転送モードでのみ機能するようにbind9ベースのDNSサーバーを作成しました。
これは私のnamed.conf.optionsファイルです。
#acl goodclients {
# localhost;
# localnets;
#};
options {
directory "/var/cache/bind";
// If there is a firewall between you and nameservers you want
// to talk to, you may need to fix the firewall to allow multiple
// ports to talk. See http://www.kb.cert.org/vuls/id/800113
// If your ISP provided one or more IP addresses for stable
// nameservers, you probably want to use them as forwarders.
// Uncomment the following block, and insert the addresses replacing
// the all-0's placeholder.
recursion yes;
#allow-query { goodclients; };
forwarders {
8.8.8.8;
8.8.4.4;
};
forward only;
//========================================================================
// If BIND logs error messages about the root key being expired,
// you will need to update your keys. See https://www.isc.org/bind-keys
//========================================================================
dnssec-validation auto;
auth-nxdomain no; # conform to RFC1035
listen-on-v6 { any; };
};
クライアントを構成し、すべてが正常に動作しましたが、次のようなエラーが発生しました。
May 15 08:54:49 digitalocean named[3294]: client x.x.x.x#8137 (unix.stackexchange.com): query (cache) 'unix.stackexchange.com/A/IN' denied
ここで、x.x.x.xは私のパブリックIPアドレスです。
DNSサーバーはパブリックであり、クライアント構成でそのパブリックIPを使用していることに注意してください。
エラーメッセージを無視する必要がありますか?
DNSサーバーのパブリックIPを使用してgoogle.comを掘るとき(y.y.y.y):
Dig @y.y.y.y google.com
; <<>> Dig 9.9.5-3ubuntu0.8-Ubuntu <<>> @y.y.y.y google.com
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: REFUSED, id: 28091
;; flags: qr rd; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 1
;; WARNING: recursion requested but not available
;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;google.com. IN A
;; Query time: 15 msec
;; SERVER: y.y.y.y#53(y.y.y.y)
;; WHEN: Sun May 15 14:57:56 CEST 2016
;; MSG SIZE rcvd: 39
これは紛らわしいです。
それを見つけた。解決策は以下を追加することです:
allow-query {
any;
};
編集: Rui F Ribeiroのソリューションは機能しますが、パブリックサーバーを作成する必要があります。セキュリティ問題を回避したい場合は、コメントをご覧ください。
allow-query
およびgoodclients
ディレクティブをコメントアウトしているため、機能しません。それらのコメントを外し、BINDがクエリに応答するはずのIP /ネットワークをgoodclients
に入力する必要があります。
acl goodclients {
localhost;
x.x.x.0/24;
};
options {
...
allow-query { goodclients; };
}
From http://www.zytrax.com/books/dns/ch7/queries.html#allow-query から
allow-queryは、サーバーへのクエリの発行を許可するIPアドレスの一致リストを定義します。
また、BIND 9.4.1-P1以降、allow-query
のデフォルトの動作が許可から禁止に変更されたことにも注意してください。