[FREEBSD] Nameserver

[Verwijderd]

Halloa,

met de search kwam ik er niet helemaal uit...

Mijn vraag:

Ik wil een dns server opzetten, wie heeft hier ervaring mee?

Welke package kan ik het beste gebruiken?

Alvast bedankt.

[Verwijderd]

BIND, en ik raad je aan op het internet te zoeken naar 'BIND', 'HOWTO', 'DNS'...

[Verwijderd]

Ok, bedankt

[miniBSD]

Als je FreeBSD gebruikt dan is bind al geïnstalleerd.

[_JGC_]

Bind is een goeie standaard DNS server. Weet niet hoe het met FreeBSD zit, maar op Linux gebruik ik liever nog djbdns.

[Infern0]

DJB DNS is er ook voor FreeBSD ruleerd zwaar, veel beter imo dan dat klote BIND

[Verwijderd]

rlensen schreef op 03 september 2002 @ 12:39:
DJB DNS is er ook voor FreeBSD ruleerd zwaar, veel beter imo dan dat klote BIND

wrom dat?

[Verwijderd]

Heb eig nooit problemen gehad met Bind is eerste keer beetje lastig configgen maar zeker goed te doen. Zou daarom ook gewoon Bind nemen, de standaard.

[Kettrick]

Verwijderd schreef op 03 september 2002 @ 13:04:
[...]


wrom dat?

- Bind is lomp
- Bind is traag
- Bind verdient nou niet bepaald een security award
- Bind stinkt gewoon

Tinydns is overigens ook niet perfect

[_JGC_]

- Bind is traag
- Bind heeft veel overhead
- Bind is niet doorzichtig te configgen
- Bind is onveilig

daartegenover:
- djbdns installeert alleen wat je nodig hebt: dnscache of tinydns
- djbdns is snel
- djbdns is makkelijk te configgen
- djbdns kan op elk IP van de server draaien*

nadeel: als een dns lookup niet lukt, hangt djbdns tot de request een timeout heeft. Niet echt threaded dus Weet nog niet of het opgelost is inmiddels.

*: Zo heb ik tinydns voor mn LAN op 127.0.0.1 draaien, een DNS servertje met daarin de hostnamen van mn 2 netwerken 192.168.0.0 en 192.168.1.0. Op 192.168.0.1 heb ik dan dnscache draaien, die voor de DNS lookups in mn netwerk dient.

[Creepy]

Bind kan je ook op 1 (of meerdere) specifiek(e) IP(s) laten draaien.

Bind is onveilig.. ok.. ook t.o.v. djbdns?
Bind is traan en djbdns is snel.. ook goed.. geef jij ff een overzicht van benchmarks van djbdns t.o.v. bind?

djbns is makkelijk te configgen? Persoonlijk, ik vind bind ook makkelijk te configgen.
Bind is niet doorzichtig te configgen? Wat bedoel je hier precies mee?

Graag een beetje fatsoenlijke onderbouwing i.p.v. een persoonlijke mening please..

[Coen Rosdorff]

_JGC_ schreef op 03 september 2002 @ 18:04:
- Bind is traag
- Bind heeft veel overhead
- Bind is niet doorzichtig te configgen
- Bind is onveilig

daartegenover:
- djbdns installeert alleen wat je nodig hebt: dnscache of tinydns
- djbdns is snel
- djbdns is makkelijk te configgen
- djbdns kan op elk IP van de server draaien*

Bind is niet traag, bind is eenvoudig te configen en bind kan op verschillende ip's verschillende antwoorden geven. (Met views, vanaf bind 9)

Security is niet het sterkste punt, maar het grootste voordeel van bind is toch wel dat het de standaarden correct en volledig geimplementeerd heeft. Dat is iets wat de koppige auteur van djbdns niet WIL.

[Verwijderd]

Creepy schreef op 03 september 2002 @ 18:36:
Bind kan je ook op 1 (of meerdere) specifiek(e) IP(s) laten draaien.

Klopt. DJBDNS ook.

Bind is onveilig.. ok.. ook t.o.v. djbdns?

Ja. Zeker omdat bij BIND standaard het als root draait (weet niet of ik daar om moet lachen of om moet huilen ). Bugs dag in dag uit. Met DJBDNS ben je er van verlost.

