Thomas.will: /* Reverse-Zone */

2026-04-07T13:49:02Z

Reverse-Zone

Thomas.will: /* Forward-Zone */

2026-04-07T13:48:36Z

Forward-Zone

Thomas.will: /* named.conf.local */

2026-04-07T13:47:52Z

named.conf.local

Thomas.will: Die Seite wurde neu angelegt: „= DNS-Server Konfiguration mit Ansible = Dieser Artikel zeigt wie man mehrere DNS-Server (bind9) automatisiert mit Ansible konfiguriert…“

2026-04-07T13:04:34Z

Die Seite wurde neu angelegt: „= DNS-Server Konfiguration mit Ansible = Dieser Artikel zeigt wie man mehrere DNS-Server (bind9) automatisiert mit Ansible konfiguriert…“

Neue Seite

= DNS-Server Konfiguration mit Ansible =

Dieser Artikel zeigt wie man mehrere DNS-Server (bind9) automatisiert mit [[Ansible Grundlagen|Ansible]] konfiguriert.
Wir verwenden eine Ansible-Rolle die bind9 installiert, alle Zonen-Dateien erstellt und die Konfiguration automatisch prüft.

Voraussetzung ist der Artikel [[Ansible Grundlagen]].

== Voraussetzungen ==

* Ansible ist auf dem Control-Node installiert ([[Ansible Grundlagen]])
* Alle DNS-VMs sind erreichbar (SSH über die DMZ-IP)
* User <code>kit</code> ist auf allen VMs vorhanden und hat <code>sudo NOPASSWD</code>-Rechte
* SSH-Schlüssel ist hinterlegt
* Die Firewall-VMs sind bereits konfiguriert ([[Ansible Firewall Konfiguration]])

== Variablen ==

{| class="wikitable"
! Variable !! Bedeutung !! Beispiel
|-
| <code>fw_xx</code> || Teilnehmernummer (201–213) || <code>212</code>
|-
| <code>fw_y</code> || Klassensaal (1–16) – wird beim Ausführen mitgegeben || <code>16</code>
|}

;<code>fw_y</code> ist bewusst nicht im Inventory:
Da der Klassensaal von Tag zu Tag wechseln kann, wird er beim Ausführen des Playbooks als Extra-Variable übergeben:
* <code>ansible-playbook site.yml -e "fw_y=16"</code>

Der Standardwert in <code>roles/dns/defaults/main.yml</code> ist <code>fw_y: 1</code> und greift wenn man die Variable vergisst.

== Projektstruktur ==

<pre>
ansible-dns/
├── ansible.cfg
├── site.yml
├── inventory/
│ └── hosts.ini
└── roles/
└── dns/
├── defaults/
│ └── main.yml
├── tasks/
│ └── main.yml
├── handlers/
│ └── main.yml
└── templates/
├── named.conf.options.j2
├── named.conf.local.j2
├── forward.zone.j2
├── reverse.zone.j2
└── resolv.conf.j2
</pre>

== Inventory ==

Die DNS-Server liegen im DMZ-Netz (<code>10.88.XX.21</code>). Jeder Host bekommt seine eigene <code>fw_xx</code>-Variable.

<pre>
[dns]
ns201 ansible_host=10.88.201.21 fw_xx=201
ns202 ansible_host=10.88.202.21 fw_xx=202
...
ns213 ansible_host=10.88.213.21 fw_xx=213

[dns:vars]
ansible_user=kit
ansible_become=true
ansible_become_method=sudo
</pre>

== ansible.cfg ==

<pre>
[defaults]
inventory = inventory/hosts.ini
remote_user = kit
host_key_checking = False

[privilege_escalation]
become = True
become_method = sudo
</pre>

== Playbook ==

<pre>
---
- name: DNS-Server konfigurieren
hosts: dns
gather_facts: false

roles:
- dns
</pre>

== Rolle: dns ==

=== defaults/main.yml ===

Standardwert für den Klassensaal – wird überschrieben wenn man <code>-e "fw_y=16"</code> mitgibt:

