Provoz DNS v prostředí univerzitní sítě

Abstract

Tato diplomová práce se zabývá návrhem a zavedením moderní služby pro překlad doménových jmen (DNS) v testovacím prostředí univerzitní počítačové sítě. Práce se zaměřuje na několik klíčových oblastí. První z nich je zabezpečení odpovědí autoritativního DNS serveru pomocí digitálních podpisů zónových dat, které zaručují jejich důvěryhodnost a ochranu před podvržením. Dále byly zprovozněny dva rekurzivní servery, které slouží jako prostředníci mezi dotazy uživatelů na doménová jména a internetem. Ty jsou schopny blokovat přístup na škodlivé nebo nežádoucí webové stránky na základě pravidelně aktualizovaných seznamů. Tyto seznamy jsou automaticky sdíleny mezi oběma servery, čímž je zajištěna jejich shoda. Oba servery zároveň fungují v režimu vysoké dostupnosti tím minimalizují dopady výpadků na uživatele. Pro oba typy serverů bylo zavedeno pravidelné zálohování nastavení a odesílání provozních záznamů na centrální úložiště univerzity. Poslední část práce řeší automatické získávání certifikátů, které jsou nezbytné pro všudypřítomnou šifrovanou komunikaci. Toto řešení je speciálně navrženo pro servery, které nejsou přímo dostupné z internetu. Celý postup je navržen tak, aby případné odcizení přístupových údajů mělo co nejmenší dopad na bezpečnost výsledného systému. Všechny použité postupy jsou podrobně zdokumentovány a jsou snadno opakovatelné.

This master's thesis focuses on the design and implementation of a modern Domain Name System (DNS) service in the test environment of a university computer network. The thesis addresses several key areas. The first of these is securing the responses of the authoritative DNS server using digital signatures of zone data, which guarantee their authenticity and protect against forgery. Furthermore, two recursive servers were deployed to act as intermediaries between user queries for domain names and the Internet. These servers are capable of blocking access to malicious or unwanted websites based on regularly updated lists. These lists are automatically shared between both servers, ensuring their consistency. Both servers also operate in high-availability mode, thereby minimizing the impact of outages on users. For both types of servers, regular backup of settings and the transmission of operational logs to the university’s central repository have been implemented. The final part of the work addresses the automatic acquisition of certificates, which are essential for ubiquitous encrypted communication. This solution is specifically designed for servers that are not directly accessible from the internet. The entire process is designed so that any potential theft of access credentials has the least possible impact on the security of the resulting system. All procedures used are documented in detail and are easily reproducible.