Bind is traan en djbdns is snel.. ook goed.. geef jij ff een overzicht van benchmarks van djbdns t.o.v. bind?

Ha-ha-ha. Het is algemeen bekend dat BIND bloated is. Maar goed. Qua grootte kunnen we wel argumenteren want dat is makkelijker te bewijzen: De code is kleiner als in minder, minder complex (kleiner, jonger en DJB's code is makkelijk te lezen). De zone files zijn van BIND 2x zo groot. Bij DJBDNS kun je makkelijker je zone files aanpassen en na een 'make' is 't okay. Hij haalt ze on-the-fly uit de database. Jawel, een database. BIND laadt al de meuk in het geheugen.

Oh en de IPv6 support van BIND9 is brak icm. sommige Linux versies

djbns is makkelijk te configgen? Persoonlijk, ik vind bind ook makkelijk te configgen.
Bind is niet doorzichtig te configgen? Wat bedoel je hier precies mee?

Met allemaal die aparte zone files ja? Dat vind je prettig? Oops() puntje vergeten?

Graag een beetje fatsoenlijke onderbouwing i.p.v. een persoonlijke mening please..

little_soundman schreef op 04 september 2002 @ 00:29:
[...]

Security is niet het sterkste punt, maar het grootste voordeel van bind is toch wel dat het de standaarden correct en volledig geimplementeerd heeft. Dat is iets wat de koppige auteur van djbdns niet WIL.

Wah! Wat dan als de standaarden zuigen? Als ze bloated zijn bijv.? De IPv6 RFC's zijn in de tijden ook veranderd. Die van de DNS zijn zelfs veranderd na veel gezeur. Ten voordele van DJBDNS

DJBDNS levert standaard een behoorlijke functionaliteit, een basis. Dit is voor de meeste mensen genoeg om een veilige en goede DNS te draaien. Als je meer wilt moet je 'm even patchen.

[Verwijderd]

Verwijderd schreef op 04 september 2002 @ 02:17:
Ha-ha-ha. Het is algemeen bekend dat BIND bloated is. Maar goed. Qua grootte kunnen we wel argumenteren want dat is makkelijker te bewijzen: De code is kleiner als in minder, minder complex (kleiner, jonger en DJB's code is makkelijk te lezen). De zone files zijn van BIND 2x zo groot. Bij DJBDNS kun je makkelijker je zone files aanpassen en na een 'make' is 't okay. Hij haalt ze on-the-fly uit de database. Jawel, een database. BIND laadt al de meuk in het geheugen.

En bloated = traag?
Misschien dat hij dan meer geheugen gebruikt, maar hij is wel sneller dan djbdns.
Een kleine benchmark tussen maradns, bind en djbdns:
http://www.maradns.org/speed.comparison.html

[serkoon]

Verwijderd schreef op 04 september 2002 @ 02:17:
Ja. Zeker omdat bij BIND standaard het als root draait (weet niet of ik daar om moet lachen of om moet huilen ). Bugs dag in dag uit. Met DJBDNS ben je er van verlost.

Niemand draait dingen standaard.. elke daemon die niet als root hoeft te draaien (zoals bind) toch als root draaien is gewoon een fout van de admin, niet van de software. Daarnaast, BIND wordt door het halve internet gebruikt, geen wonder dat er regelmatig bugs in gevonden worden. DJBDNS zal wellicht minder bugs bevatten, vanwege de aandacht die er aan correctheid van de code wordt besteed, maar zo zwart/wit als jij het stelt is het echt niet.

Oh en de IPv6 support van BIND9 is brak icm. sommige Linux versies

IPv6 support is brak in alle Linux versies.

Met allemaal die aparte zone files ja? Dat vind je prettig? Oops() puntje vergeten?

Daar heb je tools voor. Je denkt toch niet dat mensen met $veel domains dat allemaal met de hand gaan configgen?

Wah! Wat dan als de standaarden zuigen? Als ze bloated zijn bijv.? De IPv6 RFC's zijn in de tijden ook veranderd. Die van de DNS zijn zelfs veranderd na veel gezeur. Ten voordele van DJBDNS

Zo werkt dat dus niet. DNS is van vitaal belang voor het gebruik van het internet, zomaar je 'eigen' 'betere' standaarden erdoor drukken is dus simpelweg slecht voor de stabiliteit van de DNS-hierarchie, het breekt dingen.

