[BIND] reageert niet of slecht

[Verwijderd]

Vanmiddag een melding gekregen de bind servers het niet meer doen. Na wat speurwerk kan ik geen zaken vinden die veranderd zijn in de afgelopen weken, echter van dag een op dag twee lijkt hij het niet meer te doen (????).

Een externe query is niet meer mogelijk maar een interne dig nog wel.

ik twee bind servers draaien de 10.64.5.1 en de 10.64.5.1 (ze staan naast elkaar elkaar en kunnen direct met elkaar babbelen). Een ping heen en weer gaat goed en een SSH sessie ook.

Als ik een dig someserver.mijndomain.com uitvoer dan krijg ik netjes de resulaten terug. Echter als ik alleen dig uitvoer dan krijg ik na lang wachten

pubmai02 bind # dig

; <<>> DiG 9.2.3 <<>>
;; global options: printcmd
;; connection timed out; no servers could be reached

in de /etc/resolv.conf file staat keurig dat hij naar zich zelf moet kijken.

Als ik een dig @10.64.5.1 someserver.mijndomain.com uitvoer krijg ik na lang wachten:

; <<>> DiG 9.2.3 <<>> @10.64.5.1 someserver.mijndomain.com
;; global options: printcmd
;; connection timed out; no servers could be reached


als ik echter een dig @localhost someserver.mijndomain.com krijg ik wel het gewenste antwoord.

dig @10.64.5.1 someserver.mijndomain.com geeft niet het gewenste antwoord....


nog iets vreemds, als ik op een werkende BIND server het volgende commando uitvoer (zelfde versie BIND en zelfde OS dan is er geen enkel probleem en krijg ik deze output):


Ik zit er nu al een tijdje naar te staren maar kom er niet meer uit... iemand een goed idee?

pmedns01 ~ # dig @localhost

; <<>> DiG 9.2.3 <<>> @localhost
;; global options: printcmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 11585
;; flags: qr rd ra; QUERY: 1, ANSWER: 13, AUTHORITY: 0, ADDITIONAL: 15

;; QUESTION SECTION:
;. IN NS

;; ANSWER SECTION:
. 484153 IN NS i.root-servers.net.
. 484153 IN NS j.root-servers.net.
. 484153 IN NS k.root-servers.net.
. 484153 IN NS l.root-servers.net.
. 484153 IN NS m.root-servers.net.
. 484153 IN NS a.root-servers.net.
. 484153 IN NS b.root-servers.net.
. 484153 IN NS c.root-servers.net.
. 484153 IN NS d.root-servers.net.
. 484153 IN NS e.root-servers.net.
. 484153 IN NS f.root-servers.net.
. 484153 IN NS g.root-servers.net.
. 484153 IN NS h.root-servers.net.

;; ADDITIONAL SECTION:
a.root-servers.net. 484153 IN A 198.41.0.4
a.root-servers.net. 484153 IN AAAA 2001:503:ba3e::2:30
b.root-servers.net. 484153 IN A 192.228.79.201
c.root-servers.net. 484153 IN A 192.33.4.12
d.root-servers.net. 484153 IN A 128.8.10.90
e.root-servers.net. 484153 IN A 192.203.230.10
f.root-servers.net. 484153 IN A 192.5.5.241
f.root-servers.net. 484153 IN AAAA 2001:500:2f::f
g.root-servers.net. 484153 IN A 192.112.36.4
h.root-servers.net. 484153 IN A 128.63.2.53
i.root-servers.net. 484153 IN A 192.36.148.17
j.root-servers.net. 484153 IN A 192.58.128.30
k.root-servers.net. 484153 IN A 193.0.14.129
l.root-servers.net. 484153 IN A 199.7.83.42
m.root-servers.net. 484153 IN A 202.12.27.33

;; Query time: 3 msec
;; SERVER: 127.0.0.1#53(localhost)
;; WHEN: Sat Jul 12 22:08:07 2008
;; MSG SIZE rcvd: 492

[ChaserBoZ_]

Verwijderd schreef op zaterdag 12 juli 2008 @ 22:09:
Vanmiddag een melding gekregen de bind servers het niet meer doen. Na wat speurwerk kan ik geen zaken vinden die veranderd zijn in de afgelopen weken, echter van dag een op dag twee lijkt hij het niet meer te doen (????).

