라서 /etc/rndc.key 파일을 참조 안함

 

 

 

/etc/rndc.key 파일을 named.conf 에 include 시키기

 

 

 

 

 

 

 

 

 

 

 

master 서버 named.rfc1912.zones 파일에서 slave 서버를 허용 해야함

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

● rndc 명령어

rndc reload : rnamed.conf 파일과 zone 파일를 다시 로드

 

rndc reload zone : zone 파일을 다시 로드

 

rndc reconfig : named.conf 와 새롭게 생성 된 zone 파일을 다시 로드

 

rndc stats : 통계 파일 생성(쓰기)

 

rndc querylog : 질의에 관련된 로그를 설정 토글(toggle)

 

rndc dumpdb : DB에 대한 덤프 설정(덤프 파일 생성)

 

rndc status : BIND 서버에 대한 통계 출력

 

rndc recursing : 현재 외부 질의하고 있는 쿼리를 수집

 

rndc flush : 캐시 삭제

 

rndc retransfer zone : 단일 영역 동기화

 

rndc trace [level] : 디버깅 정보를 named.run 이라는 파일로 붙여넣음

 

 

 

● rndc 사용법

b : 주소

c : 설정

s : 서버

p : 포트

k : 키 파일

y : 키

 

 

※ 예시

 

 

master 서버에서 zone 파일 수정 후 slave 서버 zone 파일 업데이트

 

 

 

 

 

 

-> 수정 된 zone 파일의 serial 넘버가 수정 전 zone 파일의 serial 넘버보다 클 때 slave 서버는 master 서버의 zone 파일을 업데이트 함

 

 

 

mod_cband : 홈페이지의 히트(hit)수 제한 및 도메인별 대역폭제한등 트래픽을 관리

 

 

 

 

 

cband 옵션