Exploiter le DNS¶
1. Objectif du cours¶
Comprendre les zones DNS, les types d'enregistrements, le rôle des redirecteurs et savoir manipuler des enregistrements DNS sur un serveur Windows. Acquérir les bonnes pratiques de sécurisation et les vérifications basiques.
2. Notions et définitions essentielles¶
- DNS : service distribué associant noms d’hôte/domaines et adresses IP.
- Zone DNS : espace de noms hébergé sur un serveur DNS, contenant des enregistrements (zone fait autorité).
- Zone directe : résout un nom de domaine en adresse IP (A/AAAA).
- Zone inversée : résout une adresse IP en nom de domaine (PTR).
- Zone primaire : source autoritaire stockant la zone (fichier local ou AD DS).
- Zone secondaire : copie en lecture seule d’une zone primaire.
- Zone de stub : copie minimale contenant NS, SOA et A pour identifier serveurs autoritaires.
- Redirecteur DNS : serveur vers lequel on redirige les requêtes non résolues localement.
- DNSSEC : extension pour signer numériquement les enregistrements et garantir intégrité/authenticité.
3. Fonctionnement et principes¶
- Résolution : les zones directes fournissent mappings nom→IP (A pour IPv4, AAAA pour IPv6), les zones inversées fournissent IP→nom (PTR).
- Stockage : une zone primaire peut être stockée dans un fichier (%windir%\System32\Dns{nom_zone}.dns) ou intégrée à Active Directory (zones intégrées disponibles uniquement sur contrôleurs de domaine avec rôle DNS).
- Redondance : les zones secondaires maintiennent disponibilité et tolérance de panne via transferts de zone depuis la primaire (activables uniquement pour serveurs autorisés pour sécurité).
- Stub : utile pour pointer rapidement vers serveurs faisant autorité sans copier toute la zone.
- Redirecteurs : utilisés pour acheminer les requêtes que le serveur local ne peut résoudre (souvent vers DNS publics du FAI ou serveurs publics).
4. Commandes et manipulations¶
- Manipulation via interface Windows Server (Gestionnaire de serveur → Outils → DNS).
- Ajouter un enregistrement : clic droit sur le domaine dans la zone de recherche directe → sélectionner « Nouvel alias (CNAME)... » ou « Nouvel hôte (A ou AAAA)... ».
- Remarques opérationnelles : la zone primaire peut être stockée en fichier local nommé nom_zone.dns dans %windir%\System32\Dns; les zones intégrées sont gérées via AD DS.
(Non d’autres scripts ou commandes CLI détaillées dans le PDF.)
5. Sécurité et bonnes pratiques¶
- Gestion des accès basée sur les rôles (RBAC) et utilisation de groupes de sécurité pour séparer administrateur DNS et opérateur DNS.
- Activer l’audit des modifications pour tracer les changements (traçabilité pour sécurité/conformité).
- Utiliser DNSSEC pour signer et garantir intégrité/authenticité des enregistrements.
- Limiter les transferts de zone : n’autoriser que vers serveurs DNS connus.
- Sauvegarder régulièrement les zones DNS pour restauration en cas de panne ou corruption.
6. Points essentiels à retenir pour le TSSR¶
- Zone primaire = source autoritaire et modifiable ; zone secondaire = copie en lecture seule pour redondance.
- Zone directe résout noms→IP (A/AAAA), zone inversée résout IP→nom (PTR).
- Les enregistrements courants : A, AAAA, CNAME, MX, NS, SOA, PTR, SRV, TXT ; connaître leur rôle principal.
- Une zone de stub contient uniquement NS, SOA et A pour identifier serveurs autoritaires.
- Les transferts de zone doivent être restreints pour la sécurité.
- DNSSEC protège contre falsification (spoofing) en signant les enregistrements.
- RBAC + audit + sauvegarde forment la base de la sécurité opérationnelle DNS.
- Les redirecteurs améliorent la résolution des noms non gérés localement (souvent en pointant vers DNS publics).
- Sur Windows, les enregistrements se gèrent via le Gestionnaire de serveur → DNS.
- Vérifier systématiquement qu’un alias (CNAME) pointe bien vers la cible attendue.
7. Tableau récapitulatif¶
| Élément | Rôle principal | Modifiabilité |
|---|---|---|
| Zone directe | Résolution nom → IP | Modifiable sur la primaire |
| Zone inversée | Résolution IP → nom (PTR) | Modifiable sur la primaire |
| Zone primaire | Source autoritaire des enregistrements | Oui (source) |
| Zone secondaire | Copie en lecture seule pour redondance | Non (lecture seule) |
| Zone de stub | Contient NS, SOA, A pour identifier serveurs autoritaires | Contient info limitée |
| Redirecteur DNS | Acheminer requêtes non résolues vers autre(s) serveur(s) | Configuration sur serveur DNS |
8. Vérifications pratiques¶
- Résolution directe : vérifier qu’un nom résout bien vers l’IP attendue (ex. www.studi.com → 51.103.54.68, exemple donné).
- Résolution inverse : vérifier qu’une IP retourne le PTR attendu (ex. 51.103.54.68 → www.studi.com).
- Alias/CNAME : vérifier que l’alias pointe vers le nom cible (ex. alias S → superman → IP 192.168.23.1).
- Zone secondaire : constater que la copie est en lecture seule (impossible d’éditer localement).
- Redirecteur : après configuration d’un redirecteur public, vérifier la résolution des noms publics via le serveur local.
9. Flashcards Anki¶
Qu'est-ce qu'une zone DNS :: Espace de noms hébergé sur un serveur DNS contenant des enregistrements.
Que fait une zone directe :: Résout un nom de domaine en adresse IP.
Que fait une zone inversée :: Résout une adresse IP en nom de domaine (enregistrements PTR).
Qu'est-ce qu'une zone primaire :: Source autoritaire des enregistrements d'un domaine, stockée en fichier ou via AD DS.
Qu'est-ce qu'une zone secondaire :: Copie en lecture seule d'une zone primaire pour redondance.
Que contient une zone de stub :: Les champs NS, SOA et A pour identifier serveurs autoritaires.
Rôle d'un redirecteur DNS :: Transmettre les requêtes non résolues localement vers d'autres serveurs DNS.
À quoi sert DNSSEC :: Signer numériquement les enregistrements pour garantir intégrité et authenticité.
Quel enregistrement associe un nom à une adresse IPv4 :: Enregistrement A.
Quel enregistrement crée un alias pour un nom de domaine :: Enregistrement CNAME.