» Кеширующий DNS сервер для локальной сети на основе BIND 9

А когда продолжение ожидается? Сейчас скручиваю bind с AD соответственно ищу доки... манера автора понравилась, хотелось бы продолжения темы и его хинты на тему AD.

Кстати, по поводу кеширующего днс.


Код: 1.4.5.1 Forwarding
Even a caching name server does not necessarily perform the complete recursive lookup itself. Instead,
it can forward some or all of the queries that it cannot satisfy from its cache to another caching name
server, commonly referred to as a forwarder.

добрый день всем. В *Unix я начинающий, так что просьба сильно ногами не бить, начал эти системы изучать недели 2-е назад. Решил настроить кеширующий ДНС.
Система FreeBSD 6.1 release
Bind 9.3.2
все сделал по статье, кстати автору огромное спасибо, все понятно и доступно написано.

при старте в логе появляются такие ошибки

Nov 27 10:38:25 virtualbsd named[738]: starting BIND 9.3.2
Nov 27 10:38:25 virtualbsd named[738]: could not listen on UDP socket: address in use
Nov 27 10:38:25 virtualbsd named[738]: creating IPv4 interface lnc0 failed; interface ignored
Nov 27 10:38:25 virtualbsd named[738]: could not listen on UDP socket: address in use
Nov 27 10:38:25 virtualbsd named[738]: creating IPv4 interface lo0 failed; interface ignored
Nov 27 10:38:25 virtualbsd named[738]: not listening on any interfaces
Nov 27 10:38:25 virtualbsd named[738]: couldn't add command channel 127.0.0.1#953: address in use
Nov 27 10:38:25 virtualbsd named[738]: couldn't add command channel ::1#953: address in use
Nov 27 10:38:25 virtualbsd named[738]: could not listen on UDP socket: address in use
Nov 27 10:38:25 virtualbsd named[738]: creating IPv4 interface lnc0 failed; interface ignored
Nov 27 10:38:25 virtualbsd named[738]: could not listen on UDP socket: address in use
Nov 27 10:38:25 virtualbsd named[738]: creating IPv4 interface lo0 failed; interface ignored
Nov 27 10:38:25 virtualbsd named[738]: running







ifconfig
lnc0: flags=108843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST,NEEDSGIANT> mtu 1500
    inet6 fe80::20c:29ff:feeb:c3c8%lnc0 prefixlen 64 scopeid 0x1
    inet 10.65.2.14 netmask 0xffffc000 broadcast 10.65.63.255
    ether 00:0c:29:eb:c3:c8
plip0: flags=108810<POINTOPOINT,SIMPLEX,MULTICAST,NEEDSGIANT> mtu 1500
lo0: flags=8049<UP,LOOPBACK,RUNNING,MULTICAST> mtu 16384
    inet6 ::1 prefixlen 128
    inet6 fe80::1%lo0 prefixlen 64 scopeid 0x3
    inet 127.0.0.1 netmask 0xff000000



naned.conf
    

options {
    directory    "/etc/namedb";
version " Go Away !!!!!!! ";

    pid-file    "/var/run/named/pid";
    dump-file    "/var/dump/named_dump.db";
    statistics-file    "/var/stats/named.stats";
allow-transfer { none; };
allow-query {10.65.2.0/24 ;10.65.1.0/24 ; 10.65.2.3/24 ;localhost; };


    listen-on    {10.65.2.14; localhost; };

/

#    forwarders {
#        193.57.2.1
#    };
#
    /*
     * If there is a firewall between you and nameservers you want
     * to talk to, you might need to uncomment the query-source
     * directive below. Previous versions of BIND always asked
     * questions using port 53, but BIND versions 8 and later
     * use a pseudo-random unprivileged UDP port by default.
     */
    // query-source address * port 53;
};



zone "." {
type hint;
file "master/named.root";
};

zone "localhost" in {
type master;
file "master/localhost.zone";
allow-update { none;};
};

zone "0.0.127.IN-ADDR.ARPA" {
type master;
file "master/localhost.rev";
allow-update { none; };
};

vovanj7

У тебя уже одна копия named запущена...

я перед запуском сделал
killall -HUP named

vovanj7

набери "top" и посмотри есть ли в списке "named"?

vovanj7
Цитата:

killall -HUP named

HUP(1) Сброс. Завершение работы. Для демонов — перечитать конфигурационный файл !
а named у тебя, судя по всему, был демоном и потому был сделан типа рестарт.

