DNS/DHCP(at)Work

1. Formål

DNS/DHCP(at)Work er en DNS-server og en DHCPv4-server for lukkede testnett og lab. Den svarer fra egne soner og poster, og den kan gi feil svar med vilje – NXDOMAIN, SERVFAIL, REFUSED, ingen svar, trege svar, avkortede svar eller andre adresser – slik at man kan teste hvordan utstyr og programmer håndterer feil i navneoppslag og adressetildeling.

Løsningen leveres som en offline-pakke for Rocky Linux 9 og bruker bare Python 3.9+ og standardbiblioteket. Den bruker ikke dnsmasq, BIND eller Kea.

2. Oppbygning

Én Python-prosess (python3 -m dnsdhcp serve) med tre deler som deler innstillinger og hendelseslogg: DNS-serveren, DHCP-serveren og web-grensesnittet.

                 +--------------------------- dns-dhcp-tester.service ---------------------------+
 DNS-klienter -> | UDP/TCP 53   dns_server.py  -- regler -> poster -> PTR -> soner -> videresending |
 DHCP-klienter ->| UDP 67       dhcp_server.py -- adressevalg, leier, feilmodus  --> navn til DNS   |
 nettleser    -> | TCP 8053     web.py         -- JSON-API + static/ (EN/NO)                         |
                 |              store.py (config.json)   eventlog.py (events.jsonl)                  |
                 +-----------------------------------------------------------------------------------+

Innstillingene leses på nytt for hver spørring og hver DHCP-melding. Endringer i poster, regler, område og feilmodus gjelder derfor straks. Bare endret adresse, port eller grensesnitt starter lytteren på nytt.

3. DNS

3.1. Rekkefølge for en spørring

1. Regler, ovenfra og ned. Den første regelen som passer på navn (mønster med * og ?), type og klientnett, bestemmer.
2. Egne data: postene og navnene fra DHCP (leier og reservasjoner med vertsnavn). Først eksakt navn, ellers nærmeste *.-jokertegn. CNAME følges inntil 8 ledd. Et navn som finnes, men uten den typen det spørres etter, gir NODATA (NOERROR uten svar) med SOA.
3. Automatisk PTR fra A- og AAAA-postene, for in-addr.arpa og ip6.arpa.
4. Egne soner: et navn i en sone som ikke finnes, gir NXDOMAIN med SOA. SOA og NS for sonetoppen lages automatisk.
5. Andre navn sendes videre til oppgitte servere (UDP, 2 s tidsavbrudd per server). Uten videresending svarer serveren REFUSED, eller NXDOMAIN eller SERVFAIL hvis det er valgt.

Svar fra egne data og soner har AA-flagget satt. RA settes når videresending er slått på.

3.2. Regler

Forsinkelse ms (0–30 000) gjelder for alle handlinger. Klientfeltet tar adresser og nett (CIDR) for IPv4 og IPv6. Regelen som traff, vises i loggen og telles i statistikken.

3.3. Svarstørrelse og TCP

Over UDP er grensen 512 byte, eller EDNS-størrelsen klienten oppgir (512–4096). Blir svaret større, sendes det uten poster og med TC-flagg, og klienten spør igjen over TCP. Har spørringen en OPT-post, har svaret også en (UDP-størrelse 1232). Over TCP brukes 2-byte lengdefelt (RFC 1035 4.2.2), og flere spørringer kan sendes på samme forbindelse.

3.4. Posttyper

4. DHCP

• Adressevalg: reservasjon → klientens eksisterende lei → ønsket adresse (opsjon 50) → første ledige adresse i området.
• Et tilbud (OFFER) holdes i 60 s. En adresse som klienten avviser med DECLINE, holdes tilbake i 600 s.
• REQUEST med en annen servers identifikator frigjør tilbudet. Er serveren autoritativ, får en klient som ber om en adresse som ikke er gyldig her, NAK.
• Svaret sendes til relé-agenten (giaddr, port 67), til klientens adresse (ciaddr, port 68) ved fornyelse, og ellers som kringkasting til 255.255.255.255, port 68.
• Opsjoner: 1 nettmaske, 3 ruter, 6 DNS, 12 vertsnavn, 15 domene, 28 kringkastingsadresse, 42 NTP, 51 leietid, 54 serveridentifikator, 58 T1, 59 T2, 66 TFTP-server, 67 oppstartsfil.
• Uten oppgitte DNS-servere får klientene serverens egen adresse, når DNS-serveren er på.
• Med valgt grensesnitt bindes lytteren med SO_BINDTODEVICE, og serveradressen hentes fra grensesnittet (SIOCGIFADDR). Ellers brukes adressen mot ruteren.
• Leier lagres i leases.json og overlever omstart.