Een externe query is niet meer mogelijk maar een interne dig nog wel.

ik twee bind servers draaien de 10.64.5.1 en de 10.64.5.1 (ze staan naast elkaar elkaar en kunnen direct met elkaar babbelen). Een ping heen en weer gaat goed en een SSH sessie ook.

Als ik een dig someserver.mijndomain.com uitvoer dan krijg ik netjes de resulaten terug. Echter als ik alleen dig uitvoer dan krijg ik na lang wachten

pubmai02 bind # dig

; <<>> DiG 9.2.3 <<>>
;; global options: printcmd
;; connection timed out; no servers could be reached

in de /etc/resolv.conf file staat keurig dat hij naar zich zelf moet kijken.

Als ik een dig @10.64.5.1 someserver.mijndomain.com uitvoer krijg ik na lang wachten:

; <<>> DiG 9.2.3 <<>> @10.64.5.1 someserver.mijndomain.com
;; global options: printcmd
;; connection timed out; no servers could be reached


als ik echter een dig @localhost someserver.mijndomain.com krijg ik wel het gewenste antwoord.

dig @10.64.5.1 someserver.mijndomain.com geeft niet het gewenste antwoord....


nog iets vreemds, als ik op een werkende BIND server het volgende commando uitvoer (zelfde versie BIND en zelfde OS dan is er geen enkel probleem en krijg ik deze output):


Ik zit er nu al een tijdje naar te staren maar kom er niet meer uit... iemand een goed idee?

pmedns01 ~ # dig @localhost

; <<>> DiG 9.2.3 <<>> @localhost
;; global options: printcmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 11585
;; flags: qr rd ra; QUERY: 1, ANSWER: 13, AUTHORITY: 0, ADDITIONAL: 15

;; QUESTION SECTION:
;. IN NS

;; ANSWER SECTION:
. 484153 IN NS i.root-servers.net.
. 484153 IN NS j.root-servers.net.
. 484153 IN NS k.root-servers.net.
. 484153 IN NS l.root-servers.net.
. 484153 IN NS m.root-servers.net.
. 484153 IN NS a.root-servers.net.
. 484153 IN NS b.root-servers.net.
. 484153 IN NS c.root-servers.net.
. 484153 IN NS d.root-servers.net.
. 484153 IN NS e.root-servers.net.
. 484153 IN NS f.root-servers.net.
. 484153 IN NS g.root-servers.net.
. 484153 IN NS h.root-servers.net.

;; ADDITIONAL SECTION:
a.root-servers.net. 484153 IN A 198.41.0.4
a.root-servers.net. 484153 IN AAAA 2001:503:ba3e::2:30
b.root-servers.net. 484153 IN A 192.228.79.201
c.root-servers.net. 484153 IN A 192.33.4.12
d.root-servers.net. 484153 IN A 128.8.10.90
e.root-servers.net. 484153 IN A 192.203.230.10
f.root-servers.net. 484153 IN A 192.5.5.241
f.root-servers.net. 484153 IN AAAA 2001:500:2f::f
g.root-servers.net. 484153 IN A 192.112.36.4
h.root-servers.net. 484153 IN A 128.63.2.53
i.root-servers.net. 484153 IN A 192.36.148.17
j.root-servers.net. 484153 IN A 192.58.128.30
k.root-servers.net. 484153 IN A 193.0.14.129
l.root-servers.net. 484153 IN A 199.7.83.42
m.root-servers.net. 484153 IN A 202.12.27.33

;; Query time: 3 msec
;; SERVER: 127.0.0.1#53(localhost)
;; WHEN: Sat Jul 12 22:08:07 2008
;; MSG SIZE rcvd: 492

In je post hebben je nameservers hetzelfde IP adres, dat zal een typo zijn neem ik aan ?

Wat gebeurt er als je de cache wegdondert en named opnieuw start ?