убил все лишние процессы. И заново запустил егою Вроде стартонул нормуль, в логе ошибок нету. Вот только запрос не могу послать через bind

; <<>> DiG 9.3.2 <<>> @127.0.0.1 ya.ru
; (1 server found)
;; global options: printcmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: SERVFAIL, id: 28880
;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;ya.ru.                IN    A

;; Query time: 95 msec
;; SERVER: 127.0.0.1#53(127.0.0.1)
;; WHEN: Mon Nov 27 15:23:57 2006
;; MSG SIZE rcvd: 23

vovanj7

сделай форвард на DNS сервер своего провайдера

vovanj7 а file "master/named.root" сформирован ? есть записи в нем о корневых серверах? если нету - формируй ! dig @192.33.4.12 . ns > named.root

ipmanyak
да файс существует с записями
;
; $FreeBSD: src/etc/namedb/named.root,v 1.12 2004/06/06 11:46:29 schweikh Exp $
;

; This file holds the information on root name servers needed to
; initialize cache of Internet domain name servers
; (e.g. reference this file in the "cache . <file>"
; configuration file of BIND domain name servers).
;
; This file is made available by InterNIC
; under anonymous FTP as
; file /domain/named.root
; on server FTP.INTERNIC.NET
; -OR- RS.INTERNIC.NET
;
; last update: Jan 29, 2004
; related version of root zone: 2004012900
;
;
; formerly NS.INTERNIC.NET
;
. 3600000 IN NS A.ROOT-SERVERS.NET.
A.ROOT-SERVERS.NET. 3600000 A 198.41.0.4
;
; formerly NS1.ISI.EDU
;
. 3600000 NS B.ROOT-SERVERS.NET.
B.ROOT-SERVERS.NET. 3600000 A 192.228.79.201
;
; formerly C.PSI.NET
;
. 3600000 NS C.ROOT-SERVERS.NET.
C.ROOT-SERVERS.NET. 3600000 A 192.33.4.12
;
; formerly TERP.UMD.EDU
;
. 3600000 NS D.ROOT-SERVERS.NET.
D.ROOT-SERVERS.NET. 3600000 A 128.8.10.90
;
; formerly NS.NASA.GOV
;
. 3600000 NS E.ROOT-SERVERS.NET.
E.ROOT-SERVERS.NET. 3600000 A 192.203.230.10
;
; formerly NS.ISC.ORG
;
. 3600000 NS F.ROOT-SERVERS.NET.
F.ROOT-SERVERS.NET. 3600000 A 192.5.5.241
;
; formerly NS.NIC.DDN.MIL
;
. 3600000 NS G.ROOT-SERVERS.NET.
G.ROOT-SERVERS.NET. 3600000 A 192.112.36.4
;
; formerly AOS.ARL.ARMY.MIL
;
. 3600000 NS H.ROOT-SERVERS.NET.
H.ROOT-SERVERS.NET. 3600000 A 128.63.2.53
;
; formerly NIC.NORDU.NET
;
. 3600000 NS I.ROOT-SERVERS.NET.
I.ROOT-SERVERS.NET. 3600000 A 192.36.148.17
;
; operated by VeriSign, Inc.
;
. 3600000 NS J.ROOT-SERVERS.NET.
J.ROOT-SERVERS.NET. 3600000 A 192.58.128.30
;
; operated by RIPE NCC
;
. 3600000 NS K.ROOT-SERVERS.NET.
K.ROOT-SERVERS.NET. 3600000 A 193.0.14.129
;
; operated by ICANN
;
. 3600000 NS L.ROOT-SERVERS.NET.
L.ROOT-SERVERS.NET. 3600000 A 198.32.64.12
;
; operated by WIDE
;
. 3600000 NS M.ROOT-SERVERS.NET.
M.ROOT-SERVERS.NET. 3600000 A 202.12.27.33
; End of File



Добавлено:
форвардинг то тож прописан на ДНС провайдера в файле named.conf.


может у кого есть ссылки полезные по настройке в случае домена не имеется, буду благодарен

Доброе время суток!
Вопрос уже не новый, но по-моему актуальный!
Необходимо настроить Win2003 AD для работы с внешним ДНС (FreeBSD + BIND9).
Нашел пару сайтов:
http://www.ibiblio.org/gferg/ldp/BIND+AD-HOWTO/BIND+AD-HOWTO.html
http://www.nominum.com/getOpenSourceResource.php?id=6#faq_96
http://www.microsoft.com/technet/archive/interopmigration/linux/mvc/cfgbind.mspx?mfr=true
на которых описаны особенности таких настроек.

