Bind DNS

[parel77]

Всем привет!!

Настраиваю DNS форвординг:

ifconfig

Код: Выделить всё

eth0      Link encap:Ethernet  HWaddr 6C:F0:49:A0:D1:7E
          inet addr:192.168.1.36  Bcast:192.168.1.255  Mask:255.255.255.0
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:11307 errors:0 dropped:0 overruns:0 frame:0
          TX packets:5811 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:4049902 (3.8 Mb)  TX bytes:820562 (801.3 Kb)
          Interrupt:26 Base address:0xa000

eth1      Link encap:Ethernet  HWaddr 00:02:44:92:70:DA
          inet addr:192.168.0.2  Bcast:192.168.0.255  Mask:255.255.255.0
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:154403 errors:0 dropped:0 overruns:0 frame:0
          TX packets:67786 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:13433890 (12.8 Mb)  TX bytes:20956745 (19.9 Mb)
          Interrupt:20 Base address:0x4000

lo        Link encap:Local Loopback
          inet addr:127.0.0.1  Mask:255.0.0.0
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:788 errors:0 dropped:0 overruns:0 frame:0
          TX packets:788 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0
          RX bytes:86318 (84.2 Kb)  TX bytes:86318 (84.2 Kb)

Named.conf

Код: Выделить всё

# Copyright © 2001-2004 SuSE Linux AG, Nuernberg, Germany.
# All rights reserved.
#
# Author: Frank Bodammer, Lars Mueller <lmuelle@suse.de>
#
# /etc/named.conf
#
# This is a sample configuration file for the name server BIND 9.  It works as
# a caching only name server without modification.
#
# A sample configuration for setting up your own domain can be found in
# /usr/share/doc/packages/bind/sample-config.
#
# A description of all available options can be found in
# /usr/share/doc/packages/bind/misc/options.

options {

    # The directory statement defines the name server's working directory

    directory "/var/lib/named";

    # Write dump and statistics file to the log subdirectory.  The
    # pathenames are relative to the chroot jail.

    dump-file "/var/log/named_dump.db";
    statistics-file "/var/log/named.stats";

    # The forwarders record contains a list of servers to which queries
    # should be forwarded.  Enable this line and modify the IP address to
    # your provider's name server.  Up to three servers may be listed.

    forwarders {81.89.80.8; 212.57.174.170; 212.57.145.253; 89.237.17.2; 195.54.2.1;  };

    # Enable the next entry to prefer usage of the name server declared in
    # the forwarders section.

    forward only;

    # The listen-on record contains a list of local network interfaces to
    # listen on.  Optionally the port can be specified.  Default is to
    # listen on all interfaces found on your system.  The default port is
    # 53.

    listen-on  { 127.0.0.1;192.168.0.2; };

    # The listen-on-v6 record enables or disables listening on IPv6
    # interfaces.  Allowed values are 'any' and 'none' or a list of
    # addresses.

    listen-on-v6 { any; };

    # The next three statements may be needed if a firewall stands between
    # the local server and the internet.

    #query-source address * port 53;
    #transfer-source * port 53;
    #notify-source * port 53;

    # The allow-query record contains a list of networks or IP addresses
    # to accept and deny queries from. The default is to allow queries
    # from all hosts.

    allow-query { 127.0.0.1; };
    allow-recursion { localnets; };

    # If notify is set to yes (default), notify messages are sent to other
    # name servers when the the zone data is changed.  Instead of setting
    # a global 'notify' statement in the 'options' section, a separate
    # 'notify' can be added to each zone definition.

    notify no;
};

# To configure named's logging remove the leading '#' characters of the
# following examples.
#logging {
#    # Log queries to a file limited to a size of 100 MB.
#    channel query_logging {
#        file "/var/log/named_querylog"
#            versions 3 size 100M;
#        print-time yes;            // timestamp log entries
#    };
#    category queries {
#        query_logging;
#    };
#
#    # Or log this kind alternatively to syslog.
#    channel syslog_queries {
#        syslog user;
#        severity info;
#    };
#    category queries { syslog_queries; };
#
#    # Log general name server errors to syslog.
#    channel syslog_errors {
#        syslog user;
#        severity error;
#    };
#    category default { syslog_errors;  };
#
#    # Don't log lame server messages.
#    category lame-servers { null; };
#};

# The following zone definitions don't need any modification.  The first one
# is the definition of the root name servers.  The second one defines
# localhost while the third defines the reverse lookup for localhost.

