web-dev-qa-db-ja.com

バインドDNSサーバーの応答タイムアウト



centos7にBINDDNSサーバーをセットアップしました。マスターゾーンレコードを作成しました。次のとおりです。

$ttl 38400    
loool.ro. IN  SOA ns1.loool.ro. owner.yahoo.com. (    
      1421842090   
      10800
      3600
      604800
      38400 )
loool.ro. IN  NS  loool.ro.
loool.ro. IN  A   86.34.156.51
loool.ro. IN  MX  10 loool.ro.
loool.ro. IN  NS  ns1.loool.ro.
ns1.loool.ro. IN  A   86.34.156.51

86.34.156.51はパブリックIPアドレスであり、経由でサーバーにアクセスできます。ポート53が開かれ、無料のオンラインポートチェッカーでチェックされます。 named.serviceはポート53でリッスンしています。ドメイン名が登録されており、ns1も登録されています。しかし、dnslookupツールで確認すると、ns1.loool.roの応答が返されず、3秒後にタイムアウトします。

BINDサーバーの構成ファイルは次のとおりです。

options {
listen-on port 53 {
    any;
    };
#listen-on-v6 port 53 { ::1; };
directory   "/var/named";
dump-file   "/var/named/data/cache_dump.db";
statistics-file "/var/named/data/named_stats.txt";
memstatistics-file "/var/named/data/named_mem_stats.txt";
allow-transfer {
    none;
    };
recursion yes;
dnssec-enable yes;
dnssec-validation yes;
dnssec-lookaside auto;
/* Path to ISC DLV key */
bindkeys-file "/etc/named.iscdlv.key";
managed-keys-directory "/var/named/dynamic";
pid-file "/run/named/named.pid";
session-keyfile "/run/named/session.key";
also-notify {
    };
allow-query {
    any;
    };
 };
 logging {
    channel default_debug {
            file "data/named.run";
            severity dynamic;
    };
};
zone "." IN {
    type hint;
    file "named.ca";
 };
 zone "loool.ro" {
    type master;
    file "/var/named/loool.ro.hosts";
 };

ローカルホストからDigを確認すると、答えは正しくなりますが、他のホストからは来ません。 allow-queryをanyからlocalhostに設定すると、messages.logファイルは拒否されたクエリとIPアドレスをログに記録するため、クエリが到着します。

named.serviceを開始すると、messages.logに次のように表示されます。

Jan 21 14:31:35 servera names [38627]：デフォルトのUDP/IPv4ポート範囲を使用：[1024、65535]
1月21日14：31：35servera名前付き[38627]：デフォルトのUDP/IPv6ポート範囲を使用：[1024、65535]
1月21日14：31：35serveraという名前[38627]：IPv4インターフェースlo、127.0.0.1＃53でリッスン
1月21日14：31：35serveraという名前[38627]：IPv4インターフェースem1、10.10.10.100＃53でリッスン
1月21日14：31：35serveraという名前[38627]：IPv4インターフェースem1、86.34.156.51＃53でリッスン

Allow-query = localhostを使用すると、次のようになります。

Jan 21 14:30:55 servera named[38403]: client 109.99.188.88#54374 (loool.ro): query 'loool.ro/A/IN' denied    
Jan 21 14:31:08 servera named[38403]: client 74.125.17.211#53668 (loool.ro): query 'loool.ro/AAAA/IN' denied

何が問題ですか？ allow-queryがanyの場合、messages.logにエラーログはありません。これはネットワーク構成の問題になりますか、それともLinux（ポートまたはselinux）とBINDサーバー（misconfig）に問題がありますか？ BINDはクエリを削除しますか？

掘る：

loool.ro. 0 IN NS ns1.loool.ro. ;;
Received 71 bytes from 192.162.16.20#53(sec-dns-a.rotld.ro) in 88 ms

loool.ro. 38400 IN A 86.34.156.51
loool.ro. 38400 IN NS ns1.loool.ro.
loool.ro. 38400 IN NS loool.ro.

;; Received 101 bytes from 10.10.10.100#53(ns1.loool.ro) in 1 ms

Andrew Bが提案したように、ローカルホスト（DNSサーバーが配置されている場所）でパケットをキャプチャしました。結果は次のとおりです。ここで何が問題なのか、何が問題なのかを誰かが知っていることを願っています。

$tcpdump -i em1 -vvv -s 0 -l -n port 53     
tcpdump: listening on em1, link-type EN10MB (Ethernet), capture size 65535 bytes    
 82.79.24.76.14761 > 10.10.10.100.domain: [udp sum ok] 3532 [1au] A? loool.ro. ar: . OPT UDPsize=4096 OK (37)
22:50:49.723204 IP (tos 0x0, ttl 64, id 63258, offset 0, flags [none], proto UDP (17), length 115)
    10.10.10.100.domain > 82.79.24.76.14761: [udp sum ok] 3532*- q: A? loool.ro. 1/1/2 loool.ro. [10h40m] A 86.34.156.51 ns: loool.ro. [10h40m] NS ns1.loool.ro. ar: ns1.loool.ro. [10h40m] A 86.34.156.51, . OPT UDPsize=4096 OK (87)
22:50:49.987990 IP (tos 0x0, ttl 64, id 35514, offset 0, flags [DF], proto UDP (17), length 72)
    10.10.10.100.52857 > 193.231.100.130.domain: [udp sum ok] 2042+ PTR? 38.124.41.103.in-addr.arpa. (44)
domain-name-systembindportcentos7
2
Szilveszter Zsigmond