Кто пытался реализовать взаимодействие AD и BIND ?! Может кто-то может подсказать другие ресурсы на которых можно прочитать о таком взаимодействии.

С выходом 7 ветки данная статья
http://ru-board.com/new/article.php?sid=161
более не актуальна

Локальный резолвер теперь встроен и эти строки не нужны


Цитата:

// Настраиваем обратное отображение
// для адреса 127.0.0.1:
zone "0.0.127.in-addr.arpa" {
type master;
file "localhost.rev";
notify no; };

Также не требуется создавать файл localhost.rev, поэтому скрипт make-localhost даже не присутствует в системе.

Подробности здесь

Для уменьшения трафика рекомендуют следующий подход (пример для локальной сетки 192.168.1.0/24)

Цитата:

#Example of a slave reverse zone
zone "1.168.192.in-addr.arpa" {
    type slave;
    file "slave/1.168.192.in-addr.arpa";
    masters {
        192.168.1.1;
    };
};

господа эксперты помогите пожалуйста с настройкой кэширующего BIND'а
на самом серваке все пашет, на команду dig @127.0.0.1 ya.ru реагирует адекватно, но клиенты при указанном днсе этого сервака не могут подключиться к инету, если указать вышестоящий то все пашет...

newhk
Цитата:

клиенты при указанном днсе этого сервака

какой айпи указан? bind9 слушает на этом айпи? поди клиентам написал 127.0.0.1? Забудь про 127.0.0.1. Указывай айдрес бинда в локальной сети и bind9 должен слушать на этом адресе.
Статья этим 127.0.0.1 путает новичков.
options {
directory "/var/named";
listen-on { твой_локал_ip; 127.0.0.1; };

этот "твой_локал_ip" и будешь указывать клиентам.

спасибо огромное, поставил адрес смотрящий в локалку и все заработало =)

newhk Еще про allow-recursion не забудь:
options {
allow-recursion { твой_локал_net; };

спс

Товарисчи!!!
подскажите плз, тут столкнулся с траблой - на серваке настроен BIND9 и пашет вроде как без проблем, только вот у провайдера есть своя внутренняя зона ( в моем случае .zet ) так вот в эту зону попасть можно только если на машине, которая хочет в неё попасть выставлен как основной DNS прова.
Я не знаю как объяснить BIND9, что запросы на эту зону нужно спрашивать у конкретного DNS'а...
если спросить host -v zet то в ответ получим. что ни кого с таким именем он не знает... а знает он или если ему в resolv.conf указать DNS прова 1-ой строчкой или запрос в ручную на него сбагрить host -v zet 192.168.248.21.
Вариант выставить на всех клиентах DNS прова основным, а локальный вторым как-то не красиво выглядит.
Хотелось бы решение на уровне DNS сервера...

Alukardd

Цитата:

подскажите плз, тут столкнулся с траблой - на серваке настроен BIND9 и пашет вроде как без проблем, только вот у провайдера есть своя внутренняя зона ( в моем случае .zet ) так вот в эту зону попасть можно только если на машине, которая хочет в неё попасть выставлен как основной DNS прова.

Это вроде как условная пересылка, не?

Попробуй добавить зону .zet в named.conf
Приблизительно так:

Цитата:

zone ".zet" {
type forward;
forward only;
forwarders { 1.2.3.4; };
};

Либо так (народ советовал, но я не проверял):

Цитата:

zone ".zet" {
type stub;
masters { 1.2.3.4; };
};

Где 1.2.3.4 это IP адрес DNS провайдера

Ruza
спасиб. всё пашет...
будем дальше познавать мир

Как-то темку забросили... Ну так я подниму)

В общем имеется debian сервачок с BIND9 на броту.
У регистратора вместе с покупкой доменного имени был предоставлен халявный DNS, ну я им и пользовался, утомил он меня - своё как-то ближе и теплее.
Раньше bind работал как кэширующий dns для локалки, теперь он еще и зону обслуживает. Но проблема в том, что зона обратного просмотра не работает на внешних dns.
[more=прямой запрос]host -v domain.org 8.8.8.8
Trying "domain.org"
Using domain server:
Name: 8.8.8.8
Address: 8.8.8.8#53
Aliases:

;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 64597
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;domain.org.            IN    A

;; ANSWER SECTION:
domain.org.        40890    IN    A    x.y.z.w

Received 46 bytes from 8.8.8.8#53 in 49 ms
Trying "domain.org"
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 17148
;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 0

;; QUESTION SECTION:
;domain.org.            IN    AAAA

;; AUTHORITY SECTION:
domain.org.        600    IN    SOA    ns.domain.org. admin.domain.org. 2010110104 14400 3600 2592000 600

Received 75 bytes from 8.8.8.8#53 in 217 ms
Trying "domain.org"
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 8416
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;domain.org.            IN    MX

;; ANSWER SECTION:
domain.org.        40889    IN    MX    400 domain.org.