zone "." in {
    type hint;
    file "root.hint";
};

zone "localhost" in {
    type master;
    file "localhost.zone";
};

zone "0.0.127.in-addr.arpa" in {
    type master;
    file "127.0.0.zone";
};

# Include the meta include file generated by createNamedConfInclude.  This
# includes all files as configured in NAMED_CONF_INCLUDE_FILES from
# /etc/sysconfig/named

include "/etc/named.conf.include";

# You can insert further zone records for your own domains below or create
# single files in /etc/named.d/ and add the file names to
# NAMED_CONF_INCLUDE_FILES.
# See /usr/share/doc/packages/bind/README.SUSE for more details.

iptables

Код: Выделить всё

Suse-linux:/etc # iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:domain
ACCEPT     udp  --  anywhere             anywhere            udp dpt:domain

Chain FORWARD (policy DROP)
target     prot opt source               destination
ACCEPT     all  --  anywhere             anywhere            ctstate RELATED,ESTABLISHED
ACCEPT     udp  --  anywhere             anywhere            udp dpt:domain

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination
ACCEPT     udp  --  anywhere             anywhere            udp dpt:domain
ACCEPT     udp  --  anywhere             anywhere            udp dpt:domain
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:domain

с клиента при nslookup

не резолвит

с сервера

Код: Выделить всё

nslookup ya.ru
Server:         192.168.0.2
Address:        192.168.0.2#53

Non-authoritative answer:
Name:   ya.ru
Address: 87.250.250.3
Name:   ya.ru
Address: 87.250.251.3
Name:   ya.ru
Address: 93.158.134.3
Name:   ya.ru
Address: 213.180.204.3
Name:   ya.ru
Address: 77.88.21.3

в чем может быть проблема ?

[oper777]

Код: Выделить всё

allow-query { 127.0.0.1; };

Разрешены запросы только из локалхоста.

[parel77]

Код: Выделить всё

allow-query { 127.0.0.1; };

Разрешены запросы только из локалхоста.

закооментил... не помогло

[arkhnchul]

добавить надо туда, откуда можно спрашивать. а не комментировать.

[parel77]

Код: Выделить всё

allow-query { 127.0.0.1; };

Разрешены запросы только из локалхоста.

закооментил... не помогло

добавил llow-query { 192.168.0.0/24; };

эффекта нет((

[arkhnchul]

а в логах что?

[parel77]

Вроде запущен

Sep 15 16:24:05 Suse-linux named[5717]: starting BIND 9.5.0-P2 -t /var/lib/named -u named x
xSep 15 16:24:05 Suse-linux named[5717]: found 2 CPUs, using 2 worker threads x
xSep 15 16:24:05 Suse-linux named[5717]: loading configuration from '/etc/named.conf' x
xSep 15 16:24:05 Suse-linux named[5717]: the working directory is not writable x
xSep 15 16:24:05 Suse-linux named[5717]: no IPv6 interfaces found x
xSep 15 16:24:05 Suse-linux named[5717]: listening on IPv4 interface lo, 127.0.0.1#53 x
xSep 15 16:24:05 Suse-linux named[5717]: listening on IPv4 interface eth1, 192.168.0.2#53 x
xSep 15 16:24:05 Suse-linux named[5717]: default max-cache-size (33554432) applies x
xSep 15 16:24:05 Suse-linux named[5717]: default max-cache-size (33554432) applies: view _bind x
xSep 15 16:24:05 Suse-linux named[5717]: command channel listening on 127.0.0.1#953 x
xSep 15 16:24:05 Suse-linux named[5717]: zone 0.0.127.in-addr.arpa/IN: loaded serial 42 x
xSep 15 16:24:05 Suse-linux named[5717]: zone localhost/IN: loaded serial 42 x
xSep 15 16:24:05 Suse-linux named[5717]: running

[Clansman]

что прописано в resolv.conf? сайты грузит, если отключить bind?

[parel77]

что прописано в resolv.conf? сайты грузит, если отключить bind?

в resolv.conf , одна строчка всего

nameserver 192.168.0.2

если отключить bind, squid сайты не открывает

[lastpriot]

Код: Выделить всё

allow-recursion { localnets; };

а где acl localnets ?

Код: Выделить всё

include "/etc/named.conf.include";

какие там опции?

Код: Выделить всё

zone "." in {
type hint;
file "root.hint";
};

если используете forwaders корневые лучше закоментировать

[parel77]

Код: Выделить всё

allow-recursion { localnets; };

а где acl localnets ?