DJBDNS levert standaard een behoorlijke functionaliteit, een basis. Dit is voor de meeste mensen genoeg om een veilige en goede DNS te draaien. Als je meer wilt moet je 'm even patchen.

Oh, lekker handig, je moet patchen als je meer functionaliteit wil dan 'een basis'. Ook eigenlijk geen wonder dat BIND meer regels code heeft dan he?


BIND en DJBDNS hebben allebei zo hun eigenschappen. BIND is veelgebruikt, doorgaans stabiel en goed te configgen. DJBDNS is theoretisch veiliger, wellicht sneller, maar weer niet zo veel gebruikt en wordt het door slechts een persoon ontwikkeld. Wat je kiest is afhankelijk van wat je belangrijk vind.

[miniBSD]

Bij die test wil ik nog een kanttekening plaatsen dat de logging uitgeschakeld kan worden van DJBDNS en dat deze alles van de schijf leest. Zonder de logging zou DJBDNS tweemaal zo snel zijn.

In een situatie heb ik van DJBDNS naar Bind terug moeten gaan omdat er problemen waren.
Met Bind heb ik nooit problemen gehad, hoewel ik mij bewust zijn van de verhalen en de lange reeks van fouten. DJBDNS wordt evenals de overige producten van deze auteur niets aan gedaan, de patches zijn onofficieel en worden dus niet ondersteund. MaraDNS volg ik ook al een tijd maar deze crashte als ik een 'host -l' deed of soms zonder een directe reden.
Er valt dus voor alles wat te zeggen.

[egeltje]

Analoog hieraan zou ik een Sendmail vs. Postfix kunnen opzetten (maar daar begin ik niet aan ).

Feit is dat iedereen moet gebruiken wat hij/zij nodig heeft en als je de FreeBSD handleiding voor je neus hebt en wat basis engels kent, kom je binnen vijf minuten al een heel eind...
Pas als je dingen als secure updates vanuit je DHCP server ofzo wilt gaan gebruiken moet je wat meer gaan nadenken. De standaard-zo-uit-de-doos handleiding geeft voor de gemiddelde gebruiker al genoeg functionaliteit (en vertelt je zelfs dat je heel simpel een ander account voor de daemon kunt gebruiken).

Bind heeft zich bewezen in de praktijk en ik heb eerlijk gezegd nog maar heel weinig redelijk onderbouwde klachten gehoord...

[Verwijderd]

Verwijderd schreef op 04 september 2002 @ 09:30:
En bloated = traag?

Kan.

Misschien dat hij dan meer geheugen gebruikt, maar hij is wel sneller dan djbdns.
Een kleine benchmark tussen maradns, bind en djbdns:
http://www.maradns.org/speed.comparison.html

Ja. Maradns.org en de snelst geteste is Maradns. Goeie grap! Kom dan met een objectieve bron? Bovendien zitten we tegenwoordig bij DJBDNS 1.0.5 en BIND 9.2.2

Over features gesproken: While it is possible to increase this limit by changing the appropriate variable in the MaraDns.h file, the current limit is in line with the 512-byte limit that UDP DNS packets have; MaraDNS does not currently support DNS over TCP.. Bron. Vraag ik me toch af hoe hij AXFR'ed want dat gaat over TCP.

serkoon schreef op 04 september 2002 @ 09:48:
[...]

Niemand draait dingen standaard..

Right. Geloof je het zelf? Niemand draait dingen standaard. Lees je zin nog eens. Dat zou betekenen dat iedereen een eigen custom Linux kernel heeft en dat is alvast niet waar. Enga zo maar door.

Zullen we even kijken naar de praktijk anders? Volgens jou draait iedereen BIND non-root?

elke daemon die niet als root hoeft te draaien (zoals bind) toch als root draaien is gewoon een fout van de admin, niet van de software. Daarnaast, BIND wordt door het halve internet gebruikt, geen wonder dat er regelmatig bugs in gevonden worden.

BIND is gecode door ISC. Dat zegt al genoeg. Zoek even op: BIND, DHCPd en INN. Alledrie berucht vanwege de vele security flaws.

DJBDNS zal wellicht minder bugs bevatten, vanwege de aandacht die er aan correctheid van de code wordt besteed, maar zo zwart/wit als jij het stelt is het echt niet.

