B2-11 DNS : BIND 9 et DNS Windows

1. Le DNS : l'annuaire du réseau

Les machines se parlent avec des adresses IP, les humains préfèrent des noms. Le DNS est l'annuaire qui fait la correspondance : on lui donne un nom, il rend une adresse. Sans lui, plus de site web, plus de messagerie, et surtout, dans une entreprise, plus d'ouverture de session sur le domaine Active Directory, car les postes y trouvent leurs contrôleurs de domaine par le DNS.

2. L'arborescence : racine, TLD et domaines

Les noms du DNS forment un arbre à l'envers. Au sommet, la racine (notée simplement un point). Dessous, les TLD (.fr, .com…), puis les domaines des organisations, puis les machines. Un nom se lit de droite à gauche : le plus général est à droite.

3. La résolution pas à pas

Quand tu tapes www.example.com, ton poste ne connaît pas la réponse. Il la demande à son serveur DNS (celui reçu par le DHCP). Si ce serveur ne sait pas non plus, il parcourt l'arbre de la racine jusqu'au serveur qui détient le nom. Suis le trajet complet, étape par étape.

3.1 Qui fait quoi dans la chaîne

• Le client (résolveur minimal)Le poste Windows ou Linux. Il garde un petit cache local et interroge le serveur DNS indiqué dans sa configuration IP. Il ne parcourt jamais l'arbre lui-même.
• Le résolveur récursifLe serveur DNS de l'entreprise (SRV-01) ou celui du fournisseur d'accès. Il fait le travail à la place des clients et mémorise les réponses.
• Les serveurs racine et TLDIls ne connaissent pas les machines, seulement qui gère le niveau suivant. Ils répondent par des renvois.
• Le serveur faisant autoritéCelui qui détient la zone du domaine. Seul lui donne la réponse officielle, avec son TTL.

4. Le cache et le TTL

Refaire tout ce trajet à chaque clic serait très lent. Chaque réponse porte donc un TTL : le nombre de secondes pendant lequel on peut la garder en cache. Tant que le TTL n'est pas écoulé, le résolveur répond de mémoire.

Il existe plusieurs caches empilés : celui du navigateur, celui du système du poste, celui du résolveur (SRV-01) et ceux des résolveurs plus loin sur Internet. Une modification de zone doit attendre que le TTL de l'ancienne valeur soit écoulé dans chacun d'eux. Les réponses négatives (« ce nom n'existe pas ») sont aussi gardées en cache, pendant la durée indiquée dans le dernier champ de l'enregistrement SOA.

5. Autorité, récursif, redirecteur

Un serveur DNS peut jouer trois rôles différents. Dans une entreprise, le même serveur cumule souvent les trois, comme SRV-01 chez Brocéliande.

6. Zones directes et zones inverses

La zone inverse est facultative pour que le web fonctionne, mais elle est utile en entreprise : les journaux affichent des noms lisibles, certains services (messagerie, SSH, Kerberos) vérifient la correspondance, et nslookup 172.16.50.20 ne donne un nom que si le PTR existe. Il faut une zone inverse par réseau (un /24 par VLAN dans notre plan).

7. Les enregistrements d'une zone

Une zone est une liste d'enregistrements. Chacun associe un nom à une valeur, selon son type. Voici la zone de Brocéliande en un coup d'œil ; les flèches montrent les enregistrements qui en désignent un autre.

7.1 Les champs de chaque type

• SOA — début d'autoritéUn seul par zone, en premier. Il contient le serveur principal (ns1.broceliande.lan.), l'adresse du responsable (admin.broceliande.lan., le premier point remplace le @), le numéro de série, puis quatre durées : refresh, retry, expire et le TTL négatif.
• NS — serveur de nomsDésigne un serveur qui fait autorité pour la zone. Sa valeur est un nom, jamais une adresse, et ce nom doit avoir un enregistrement A. Une zone en a au moins deux en production.
• A — adresse IPv4srv-01 IN A 172.16.50.10. C'est l'enregistrement le plus courant : un nom pour une adresse IPv4.
• AAAA — adresse IPv6Même rôle que A, pour une adresse IPv6 (quatre fois plus de chiffres hexadécimaux). Un nom peut avoir un A et un AAAA.
• CNAME — aliaswww IN CNAME intranet. Le nom www devient un second nom de la machine intranet : si l'adresse change, un seul A à modifier. Un CNAME ne peut pas coexister avec un autre enregistrement du même nom, ni être placé à la racine de la zone (@).
• MX — serveur de messagerie@ IN MX 10 mail.broceliande.lan. : une priorité (le plus petit chiffre est essayé en premier) et le nom du serveur qui reçoit le courrier du domaine. La cible est un nom, qui doit avoir un A, pas un CNAME.
• PTR — nom d'une adresse10 IN PTR srv-01.broceliande.lan. dans la zone inverse. Le nom du PTR est le dernier octet de l'adresse, la valeur est le nom complet.
• TXT — texteTexte libre entre guillemets. Sert à la lutte contre l'usurpation de messagerie (SPF, DKIM, DMARC) et à prouver qu'on possède un domaine.
• SRV — service_ldap._tcp IN SRV 0 100 389 srv-01.broceliande.lan. : le nom indique le service et le protocole, la valeur donne priorité, poids, port et serveur. L'Active Directory s'en sert pour que les postes trouvent les contrôleurs de domaine.

