Web Config Bind9

O Web Config Bind9 é uma ferramenta web desenvolvida para facilitar a configuração completa de servidores DNS que usam o software Bind9, que é o servidor DNS mais utilizado no mundo em sistemas Linux.

Antes dessa ferramenta, para configurar um servidor DNS era necessário acessar o terminal do servidor, editar arquivos de configuração manualmente, criar pastas, ajustar permissões e reiniciar serviços — tudo digitando comandos um por um. Com o Web Config Bind9, você faz tudo isso por uma interface visual no navegador, sem precisar ser um expert em terminal.

Antes de usar a ferramenta, é importante entender alguns termos que aparecem durante a configuração.

🌐 O que é DNS?

DNS significa Domain Name System — Sistema de Nomes de Domínio. Ele funciona como uma agenda telefônica da internet: quando você digita google.com no navegador, o DNS traduz esse nome para um endereço IP (como 142.250.79.46) que o computador entende.

📡 Servidor Recursivo

É o servidor que busca a resposta para você. Quando seu computador não sabe o IP de um site, ele pergunta ao servidor recursivo, que vai pesquisar na internet e te trazer a resposta.

🏛️ Servidor Autoritativo

É o servidor que tem a resposta definitiva para um domínio. Se você é dono do domínio meusite.com.br, seu servidor autoritativo é quem diz ao mundo qual é o IP desse site.

👑 Master e 🔄 Slave

O Master é o servidor principal, onde as configurações são editadas. O Slave é uma cópia automática do Master — se o Master cair, o Slave assume. É uma questão de redundância e segurança.

🔑 DNSSEC

É uma camada de segurança criptográfica para o DNS. Com DNSSEC ativado, as respostas DNS são assinadas digitalmente, evitando que hackers falsifiquem respostas e redirecionem usuários para sites falsos.

🔄 Zona Reversa

Enquanto o DNS normal traduz nome → IP, a zona reversa faz o contrário: IP → nome. É usada para verificar a origem de conexões e é exigida por muitos sistemas de e-mail.

Antes de usar o Web Config Bind9, certifique-se de ter em mãos:

Abra seu navegador e acesse:

https://www.freedomnetwork.net.br/web-config-bind9/

Você verá a interface principal com:

• Barra de conexão SSH — no topo, para conectar ao servidor
• Aba DNS MASTER — configurações do servidor principal
• Aba DNS SLAVE — configurações do servidor secundário
• Log de operações — na parte inferior, mostra tudo que acontece

SSH é o protocolo seguro usado para se comunicar com o servidor remotamente. Preencha os campos na barra do topo:

Após preencher, clique em 🔌 CONECTAR.

O indicador no canto mudará de 🔴 Offline para 🟢 Online quando a conexão for estabelecida.

A aba DNS MASTER contém 11 etapas que devem ser seguidas em ordem. Veja o que cada uma faz:

📦 Instalar Dependências

O primeiro botão instala o Bind9 e o Dnsutils no servidor. Clique em 📦 Instalar Dependências e aguarde a conclusão no log.

⚙️ Etapa 1 — Servidor Recursivo

Define quais servidores DNS o próprio servidor usará para resolver nomes. Preencha:

• Name Server IPv4: normalmente 127.0.0.1 (ele mesmo)
• Name Server IPv6: normalmente ::1 (ele mesmo em IPv6)

Clique em 💾 Salvar para gravar o arquivo /etc/resolv.conf.

🔧 Etapa 2 — Parâmetros de Recursão

Preencha os dados principais do seu servidor:

Use os botões:

• 📖 Ler do Servidor — carrega o arquivo atual do servidor para edição
• 💾 Gravar no Servidor — salva o conteúdo do editor no servidor
• 🔄 Restaurar — recria o template com base nos campos preenchidos

📁 Etapa 3 — Criar Pasta Autoritativo

Cria a estrutura de pastas onde ficará a zona do domínio. Os campos são preenchidos automaticamente ao digitar o domínio na Etapa 2. Clique em 📂 Criar Pastas.

📁 Etapa 4 — Criar Pasta para Reverso

Cria as pastas das zonas reversas IPv4 e IPv6. Gerado automaticamente com base no Prefixo IPv4. Clique em 1️⃣ Criar Pastas Reverso e depois em 3️⃣ Permissões e Restart.