Zo zwart-wit is het helaas wel. Nog nooit bugs ontdekt in DJB's code. Ook niet in Qmail. Dit terwijl er zelfs een prijs op staat dat wanneer je een security hole ontdekt, je een leuke prijs kunt verdienen in de vorm van USD's. Voor Qmail en DJBDNS.

IPv6 support is brak in alle Linux versies.

Wat bedoel je hier in godesnaam mee? Beetje een lame tegenargument is het niet? Het hoort standaard te draaien met IPv6 in de 2.2.x kernel enabled -> deed het niet. Wil jij beweren dat in elke Linux kernel de IPv6 support brak is? Wat zijn je bronnen/bewijzen dan? Bij mij draait DJBDNS met bijv. icm. Linux 2.2.20. Dit waar BIND8 geen IPv6 support heeft en BIND9 zoals ik eerder zei niet werkte.

Zo werkt dat dus niet. DNS is van vitaal belang voor het gebruik van het internet, zomaar je 'eigen' 'betere' standaarden erdoor drukken is dus simpelweg slecht voor de stabiliteit van de DNS-hierarchie, het breekt dingen.

Met een enigzins anarchistische instelling is m.i. niks mis, mits deze rechtvaardig is. Als we ons altijd maar aan standaarden zouden houden zouden we in een isolement raken waarin weinig tot geen ontwikkeling zou zijn. Net zeg je nog dat niemand zaken standaard draait en nu ga er tegen in. En van zo'n vitaal zijn die standaarden niet. Zoals ik al zei, voor de meeste mensen biedt DJBDNS meer dan zat support. Wil je meer, dan kun je allerlei slechte implementaties erin patchen. Wat is nou je probleem?

Oh, lekker handig, je moet patchen als je meer functionaliteit wil dan 'een basis'. Ook eigenlijk geen wonder dat BIND meer regels code heeft dan he?

Lol. Als je DJBDNS helemaal vol zou patchen zou het nog kilometers kleiner zijn dan jouw bloated BIND. Datis echt totaal geen argument dat BIND zoveel code bevat. Bovendien, daar kies je voor. Staat duidelijk in de FAQs/Docu's ed. beschreven.

..maar weer niet zo veel gebruikt en wordt het door slechts een persoon ontwikkeld.

Veel gebruikt maakt iets goed? Geen argument maat. Windows is goed en Linux is slecht? Dacht 't niet! 2de wat je zegt is half waar: patches, docu's alsmede mailinglists helpen een boel mensen aan mee.

DJBDNS gebruikje wanneer je een goed gecode, vertrouwt en snel alternatief voor BIND wilt welke niet is gecode door ISC maar door een auteur die bekend staat om zijn goede coding skills.

offtopic:
hoeveel heeft ISC je betaald om dat te posten?

[ Voor 0% gewijzigd door Verwijderd op 04-09-2002 12:28 . Reden: stukje vergeten ]

[Creepy]

Verwijderd schreef op 04 september 2002 @ 12:24:
[...]

offtopic:
hoeveel heeft ISC je betaald om dat te posten?

offtopic:
Hoeveel hebben de coders van DJBDNS jou betaald om dit te posten??

Goed.. ik hoor hier een hoop voor's en tegen's van DJBDNS en Bind, maar is er iemand die een onafhankelijke review/vergelijking/test whatever heeft?? (Die van MaraDNS is niet echt onafhankelijk te noemen ).

En even over dat DJBDNS sneller is, daarna wordt ook nog gezegd dat DJBDNS alles uit een database haalt, en Bind alles in geheugen leest... wat zou sneller zijn, alles in het geheugen of alles uit een database?? Ik hoop dat DJBDNS ook z'n zone files cached als ze veel worden opgevraagd..

Hmm.. deamons standaard geinstalleerd laten draaien, tja.. het gebeurd.. maar leg me eens uit wat het voordeel is voor een "simpele" gebruiker om een DNS server te hebben draaien???? Een simpele caching server misschien, maar zelfs dat is niet echt nodig, aangezien de meeste ISP's hun DNS (en caching hiervan) toch echt wel goed voor elkaar hebben.

