Решено: BIND настройка

Обсуждение настройки и работы сервисов, резервирования, сетевых настроек и вопросов безопасности ОС.

Модераторы: SLEDopit, Модераторы разделов

Аватара пользователя
DarkDigger
Сообщения: 20
ОС: Debian 8, Arch

Решено: BIND настройка

Сообщение DarkDigger »

Машина centos 6.2 , iptables, selinux временно выключены
Установил bind, и стал редактировать /etc/named.conf

Код: Выделить всё

acl "lan" { 192.168.0.0/24;  127.0.0.1; };

options {
        directory       "/var/named";
           listen-on { lan; };        // пусть слушает только нужные интерфейсы
           allow-query { lan; };      // разрешить запросы только из локальной сети
           allow-recursion { lan; };  // рекурсивные запросы тоже только из локальной
           allow-transfer { none; };  // трансфер зон нам не нужен
           version "dns:)";         // не отображать версию DNS сервера при ответах
           auth-nxdomain no;    # для совместимости RFC1035
           listen-on-v6 { none; };    //IPv6 нам не нужен
};

logging {                                                                                                              //логи
         channel default_debug { file "data/named.run"; severity dynamic; };
         channel "misc" {
                    file "/var/named/logmisc/misc.log" versions 4 size 4m;
                    print-time yes;
                    print-severity yes;
                    print-category yes;
          };

          channel "query" {
                    file "/var/named/logquery/query.log" versions 4 size 4m;
                    print-time yes;
                    print-severity no;
                    print-category no;
          };
                                    category default { "misc"; };
                                    category queries { "query"; };
};


В ( options ) я специально НЕ добавил запись
forwarders { 8.8.8.8; }; //пересылать на 8.8.8.8

Код: Выделить всё

zone "." {
          type hint;
          file "db.root";
};

корень тоже НЕ вписан

тоесть сам bind не знает ни про одну зону, и не знает кому переслать запросы
В браузере на другом компе, в котором днс стоит ай пи этого сервера я спокойно лазию в инете! Как??? (если сделать на сервере service named stop адрес на компе резолвится перестают, и в инете не полазиешь )

В папке /var/named только логи!

логи запросов видны:

Код: Выделить всё

29-Mar-2012 07:45:03.913 client 192.168.0.8#60081: query: 6.0.168.192.in-addr.arpa IN PTR + (192.168.0.6)
29-Mar-2012 07:45:05.915 client 192.168.0.8#60082: query: mail.ru IN A + (192.168.0.6)
29-Mar-2012 07:45:05.955 client 192.168.0.8#60083: query: mail.ru IN AAAA + (192.168.0.6)
29-Mar-2012 07:45:09.277 client 192.168.0.8#60084: query: 6.0.168.192.in-addr.arpa IN PTR + (192.168.0.6)
29-Mar-2012 07:45:09.345 client 192.168.0.8#60085: query: mail.ru IN A + (192.168.0.6)
29-Mar-2012 07:45:09.349 client 192.168.0.8#60086: query: mail.ru IN AAAA + (192.168.0.6)
29-Mar-2012 07:46:55.821 client 127.0.0.1#43621: query: ya.ru IN A + (127.0.0.1)
29-Mar-2012 07:46:55.864 client 127.0.0.1#58141: query: 3.250.250.87.in-addr.arpa IN PTR + (127.0.0.1)
29-Mar-2012 07:47:12.919 client 127.0.0.1#47081: query: sdf.loc IN A + (127.0.0.1)
29-Mar-2012 07:47:17.522 client 127.0.0.1#58871: query: ya.ru IN A + (127.0.0.1)
29-Mar-2012 07:47:17.588 client 127.0.0.1#36846: query: 3.134.158.93.in-addr.arpa IN PTR + (127.0.0.1)
29-Mar-2012 07:47:28.043 client 192.168.0.8#56645: query: my.istel.ru IN A + (192.168.0.6)
29-Mar-2012 07:47:28.414 client 192.168.0.8#62235: query: sitecheck2.opera.com IN A + (192.168.0.6)
29-Mar-2012 07:47:29.063 client 192.168.0.8#54342: query: crl.usertrust.com IN A + (192.168.0.6)
29-Mar-2012 07:47:29.767 client 192.168.0.8#57751: query: ocsp.comodoca.com IN A + (192.168.0.6)
29-Mar-2012 07:47:57.417 client 192.168.0.8#52317: query: www.tns-counter.ru IN A + (192.168.0.6)
29-Mar-2012 07:47:57.418 client 192.168.0.8#56798: query: yandex.st IN A + (192.168.0.6)
29-Mar-2012 07:47:57.573 client 192.168.0.8#60903: query: mc.yandex.ru IN A + (192.168.0.6)


Я не понимаю... Может подскажите?
Спасибо сказали:
Аватара пользователя
sash-kan
Администратор
Сообщения: 13939
Статус: oel ngati kameie
ОС: GNU