📋 Etapa 5 — Editor da Zona Principal

Aqui você visualiza e edita o arquivo de zona do seu domínio — o arquivo que define todos os registros DNS (A, AAAA, MX, NS, TXT, etc.). Gerado automaticamente na Etapa 2.

👮 Etapa 6 — Permissões (chown)

Ajusta as permissões das pastas para que o Bind9 possa ler e escrever os arquivos. Clique em ⚠️ Corrigir Permissões.

📝 Etapa 7 — named.conf.local

Declara as zonas no arquivo de configuração do Bind9. Gerado automaticamente. Use 💾 Gravar no Servidor para salvar.

🔗 Etapa 8 — Symlink + Restart

Cria um atalho (symlink) da pasta de zonas e reinicia o Bind9. Clique em 🔗 Criar Atalho e depois em 🔄 Restart Bind9.

📊 Etapa 9 — Keytag e Digest (Registro.br)

Após ativar o DNSSEC, essa etapa busca as informações de DS Record (Keytag e Digest) necessárias para cadastrar no Registro.br e ativar o DNSSEC no seu domínio.

📝 Etapa 10 — Editor das Zonas Reversas

Edita os arquivos de zona reversa IPv4 e IPv6. Clique no botão com o caminho do arquivo para selecioná-lo — o template é gerado automaticamente com base na Etapa 5. Depois clique em 💾 Salvar Zona.

🔑 Etapa 11 — DNSSEC para Reverso

Prepara os diretórios de chaves DNSSEC para as zonas reversas. Selecione a aba do bloco de IPs, clique em 📂 Preparar Diretório, depois em ⚠️ Aplicar Permissão e por fim em 🔄 Restart Bind9.

A aba DNS SLAVE configura o servidor secundário que replica automaticamente as zonas do Master. Siga as 8 etapas em ordem.

⚙️ Etapa 1 — Servidor Recursivo (Slave)

Igual ao Master — define os servidores DNS que o Slave usará. Normalmente 127.0.0.1 e ::1.

🔧 Etapa 2 — Parâmetros de Recursão (Slave)

Preencha manualmente todos os campos:

📁 Etapa 3 — Criar Pasta Autoritativo (Slave)

Cria a pasta /var/cache/bind/slave-aut/seudominio. Clique em 📂 Criar Pastas.

📝 Etapa 4 — named.conf.local (zona aut)

Declara a zona autoritativa do Slave. Gerado automaticamente. Grave no servidor com 💾 Gravar no Servidor.

👮 Etapa 5 — Permissões + Symlink (slave-aut)

Aplica permissões, cria symlink e reinicia o Bind9. Tudo em um clique: ⚠️ Permissão + Symlink + Restart.

📁 Etapa 6 — Criar Pasta Reverso (Slave)

Cria a pasta /var/cache/bind/slave-rev. Clique em 📂 Criar Pasta Reverso.

📝 Etapa 7 — Zonas Reversas (named.conf.local)

Gerado automaticamente com base no Prefixo IPv4. Adicione ao arquivo com 💾 Adicionar ao named.conf.local.

🔗 Etapa 8 — Symlink Reverso + Verificação

Finaliza com permissões do reverso, symlink e verificação dos arquivos importados do Master.

Na parte inferior da página existe um painel de log com fundo preto e texto verde. Ele registra tudo que acontece na ferramenta em tempo real.

❌ "Não conectado ao servidor SSH"

Você tentou executar uma ação sem estar conectado. Clique em 🔌 CONECTAR primeiro.

❌ "Servidor retornou HTML ao invés de JSON"

O servidor da ferramenta caiu ou está inacessível. Verifique se o Gunicorn está rodando no servidor da ferramenta.

❌ "Falha ao conectar SSH"

Verifique: IP correto, porta 22 aberta, usuário e senha corretos, servidor ligado.

❌ "Nenhum arquivo selecionado"

Na Etapa 10, você precisa clicar em um dos botões de zona reversa antes de salvar.