[Verwijderd]

BIND en standaarden:
http://cr.yp.to/djbdns/newtypes.html

Creepy schreef op 04 september 2002 @ 12:42:

offtopic:
Hoeveel hebben de coders van DJBDNS jou betaald om dit te posten??

offtopic:
minder dan die van ISC die rakkers hebben nl. ook meer te besteden

Goed.. ik hoor hier een hoop voor's en tegen's van DJBDNS en Bind, maar is er iemand die een onafhankelijke review/vergelijking/test whatever heeft?? (Die van MaraDNS is niet echt onafhankelijk te noemen ).

Precies. Kan je weleen mooie tutorial geven met veel(objectieve) informatie: http://online.securityfocus.com/infocus/1438
Check ook hoe kinderlijk eenvoudig het is een reverse DNS aan te maken. Of records in het algemeen.

Maar goed, geen onafhankelijke test.

En even over dat DJBDNS sneller is, daarna wordt ook nog gezegd dat DJBDNS alles uit een database haalt, en Bind alles in geheugen leest... wat zou sneller zijn, alles in het geheugen of alles uit een database?? Ik hoop dat DJBDNS ook z'n zone files cached als ze veel worden opgevraagd..

http://cr.yp.to/surveys/dnsptr2.txt
http://cr.yp.to/djbdns/faq/cachex.html#cachemotion

Hmm.. deamons standaard geinstalleerd laten draaien, tja.. het gebeurd.. maar leg me eens uit wat het voordeel is voor een "simpele" gebruiker om een DNS server te hebben draaien???? Een simpele caching server misschien, maar zelfs dat is niet echt nodig, aangezien de meeste ISP's hun DNS (en caching hiervan) toch echt wel goed voor elkaar hebben.

Precies. Dat kost onnodig veel werk en moeite. Op een beetje LAN met bijv. dualboot bakjes ed. is een DNS server vaakwel handig. Ook thuis LAN. Maar goed, de gemiddelde thuisgebruiker heeft het idd niet nodig.

[Verwijderd]

Verwijderd schreef op 04 september 2002 @ 12:24:
Ja. Maradns.org en de snelst geteste is Maradns. Goeie grap! Kom dan met een objectieve bron? Bovendien zitten we tegenwoordig bij DJBDNS 1.0.5 en BIND 9.2.2

Ik doe de blinde gok dat je dol bent op flamewars zoals deze.

Dat de auteur van deze dns-server de benchmark doet is inderdaad niet helemaal objectief (of helemaal niet). Hij zal het niet op zijn site zetten als hij een andere uitslag had gehad.
Maar het topic hier ging over bind of djbdns. In zijn benchmark is bind veel sneller dan djbdns. Hij is onafhankelijk van die 2 dns servers, dus daarin zal hij toch objectief zijn, mag ik aannemen.
Dit is niet helemaal waar trouwens, hij vindt djbdns enorm goed, alleen de licentie vindt hij zuigen.
Maar om terug te komen bij het begin.....waar zijn andere benchmarks te vinden tussen bind en djbdns, die deze benchmark nuanceert? Je kunt wel blaten, maar je laat niks zien.

Over features gesproken: While it is possible to increase this limit by changing the appropriate variable in the MaraDns.h file, the current limit is in line with the 512-byte limit that UDP DNS packets have; MaraDNS does not currently support DNS over TCP.. Bron. Vraag ik me toch af hoe hij AXFR'ed want dat gaat over TCP.

zoneserver doet dat ws.

[miniBSD]

Zo zwart-wit is het helaas wel. Nog nooit bugs ontdekt in DJB's code. Ook niet in Qmail. Dit terwijl er zelfs een prijs op staat dat wanneer je een security hole ontdekt, je een leuke prijs kunt verdienen in de vorm van USD's. Voor Qmail en DJBDNS.

http://www.insecure.org/sploits/qmail.DOS.long_commands.html
http://www.insecure.org/sploits/qmail.DOS.rcpt.html

[Verwijderd]

Verwijderd schreef op 04 september 2002 @ 13:14:
[...]

Ik doe de blinde gok dat je dol bent op discussies zoals deze.

Flamewar is het (nog) niet. Discussies zijn leuk. Weer eens wat anders dan alleen helpen.

