当前位置:操作系统 > Windows 2000 >>

在Windows2000环境下实现动态DNS的安全考虑

Windows2000 域名解析是基于动态DNS(Dynamic DNS)的。微软是基于RFC 2136实现动态DNS的。这关系到 BIND v8 和 v9。BIND v9 在由O’Reilly出版的Paul Albitz 和 Cricket Liu 撰写的第四版《DNS and BIND》里面有所阐述。
 在 Windows 2000 里,动态 DNS 是与 DHCP, WINS 和动态目录(Active Directory) 集成并且相关的。在 Windows 2000的域中有三种方法实现 DNS:动态目录集成、动态目录的主要DNS和非动态目录的辅助DNS、非动态目录的主DNS和非动态目录的辅助DNS。当 DNS 完全集成到动态目录中时,我们可以在一个 Windows 2000 网络中利用三种安全特性:安全动态更新、安全区域传输和对区域与资源记录的访问控制列表。
1.0 安全动态更新
 在动态DNS(DDNS)中最重要的安全特性之一就是安全更新特性。在实现安全更新特性中需主要考虑的,是由DNS条目组成记录的所有权。DHCP是如何配置的和支持哪个客户端决定了所有权。
 两种DNS资源记录关系到每一个客户端:A记录和PTR记录。A记录负责从名字解析到地址,而PTR记录解析地址到名字。地址是指一个客户端的IP地址。名字是指一个客户机完整的、有资格的域名。这应该是计算机名加上网络的域名。
 在Windows 2000环境中,当客户端通过DHCP请求一个IP时,客户端DNS记录就被注册。根据设置,客户端、DHCP服务器或者这两者都可以更新A和PTR记录来关联到客户端。这些记录的所有权依据谁注册了这个记录。
 这就是在Windows 2000网络中定义 A 和 PTR 记录所有权的选择。
1.1 Windows 2000 本机模式(Native Mode)
 在Windows 2000环境下,DHCP 服务器和 DHCP 客户端都可以通过 DNS 注册记录。当网络单纯由 Windows 2000 的服务器和客户端组成时,这种 Windows 2000 环境称之为"本机模式"(Native Mode)。

 当客户端是一个 Windows 2000 客户端,这个客户端的默认配置是在注册到网络过程中动态更新它自己的 A 记录。与此同时,DHCP 服务器更新客户端的 PTR 记录。所以,A 记录的所有权属于这个客户端,PTR 记录的所有权属于 DHCP 服务器。
 第二种可能的配置是 DHCP 服务器总是更新正向和反向的查找。在这种情况下,DHCP 服务器分别拥有A和PTR记录。
 第三种可能的配置是 DHCP 服务器被配置为不能执行动态更新。在这种情况下,客户端将会更新 A 记录和 PTR 记录,因此拥有这些记录。
1.2 Windows 2000 混杂模式(Mixed Mode)
 在混杂的环境下,DHCP 客户端不能通过 DNS 注册。当网络由 Windows 2000 服务器、客户端除了 Windows 2000 之外还由 Windows NT 4.0 或 Windows 98 组成时,这种混杂环境被称为"混杂模式"。
 以前的客户端,像 Windows NT 4.0 和 Windows 9x,不能直接通过 DNS 注册。因为只有 DHCP 服务器可以通过 DNS 注册记录,再混杂环境中唯一的选择是让 DHCP 注册 A 和 PTR 记录。在这种情况下,这个服务器拥有正向和反向查找的记录。
1.3 安全动态更新
 在 Windows 2000 网络中,安全动态更新是唯一可以用于与动态目录集成的 DNS 区域。所以安全动态更新意味着什么?在 Windows 2000 中,它意味着是用动态目录 ACL 制定用户和组的权限来修改 DNS 区域和/或它的资源记录。除了使用 ACL 外,安全更新为了允许更新 DNS 区域和/或它的资源记录,也使用安全通道和认证。
 微软 Windows 2000 支持使用在 IETF Internet-Draft "GSS Algorithm for TSIG (GSS-TSIG) 中定义的运算法则进行安全动态更新。这个算法使用 Kerberos v5 作为优先的认证协议。GSS-API 在 RFC 2078 中有定义。
2.0 区域
2.1 区域的类型
 Windows 2000 可以配置 DNS 区域为主要区域、辅助区域或活动目录集成。
 主要和辅助区域象在 Unix 环境和 NT 4.0 环境一样运作。另外数据库保持与其它数据库象 WINS 和 DHCP 数据库分开,并且复制也是分别从其它复易做图务中设置。如果网络中任何服务器运行着一个 BIND 版本低于 8.1.2,则必须使用主要/辅助区域,因为在早先的版本中不支持动态更新。


