Configuración de PowerDNS con Poweradmin

Configuración

Después de instalar los componentes, es necesario realizar su configuración final, especialmente para Nginx, para que sirva correctamente a Poweradmin, y configurar TLS/HTTPS.

1. Configuración de Nginx para Poweradmin

Cree un nuevo archivo de configuración de Nginx para Poweradmin. Elimine la configuración predeterminada de Nginx si existe, o simplemente cree una nueva.

sudo nano /etc/nginx/sites-available/poweradmin.conf # Crea un nuevo archivo de configuración de Nginx

Pegue el siguiente contenido:

# /etc/nginx/sites-available/poweradmin.conf
server {
    listen 80;
    server_name your_poweradmin_domain.com SU_DIRECCIÓN_IP_VPS; # Reemplace con su dominio o IP
    root /var/www/html;
    index index.php index.html index.htm;

    location / {
        try_files $uri $uri/ /index.php?$query_string;
    }

    location ~ \.php$ {
        include snippets/fastcgi-php.conf;
        fastcgi_pass unix:/run/php/php8.3-fpm.sock; # Asegúrese de que esto coincida con su versión de PHP-FPM
        fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
        include fastcgi_params;
    }

    location ~ /\.ht {
        deny all;
    }
}

Cree un enlace simbólico a este archivo en sites-enabled y verifique la configuración de Nginx:

sudo ln -s /etc/nginx/sites-available/poweradmin.conf /etc/nginx/sites-enabled/ # Crea un enlace simbólico
sudo nginx -t # Comprueba la sintaxis de la configuración de Nginx

Si la prueba es exitosa, reinicie Nginx:

sudo systemctl restart nginx # Reinicia Nginx

Ahora podrá acceder a Poweradmin a través de la dirección IP de su VPS o por el nombre de dominio, si ya lo ha configurado (por ejemplo, http://poweradmin.yourdomain.com).

2. Configuración de TLS/HTTPS a través de Certbot (Let's Encrypt)

Es crucial proteger la interfaz web de Poweradmin con HTTPS. Usaremos Certbot para obtener certificados SSL/TLS gratuitos de Let's Encrypt.

sudo apt install certbot python3-certbot-nginx -y # Instala Certbot y el plugin para Nginx

Ejecute Certbot. Detectará automáticamente su dominio (especificado en server_name de Nginx) y configurará Nginx.

sudo certbot --nginx -d your_poweradmin_domain.com # Obtiene e instala el certificado para su dominio

Siga las instrucciones de Certbot: ingrese su dirección de correo electrónico, acepte los términos. Certbot le ofrecerá redirigir el tráfico HTTP a HTTPS, lo cual es recomendable.

Verificación de la renovación automática de certificados:

sudo certbot renew --dry-run # Comprueba la posibilidad de renovar certificados sin una renovación real

Si todo es exitoso, su Poweradmin ahora está disponible a través de HTTPS.

3. Verificación del funcionamiento de PowerDNS

Después de todas las configuraciones, nos aseguraremos de que PowerDNS funcione correctamente y responda a las solicitudes.

sudo systemctl status pdns # Asegúrese de que PowerDNS esté en ejecución

Utilice la utilidad dig para verificar las consultas DNS. Primero, agregue una zona de prueba a través de Poweradmin. Por ejemplo, cree una zona test.com con un registro A para www.test.com, apuntando a la dirección IP 192.0.2.1.

dig @SU_DIRECCIÓN_IP_VPS www.test.com A # Envía una consulta DNS a su servidor PowerDNS

En la respuesta, debería ver la dirección IP 192.0.2.1. Si PowerDNS responde, significa que está funcionando correctamente.

Verifique que Poweradmin sea accesible a través de HTTPS:

curl -v https://your_poweradmin_domain.com # Comprueba la disponibilidad de Poweradmin a través de HTTPS y muestra información del certificado

Debería ver una conexión exitosa y los detalles del certificado SSL.