8. BIND 9 sur Debian 13

BIND 9 (named) est le serveur DNS de référence sur Linux. Il fait autorité pour tes zones, peut être récursif et redirecteur, et se configure avec des fichiers texte. Chez Brocéliande, la zone broceliande.lan de production est celle de l'AD sur SRV-01 (partie 9) ; les exemples BIND ci-dessous montrent ce que ferait un serveur Debian, ici SRV-LINUX (172.16.50.11), pour une entreprise sans AD ou pour le labo.

8.1 Les fichiers de BIND

8.2 Les options : écoute, récursion, redirecteurs

options {
    directory "/var/cache/bind";
    listen-on { 127.0.0.1; 172.16.50.11; };   // interfaces d'écoute
    listen-on-v6 { none; };
    allow-query { 172.16.0.0/16; localhost; };       // qui peut interroger
    recursion yes;
    allow-recursion { 172.16.0.0/16; localhost; };   // qui a droit à la récursion
    forwarders { 9.9.9.9; 1.1.1.1; };                // redirecteurs pour Internet
    dnssec-validation auto;
};

8.3 Déclarer les zones

zone "broceliande.lan" {
    type primary;                               // ce serveur détient la zone
    file "/etc/bind/zones/db.broceliande.lan";
    allow-transfer { 172.16.50.12; };           // seul le serveur secondaire peut la copier
    also-notify { 172.16.50.12; };
};

zone "50.16.172.in-addr.arpa" {                 // zone inverse du 172.16.50.0/24
    type primary;
    file "/etc/bind/zones/db.172.16.50";
};

8.4 Les fichiers de zone

$TTL 3600                                   ; TTL par défaut des enregistrements
@   IN  SOA ns1.broceliande.lan. admin.broceliande.lan. (
            2026101801   ; serial : AAAAMMJJnn
            3600         ; refresh : le secondaire revérifie toutes les heures
            900          ; retry   : nouvel essai après 15 min si échec
            604800       ; expire  : le secondaire abandonne après 7 jours
            300 )        ; TTL négatif : durée du cache « n'existe pas »
    IN  NS  ns1.broceliande.lan.
    IN  MX  10 mail.broceliande.lan.
    IN  TXT "v=spf1 mx -all"

ns1        IN  A      172.16.50.11
srv-01     IN  A      172.16.50.10
srv-linux  IN  A      172.16.50.11
intranet   IN  A      172.16.50.20
glpi       IN  A      172.16.50.35
mail       IN  A      172.16.50.13
sw1        IN  A      172.16.99.11
www        IN  CNAME  intranet               ; nom court : complété avec la zone
_ldap._tcp IN  SRV    0 100 389 srv-01.broceliande.lan.   ; point final : nom complet

$TTL 3600
@   IN  SOA ns1.broceliande.lan. admin.broceliande.lan. ( 2026101801 3600 900 604800 300 )
    IN  NS  ns1.broceliande.lan.
10  IN  PTR srv-01.broceliande.lan.
11  IN  PTR srv-linux.broceliande.lan.
20  IN  PTR intranet.broceliande.lan.
35  IN  PTR glpi.broceliande.lan.

• @Le nom de la zone elle-même (ici broceliande.lan.). Une ligne qui commence par des espaces reprend le nom de la ligne précédente.
• INLa classe Internet : la seule utilisée en pratique.
• Le numéro de sérieAu format AAAAMMJJnn (année, mois, jour, numéro de modification du jour). Il doit augmenter à chaque modification : les serveurs secondaires ne recopient la zone que si le numéro de série du primaire est plus grand que le leur.
• Les noms inversesDans la zone inverse, le nom 10 est complété avec 50.16.172.in-addr.arpa. : c'est l'adresse 172.16.50.10.