Dat de auteur van deze dns-server de benchmark doet is inderdaad niet helemaal objectief (of helemaal niet). Hij zal het niet op zijn site zetten als hij een andere uitslag had gehad.
Maar het topic hier ging over bind of djbdns. In zijn benchmark is bind veel sneller dan djbdns. Hij is onafhankelijk van die 2 dns servers, dus daarin zal hij toch objectief zijn, mag ik aannemen.

Je spreekt jezelf tegen in dit stukje, zie datgene dat ik heb schuingedrukt. MaraDNS en DJBDNS zijn ook onderlinge concurrenten van elkaar. Meeste gebruikers draaien BIND. BIND gebruiker leest de test. Gebruiker ziet: BIND is best goed qua performance. DJBDNS is slechter. MaraDNS is beter. Wat kies ik dan? MaraDNS! Wanneer DJBDNS 2de was ging hij/zij veel sneller kijken wat dan verder het verschil tussen DJBDNSen MaraDNS is. Komt nog bij dat BIND een slecht imago heeft. Het imago van DJBDNS wordt er niet beter op wanneer het in een testresultaat slechter dan BIND uit de bus komt. En een nieuw DNS gebruiker kiest natuurlijk degene die verre uit het beste uit de bus komt.

Ik heb hierboven een testresultaat en een aantal bronnen + feiten gepost die de snelheid van DJBDNS bewijzen. Net zo objectief alsde jouwe (van DJB, hoewel feiten kun je niet ontkennen/negeren, statistieken wel)

Dit is niet helemaal waar trouwens, hij vindt djbdns enorm goed, alleen de licentie vindt hij zuigen.

Sorry, hier ga ik even niet op in. Geen zin om het over licenties te hebben. Ik vind het gezeur om zijn licentie ook overdreven.

Maar om terug te komen bij het begin.....waar zijn andere benchmarks te vinden tussen bind en djbdns, die deze benchmark nuanceert? Je kunt wel blaten, maar je laat niks zien.

Ja, ik zegtochook dat ik graageen objectieve bron wil? Ik heb toch zelf ook URL's gepost? Heb je die uberhaupt wel doorgelezen? Ik zou het nl. niet kunnen in dat beetje tijd.

[Verwijderd]

miniBSD schreef op 04 september 2002 @ 13:29:
[...]


http://www.insecure.org/sploits/qmail.DOS.long_commands.html
http://www.insecure.org/sploits/qmail.DOS.rcpt.html

Ah! http://cr.yp.to/qmail/venema.html

Venema ja, die ezel. Ook alweer een gekleurde mening: auteur van Postfix. Maar goed, hij staat er gekleurd op op bovenstaande site.

[Verwijderd]

Verwijderd schreef op 04 september 2002 @ 13:38:
Ja, ik zegtochook dat ik graageen objectieve bron wil? Ik heb toch zelf ook URL's gepost? Heb je die uberhaupt wel doorgelezen? Ik zou het nl. niet kunnen in dat beetje tijd.

Het was even zoeken naar de juiste doc, een directe link was handig geweest :-) :
http://cr.yp.to/djbdns/faq/cache.html#speed

code:

cr.yp.to, which among other things handles a million mailing-list deliveries in a
typical week, has been using dnscache since Christmas 1999. 
In a typical 4-week period, dnscache used 128 minutes of CPU time on
a Pentium II-350, handling 13.7 million queries and receiving 210 megabytes
of data to cache. 
I did a huge Internet survey through dnscache, handling nearly a million 
PTR queries for random IP addresses in 4.5 hours on a Pentium-133. 
In contrast, when I tried BIND instead of dnscache, BIND chewed up 
32 megabytes of memory and crashed after barely more than 100000 lookups.

Hmm, dat lijkt wat beter dan de maradns.org info.
Maar je hebt gelijk, er is niet echt een objectieve benchmark te vinden. Dus de conclusie is dat je niet kunt stellen dat er een dns server sneller is dan een andere.
Vreemd trouwens dat er geen benchmarks over te vinden zijn....dit is een onderwerp waar regelmatig over heen en weer geflamed wordt, blijkbaar zonder echte argumentatie dus.

/edit ugh, formatting

[miniBSD]

Zelf installeren en kijken of het naar behoren werkt is denk ik de beste manier.
Nog een opmerking over IPV6 in DJBDNS, dit is ook een onofficiele patch (http://www.fefe.de/dns). Het komt op mij echt niet over alsof deze applicatie nog onderhouden wordt.