DHCP-klienter som sender vertsnavn (opsjon 12), får navnet <vertsnavn>.<domene> i DNS så lenge leien er gyldig. Reservasjoner med vertsnavn er alltid med.

5. Innstillinger og kontroll

Innstillingene ligger i /var/lib/dns-dhcp-tester/config.json, med én del for DNS og én for DHCP. Alt som kommer fra web-grensesnittet kontrolleres før det lagres. Feil gir HTTP 400 med en lesbar melding, og ingenting lagres.

• Navn, soner og navnemønstre kontrolleres mot tillatte tegn og lengder.
• Adresser, nett, porter, TTL, forsinkelser og leietid kontrolleres mot gyldige verdier.
• DHCP-området må ligge i ett nett, starten må komme før slutten, og området kan ha høyst 65 536 adresser. Reservasjoner må ligge i nettet, og ingen MAC- eller IP-adresse kan brukes to ganger.
• Er filen ødelagt eller ugyldig ved oppstart, brukes standardverdiene, og en advarsel vises i web-grensesnittet og loggen.

6. Web-API

Alle kall krever innlogging. Alle POST-kall krever i tillegg hodet X-Requested-With: dnsdhcp-ui.

7. Sikkerhet

• Innlogging: HTTP Basic med brukeren admin. Passordet lagres som PBKDF2-SHA256 med 200 000 runder og tilfeldig salt. Ti feil passord i løpet av ett minutt fra samme adresse gir ett minutts pause.
• CSRF: POST uten hodet X-Requested-With: dnsdhcp-ui avvises med 403. Andre nettsteder kan ikke sette hodet.
• Hoder: Content-Security-Policy uten inline-skript og -stil og uten eksterne kilder, X-Frame-Options DENY, nosniff, no-referrer og no-store.
• Tjenesten kjører som systembrukeren dnsdhcp med bare CAP_NET_BIND_SERVICE (port 53 og 67) og CAP_NET_RAW (binding til grensesnitt), og med full systemd-herding. Den kan bare skrive i /var/lib/dns-dhcp-tester.
• DHCP er av etter installasjon, og web-grensesnittet spør før det slås på.
• Web-grensesnittet bruker HTTP. Begrens tilgangen med install.sh --admin-net <nett> eller et eget administrasjonsnett.

8. Filer og tjeneste

install.sh kontrollerer sjekksummene i pakken og at portene er ledige, viser hvilken prosess som eventuelt bruker port 53, 8053 eller 67, åpner portene i firewalld eller ufw og avslutter med en kontroll av web-grensesnittet og DNS. En ny install.sh er en oppgradering som beholder innstillinger, leier, logg og passord.

9. Portkart for (at)Work-verktøyene

Alle verktøyene kan dermed kjøre på samme server.

10. Selvtest og verktøy

python3 tools/selftest.py starter DNS, DHCP og web på tilfeldige høye porter på 127.0.0.1 og kjører 44 tester uten å berøre tjenesten:

• oppslag av alle posttyper, CNAME, jokertegn, NXDOMAIN, NODATA, SOA/NS, PTR, avkorting og EDNS;
• alle regelhandlinger, typefilter, klientfilter og rekkefølge;
• videresending (når testen kjøres som root og port 53 er ledig);
• DHCP-forløpet DISCOVER–OFFER–REQUEST–ACK, reservasjon, NAK, fullt område, RELEASE, DECLINE og alle feilmoduser;
• kontroll av innstillinger, innlogging, CSRF-vern og API.

tools/probe.py dns <navn> spør en DNS-server over UDP eller TCP. tools/probe.py dhcp sender en DISCOVER og viser alle tilbud, uten å ta noen adresse.

11. Begrensninger i utkastet

• DHCP bare for IPv4 og ett nett. Ingen DHCPv6.
• DNS uten DNSSEC, soneoverføring (AXFR) og dynamisk oppdatering (RFC 2136).
• Videresending over UDP til port 53, uten hurtigbuffer.
• Web-grensesnittet bruker HTTP, ikke HTTPS.