4. Configuración del secreto para Poweradmin

En el archivo config.inc.php de Poweradmin, hay una variable $session_key. Se utiliza para cifrar sesiones. Genere una cadena aleatoria y colóquela allí. Nunca deje el valor predeterminado.

head /dev/urandom | tr -dc A-Za-z0-9_ | head -c 32 ; echo # Genera una cadena aleatoria de 32 caracteres

Edite config.inc.php:

sudo nano /var/www/html/config.inc.php

E inserte la cadena generada:

// config.inc.php (fragmento)
$session_key = 'SU_CADENA_ALEATORIA_DE_32_CARACTERES';

Copias de seguridad y mantenimiento

Las copias de seguridad regulares y el mantenimiento oportuno son críticos para cualquier servidor de producción, incluido DNS. La pérdida de registros DNS puede provocar la inaccesibilidad de todos sus servicios.

Qué respaldar

1. Base de datos de PowerDNS (MariaDB): Este es el componente más importante, que contiene todas sus zonas de dominio y registros.
2. Archivos de configuración de PowerDNS: /etc/powerdns/pdns.conf y cualquier otra configuración personalizada.
3. Archivos de configuración de Nginx: /etc/nginx/sites-available/poweradmin.conf, /etc/nginx/nginx.conf.
4. Archivos de configuración de Poweradmin: /var/www/html/config.inc.php.
5. Certificados Let's Encrypt: Aunque pueden ser reemitidos, mantener una copia de seguridad acelerará la recuperación. Se almacenan en /etc/letsencrypt/.

Script simple de copia de seguridad automática

Crearemos un script simple para la copia de seguridad diaria de la base de datos y los archivos de configuración clave. Usaremos mysqldump para la base de datos y tar para los archivos. Para el almacenamiento, se puede utilizar un servicio externo compatible con S3.

sudo mkdir -p /opt/backup/pdns # Creamos el directorio para las copias de seguridad
sudo nano /opt/backup/pdns/backup_pdns.sh # Creamos el script de copia de seguridad

Contenido de /opt/backup/pdns/backup_pdns.sh:

#!/bin/bash

# Configuración de la base de datos
DB_USER="pdns_user"
DB_PASS="YOUR_STRONG_PASSWORD" # Use una variable de entorno o un archivo .my.cnf para producción
DB_NAME="powerdns"

# Directorio para las copias de seguridad
BACKUP_DIR="/opt/backup/pdns"
DATE=$(date +%Y%m%d%H%M%S)

# Creación del volcado de la base de datos
echo "Dumping MariaDB database..."
mysqldump -u "$DB_USER" -p"$DB_PASS" "$DB_NAME" > "$BACKUP_DIR/powerdns_db_$DATE.sql"
if [ $? -eq 0 ]; then
    echo "Database dump created successfully: $BACKUP_DIR/powerdns_db_$DATE.sql"
else
    echo "Error creating database dump."
    exit 1
fi

# Archivando archivos de configuración
echo "Archiving configuration files..."
tar -czvf "$BACKUP_DIR/pdns_configs_$DATE.tar.gz" \
    /etc/powerdns/pdns.conf \
    /etc/nginx/sites-available/poweradmin.conf \
    /etc/nginx/nginx.conf \
    /var/www/html/config.inc.php \
    /etc/letsencrypt/live/your_poweradmin_domain.com/ # Especifique su dominio
if [ $? -eq 0 ]; then
    echo "Configuration files archived successfully: $BACKUP_DIR/pdns_configs_$DATE.tar.gz"
else
    echo "Error archiving configuration files."
    exit 1
fi

# Eliminación de copias de seguridad antiguas (guardamos 7 días)
echo "Cleaning up old backups..."
find "$BACKUP_DIR" -type f -name "*.sql" -mtime +7 -delete
find "$BACKUP_DIR" -type f -name "*.tar.gz" -mtime +7 -delete
echo "Backup process completed."

Reemplace YOUR_STRONG_PASSWORD y your_poweradmin_domain.com con los valores actuales. Establezca los permisos de ejecución:

sudo chmod +x /opt/backup/pdns/backup_pdns.sh # Hace que el script sea ejecutable

Agregue el script a cron para su ejecución diaria (por ejemplo, a las 3 de la mañana):

sudo crontab -e # Abre crontab para editar

Agregue la siguiente línea al final del archivo:

0 3 * * * /opt/backup/pdns/backup_pdns.sh >> /var/log/pdns_backup.log 2>&1

Esto ejecutará el script todos los días a las 03:00 y registrará la salida en un archivo de log.

Dónde almacenar

¡Nunca almacene las copias de seguridad en el mismo servidor! Si el servidor falla, perderá tanto los datos como las copias de seguridad. Lugares de almacenamiento recomendados:

• Almacenamiento de objetos externo compatible con S3: AWS S3, DigitalOcean Spaces, Backblaze B2, Yandex Object Storage. Esta es una solución fiable y escalable. Para la carga automática, puede usar utilidades como s3cmd o rclone.
• VPS separado: Un VPS económico en otra ubicación, utilizado exclusivamente para almacenar copias de seguridad. Se puede sincronizar mediante rsync o scp.
• NAS/servidor local: Si tiene su propia infraestructura.

Actualizaciones: rolling vs maintenance window

La actualización del software es una parte importante del mantenimiento. Para un servidor DNS, que debe estar lo más disponible posible, esto es especialmente relevante.

• Rolling updates (actualizaciones continuas): Si tiene dos (o más) servidores DNS (NS primario y secundario) configurados en diferentes ubicaciones, puede actualizarlos uno por uno. Actualice un servidor, asegúrese de que funciona correctamente y luego actualice el siguiente. Esto garantiza una disponibilidad continua.
• Maintenance window (ventana de mantenimiento): Si solo tiene un servidor DNS, o desea minimizar los riesgos, planifique las actualizaciones para períodos de baja carga (por ejemplo, a altas horas de la noche). Asegúrese de advertir a los usuarios sobre una posible interrupción breve del servicio.

Siempre haga una copia de seguridad antes de actualizar y pruebe las actualizaciones en un servidor de prueba, si es posible. Para actualizar el sistema y los paquetes, use:

sudo apt update && sudo apt upgrade -y # Actualización de todos los paquetes

Después de grandes actualizaciones del kernel o de las bibliotecas del sistema, puede ser necesario reiniciar el servidor:

sudo reboot # Reinicio del servidor

Troubleshooting + FAQ

Esta sección recopila problemas comunes y respuestas a preguntas frecuentes que pueden surgir al configurar y operar PowerDNS con Poweradmin.

PowerDNS no se inicia o no responde a las solicitudes. ¿Qué hacer?

Primero, verifique el estado del servicio PowerDNS: sudo systemctl status pdns. Si no se inicia o muestra errores, revise los logs: sudo journalctl -u pdns --since "5 minutes ago". Las causas frecuentes son: configuración incorrecta en /etc/powerdns/pdns.conf (errores en gmysql-host, gmysql-user, gmysql-password), problemas de conexión a MariaDB o conflictos de puertos. Asegúrese de que MariaDB esté en ejecución y accesible, y que el usuario pdns_user tenga la contraseña y los privilegios correctos para la base de datos powerdns. Verifique local-address, si está especificado, que sea la dirección IP de su servidor.

Poweradmin no carga o muestra un error 500/404.

Verifique la configuración de Nginx: sudo nginx -t y reinícielo: sudo systemctl restart nginx. Asegúrese de que Nginx esté escuchando en el puerto 80/443 y que el directorio root (/var/www/html) y fastcgi_pass para PHP-FPM (unix:/run/php/php8.3-fpm.sock) estén configurados correctamente. Revise los logs de Nginx (/var/log/nginx/error.log) y PHP-FPM (/var/log/php8.3-fpm.log). Los errores 500 a menudo indican problemas con PHP, por ejemplo, configuraciones incorrectas de la base de datos en /var/www/html/config.inc.php o módulos PHP faltantes (php8.3-mysql).

Los registros DNS agregados a través de Poweradmin no se resuelven.

Asegúrese de haber configurado correctamente los registros NS para su dominio en su registrador de nombres de dominio, apuntando a la dirección IP de su VPS. Después de cambiar los registros NS, puede tardar hasta 48 horas para que los cambios se propaguen completamente por Internet (DNS propagation). Verifique que la zona se haya agregado en Poweradmin y que contenga los registros correctos (SOA, NS, A, AAAA, etc.). Use dig @SU_DIRECCIÓN_IP_VPS example.com para verificar directamente su servidor DNS.

¿Qué configuración mínima de VPS es adecuada para PowerDNS?

Para una pequeña cantidad de dominios y una carga moderada, un VPS mínimo con 1 vCPU, 1 GB de RAM y 20-30 GB de SSD será suficiente. PowerDNS es muy eficiente. Sin embargo, para una mayor estabilidad, un margen de rendimiento y la posibilidad de ejecutar otros servicios pequeños en el mismo VPS, se recomienda 2 vCPU, 2 GB de RAM y 50 GB de SSD. Un disco SSD es clave para un buen rendimiento de la base de datos.

¿Qué elegir: VPS o dedicado para esta tarea?

Para la mayoría de los usuarios, incluidos desarrolladores, fundadores individuales y pequeñas empresas, un VPS es la opción óptima debido a su economía, flexibilidad y rendimiento suficiente. Los servidores dedicados solo se justifican con una carga muy alta (cientos de miles de solicitudes por segundo), requisitos estrictos de aislamiento de recursos o la necesidad de utilizar hardware específico. Comience con un VPS, y si la carga crece a un nivel crítico, siempre podrá migrar a un dedicado.

¿Qué otras medidas de seguridad se pueden tomar?

Además de las claves SSH, Fail2ban y UFW, considere los siguientes pasos: actualizaciones regulares del sistema, uso de contraseñas complejas y únicas, restricción del acceso a MariaDB solo desde localhost, auditoría regular de logs, uso de autenticación de dos factores para Poweradmin (si está disponible a través de módulos de terceros o soluciones alternativas), y configuración de un segundo servidor DNS (NS secundario) en otra ubicación para la tolerancia a fallos y la protección contra ataques DDoS.

¿Cómo funciona el número de serie SOA y por qué es importante?

El registro SOA (Start of Authority) contiene información importante sobre la zona, incluido el número de serie (serial). El número de serie es un número que aumenta con cada cambio de zona. Los servidores DNS secundarios utilizan este número para determinar si necesitan solicitar actualizaciones de zona (AXFR/IXFR) al servidor primario. Si el número de serie en el servidor primario es mayor que en el secundario, el servidor secundario inicia la transferencia de zona. Poweradmin aumenta automáticamente el número de serie con cada cambio de registro, asegurando una sincronización correcta.

Conclusiones y próximos pasos

¡Felicidades! Ha configurado y lanzado con éxito su propio servidor DNS autoritativo con PowerDNS y la interfaz web Poweradmin en su VPS. Ahora tiene control total sobre sus nombres de dominio, puede realizar cambios rápidamente y garantizar una resolución DNS fiable para sus proyectos. Esta es una herramienta poderosa que le brinda independencia y flexibilidad.

Aquí hay algunos próximos pasos que puede tomar para seguir desarrollando su infraestructura DNS:

1. Configuración de un servidor DNS secundario: Para una máxima tolerancia a fallos y rendimiento, implemente un segundo servidor PowerDNS en otro VPS (preferiblemente en una ubicación geográfica diferente y con otro proveedor) y configúrelo como servidor NS secundario (slave).
2. Monitoreo: Implemente un sistema de monitoreo (por ejemplo, Prometheus, Zabbix, Grafana) para rastrear el estado de PowerDNS, MariaDB, Nginx y la carga general del servidor.
3. Optimización del rendimiento: Para cargas muy altas, explore las capacidades de caché de PowerDNS, la optimización de consultas de MariaDB y el ajuste fino de Nginx/PHP-FPM.