❌ Bind9 não inicia após configuração

Provavelmente há um erro de sintaxe nos arquivos de configuração. No servidor, execute:

# Verificar configuração
named-checkconf
# Verificar zona específica
named-checkzone meudominio.com.br /var/cache/bind/master-aut/meudominio.com.br/meudominio.com.br.hosts

❌ Página abre com erro 503

O Gunicorn caiu. Reinicie o serviço:

systemctl restart web-config-bind9
systemctl status web-config-bind9

Após concluir todas as configurações DNS com a ferramenta, é altamente recomendado reforçar a segurança do servidor. As práticas abaixo reduzem drasticamente o risco de invasões e ataques.

1️⃣ Alterar a porta padrão do SSH

A porta 22 é a primeira que atacantes testam. Trocar para uma porta diferente reduz automaticamente a quantidade de tentativas de invasão.

# Editar o arquivo de configuração do SSH
nano /etc/ssh/sshd_config

# Localize a linha abaixo e troque 22 por outra porta (ex: 2222)
Port 2222

# Reiniciar o serviço SSH para aplicar
systemctl restart sshd

firewall-cmd --permanent --add-port=2222/tcp
firewall-cmd --reload

2️⃣ Desativar login direto como root via SSH

Ao invés de logar como root diretamente, crie um usuário comum, logue com ele e use sudo para executar comandos administrativos. Isso adiciona uma camada extra de proteção.

# Criar um usuário comum
adduser meuusuario

# Adicionar ao grupo sudo
usermod -aG sudo meuusuario

# Editar o sshd_config e desativar login root
nano /etc/ssh/sshd_config

# Localize e altere a linha:
PermitRootLogin no

# Reiniciar SSH
systemctl restart sshd

Depois do login com o usuário comum, para entrar em modo root:

# Elevar para root usando sudo
sudo -i
# ou
sudo su -

3️⃣ Instalar e configurar o Fail2Ban

O Fail2Ban monitora os logs do servidor e bloqueia automaticamente IPs que tentam fazer muitas tentativas de login incorretas — protegendo contra ataques de força bruta.

# Instalar o Fail2Ban
apt install fail2ban -y

# Criar arquivo de configuração local
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

# Editar as configurações
nano /etc/fail2ban/jail.local

Dentro do arquivo, configure a seção [sshd]:

[sshd]
enabled  = true
port     = 2222        ; use a porta que você configurou
maxretry = 5           ; bloqueia após 5 tentativas erradas
bantime  = 3600        ; bloqueia por 1 hora (em segundos)
findtime = 600         ; janela de tempo para contar tentativas

# Habilitar e iniciar o Fail2Ban
systemctl enable fail2ban
systemctl start fail2ban

# Verificar status e IPs bloqueados
fail2ban-client status sshd

Bind9

Software servidor DNS mais usado no mundo em sistemas Linux.

DNS

Domain Name System — sistema que traduz nomes de domínio em endereços IP.

DNSSEC

DNS Security Extensions — extensão de segurança que assina digitalmente as respostas DNS.

DS Record

Registro de Delegação de Assinatura — usado para ativar DNSSEC no Registro.br.

Gunicorn

Servidor WSGI Python que executa a aplicação Flask em produção.

IPv4

Endereço IP no formato de 4 números separados por ponto. Ex: 192.168.0.1

IPv6

Endereço IP no formato hexadecimal com 8 grupos. Ex: 2001:db8::1

KSK

Key Signing Key — chave criptográfica que assina outras chaves no DNSSEC.

named.conf.local

Arquivo de configuração do Bind9 onde as zonas são declaradas.

named.conf.options

Arquivo de configuração com as opções globais do Bind9 (recursão, ACLs, etc.).

Paramiko

Biblioteca Python para conexões SSH.

PTR Record

Registro DNS de ponteiro — usado na zona reversa para mapear IP → nome.

resolv.conf

Arquivo do sistema Linux que define quais servidores DNS o servidor usa.

SFTP

Protocolo seguro de transferência de arquivos via SSH — usado para ler e gravar arquivos no servidor.

SSH

Secure Shell — protocolo de comunicação segura com servidores remotos.

Symlink

Atalho (link simbólico) — arquivo que aponta para outro diretório.

TTL

Time To Live — tempo em segundos que um registro DNS fica em cache.

ZSK

Zone Signing Key — chave criptográfica que assina os registros da zona no DNSSEC.

Zona Reversa

Zona DNS que mapeia endereços IP de volta para nomes de domínio.