109.4 Lektion 1

Der beste Weg, etwas über diese Datei zu erfahren, ist das Lesen der Manpage, die Teil des Linux-Manpage-Projekts ist. Der Aufruf erfolgt über den Befehl man nsswitch.conf. Alternativ finden Sie sie auch unter https://man7.org/linux/man-pages/dir_section_5.html.

Hier ein einfaches Beispiel für /etc/nsswitch.conf aus der entsprechenden Handbuchseite:

Die Datei ist in Spalten organisiert. Die erste Spalte nennt den Typ der Namensdatenbank. Die übrigen Spalten sind die Methoden, die die Auflösungsfunktionen verwenden sollen, um einen Namen zu suchen. Auf die Methoden folgen die Funktionen von links nach rechts. Spalten mit [] stellen eine begrenzte bedingte Logik für die Spalte unmittelbar links von ihr bereitzustellen.

Angenommen ein Prozess versucht, den Hostnamen learning.lpi.org aufzulösen. Er würde zunächst einen entsprechenden C-Bibliotheksaufruf durchführen (höchstwahrscheinlich gethostbyname). Diese Funktion liest dann /etc/nsswitch.conf. Da der Prozess nach einem Hostnamen sucht, findet er die Zeile, die mit hosts beginnt. Er versucht dann, den Namen über DNS aufzulösen. Die nächste Spalte ([!UNAVAIL=return]) bedeutet, dass, wenn der Dienst nicht unerreichbar ist, die nächste Quelle nicht versucht wird — oder anders: Ist DNS verfügbar, wird nicht weiter versucht, den Hostnamen aufzulösen, auch wenn die Nameserver es nicht können. Wenn DNS nicht verfügbar ist, wird mit der nächsten Quelle fortgefahren, hier files.

Eine Spalte im Format [result=action] bedeutet, dass action ausgeführt wird, wenn ein Resolver Lookup der Spalte links result lautet. Ist result ein ! vorangestellt, wird action ausgeführt, sofern das Ergebnis nicht result entspricht. Beschreibungen der möglichen Ergebnisse und Aktionen finden Sie in der Manpage.

Nehmen wir nun an, ein Prozess versucht, eine Portnummer in einen Dienstnamen aufzulösen, und dafür die Zeile services lesen. Die erste aufgeführte Quelle ist nis. NIS steht für Network Information Service (manchmal auch als “Yellow Pages” oder “Gelbe Seiten” bezeichnet). Es handelt sich um einen alten Dienst zur zentralen Verwaltung beispielsweise von Benutzern. Er wird wegen seiner geringen Sicherheit kaum noch verwendet. Die nächste Spalte [NOTFOUND=return] zeigt an, dass die Suche abgebrochen wird, wenn die Suche zwar erfolgreich war, aber der Dienst nicht gefunden wurde. Wenn die genannte Bedingung nicht zutrifft, verwende lokale Dateien.

Alles, was rechts von # steht, ist ein Kommentar und wird ignoriert.

Die Datei /etc/resolv.conf dient der Konfiguration der Hostauflösung über DNS. Einige Distributionen haben Startskripte, Daemons und andere Werkzeuge, die in diese Datei schreiben. Beachten Sie dies, falls Sie die Datei eventuell manuell bearbeiten wollen. Überprüfen Sie Ihre Distribution und die Dokumentation der Netzwerkkonfigurationsprogramme, wenn dies der Fall ist. Einige Tools wie etwa NetworkManager hinterlassen einen Kommentar in der Datei, der Sie darauf hinweist, dass manuelle Änderungen überschrieben werden.

Wie bei /etc/nsswitch.conf gibt es auch für diese Datei Manpages, die Sie mit man resolv.conf oder unter https://man7.org/linux/man-pages/man5/resolv.conf.5.html finden.

Das Dateiformat ist recht einfach. In der Spalte ganz links steht die Option name. Die übrigen Spalten in derselben Zeile enthalten den Wert der Option.

Die gebräuchlichste Option ist nameserver, die die IPv4- oder IPv6-Adresse eines DNS-Servers angibt. Aktuell können Sie bis zu drei Nameserver angeben. Enthält Ihre /etc/resolv.conf keine nameserver-Option, nutzt Ihr System standardmäßig den Nameserver auf dem lokalen Rechner.

Hier eine einfache Beispieldatei, repräsentativ für gängige Konfigurationen:

Die Option search ermöglicht Kurzsuchen. Im Beispiel ist eine einzige Suchdomäne lpi.org konfiguriert. Das bedeutet, dass bei jedem Versuch, einen Hostnamen ohne einen Domänenanteil aufzulösen, .lpi.org vor der Suche angehängt wird. Wenn Sie zum Beispiel nach einem Host mit dem Namen learning suchen, würde der Resolver nach learning.lpi.org suchen. Sie können bis zu sechs Suchdomänen konfigurieren.

Eine weitere gängige Option ist domain, die den lokalen Domänennamen bestimmt. Fehlt diese Option, wird standardmäßig alles nach dem ersten . im Hostnamen des Rechners verwendet. Wenn der Rechnername kein . enthält, wird angenommen, dass der Rechner Teil der Root-Domäne ist. Wie search kann domain für kurze Namenssuchen verwendet werden.