8.5 Contrôler, recharger, tester

8.6 Un serveur secondaire

Une zone importante a toujours deux serveurs : si le primaire tombe, le secondaire continue de répondre. Le secondaire ne se modifie jamais à la main : il copie la zone du primaire (transfert de zone, port 53 en TCP) quand le numéro de série augmente.

zone "broceliande.lan" {
    type secondary;
    file "/var/cache/bind/db.broceliande.lan";   // copie écrite par BIND lui-même
    primaries { 172.16.50.11; };
};

9. DNS sur Windows Server 2025

Sur un serveur Windows, le rôle Serveur DNS s'installe en même temps que l'Active Directory (l'assistant de promotion le propose). Chez Brocéliande, SRV-01 est contrôleur de domaine et serveur DNS : c'est le montage normal d'une PME. Le DNS n'est pas un luxe de l'AD, c'en est la fondation : sans lui, un poste ne trouve pas son contrôleur de domaine et ne peut pas ouvrir de session.

9.1 Types de zones et mises à jour dynamiques

• Mises à jour dynamiques : AucuneSeul l'administrateur crée les enregistrements. Sûr mais lourd pour des postes en DHCP.
• Non sécurisées et sécuriséesN'importe quelle machine peut écrire ou écraser un enregistrement. À éviter.
• Sécurisées uniquement (recommandé)Seule une machine authentifiée du domaine modifie son propre enregistrement. Cette option n'existe que pour une zone intégrée à l'AD. Le DHCP peut aussi inscrire les noms à la place des clients.

9.2 Créer et gérer une zone en PowerShell

La console graphique (Gestionnaire DNS, outil dnsmgmt.msc) fait la même chose : clic droit sur la zone, Nouvel hôte (A ou AAAA), Nouvel alias (CNAME), Nouvel échangeur de messagerie (MX). Coche Créer un pointeur d'enregistrement PTR associé pour alimenter la zone inverse.

9.3 Redirecteurs et cache

Pour joindre Internet, SRV-01 a besoin de redirecteurs : sans eux il utilise les serveurs racine, ce qui marche mais dépend d'un accès direct. En entreprise, on les règle sur le résolveur du fournisseur ou sur un résolveur public. Une redirection conditionnelle envoie les questions d'un domaine précis à un serveur précis (par exemple vers un BIND qui gère une sous-zone).

10. Les outils pour interroger le DNS

Pour savoir si un problème vient du DNS, interroge-le directement plutôt que de passer par un navigateur. Chaque système a ses outils ; tu dois savoir en utiliser un par système et lire leur réponse.

10.1 Lire la réponse de dig

;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 41872
;; flags: qr aa rd; QUERY: 1, ANSWER: 1, AUTHORITY: 1, ADDITIONAL: 2

;; QUESTION SECTION:
;intranet.broceliande.lan.      IN      A

;; ANSWER SECTION:
intranet.broceliande.lan. 3600  IN      A       172.16.50.20

;; Query time: 1 msec
;; SERVER: 172.16.50.11#53(172.16.50.11) (UDP)

• statusLe résultat : NOERROR (réponse trouvée), NXDOMAIN (le nom n'existe pas), SERVFAIL (le serveur n'a pas pu répondre : zone invalide, autorité injoignable) ou REFUSED (le serveur refuse de répondre à ce client).
• flags : aaAuthoritative Answer : la réponse vient d'un serveur qui fait autorité. Absent quand elle sort d'un cache.
• ANSWER SECTIONNom, TTL restant (3600), classe IN, type A, valeur. Si tu relances la commande sur un résolveur, le TTL diminue.
• SERVERLe serveur qui a réellement répondu. Vérifie-le : c'est souvent la clé du dépannage (ce n'était pas le serveur auquel tu pensais).

11. Split DNS : un nom, deux réponses

Brocéliande publie un site vitrine, www.broceliande-logistique.example (nom fictif). Un salarié du siège et un visiteur sur Internet tapent le même nom, mais ne doivent pas obtenir la même adresse. C'est le split DNS (ou split-horizon) : deux DNS, ou deux « vues », répondent différemment selon l'origine de la question.

• Pourquoi ?Un salarié n'a aucune raison de sortir sur Internet pour revenir joindre un serveur situé dans les murs. Et les adresses privées (172.16.x.x) n'ont pas à être connues de l'extérieur.
• Comment (Windows)On crée sur le DNS interne une zone du même nom que celle d'Internet, avec les adresses privées. Les noms qui n'y figurent pas doivent y être recopiés.
• Comment (BIND)Soit deux serveurs, soit deux vues (view) dans le même named : la vue « interne » est choisie selon l'adresse du client (match-clients). Toutes les zones doivent alors se trouver dans une vue.
• AttentionLe DNS interne ne doit jamais être joignable depuis Internet : il connaît l'organisation de ton réseau. Les serveurs publics sont exposés en DMZ (fiche B3-09), sans récursion.