Код: Выделить всё

include "/etc/named.conf.include";

какие там опции?

Код: Выделить всё

zone "." in {
type hint;
file "root.hint";
};

если используете forwaders корневые лучше закоментировать

acl localnets - не понял? просто так и надо добавить этот acl? в конфиг ?

zone закомментил

"/etc/named.conf.include" пусто

[lastpriot]

про acl. как пример (вынести перед секцией options в named.conf)

Код: Выделить всё

acl "trusted"    {
                        192.168.0.1/24;
                        127.0.0.1;
                        };

в options

Код: Выделить всё

allow-query { "trusted"; };

и опцию allow-recursion { localnets; }; лучше убрать

линки по Вашей теме
http://www.faqs.org/docs/securing/chap21sec164.html
http://www.zytrax.com/books/dns/ch6/

[parel77]

с утра попробовал перезапустить named

и в логах...

too many timeouts resolving 'ya.ru/A' (in '.'?): disabling EDNS

[parel77]

В общем так

hosts.conf

#
# hosts This file describes a number of hostname-to-address
# mappings for the TCP/IP subsystem. It is mostly
# used at boot time, when no name servers are running.
# On small systems, this file can be used instead of a
# "named" name server.
# Syntax:
#
# IP-Address Full-Qualified-Hostname Short-Hostname
#

127.0.0.1 localhost

# special IPv6 addresses
::1 localhost ipv6-localhost ipv6-loopback

fe00::0 ipv6-localnet

ff00::0 ipv6-mcastprefix
ff02::1 ipv6-allnodes
ff02::2 ipv6-allrouters
ff02::3 ipv6-allhosts
192.168.0.2 Suse-linux.site Suse-linux
nameserver 127.0.0.1
nameserver 192.168.0.2

resolv.conf

### /etc/resolv.conf file autogenerated by netconfig!
#
# Before you change this file manually, consider to define the
# static DNS configuration using the following variables in the
# /etc/sysconfig/network/config file:
# NETCONFIG_DNS_STATIC_SEARCHLIST
# NETCONFIG_DNS_STATIC_SERVERS
# NETCONFIG_DNS_FORWARDER
# or disable DNS configuration updates via netconfig by setting:
# NETCONFIG_DNS_POLICY=''
#
# See also the netconfig(8) manual page and other documentation.
#
# Note: Manual change of this file disables netconfig too, but
# may get lost when this file contains comments or empty lines
# only, the netconfig settings are same with settings in this
# file and in case of a "netconfig update -f" call.
#
### Please remove (at least) this line when you modify the file!
nameserver 192.168.0.2
nameserver 127.0.0.1

named.conf

acl "trusted" {
192.168.0.2;
127.0.0.1;
};

options {


directory "/var/lib/named";


dump-file "/var/log/named_dump.db";
statistics-file "/var/log/named.stats";


forwarders {81.89.80.8; 212.57.174.170; 212.57.145.253; 89.237.17.2; 195.54.2.1; };


forward only;


listen-on { 127.0.0.1;192.168.0.2; };


#listen-on-v6 { any; };


#query-source address * port 53;
#transfer-source * port 53;
#notify-source * port 53;


allow-query { "trusted"; };



notify no;
};



zone "." in {
type hint;
file "root.hint";
};

zone "localhost" in {
type master;
file "localhost.zone";
};

zone "0.0.127.in-addr.arpa" in {
type master;
file "127.0.0.zone";
};


include "/etc/named.conf.include";

в логах

use-linux named[30337]: too many timeouts resolving 'ya.ru/A' (in '.'?): disabling EDNS x
xSep 16 12:35:24 Suse-linux named[30337]: too many timeouts resolving 'ya.ru/A' (in '.'?): disabling EDNS x
xSep 16 12:35:26 Suse-linux named[30337]: too many timeouts resolving 'ya.ru/A' (in '.'?): disabling EDNS x
xSep 16 12:35:29 Suse-linux named[30337]: too many timeouts resolving 'ya.ru/A' (in '.'?): disabling EDNS x
xSep 16 12:35:31 Suse-linux named[30337]: too many timeouts resolving 'ya.ru/A' (in '.'?): disabling EDNS x
xSep 16 12:35:34 Suse-linux named[30337]: too many timeouts resolving 'ya.ru/A' (in '.'?): disabling EDNS x
xSep 16 12:35:36 Suse-linux named[30337]: too many timeouts resolving 'ya.ru/A' (in '.'?): disabling EDNS x
xSep 16 12:35:38 Suse-linux named[30337]: too many timeouts resolving 'ya.ru/A' (in '.'?): disabling EDNS x
xSep 16 12:35:41 Suse-linux named[30337]: too many timeouts resolving 'ya.ru/A' (in '.'?): disabling EDNS x
xSep 16 12:36:09 Suse-linux named[30337]: too many timeouts resolving '55.0.168.192.in-addr.arpa/PTR' (in '.'?): disabling EDNS x
xSep 16 12:36:12 Suse-linux named[30337]: too many timeouts resolving '55.0.168.192.in-addr.arpa/PTR' (in '.'?): disabling EDNS x
xSep 16 12:36:15 Suse-linux named[30337]: too many timeouts resolving '55.0.168.192.in-addr.arpa/PTR' (in '.'?): disabling EDNS x
xSep 16 12:36:19 Suse-linux named[30337]: too many timeouts resolving '55.0.168.192.in-addr.arpa/PTR' (in '.'?): disabling EDNS