Re: Решено: BIND настройка

Сообщение sash-kan »

DarkDigger писал(а):
29.03.2012 17:12
В ( options ) я специально НЕ добавил запись
forwarders { 8.8.8.8; }; //пересылать на 8.8.8.8
а зачем она нужна?
bind и сам прекрасно знает адреса корневых серверов, и гугловские костыли ему не нужны·
Писать безграмотно - значит посягать на время людей, к которым мы адресуемся, а потому совершенно недопустимо в правильно организованном обществе. © Щерба Л. В., 1957
при сбоях форума см.блог
Спасибо сказали:
Аватара пользователя
DarkDigger
Сообщения: 20
ОС: Debian 8, Arch

Re: Решено: BIND настройка

Сообщение DarkDigger »

sash-kan писал(а):
29.03.2012 20:02
DarkDigger писал(а):
29.03.2012 17:12
В ( options ) я специально НЕ добавил запись
forwarders { 8.8.8.8; }; //пересылать на 8.8.8.8
а зачем она нужна?
bind и сам прекрасно знает адреса корневых серверов, и гугловские костыли ему не нужны·


В конфиге были записи стандартные, и для корня тоже
zone "." {
type hint;
file "db.root";
};
я эти записи УДАЛИЛ, а ему плевать что ль?

Вот кста кусок лога /var/log/messages

Код: Выделить всё

Mar 29 16:08:44 dns named[1891]: automatic empty zone: 0.IN-ADDR.ARPA
Mar 29 16:08:44 dns named[1891]: automatic empty zone: 127.IN-ADDR.ARPA
Mar 29 16:08:44 dns named[1891]: automatic empty zone: 254.169.IN-ADDR.ARPA
Mar 29 16:08:44 dns named[1891]: automatic empty zone: 2.0.192.IN-ADDR.ARPA
Mar 29 16:08:44 dns named[1891]: automatic empty zone: 100.51.198.IN-ADDR.ARPA
Mar 29 16:08:44 dns named[1891]: automatic empty zone: 113.0.203.IN-ADDR.ARPA
Mar 29 16:08:44 dns named[1891]: automatic empty zone: 255.255.255.255.IN-ADDR.ARPA
Mar 29 16:08:44 dns named[1891]: automatic empty zone: 0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.IP6.ARPA
Mar 29 16:08:44 dns named[1891]: automatic empty zone: 1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.IP6.ARPA
Mar 29 16:08:44 dns named[1891]: automatic empty zone: D.F.IP6.ARPA
Mar 29 16:08:44 dns named[1891]: automatic empty zone: 8.E.F.IP6.ARPA
Mar 29 16:08:44 dns named[1891]: automatic empty zone: 9.E.F.IP6.ARPA
Mar 29 16:08:44 dns named[1891]: automatic empty zone: A.E.F.IP6.ARPA
Mar 29 16:08:44 dns named[1891]: automatic empty zone: B.E.F.IP6.ARPA
Mar 29 16:08:44 dns named[1891]: automatic empty zone: 8.B.D.0.1.0.0.2.IP6.ARPA


Что это значит, автоматически что-то создаёт?

Можно ли настроить BIND для работы ТОЛЬКО в локальной сети, без выхода в инет, чтобы на запрос ya.ru (например) он не долбился в корень, потом далее по цепочке, а сразу говорил: "НЕ ЗНАЮ, иди в пень"???
Спасибо сказали:
Аватара пользователя
sash-kan
Администратор
Сообщения: 13939
Статус: oel ngati kameie
ОС: GNU

Re: Решено: BIND настройка

Сообщение sash-kan »

DarkDigger писал(а):
29.03.2012 20:58
а сразу говорил: "НЕ ЗНАЮ
запретите рекурсивные запросы·
Писать безграмотно - значит посягать на время людей, к которым мы адресуемся, а потому совершенно недопустимо в правильно организованном обществе. © Щерба Л. В., 1957
при сбоях форума см.блог
Спасибо сказали:
Аватара пользователя
McSim
Сообщения: 419
Статус: Экспериментатор
ОС: заGNU/Linux Debian

Re: Решено: BIND настройка

Сообщение McSim »

Вообще, посмотреть бы лог бинда при старте.
А так, как вариант:

Код: Выделить всё

iptables -A OUTPUT -p UDP --dport 53 -o внешний_интерфейс -j DROP
Спасибо сказали:
Аватара пользователя
sgfault
Сообщения: 586
Статус: -

Re: Решено: BIND настройка

Сообщение sgfault »

DarkDigger писал(а):
29.03.2012 17:12
В ( options ) я специально НЕ добавил запись
forwarders { 8.8.8.8; }; //пересылать на 8.8.8.8

Код: Выделить всё

zone "." {
          type hint;
          file "db.root";
};

корень тоже НЕ вписан

тоесть сам bind не знает ни про одну зону, и не знает кому переслать запросы
В браузере на другом компе, в котором днс стоит ай пи этого сервера я спокойно лазию в инете! Как??? (если сделать на сервере service named stop адрес на компе резолвится перестают, и в инете не полазиешь )
<..>
Я не понимаю... Может подскажите?