ネームサーバーをインターネットから照会することはできません。接着剤は存在しますが、ネームサーバーが応答を受信できない場合は役に立ちません。

これは、lVlint67と同様の+trace出力の末尾ですが、+additionalフラグが設定されています。

loool.ro.               86400   IN      NS      ns1.loool.ro.
ns1.loool.ro.           86400   IN      A       86.34.156.51
Dig: couldn't get address for 'ns1.loool.ro': no more

接着剤の記録はありますが、他に何か問題があります。そのネームサーバーを自分で照会しようとすると...

$ Dig @86.34.156.51 loool.ro

; <<>> Dig 9.8.4-rpz2+rl005.12-P1 <<>> @86.34.156.51 loool.ro
; (1 server found)
;; global options: +cmd
;; connection timed out; no servers could be reached

ネームサーバーに到達できないため、ドメインはインターネットに接続されていません。さらに、定義されているNSレコードは1つだけです。適切な復元力を得るには、物理​​的に異なる場所にあるネームサーバーが少なくとも2つ必要です。レジストラのWebサイトでは、これを適用することはできません。構成。:(

また、読むことをお勧めします 独自のネームサーバーをホストする必要がありますか？ 。

1
Andrew B

レジストラに適切な glue records が不足しているようです。

$ Dig +trace loool.ro

; <<>> Dig 9.9.5 <<>> +trace loool.ro
;; global options: +cmd
.                       929     IN      NS      j.root-servers.net.
.                       929     IN      NS      m.root-servers.net.
.                       929     IN      NS      e.root-servers.net.
.                       929     IN      NS      f.root-servers.net.
.                       929     IN      NS      l.root-servers.net.
.                       929     IN      NS      g.root-servers.net.
.                       929     IN      NS      h.root-servers.net.
.                       929     IN      NS      k.root-servers.net.
.                       929     IN      NS      c.root-servers.net.
.                       929     IN      NS      a.root-servers.net.
.                       929     IN      NS      d.root-servers.net.
.                       929     IN      NS      i.root-servers.net.
.                       929     IN      NS      b.root-servers.net.
.                       929     IN      RRSIG   NS 8 0 518400 20150131050000 20150121040000 16665 . X95MjU0E0exFVnq9oEJBi/Dih/wwyDhI0NoJ10bj1jthr6kjVElQgZTH l9XepwZOzSWiTzBXrhiMCaAd4MBIiDpNVHl5r8P0BAiw7GfB2HAQkEcr WPTcJe9Y0JX6ruSbcD93gWbvd4/rHZXpgB13y6hWJNlY0zHuu7Iqv4h9 H8s=
;; Received 397 bytes from 8.8.8.8#53(8.8.8.8) in 1025 ms

ro.                     172800  IN      NS      dns-at.rotld.ro.
ro.                     172800  IN      NS      dns-ro.denic.de.
ro.                     172800  IN      NS      sns-pb.isc.org.
ro.                     172800  IN      NS      primary.rotld.ro.
ro.                     172800  IN      NS      sec-dns-a.rotld.ro.
ro.                     172800  IN      NS      sec-dns-b.rotld.ro.
ro.                     86400   IN      NSEC    rocks. NS RRSIG NSEC
ro.                     86400   IN      RRSIG   NSEC 8 1 86400 20150131050000 20150121040000 16665 . d0xAIZZ3+EiqsKePxYP/ym8OEvp4bywmHIUTSigk6CUie8512rpuvXM2 vAL5RRuXDdCCG/0nP4bfR6cz0dgN9lTLdJz68kd4nRYZcTsz5ZLZkQ1T zmyiKEzzRK7PAVUTTfMG94NrHzIIBwLTYdhOqHPWHN4TQC8NYf2hJlyQ CqI=
;; Received 613 bytes from 193.0.14.129#53(k.root-servers.net) in 1130 ms

loool.ro.               86400   IN      NS      ns1.loool.ro.
Dig: couldn't get address for 'ns1.loool.ro': no more
0
Daniel Widrick

iptablesが接続をブロックしている可能性があります。ファイアウォールを通過する名前を許可するだけです。

iptables -I INPUT 1 -p tcp -m tcp --dport 53 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -I INPUT 2 -p udp -m udp --dport 53 -m state --state NEW,ESTABLISHED -j ACCEPT

iptables -A OUTPUT -p tcp -m tcp --sport 53:65535 --dport 53 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p udp -m udp --sport 53:65535 --dport 53 -m state --state NEW,ESTABLISHED -j ACCEPT
0
Mikael Dúi Bolinder