<pre>
---
fw_y: 1
</pre>

=== Tasks ===

Die Rolle führt folgende Schritte aus:

# Hostname setzen (<code>ns.it2XX.int</code>)
# bind9 installieren
# named stoppen
# <code>named.conf.options</code> konfigurieren
# <code>named.conf.local</code> konfigurieren
# Forward-Zonendatei erstellen
# Reverse-Zonendatei erstellen
# Konfiguration prüfen (<code>named-checkconf</code>)
# Forward-Zone prüfen (<code>named-checkzone</code>)
# Reverse-Zone prüfen (<code>named-checkzone</code>)
# named aktivieren und starten
# <code>resolv.conf</code> konfigurieren

;Automatische Prüfung:
Die Tasks führen <code>named-checkconf</code> und <code>named-checkzone</code> aus bevor named gestartet wird.
Schlägt die Prüfung fehl bricht Ansible ab – so wird verhindert dass ein fehlerhafter named gestartet wird.

=== Templates ===

==== named.conf.options ====

Der Forwarder zeigt auf den DNSGW des jeweiligen Klassensaals (<code>192.168.Y.88</code>).
Die <code>allow-recursion</code>-Regel erlaubt nur den eigenen Netzen rekursive Anfragen.

<pre>
options {
directory "/var/cache/bind";
forwarders { 192.168.{{ fw_y }}.88; };
allow-query { 0.0.0.0/0; };
allow-recursion { 10.88.{{ fw_xx }}.0/24; 172.26.{{ fw_xx }}.0/24; 10.{{ fw_xx }}.1.0/24; 127.0.0.1; };
allow-transfer { 127.0.0.1; };
dnssec-validation no;
listen-on-v6 { none; };
listen-on { any; };
};
</pre>

==== named.conf.local ====

Definiert die Forward- und Reverse-Zone für den jeweiligen Teilnehmer:

<pre>
zone "it2{{ fw_xx }}.int" {
type master;
file "it2{{ fw_xx }}.int";
};

zone "{{ fw_xx }}.88.10.in-addr.arpa" {
type master;
file "{{ fw_xx }}.88.10.in-addr.arpa";
};
</pre>

==== Forward-Zone ====

Enthält alle A-Records der Domäne <code>it2XX.int</code>:

<pre>
$TTL 300
@ IN SOA ns.it2{{ fw_xx }}.int. technik.it2{{ fw_xx }}.int. (
2025062501 ; serial
14400 ; refresh
3600 ; retry
3600000 ; expire
86400 ; minimum
)
NS ns.it2{{ fw_xx }}.int.
MX 10 mail.it2{{ fw_xx }}.int.

fw IN A 10.88.{{ fw_xx }}.1
ns IN A 10.88.{{ fw_xx }}.21
sftp IN A 10.88.{{ fw_xx }}.3
proxy IN A 10.88.{{ fw_xx }}.4
ntp IN A 10.88.{{ fw_xx }}.17
dhcp IN A 172.26.{{ fw_xx }}.2
smb IN A 10.{{ fw_xx }}.1.2
ldap IN A 10.{{ fw_xx }}.1.3
</pre>

==== Reverse-Zone ====

Enthält die PTR-Records für das DMZ-Netz (<code>10.88.XX.0/24</code>):

<pre>
$TTL 1
@ IN SOA ns.it2{{ fw_xx }}.int. technik.it2{{ fw_xx }}.int. (
2025062501 ; serial
14400 ; refresh
3600 ; retry
3600000 ; expire
86400 ; minimum
)
IN NS ns.it2{{ fw_xx }}.int.