BIND 9.5 Administrator Reference Manual/6/zone statement
The initial set of root name servers is
specified using a "hint zone". When the server starts
up, it uses
the root hints to find a root name server and get the
most recent
list of root name servers. If no hint zone is
specified for class
IN, the server uses a compiled-in default set of root
servers hints.
Classes other than IN have no built-in defaults hints.

"compiled-in default set of root servers hints" - это не отвечает на ваш вопрос?
Спасибо сказали:
Аватара пользователя
DarkDigger
Сообщения: 20
ОС: Debian 8, Arch

Re: Решено: BIND настройка

Сообщение DarkDigger »

"compiled-in default set of root servers hints" - это не отвечает на ваш вопрос?


Прошу, можете сказать по русски, в инглише я не силён. То есть если в конфигах не казано про точку (корень) то он её сам сделает дефолтную? И запретить это нет возможности, да?
Спасибо сказали:
Аватара пользователя
sgfault
Сообщения: 586
Статус: -

Re: Решено: BIND настройка

Сообщение sgfault »

DarkDigger писал(а):
29.03.2012 22:45
"compiled-in default set of root servers hints" - это не отвечает на ваш вопрос?


Прошу, можете сказать по русски, в инглише я не силён. То есть если в конфигах не казано про точку (корень) то он её сам сделает дефолтную? И запретить это нет возможности, да?

Там написано, что в самом коде программы (bind) прописаны адреса корневых серверов, которые будут использоваться, если не указана зона hint (для класса IN).
И отключить это, видимо, нельзя.
Спасибо сказали:
neol
Сообщения: 600
ОС: Debian Stable

Re: Решено: BIND настройка

Сообщение neol »

sgfault писал(а):
29.03.2012 23:30
Там написано, что в самом коде программы (bind) прописаны адреса корневых серверов, которые будут использоваться, если не указана зона hint (для класса IN).
И отключить это, видимо, нельзя.

О корневых серверах он будет знать в любом случае, но если убрать allow-recursion, то отвечать будет только на запросы тех зон, которые сам поддерживает. Вот оно ТС и надо, похоже.
Спасибо сказали:
Аватара пользователя
DarkDigger
Сообщения: 20
ОС: Debian 8, Arch

Re: Решено: BIND настройка

Сообщение DarkDigger »

neol писал(а):
30.03.2012 06:47
sgfault писал(а):
29.03.2012 23:30
Там написано, что в самом коде программы (bind) прописаны адреса корневых серверов, которые будут использоваться, если не указана зона hint (для класса IN).
И отключить это, видимо, нельзя.

О корневых серверах он будет знать в любом случае, но если убрать allow-recursion, то отвечать будет только на запросы тех зон, которые сам поддерживает. Вот оно ТС и надо, похоже.

Да,да! То что надо! Всем спасибо!
Спасибо сказали:
Аватара пользователя
infra_hdc
Сообщения: 376
ОС: GNU/Linux

Re: Решено: BIND настройка

Сообщение infra_hdc »

еще как вариант: пересобрать RPM-пакет bind так, чтобы в бинарнике не были включены ни зона ".", ни адреса корневых серверов :)
Спасибо сказали:
Аватара пользователя
sash-kan
Администратор
Сообщения: 13939
Статус: oel ngati kameie
ОС: GNU

Re: Решено: BIND настройка

Сообщение sash-kan »

infra_hdc писал(а):
06.09.2012 19:48
адреса корневых серверов
адресов корневых серверов достаточно и их список присутствует в одном из конфигурационных файлов·
достаточно изменить этот файл, пересборка пакета не обязательна·
Писать безграмотно - значит посягать на время людей, к которым мы адресуемся, а потому совершенно недопустимо в правильно организованном обществе. © Щерба Л. В., 1957
при сбоях форума см.блог
Спасибо сказали:
Аватара пользователя
infra_hdc
Сообщения: 376
ОС: GNU/Linux

Re: Решено: BIND настройка

Сообщение infra_hdc »

sash-kan писал(а):
07.09.2012 15:35
infra_hdc писал(а):
06.09.2012 19:48
адреса корневых серверов
адресов корневых серверов достаточно и их список присутствует в одном из конфигурационных файлов·
достаточно изменить этот файл, пересборка пакета не обязательна·

просто у меня похожая проблема: отключил зону "." (hint) в конфиге и перезапустил bind9 -- всё равно резолвит всё подряд, пока рекурсию не выключил. ос Debian GNU/Linux Squeeze 6.0 i386.
Спасибо сказали: