---
# System prepended metadata

title: Windows et Active Directory cours 4
tags: [' jeremy.delbarre', ACDA]

---

---
title: Windows et Active Directory cours 4
authors: jeremy.delbarre
tags: ACDA, jeremy.delbarre
---

# DNS
- Service de résolution de nom
- Resources critique sur internet
- UDP/53 pour les requete et reponse
- TCP/53 pour les redirections
- base de données utilisée pour stocker les enregistrement
    - fichier texte
    - annuaire Active Directory
- plusieurs type d'enregistrement
    - A: nom de machines/adresse IP
    - MX: serveur SMTP du domaine
    - SOA: donnée administrative de la zone
    - NS: serveur de la zone
    - CNAME: alias
    - SRV: localisation de service
    - PTR: pointeur pour la résolution inverse
- les données sont organisée hiérarchiquement en zone:
    - la racine .
    - les domaines de premier niveau Ex: fr, net, com
    - les domaines pour les entreprises et les particulier

## Zone
- Zone principale 
    - Zone en lecture/écriture (fichier ou intégre a l'AD)
- Zone secondaire
    - zone en lecture seule, réplique d'une autre zone (principale)
- Zone de stub
    - zone copie d'une autre zone ne contenant que les enregistrements SOA, NS et A
    - permet de fournir les élement principaux sans donnée l'intégralité
- Zone de rechercher inversé
    - stocke les PTR
- Zone GlobalNames 
    - permet la résolution de nom cours Netbios

## type de DNS
- Serveur DNS Principale
    - serveur d'autorité d'une zone (SOA)
    - responsable de la correspondance
    - un par zone
- Serveur DNS secondaire
    - permet de redonder le serveur principale pour éviter les surcharges
- Serveur relais 
    - resilution des noms en cache
- client DNS
    - dispose d'un resolver en local
    - dispose lui aussi d'un cache DNS
    - peut s'enregistrer dynamiquement sur un serveur DNS

## réplication des zones
- Transfert de Zone
    - réplication de tout ou partie des enregistrement DNS
    - de type maitre/esclave
    - entre le server DNS principale et secondaire
    - utilise le protocole DNS sur le TCP/53
- si la zone est intégrée dans l'AD
    - Zone hébergée uniquement sur des controleurs de domaine
    - replication multimaitre (comme pour l'AD)
    - modifiable par l'ensemble des serveurs DNS

## mécanisme de résolution
- soit le DNS l'a deja dans le cache soit il va le demandé
- deux mode
- mode itératif
    - il renvoie l'addresse d'un autre serveur susceptible d'effectuer la résolution
    - le client vas donc relancer la requete sur l'autre serveur jusqu'a avoir récuper l'IP
- mode récursif
    - vas demander a son serveur DNS
    - c'est le serveur DNS qui s'occupe de faire les requtes
    - le client attend une réponse de son propre serveur DNS
- dans la vraie vie aucun des deux n'est utilisé c'est un mélange des deux
    - le client vas attendre une réponse de son serveur DNS
    - c'est le serveur DNS qui va faire le travail avec le mode itératif

## vulnérabilité et solutions
- recherche manuelle
    - fastidieux mais discret
    - nslookup
- parade
    - limiter les informations aux seules nécéssaires
    - séparer les infos privée et public 
- transfert de zone
- tunneling DNS
    - fuite d'information via des canaux caché
- corruption de résolution
    - rediriger les requetes d'un client vers un serveur maitrisé par un attaquant
    - modification du host ou de la config DNS
    - DNS cache poisoning
- Déni de service
- TSIG/GSS-TSIG
    - mécanisme d'authentification
    - signature des échanges
    - cyptographie symétrique

## TSIG étape
- client cherche le serveur DNS
- authorise le serveur
- tente une maj non securisé (qui est refusé)
- negocie le protocole a utilisé
- demande une update des des DNS
- le DNS demande a l'AD

## DNSSEC
- extension de sécurité DNS
- gestion des clés interne au DNS
- authentification a l'origine des donnée
- 