[Verwijderd]

Inderdaad... het is een type... de vermoeidheid begint een beetje toe te slaan :-)

Nu ben ik niet echt een bind man dus ik ben aan het zoeken geweest naar de locatie van de cache maar kan die niet vinden. Ik verwachte hem onder /var/cache/bind echter hier staat hij niet....

ook heb ik het onderstaande zonder succes geprobeerd:

pubmai02 bind # rndc dumpdb
rndc: neither /etc/bind/rndc.conf nor /chroot/named/etc/bind/rndc.key was found
pubmai02 bind # rndc dumpdb -all
rndc: neither /etc/bind/rndc.conf nor /chroot/named/etc/bind/rndc.key was found
pubmai02 bind # rndc dumpdb view
rndc: neither /etc/bind/rndc.conf nor /chroot/named/etc/bind/rndc.key was found
pubmai02 bind #


ook het stoppen en starten heeft nog geen effect gehad... iemand een idee?

[Tomsworld]

De update van deze week geinstalleerd icm met een zeer strikte firewall ?

[Verwijderd]

Tomsworld schreef op zaterdag 12 juli 2008 @ 23:45:
De update van deze week geinstalleerd icm met een zeer strikte firewall ?

Tomsworld schreef op zaterdag 12 juli 2008 @ 23:45:
De update van deze week geinstalleerd icm met een zeer strikte firewall ?

Volgens het changelog niet... maar ik begin te twijfelen of er niet iemand een update heeft gedaan zonder dit te noteren... ;-)

Ik heb zitten googelen maar kwam geen echt iets tegen wat me verder heeftme geholpen. Wat is effect van de update? Ik heb wat zitten lezen dat dit inderdaad dit soort effecten kan hebben maar ik vraag me af hoe ik kan zien of hij is geinstalleerd en wat de effecten zijn als dat gebeurd is..... en natuurlijk nog belangrijker.... hoe dit dan op te lossen....

Ik zit een beetje vast geloof ik :-)

Maar het zou inderdaad kunnen dat dit de route cause is.... nu alleen,... hoe stel ik dit vast en hoe verhelp ik het.... iemand een idee?


Thanks,
Johan.

[ChaserBoZ_]

Verwijderd schreef op zondag 13 juli 2008 @ 00:40:
[...]


[...]


Volgens het changelog niet... maar ik begin te twijfelen of er niet iemand een update heeft gedaan zonder dit te noteren... ;-)

Ik heb zitten googelen maar kwam geen echt iets tegen wat me verder heeftme geholpen. Wat is effect van de update? Ik heb wat zitten lezen dat dit inderdaad dit soort effecten kan hebben maar ik vraag me af hoe ik kan zien of hij is geinstalleerd en wat de effecten zijn als dat gebeurd is..... en natuurlijk nog belangrijker.... hoe dit dan op te lossen....

Ik zit een beetje vast geloof ik :-)

Maar het zou inderdaad kunnen dat dit de route cause is.... nu alleen,... hoe stel ik dit vast en hoe verhelp ik het.... iemand een idee?


Thanks,
Johan.

De problemen met firewalls zijn alleen van toepassing op Windows systemen, omdat Microsoft wat gewijzigd heeft in de manier hoe de firewall communiceert met Windows.

Voor je Bind op Linux heeft dit dus geen gevolgen

Probeer eens 'rndc flush'

[Verwijderd]

mm, ik heb een poging gedaan maar zonder veel succes

pubmai01 init.d # rndc -k /etc/bind/rndc.key dumpdb -all
pubmai01 init.d # ./named stop
* Stopping named... [ ok ]
pubmai01 init.d # ./named start
* Starting named... [ ok ]
pubmai01 init.d # dig

; <<>> DiG 9.2.3 <<>>
;; global options: printcmd
;; connection timed out; no servers could be reached
pubmai01 init.d #

[Verwijderd]

dit zijn overigens de log entries die ik krijg in /var/log/messages als ik bind stop/start

Jul 13 10:18:14 pubmai01 named[7228]: starting BIND 9.3.2-P1
Jul 13 10:18:14 pubmai01 named[7228]: loading configuration from '/etc/bind/named.conf'
Jul 13 10:18:14 pubmai01 named[7228]: listening on IPv4 interface lo, 127.0.0.1#53
Jul 13 10:18:14 pubmai01 named[7228]: listening on IPv4 interface eth0, 10.32.4.1#53
Jul 13 10:18:14 pubmai01 named[7228]: listening on IPv4 interface eth1, 10.32.5.1#53
Jul 13 10:18:14 pubmai01 named[7228]: command channel listening on 127.0.0.1#953
Jul 13 10:18:14 pubmai01 named[7228]: zone 0.0.10.in-addr.arpa/IN: loaded serial 2007020503
Jul 13 10:18:14 pubmai01 named[7228]: zone 1.32.10.in-addr.arpa/IN: loaded serial 2008022001
Jul 13 10:18:14 pubmai01 named[7228]: zone 2.32.10.in-addr.arpa/IN: loaded serial 2008030301
....etc...etc...

Het lijkt er dus op dat alles goed start....

Johan.

[Tomsworld]

De update zorgt voor source port randomnization, je hebt toevallig geen hele stricte firewall ertussen ?

Als je log klopt zit je inderdaad nog met een oudere versie.
http://www.isc.org/index.pl?/sw/bind/bind-security.php (zoek op 9.3.2-P1)

De huidige zijn : YOU ARE ADVISED TO INSTALL EITHER THE PATCHES (9.5.0-P1, 9.4.2-P1, 9.3.5-P1) OR THE NEW BETA RELEASES (9.5.1b1, 9.4.3b2) IMMEDIATELY.

Dan weet ik het even ook niet.

Je root.hints en nog ok ?

[Verwijderd]

Nog even wat updates:

ik krijg de volgende zaken ook:
------------------------------------------------------------
pubmai02 bind # dig +trace google.com

; <<>> DiG 9.2.3 <<>> +trace google.com
;; global options: printcmd
. 3600000 IN NS K.ROOT-SERVERS.NET.
. 3600000 IN NS L.ROOT-SERVERS.NET.
. 3600000 IN NS M.ROOT-SERVERS.NET.
. 3600000 IN NS A.ROOT-SERVERS.NET.
. 3600000 IN NS B.ROOT-SERVERS.NET.
. 3600000 IN NS C.ROOT-SERVERS.NET.
. 3600000 IN NS D.ROOT-SERVERS.NET.
. 3600000 IN NS E.ROOT-SERVERS.NET.
. 3600000 IN NS F.ROOT-SERVERS.NET.
. 3600000 IN NS G.ROOT-SERVERS.NET.
. 3600000 IN NS H.ROOT-SERVERS.NET.
. 3600000 IN NS I.ROOT-SERVERS.NET.
. 3600000 IN NS J.ROOT-SERVERS.NET.
;; Received 228 bytes from 10.32.5.2#53(10.32.5.2) in 0 ms

dig: Couldn't find server 'K.ROOT-SERVERS.NET': Name or service not known
------------------------------------------------------------


en deze krijg ik ook, maar niet altijd:
------------------------------------------------------------
pubmai02 root # dig
;; Warning: ID mismatch: expected ID 27351, got 32216
;; Warning: ID mismatch: expected ID 27351, got 32216

; <<>> DiG 9.2.3 <<>>
;; global options: printcmd
;; connection timed out; no servers could be reached
------------------------------------------------------------

Ik heb even zitten kijken naar de root server file, in named.conf staat het volgende:
// DNS hint file (DNS ROOT SERVERS)
zone "." IN {
type hint;
file "named.ca";
};

en in /var/bind vind ik named.ca welke er zo uit ziet:

; This file holds the information on root name servers needed to
; initialize cache of Internet domain name servers
; (e.g. reference this file in the "cache . <file>"
; configuration file of BIND domain name servers).
;
; This file is made available by InterNIC
; under anonymous FTP as
; file /domain/named.root
; on server FTP.INTERNIC.NET
; -OR- RS.INTERNIC.NET
;
; last update: Feb 04, 2008
; related version of root zone: 2008020400
;
; formerly NS.INTERNIC.NET
;
. 3600000 IN NS A.ROOT-SERVERS.NET.
A.ROOT-SERVERS.NET. 3600000 A 198.41.0.4
A.ROOT-SERVERS.NET. 3600000 AAAA 2001:503:BA3E::2:30
;
; formerly NS1.ISI.EDU
;
. 3600000 NS B.ROOT-SERVERS.NET.
B.ROOT-SERVERS.NET. 3600000 A 192.228.79.201
;
; formerly C.PSI.NET
;
. 3600000 NS C.ROOT-SERVERS.NET.
C.ROOT-SERVERS.NET. 3600000 A 192.33.4.12
;
; formerly TERP.UMD.EDU
;
. 3600000 NS D.ROOT-SERVERS.NET.
D.ROOT-SERVERS.NET. 3600000 A 128.8.10.90
;
; formerly NS.NASA.GOV
;
. 3600000 NS E.ROOT-SERVERS.NET.
E.ROOT-SERVERS.NET. 3600000 A 192.203.230.10
;
; formerly NS.ISC.ORG
;
. 3600000 NS F.ROOT-SERVERS.NET.
F.ROOT-SERVERS.NET. 3600000 A 192.5.5.241
F.ROOT-SERVERS.NET. 3600000 AAAA 2001:500:2f::f
;
; formerly NS.NIC.DDN.MIL
;
. 3600000 NS G.ROOT-SERVERS.NET.
G.ROOT-SERVERS.NET. 3600000 A 192.112.36.4
;
; formerly AOS.ARL.ARMY.MIL
;
. 3600000 NS H.ROOT-SERVERS.NET.
H.ROOT-SERVERS.NET. 3600000 A 128.63.2.53
H.ROOT-SERVERS.NET. 3600000 AAAA 2001:500:1::803f:235
;
; formerly NIC.NORDU.NET
;
. 3600000 NS I.ROOT-SERVERS.NET.
I.ROOT-SERVERS.NET. 3600000 A 192.36.148.17
;
; operated by VeriSign, Inc.
;
. 3600000 NS J.ROOT-SERVERS.NET.
J.ROOT-SERVERS.NET. 3600000 A 192.58.128.30
J.ROOT-SERVERS.NET. 3600000 AAAA 2001:503:C27::2:30
;
; operated by RIPE NCC
;
. 3600000 NS K.ROOT-SERVERS.NET.
K.ROOT-SERVERS.NET. 3600000 A 193.0.14.129
K.ROOT-SERVERS.NET. 3600000 AAAA 2001:7fd::1
;
; operated by ICANN
;
. 3600000 NS L.ROOT-SERVERS.NET.
L.ROOT-SERVERS.NET. 3600000 A 199.7.83.42
;
; operated by WIDE
;
. 3600000 NS M.ROOT-SERVERS.NET.
M.ROOT-SERVERS.NET. 3600000 A 202.12.27.33
M.ROOT-SERVERS.NET. 3600000 AAAA 2001:dc3::35
; End of File

[Verwijderd]

Overigens is het niet altijd de zelfde root server:

dig +trace google.com

; <<>> DiG 9.2.3 <<>> +trace google.com
;; global options: printcmd
. 3600000 IN NS B.ROOT-SERVERS.NET.
. 3600000 IN NS C.ROOT-SERVERS.NET.
. 3600000 IN NS D.ROOT-SERVERS.NET.
. 3600000 IN NS E.ROOT-SERVERS.NET.
. 3600000 IN NS F.ROOT-SERVERS.NET.
. 3600000 IN NS G.ROOT-SERVERS.NET.
. 3600000 IN NS H.ROOT-SERVERS.NET.
. 3600000 IN NS I.ROOT-SERVERS.NET.
. 3600000 IN NS J.ROOT-SERVERS.NET.
. 3600000 IN NS K.ROOT-SERVERS.NET.
. 3600000 IN NS L.ROOT-SERVERS.NET.
. 3600000 IN NS M.ROOT-SERVERS.NET.
. 3600000 IN NS A.ROOT-SERVERS.NET.
;; Received 228 bytes from 10.32.5.2#53(10.32.5.2) in 0 ms

dig: Couldn't find server 'B.ROOT-SERVERS.NET': Name or service not known

[Verwijderd]

Problemen zijn opgelost. Uiteindelijk na lang zoeken bleek een firewall tussen de verschillende zones een probleem te geven. Het UDP verkeer was wel mogelijk maar werd half verwegen "vernaggeld".

Omdat ik toch wel even aan het zoeken ben geweest en een aantal manieren heb gebruikt om BIND te bekijken en verkeer te bekijken zal ik hier even een blogpost van maken op mijn blog. Zodra deze er staat zal ik even een link posten zodat mensen die deze post lezen hier ook weer wat aan kunnen hebben.


Met groet,
Johan Louwers.