на сервере nslookup не проходит

[sash-kan]

сделайте запрос непосредственно к вашему bind-у:
$ dig @127.0.0.1 mumu.com
?
$ dig @192.168.0.2 quaqua.net
?

forwarders {81.89.80.8; 212.57.174.170; 212.57.145.253; 89.237.17.2; 195.54.2.1; };

а зачем вам столько forwarder-ов? вы уверены, что все они работают?
$ for f in 81.89.80.8 212.57.174.170 212.57.145.253 89.237.17.2 195.54.2.1; do echo -e "=====\n$f"; dig @$f gavgav.org; done
?

[parel77]

сделайте запрос непосредственно к вашему bind-у:
$ dig @127.0.0.1 mumu.com

forwarders {81.89.80.8; 212.57.174.170; 212.57.145.253; 89.237.17.2; 195.54.2.1; };

а зачем вам столько forwarder-ов? вы уверены, что все они работают?
$ for f in 81.89.80.8 212.57.174.170 212.57.145.253 89.237.17.2 195.54.2.1; do echo -e "=====\n$f"; dig @$f gavgav.org; done
?

форварды поменяю...

но

Suse-linux:~ # dig @127.0.0.1 mumu.com

; <<>> DiG 9.5.0-P2 <<>> @127.0.0.1 mumu.com
; (1 server found)
;; global options: printcmd
;; connection timed out; no servers could be reached

почему запрос не идет ?

[sash-kan]

почему запрос не идет ?

например потому, что запрашиваемый forwarder дал такой ответ. вы их проверили предложенным однострочником?

[parel77]

почему запрос не идет ?

например потому, что запрашиваемый forwarder дал такой ответ. вы их проверили предложенным однострочником?

все решилось, редактированием resolv.conf

теперь при опросе DNS

C:\Documents and Settings\Admin>nslookup ya.ru
*** Can't find server name for address 192.168.0.2: Non-existent domain
*** Default servers are not available
Server: UnKnown
Address: 192.168.0.2

Non-authoritative answer:
Name: ya.ru
Addresses: 77.88.21.3, 87.250.250.3, 87.250.251.3, 93.158.134.3
213.180.204.3

как я понял... чтоб эта ошибка исчезла надо настроить обратную зону ?
как это сделать?

[sash-kan]

как я понял... чтоб эта ошибка исчезла надо настроить обратную зону ?

понятия не имею, что там нужно делать с windows, чтоб windows-программа nslookup сказала «existent domain». и надо ли вообще что-то делать.

[Clansman]

а у меня вот так

ira@desktop:~$ dig @127.0.0.1 rambler.ru

; <<>> DiG 9.7.0-P1 <<>> @127.0.0.1 rambler.ru
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 31027
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 7, ADDITIONAL: 0

;; QUESTION SECTION:
;rambler.ru. IN A

;; ANSWER SECTION:
rambler.ru. 3270 IN A 81.19.70.3

;; AUTHORITY SECTION:
ru. 172682 IN NS ns2.ripn.net.
ru. 172682 IN NS ns2.nic.fr.
ru. 172682 IN NS ns9.ripn.net.
ru. 172682 IN NS f.dns.ripn.net.
ru. 172682 IN NS e.dns.ripn.net.
ru. 172682 IN NS ns.ripn.net.
ru. 172682 IN NS ns5.msk-ix.net.