1 IN PTR fw.it2{{ fw_xx }}.int.
21 IN PTR ns.it2{{ fw_xx }}.int.
3 IN PTR sftp.it2{{ fw_xx }}.int.
4 IN PTR proxy.it2{{ fw_xx }}.int.
17 IN PTR ntp.it2{{ fw_xx }}.int.
</pre>

== Ausführen ==

;Alle Hosts (Saal 16):
* <code>ansible-playbook site.yml -e "fw_y=16"</code>

;Nur einzelne Hosts zum Testen:
* <code>ansible-playbook site.yml -e "fw_y=16" --limit ns212,ns213</code>

;Trockenlauf:
* <code>ansible-playbook site.yml -e "fw_y=16" --check</code>

== Finaler Test ==

Nach dem Ausführen kann man die Zonen direkt auf dem DNS-Server prüfen:

;Forward-Zone:
* <code>dig @127.0.0.1 it2213.int -t axfr</code>

;Reverse-Zone:
* <code>dig @127.0.0.1 213.88.10.in-addr.arpa -t axfr</code>

;Logs:
* <code>journalctl -fu named</code>

== Siehe auch ==

* [[Ansible Grundlagen]]
* [[Ansible Firewall Konfiguration]]
* [[DNS Grundlagen]]
* [[DNS Records]]
* [[DNS Master - Slave - Forward]]

@@ Zeile 196: / Zeile 196: @@
 <pre>
 $TTL 1
-@               IN SOA  ns.it2{{ fw_xx }}.int. technik.it2{{ fw_xx }}.int. (
+@               IN SOA  ns.it2{ fw_xx }}.int. technik.it{{ fw_xx }}.int. (
                          2025062501 ; serial
       ; refresh
@@ Zeile 203: / Zeile 203: @@
       ; minimum
+                         )
-                 IN      NS      ns.it2{{ fw_xx }}.int.
+                 IN      NS      ns.it{{ fw_xx }}.int.
-               IN      PTR     fw.it2{{ fw_xx }}.int.
+               IN      PTR     fw.it{{ fw_xx }}.int.
-              IN      PTR     ns.it2{{ fw_xx }}.int.
+              IN      PTR     ns.it{{ fw_xx }}.int.
-               IN      PTR     sftp.it2{{ fw_xx }}.int.
+               IN      PTR     sftp.it{{ fw_xx }}.int.
-               IN      PTR     proxy.it2{{ fw_xx }}.int.
+               IN      PTR     proxy.it{{ fw_xx }}.int.
-              IN      PTR     ntp.it2{{ fw_xx }}.int.
+              IN      PTR     ntp.it{{ fw_xx }}.int.
 </pre>

@@ Zeile 170: / Zeile 170: @@
 <pre>
 $TTL 300
-@               IN SOA  ns.it2{{ fw_xx }}.int. technik.it2{{ fw_xx }}.int. (
+@               IN SOA  ns.it{{ fw_xx }}.int. technik.it{{ fw_xx }}.int. (
                          2025062501 ; serial
       ; refresh
@@ Zeile 177: / Zeile 177: @@
       ; minimum
+                         )
-                 NS      ns.it2{{ fw_xx }}.int.
+                 NS      ns.it{{ fw_xx }}.int.
-                 MX 10   mail.it2{{ fw_xx }}.int.
+                 MX 10   mail.it{{ fw_xx }}.int.
 fw              IN      A       10.88.{{ fw_xx }}.1

@@ Zeile 153: / Zeile 153: @@
 <pre>
-zone "it2{{ fw_xx }}.int" {
+zone "it{{ fw_xx }}.int" {
      type master;
-     file "it2{{ fw_xx }}.int";
+     file "it{{ fw_xx }}.int";
 };

Ansible KIT Nameserver-Konfiguration - Versionsgeschichte

Thomas.will: /* Reverse-Zone */

Thomas.will: /* Forward-Zone */

Thomas.will: /* named.conf.local */

Thomas.will: Die Seite wurde neu angelegt: „= DNS-Server Konfiguration mit Ansible = Dieser Artikel zeigt wie man mehrere DNS-Server (bind9) automatisiert mit Ansible konfiguriert…“