Beachten Sie, dass sich domain und search gegenseitig ausschließen. Sind beide vorhanden, kommt die letzte Instanz in der Datei zum Einsatz.

Es gibt mehrere Optionen, die das Verhalten des Resolvers beeinflussen. Um diese zu setzen, verwenden Sie das Schlüsselwort options, gefolgt vom Namen der zu setzenden Option und, falls zutreffend, einem :, gefolgt von dem Wert. Hier ein Beispiel für die Option timeout, die die Zeit in Sekunden angibt, die der Resolver auf einen Nameserver wartet, bevor er aufgibt:

Es gibt weitere Optionen für resolv.conf, aber dies sind die gängigsten.

Die Datei /etc/hosts dient dazu, Namen in IP-Adressen aufzulösen und umgekehrt — sowohl IPv4 als auch IPv6. Die linke Spalte ist die IP-Adresse, der Rest sind Namen, die mit dieser Adresse verbunden sind. In den meisten Fällen enthält /etc/hosts Hosts und Adressen, bei denen DNS nicht möglich ist, wie z.B. Loopback-Adressen. Im nachstehenden Beispiel sind IP-Adressen kritischer Infrastrukturkomponenten definiert.

Hier ist ein realistisches Beispiel für eine /etc/hosts-Datei:

Systemd bietet einen Dienst namens systemd-resolved für mDNS, DNS und LLMNR. Er lauscht auf DNS-Anfragen auf 127.0.0.53, bietet aber keinen vollwertigen DNS-Server. Alle DNS-Anfragen, die er erhält, werden durch Abfragen von Servern, die in /etc/systemd/resolv.conf oder /etc/resolv.conf konfiguriert sind, ermittelt. Um dies zu nutzen, verwenden Sie resolve für hosts in /etc/nsswitch.conf. Denken Sie daran, dass das Betriebssystempaket, das die systemd-resolved-Bibliothek enthält, möglicherweise nicht standardmäßig installiert ist.

Das Dienstprogramm getent dient der Anzeige von Einträgen aus Nameservice-Datenbanken. Es ruft Datensätze aus jeder durch /etc/nsswitch.conf konfigurierbaren Quelle ab.

Geben Sie nach dem Befehl getent den Namenstyp an, den Sie auflösen möchten, und optional einen bestimmten Eintrag. Geben Sie nur den Namenstyp an, versucht getent, alle Einträge dieses Datentyps anzuzeigen:

Ab Version 2.2.5 von glibc können Sie getent mit der Option -s anweisen, eine bestimmte Datenquelle zu verwenden. Das folgende Beispiel demonstriert dies:

host ist ein einfaches Programm zum Nachschlagen von DNS-Einträgen. Ohne Optionen gibt host, wenn ein Name angegeben ist, die A-, AAAA- und MX-Einträge zurück. Ist eine IPv4- oder IPv6-Adresse angegeben, gibt es den PTR-Eintrag aus, falls ein solcher existiert:

Wenn Sie nach einem bestimmten Eintragstyp suchen, nutzen Sie host -t:

host kann auch einen bestimmten Nameserver abfragen, wenn Sie nicht die Server in /etc/resolv.conf verwenden wollen. Fügen Sie einfach die IP-Adresse oder den Hostnamen des Servers, der verwendet werden soll, als letztes Argument hinzu:

Ein weiteres Werkzeug zur Abfrage von DNS-Servern ist dig. Dieser Befehl ist sehr viel auskunftsfreudiger als host. Standardmäßig fragt dig A-Einträgen ab. Für die einfache Suche nach einer IP-Adresse oder einem Hostnamen ist es wahrscheinlich zu ausführlich. dig funktioniert für einfache Abfragen, ist aber eher für die Fehlersuche in der DNS-Serverkonfiguration geeignet:

Wie Sie sehen, liefert dig umfangreiche Informationen. Die Ausgabe ist in Abschnitte unterteilt. Der erste zeigt Informationen über die installierte Version von dig und die gesendete Abfrage sowie allen für den Befehl verwendeten Optionen. Danach folgen Details zu Abfrage und Antwort.

Der nächste Abschnitt gibt Auskunft über die verwendeten EDNS-Erweiterungen und die Abfrage — im Beispiel wird die Cookie-Erweiterung verwendet. dig sucht nach einem A-Eintrag für learning.lpi.org.

Der nächste Abschnitt zeigt das Ergebnis der Abfrage. Die Zahl in der zweiten Spalte ist die TTL der Ressource in Sekunden.

Der Rest der Ausgabe liefert Informationen über die Nameserver der Domäne, einschließlich der NS-Einträge für den Server sowie der A- und AAAA-Einträge der Server im NS-Eintrag der Domäne.

Wie bei host geben Sie mit der Option t einen Datensatztyp an:

dig kennt zahlreiche Optionen zur Feinabstimmung sowohl der Ausgabe wie auch der an den Server gesendeten Abfrage. Diese Optionen beginnen mit +. Eine Option ist short, die alle Ausgaben außer dem Ergebnis unterdrückt:

Hier ist ein Beispiel für die Deaktivierung der EDNS-Cookie-Erweiterung: