[FC2][DNS] Problemen met transfers named zones - Linux en overige clients

dinsdag 5 oktober 2004 15:23

Acties:

Topicstarter

Ik heb twee DNS servers, een primary (master) en een secondary (slave).
Echter als ik named start op de master dan krijg ik op de slave de volgende melding:

Oct 5 13:22:18 luna named[12615]: received notify for zone 'dsmarty.com': not authoritative
Oct 5 13:22:18 luna named[12615]: received notify for zone 'teambvd.com': not authoritative
Oct 5 13:22:18 luna named[12615]: received notify for zone 'vandenbelt.org': not authoritative

En worden de zonefiles dus niet gecreeerd.

Ik heb eea aan documentatie doorgelezen, examples gechecked, google gezocht etc. etc. maar kan niets vinden dat incorrect is aan mijn configuratie, misschien dat iemand een helder idee heeft.

named.conf op de Master (80.126.124.231)

code:

// generated by named-bootconf.pl

options {
        directory "/var/named";
        /*
         * If there is a firewall between you and nameservers you want
         * to talk to, you might need to uncomment the query-source
         * directive below.  Previous versions of BIND always asked
         * questions using port 53, but BIND 8.1 uses an unprivileged
         * port by default.
         */
        // query-source address * port 53;
};

//
// a caching only nameserver config
//
controls {
        inet 127.0.0.1 allow { localhost; } keys { rndckey; };
};
zone "." IN {
        type hint;
        file "named.ca";
};

zone "localhost" IN {
        type master;
        file "localhost.zone";
        allow-update { none; };
};

zone "dsmarty.com" IN {
        type master;
        file "pz/named.dsmarty";
        allow-transfer{
                82.161.116.92;
        };
        allow-update{
                82.161.116.92;
        };
};

zone "teambvd.com" IN {
        type master;
        file "pz/named.teambvd";
        allow-transfer{
                82.161.116.92;
        };
        allow-update{
                82.161.116.92;
        };
};

zone "vandenbelt.org" IN {
        type master;
        file "pz/named.vandenbelt";
        allow-transfer{
                82.161.116.92;
        };
        allow-update{
                82.161.116.92;
        };
};

include "/etc/rndc.key";

named.conf op de Slave (82.161.116.92)

code:

// generated by named-bootconf.pl

options {
        directory "/var/named";
        /*
         * If there is a firewall between you and nameservers you want
         * to talk to, you might need to uncomment the query-source
         * directive below.  Previous versions of BIND always asked
         * questions using port 53, but BIND 8.1 uses an unprivileged
         * port by default.
         */
        // query-source address * port 53;
};

//
// a caching only nameserver config
//
controls {
        inet 127.0.0.1 allow { localhost; } keys { rndckey; };
};

zone "." IN {
        type hint;
        file "named.ca";
};

zone "localhost" IN {
        type master;
        file "localhost.zone";
        allow-update { none; };
};

zone "0.0.127.in-addr.arpa" IN {
        type master;
        file "named.local";
        allow-update { none; };
};

zone "1.168.192.in-addr.arpa" IN {
        type master;
        file "1.168.192.local";
        allow-update { localhost; };
};

zone "dsmarty.com" IN {
        type slave;
        file "sz/dsmarty.com";
        masters {80.126.124.231; };
};

zone "vandenbelt.org" IN {
        type slave;
        file "sz/vandenbelt.org";
        masters {80.126.124.231; };
};

zone "teambvd.com" IN {
        type slave;
        file "sz/teambvd.com";
        masters {80.126.124.231; };
};

include "/etc/rndc.key";

Ter illustratie een voorbeeld van een zone-file op de master:

code:

$ORIGIN .
$TTL 86400      ; 1 day
dsmarty.com             IN SOA  dsmarty.dsmarty.com. postmaster.dsmarty.com. (
                                2004100501 ; serial
                                28800      ; refresh (8 hours)
                                14400      ; retry (4 hours)
                                3600000    ; expire (5 weeks 6 days 16 hours)
                                86400      ; minimum (1 day)
                                )
                        NS      dns.dsmarty.com.
                        NS      brutus.ottenonline.net.
                        A       80.126.124.231
                        MX      10 mail.dsmarty.com.
$ORIGIN dsmarty.com.
dsmarty         A       80.126.124.231
hosting         A       69.57.130.35
majasim         A       213.211.150.77
bigjim          A       62.216.17.179
www             CNAME   hosting
files           CNAME   hosting
dns             CNAME   dsmarty
mail            CNAME   dsmarty
forum           CNAME   dsmarty
proxy           CNAME   dsmarty
emule           CNAME   dsmarty
sysinfo         CNAME   dsmarty
rc5dag          CNAME   dsmarty
rc5week         CNAME   dsmarty
ogrdag          CNAME   dsmarty
ogrweek         CNAME   dsmarty
webmail         CNAME   dsmarty
mailcp          CNAME   dsmarty
apollo          CNAME   dsmarty
zeus            CNAME   dsmarty
pollux          CNAME   dsmarty

Misschien heb ik simpelweg wat over het hoofd gezien, maar ik kan iig nergens de fout ontdekken.

[ Voor 17% gewijzigd door DSmarty op 05-10-2004 15:24 ]

dinsdag 5 oktober 2004 15:48

Acties:

Kees

Serveradmin / BOFH / DoC

Op de master moet je ook aangeven of je wil notify'en en zo ja, wie je wil notifyen

code:

options {
....
also-notify { 213.239.154.10; 213.239.154.12; };
}

En dan bij de zones: notify yes;

Verder zie ik weinig verschil met de config die ik gebruik. Is er wel tcp verkeer mogelijk van de slave naar de master op poort 53? De normale DNS gaat via UDP, maar zone transfers verlopen juist via TCP.

[ Voor 6% gewijzigd door Kees op 05-10-2004 15:49 ]

"Een serveradmin, voluit een serveradministrator, is dan weer een slavenbeheerder oftewel een slavendrijver" - Rataplan

dinsdag 5 oktober 2004 16:04

Acties:

DSmarty

Topicstarter

Aangepast, echter geen effect, exact dezelfde melding.

Poorten die openstaan: UDP 53 en TCP 53 (beide kanten op)

NAT:

code:

1 2	ip nat inside source static tcp 192.168.0.251 53 interface Dialer1 53 ip nat inside source static udp 192.168.0.251 53 interface Dialer1 53

Access-list:

code:

1
2
3

permit udp any gt 1023 host 80.126.124.231 eq domain
permit tcp any gt 1023 host 80.126.124.231 eq domain
permit udp any eq domain host 80.126.124.231 eq domain

Ik zie net dat ik tcp 53>>tcp53 niet open heb, zodra ik thuis ben pas ik dat even aan op mijn router.

[ Voor 21% gewijzigd door DSmarty op 05-10-2004 16:11 ]

dinsdag 5 oktober 2004 16:43

Acties:

Wilke

Het schijnt (als in: heb ik gehoord, geen idee of het ook echt zo is) dat het een goed idee is om poort 53-TCP verder zo dicht mogelijk te houden (dus alleen tussen master en slave verkeer toe te laten), omdat de meeste problemen/exploits die er zijn, te maken hebben met het TCP-gedeelte.

dinsdag 5 oktober 2004 17:43

Acties:

DSmarty

Topicstarter

Helaas werkt het nog niet, blijft dezelfde fout geven:

Oct 5 15:47:40 luna named[12615]: received notify for zone 'dsmarty.com': not authoritative
Oct 5 15:47:41 luna named[12615]: received notify for zone 'teambvd.com': not authoritative
Oct 5 15:47:41 luna named[12615]: received notify for zone 'vandenbelt.org': not authoritative

Poort 53 heb ik idd even gefilterd op die paar IP adressen die toegang mogen.