12. Dépanner la résolution de noms

12.1 La démarche en cinq questions

12.2 Pannes fréquentes

12.3 Entraîne-toi : les tickets du support

Tu es de permanence au support de Brocéliande Logistique. Six tickets arrivent les uns après les autres : lis le message, observe le relevé, puis choisis la cause.

PS> ipconfig /all
   Adresse IPv4. . . . . . . . . : 172.16.20.131
   Passerelle par défaut . . . . : 172.16.20.254
   Serveurs DNS. . . . . . . . . : 8.8.8.8
PS> nslookup -type=SRV _ldap._tcp.dc._msdcs.broceliande.lan
*** Non-existent domain

PC collègue> nslookup intranet.broceliande.lan
Address:  172.16.50.20
PC-DIR> ipconfig /displaydns
    Nom d'enregistrement . . . : intranet.broceliande.lan
    Durée de vie . . . . . . . : 83211
    Enregistrement A . . . . . : 172.16.50.200

$ dig @172.16.50.11 broceliande.lan SOA +short
ns1.broceliande.lan. admin.broceliande.lan. 2026101801 3600 900 604800 300
$ dig @172.16.50.12 broceliande.lan SOA +short
ns1.broceliande.lan. admin.broceliande.lan. 2026101801 3600 900 604800 300
$ dig @172.16.50.11 glpi.broceliande.lan +short
172.16.50.35
$ dig @172.16.50.12 glpi.broceliande.lan | grep status
;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN

# extrait de db.broceliande.lan
www     IN  CNAME  intranet.broceliande.lan
$ dig www.broceliande.lan +short
intranet.broceliande.lan.broceliande.lan.

PS> ping srv-01
La requête Ping n'a pas pu trouver l'hôte srv-01.
PS> ping srv-01.broceliande.lan
Réponse de 172.16.50.10 : octets=32 temps<1ms
PS> ipconfig /all | findstr /i "suffixe"
   Suffixe DNS propre à la connexion : (vide)

PS> nslookup glpi.broceliande.lan
Address:  172.16.50.35
PS> nslookup 172.16.50.35
*** srv-01.broceliande.lan ne trouve pas 172.16.50.35 : Non-existent domain

13. À l'examen et en entreprise

14. L'essentiel

1. Le DNS transforme un nom en adresse IP (et inversement), sur le port 53.
2. Un nom se lit de droite à gauche : racine, TLD, domaine, hôte ; le FQDN finit par un point.
3. Le poste fait une requête récursive ; le résolveur suit des renvois itératifs : racine, TLD, autorité.
4. Une réponse est gardée en cache pendant son TTL ; un changement n'est visible qu'après expiration.
5. Trois rôles : serveur faisant autorité (détient la zone), récursif (résout et met en cache), redirecteur (transmet).
6. Une zone directe (A, AAAA, CNAME) et une zone inverse par réseau (PTR, 50.16.172.in-addr.arpa).
7. Enregistrements : SOA et NS (la zone), A/AAAA, CNAME (alias), MX, PTR, TXT, SRV (services de l'AD).
8. BIND : named.conf.options, named.conf.local, fichiers de zone ; série +1, named-checkconf, named-checkzone, rndc reload.
9. Windows : zone intégrée à l'AD, mises à jour dynamiques sécurisées, redirecteurs ; les postes du domaine n'utilisent que le DNS de l'AD.
10. Dépannage : IP d'abord, puis DNS du poste, puis le serveur interrogé directement (nslookup, dig), puis le cache.

Les commandes clés

Tout cela tient sur une page : utilise le bouton Mémo à imprimer en haut de la fiche.

15. Quiz noté

16. Exercices : à toi de répondre

Écris ta réponse sous chaque énoncé et envoie-la à ton professeur. Quand il l'a validée, le corrigé s'affiche à la place du cadenas ; s'il te la renvoie « à revoir », lis son commentaire et corrige.

@         IN  SOA ns1.broceliande.lan. admin.broceliande.lan. ( 2026101805 3600 900 604800 300 )
          IN  NS  ns1.broceliande.lan.
          IN  MX  10 mail.broceliande.lan.
ns1       IN  A      172.16.50.11
mail      IN  A      172.16.50.13
intranet  IN  A      172.16.50.20
portail   IN  CNAME  intranet
compta    IN  CNAME  intranet.broceliande.lan

17. Fil rouge : les noms de Brocéliande Logistique