   本篇文章共3页,此页为首页   下一页



 如果安装了活动目录,DNS 区域可以成为活动目录集成区域。这意味着 DNS 区域数据库成为活动目录数据库的一部分。每一个记录成为活动目录对象。每一个活动目录对象拥有它自己的ACL(访问控制列表)。
2.2 区域传输或复制的类型
 Windows 2000 DNS 可以支持 AXFR 或 IXFR。AXFR,或者所有的区域传输,是复制整个区域数据库文件。IXFR,或者增量区域传输,仅仅复制区域数据库的变化。如果区域类型设置成主要/辅助区域,那么可以应用这些区域复制方法。在版本8.2.1以及以上的 BIND 中支持IXFR。
 当 DNS 域活动目录集成时,所有的区域和资源记录将成为活动目录数据库中的对象。活动目录的复制是基于多主模型(multi-master model)的。
 多主模型的好处之一是没有单点失败的问题。这是可能的,因为包含 DNS 部分的活动目录数据库会被复制到所有域控制器上。因此 DNS 区域传输完全成为活动目录复制的一部分。
2.3 区域传输的安全
 如果 Windows 2000 网络运行着主要/辅助区域配置的 DNS,是不可以使用加密和压缩的。为了兼容 BIND,Windows 2000 支持 AXFR 每个消息发送/接受一个或多个资源记录。BIND 在 4.9.4 以前的版本不支持每个消息传送多条资源记录。Windows 2000 支持 IXFR。相应的 BIND 版本是 8.2.1。Windows 2000 支持 DNS 通报(DNS Notify),相应的 BIND 版本是8.1.2。
 当 Windows 2000 DNS 配置为活动目录集成时,复制处理成为活动目录复制的一部分,因此将会自动使用加密和压缩。
 加密使用的是微软 Windows 2000 Kerberos v5。与控制器之间的通讯通道会自动加密。不需要管理配置。
 当活动目录更新在"桥头堡"(Bridgehead)服务器间传输时,会自动使用压缩。桥头堡服务器是从局域网其他服务器中自动选择的服务器。当广域网链路需要使用活动目录更新时,每个局域网的桥头堡服务器会与其它桥头堡服务器通讯。这会大量减少通过 WAN 链路德里流量。在这种情况下,为了节约带宽会自动使用压缩。
计算机教程在Windows2000环境下实现动态DNS的安全考虑来自www.itwen.comIT WEN计算机教程网

3. 活动目录集成DNS 区域
 因为在 Windows 2000 活动目录和 DDNS 集成,实现活动目录的安全是实现 DDNS 的安全的第一步。
3.1 文件系统
 使用NTFS。Windows 2000 的版本是 NTFS v5。这个版本允许设置文件和文件夹的安全性、加密文件系统和审核。NTFS v5 不兼容从前的 NTFS。在安装了 Service Pack 4 或者更高版本的 NT 4.0上只能读取NTFS v5。
 NTFS 权限可以设置文件夹和文件级别来限制网络或者本地访问文件。
 NTFS 和 共享权限可以被用来非常精确的控制权限和继承关系。
3.2 注册表
 使用注册表编辑器编辑 DACL 关系到每一个注册表Hive。细节可以参考 SANS 出版的 "Windows NT Security, Step-by-Step"。
3.3 Enterprise管理员和Schema管理员组
 在 Windows 2000 网络建立之后,限制访问这两个管理员组。这些组出现在域的根并且含有不受限制的管理能力。根据域的结构,管理可以被委派到下面的域结构,因此管理可以被限制到单个域。
3.4 加密文件系统
 Windows 2000 NTFS 提供了使用加密文件系统的选择。EFS 使用基于公共密钥(public key)的技术来进一步限制文件的未授权访问。
3.5 活动目录中的DNS
 安装DNS会扩展活动目录Schema包含DNSUpdateProxy组。这是非常强大的组,允许创建对象,这是不安全的。当这种情况发生,任何认证的用户可以用这种方式创建属于自己的那些对象。
 在 Windows 2000 DHCP 处理过程中,DNS 会象上面详细描述的那样更新客户端记录 A 和 PTR。当客户端和服务器都是 Windows 2000时,安全动态更新可以完全使用默认安装。当其他的客户端需要支持,除非 DHCP 服务器添加到 DNSUpdateProxy 组,否则不能使用安全动态更新。这就允许 DHCP 服务器为早期的客户端执行动态更新。
 如果 DHCP 服务在一个域控制器(Domain Control)上运行的话必须特别考虑。在这种情况下,添加 DHCP 服务器到 DNSUpdateProxy 组,那么所有用户或计算机都可以完全控制相应的域控制器的 DNS 记录。

   本篇文章共3页,此页为第2 页   上一页   下一页


  


3.6 资源记录的所有权
 DHCP 服务器不能在早期的客户端上执行安全动态更新,这在 Windows 2000 网络中是很重要的。如果这种情况发生,会出现不能完全更新活动记录的情况。举例而言,一个NT 4.0的客户端通过 DHCP 服务器在 DNS 中注册了一个名字。这台机器升级到 Windows 2000 客户端。因为升级是操作系统的升级所以名字不变。从它最初注册这个名字开始,DHCP 服务器便拥有这个名字的资源记录所有权。Windows 2000 客户端不能更新它自己的名字。
3.7 WINS 查找
 作为 Windows 2000 的最终的告诫,我将说明 WINS 将很有可能是所有 Windows 2000 网络中必须的部分。为什么呢?NetBios 解析仍是所有非 Windows 2000 客户端所必需的。同样,所有需要NetBios的程序也需要 WINS 来做名字解析。WINS 通过两种专门的资源记录直接集成到 DNS 中:WINS 和 WINS-R。这分别给 WINS 做正向和反向的记录查找。
4.0 结论
总之,理解 Windows 2000 使用 DNS 的过程是非常重要的。这些考虑在这篇论文的1.0章 安全动态更新和2.0章 区域中有了一个简述。理解一些 Windows 2000 的"gotcha's"和"caveats"也是非常重要的。3.0章 活动目录集成DNS 区域列举了

CopyRight © 2022 站长资源库 编程知识问答 zzzyk.com All Rights Reserved
部分文章来自网络,