内部ユーザー用と外部(インターネットなど)用の2つのビューを持つDNSサーバーがあります。内部ユーザーがサンプルWebサイトを要求すると(外部再帰クエリはとにかく拒否されます)、このWebサイトへのアクセスが許可されていないことを示す別のWebサイト(フィルターページ)にリダイレクトされるようにRPZを構成したいと思います。しかし、RPZは機能しておらず、bad.comのクエリは実際のアドレスを返します。問題がわかりません。
named.conf.options:
options {
directory "/var/cache/bind";
// If there is a firewall between you and nameservers you want
// to talk to, you may need to fix the firewall to allow multiple
// ports to talk. See http://www.kb.cert.org/vuls/id/800113
// If your ISP provided one or more IP addresses for stable
// nameservers, you probably want to use them as forwarders.
// Uncomment the following block, and insert the addresses replacing
// the all-0's placeholder.
forwarders {
8.8.8.8;
};
response-policy {zone "filter" recursive-only no;};
//========================================================================
// If BIND logs error messages about the root key being expired,
// you will need to update your keys. See https://www.isc.org/bind-keys
//========================================================================
# dnssec-validation auto;
auth-nxdomain no; # conform to RFC1035
listen-on-v6 { any; };
};
named.conf.local:
//
// Do any local configuration here
//
// Consider adding the 1918 zones here, if they are not used in your
// organization
//include "/etc/bind/zones.rfc1918";
acl internal {172.17.116/24; 192.168.20/24; 127/8;};
view "internal" {
match-clients {internal;};
recursion yes;
zone "wsi.org" {
type master;
file "/etc/bind/internal.zone";
};
zone "filter" {
type master;
file "/etc/bind/filter.zone";
};
include "/etc/bind/named.conf.default-zones";
};
view "external" {
match-clients {any;};
recursion no;
zone "wsi.org" {
type master;
file "/etc/bind/external.zone";
};
zone "filter" {
type master;
file "/etc/bind/filter2.zone";
};
include "/etc/bind/named.conf.default-zones";
};
filter.zone:
TTL 604800
@ IN SOA wsi.org. root.wsi.org. (
3 ; Serial
604800 ; Refresh
86400 ; Retry
2419200 ; Expire
604800 ) ; Negative Cache TTL
bad.com A filter.wsi.org
bad.net A filter.wsi.org
filter2ゾーン:
TTL 604800
@ IN SOA wsi.org. root.wsi.org. (
3 ; Serial
604800 ; Refresh
86400 ; Retry
2419200 ; Expire
604800 ) ; Negative Cache TTL
bad.com A filter.wsi.org
bad.net CNAME rpz-passthru
nslookup
は、常にbad.netとbad.comの実際のアドレスを示します。
私は実験していたので、2つのゾーンがあります。
最初の正しいAレコード:
bad.com A filter.wsi.org
に:
bad.com A 192.168.1.1
または以下のように変更します。
bad.com CNAME filter.wsi.org
以下で構成をテストします。
response-policy {zone "filter";};
Rpzゾーンファイルのnsレコードを見つけられない別の問題を見つけました。
@ NS 127.0.0.1.
バインドツールを使用して、構成のトラブルシューティングを行います。構成構文を確認する場合:
named-checkconf
ゾーンファイルの構文をチェックする場合:
named-checkzone filter /etc/bind/filter.zone
バインドがエラーなしで実行されていることを確認するために:
netstat -lntup | grep 53