;; Query time: 164 msec
;; SERVER: 127.0.0.1#53(127.0.0.1)
;; WHEN: Thu Sep 16 17:57:56 2010
;; MSG SIZE rcvd: 190

ira@desktop:~$ nslookup rambler.ru
Server: 127.0.0.1
Address: 127.0.0.1#53

Non-authoritative answer:
Name: rambler.ru
Address: 81.19.70.3

значит нормально работает? и опция nxdomain включена, для чего она:?

[parel77]

как я понял... чтоб эта ошибка исчезла надо настроить обратную зону ?

понятия не имею, что там нужно делать с windows, чтоб windows-программа nslookup сказала «existent domain». и надо ли вообще что-то делать.

Ответ :

прописать обратную зону для 192.168.0.0/24

[Voler]

Привет всем.
Да бы не плодить тему спрошу тут.

Как сменить порты с которых named будет отправлять запросы с 1024 -65535, на нужное мне?
Щас влогах вот что!

Sep 29 19:38:24 gateway named-sdb[3464]: using default UDP/IPv4 port range: [1024, 65535]
Sep 29 19:38:24 gateway named-sdb[3464]: using default UDP/IPv6 port range: [1024, 65535]

В остальном все работает нормуль.

[oper777]

query-source address * port * ;

тут видимо вписать свои порты

http://www.bind9.net/manual/bind/9.3.2/Bv9....html#id2557804

[Voler]

query-source address * port * ;
тут видимо вписать свои порты
http://www.bind9.net/manual/bind/9.3.2/Bv9....html#id2557804

Вы сами читали?
Я прочел там, это avoid-v4-udp-ports { range 40000 65535; };
Но к моему сожелению это не то.
Так как, он говорит

Oct 2 20:25:31 localhost named[14693]: using default UDP/IPv4 port range: [1024, 65535]
Oct 2 20:25:31 localhost named[14693]: using default UDP/IPv6 port range: [1024, 65535]

[lastpriot]

avoid-v4-udp-ports and avoid-v6-udp-ports specify a list of IPv4 and IPv6 UDP ports that will not be used as system assigned source ports for UDP sockets

то есть, указываете список портов не используемых системой для UDP-сокетов

[oper777]

query-source address * port * ;
тут видимо вписать свои порты
http://www.bind9.net/manual/bind/9.3.2/Bv9....html#id2557804

Вы сами читали?

В query-source действительно можно вписать только один исходящий порт. Но это работает, я проверил.
Для диапазона эта штука не подходит, да..

[parel77]

у меня вопрос, в моем syslog появляется следующее:

Код: Выделить всё

Oct  4 12:38:45 Suse-linux named[15309]: too many timeouts resolving 'mail.radar.imgsmail.ru/A' (in '.'?): disabling EDNS
Oct  4 12:38:45 Suse-linux named[15309]: too many timeouts resolving 'sdmc.devicevm.com/A' (in 'devicevm.com'?): disabling EDNS
Oct  4 12:38:48 Suse-linux named[15309]: too many timeouts resolving 'inf.mail.ru/A' (in 'mail.ru'?): disabling EDNS
Oct  4 12:38:48 Suse-linux named[15309]: too many timeouts resolving 'counter.rambler.ru/A' (in 'rambler.ru'?): disabling EDNS
Oct  4 12:38:58 Suse-linux named[15309]: too many timeouts resolving 'rate.sputnik.mail.ru/A' (in 'mail.ru'?): disabling EDNS
Oct  4 12:43:24 Suse-linux named[15309]: too many timeouts resolving 'download858.avast.com/A' (in 'avast.com'?): disabling EDNS
Oct  4 12:45:09 Suse-linux named[15309]: client 192.168.0.26#59814: RFC 1918 response from Internet for 55.0.168.192.in-addr.arpa
Oct  4 12:47:49 Suse-linux named[15309]: client 192.168.0.2#38513: RFC 1918 response from Internet for 55.0.168.192.in-addr.arpa
Oct  4 12:50:36 Suse-linux named[15309]: too many timeouts resolving 'mail.radar.imgsmail.ru/A' (in 'mail.radar.imgsmail.ru'?): disabling EDNS
Oct  4 12:50:37 Suse-linux named[15309]: too many timeouts resolving 'rs.mail.ru/A' (in 'mail.ru'?): disabling EDNS

Что это?

[oper777]

http://www.google.com/search?q=too+many+timeouts+resolving

[parel77]

http://www.google.com/search?q=too+many+timeouts+resolving

понял:

Код: Выделить всё

logging {
category lame-servers {null; };
category edns-disabled { null; };
};

а вообще что такое EDNS и Lame server ?