Received 46 bytes from 8.8.8.8#53 in 49 ms[/more] и [more=обратный запрос]host -v x.y.z.w 8.8.8.8
Trying "w.z.y.x.in-addr.arpa"
Using domain server:
Name: 8.8.8.8
Address: 8.8.8.8#53
Aliases:

Host w.z.y.x.in-addr.arpa. not found: 3(NXDOMAIN)
Received 99 bytes from 8.8.8.8#53 in 100 ms[/more] - ну соответсвенно сидя в локалке я делал запросы через google dns ибо знутри обратный запрос прекрасно выполгяется - [more= обратный запрос изнутри]host -v x.y.z.w
Trying "w.z.y.x.in-addr.arpa"
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 47785
;; flags: qr aa rd ra; QUERY: 1, ANSWER: 5, AUTHORITY: 2, ADDITIONAL: 2

;; QUESTION SECTION:
;w.z.y.x.in-addr.arpa.    IN    PTR

;; ANSWER SECTION:
w.z.y.x.in-addr.arpa. 604800 IN    PTR    ns.domain.org.
w.z.y.x.in-addr.arpa. 604800 IN    PTR    host.domain.org.
w.z.y.x.in-addr.arpa. 604800 IN    PTR    mail.domain.org.
w.z.y.x.in-addr.arpa. 604800 IN    PTR    domain.org.
w.z.y.x.in-addr.arpa. 604800 IN    PTR    mx.domain.org.

;; AUTHORITY SECTION:
w.z.y.x.in-addr.arpa. 604800 IN    NS    ns.domain.org.
w.z.y.x.in-addr.arpa. 604800 IN    NS    ns2.domain.org.

;; ADDITIONAL SECTION:
ns.domain.org.    86400    IN    A    x.y.z.w
ns2.domain.org.    86400    IN    A    x.y.z.w

Received 207 bytes from 172.17.0.1#53 in 2 ms[/more].

В чем трабла? Вообще вся заморуха из-за mail.ru, который письма reject'ит со словами нема DNS PTR. К слову DNS от регистратора тоже не давал норм общаться с mail.ru - но у него я вообще не имел доступа к настройке обратной зоны - видимо автоматом генерилась. Какие ответы на запросы выдавала щас уже не скажу.

Alukardd
Цитата:

DNS от регистратора тоже не давал норм общаться с mail.ru

Таки дело в том, что регистратор к обратной зоне отношения никакого не имеет. Ею рулит провайдер (или хозяин данного пула адресов). Соответственно прописать обратную зону нужно либо просить провайдера (если хостов мало), либо просить делегировать ее. Тогда провайдер ставит в своем ДНС зону 30.134.188.in-addr.arpa (либо 128/26.30.134.188.in-addr.arpa если выданы только адреса с 188.134.30.128 по 188.134.30.191) как слэйв, и все запросы шлет мастеру, т.е. ns.domain.org. Иначе, каких обратных зон не прописывай, знать об этом никто не будет.

vlary
выдан единственный адрес...
и если честно я не совсем понимаю причем тут DNS провайдера? типа IP принадлежит ему, и запрос придет на его DNS?
И тогда обратную зону надо прописать как slave уже с forward на провайдера? или наоборот я останусь master, а он будет читать её?

Alukardd

Цитата:

И тогда обратную зону надо прописать как slave уже с forward на провайдера? или наоборот я останусь master, а он будет читать её?

Не надо ничего прописывать, а просто позвонить/написать провайдеру что бы он сделал запись у себя в обратной зоне... Все твои записи, на твоём сервер будут не "авторитетными" и будут игнорироваться ВСЕМИ внешними серверами.


Цитата:

типа IP принадлежит ему, и запрос придет на его DNS?

В точку.

Ruza
Цитата:

Все твои записи, на твоём сервер будут не "авторитетными" и будут игнорироваться ВСЕМИ внешними серверами.

э-э насяльника, а что если что-то менять опять прову писать/звонить? нельзя ли делигировать на меня эту зону/адрес, что бы я сам рулил поцессом?

Alukardd
Цитата:

нельзя ли делигировать на меня эту зону/адрес

Зону можно, адрес нельзя. Т.е., если есть пул в 16/32/64, не говоря уж о классах С/В/А, то но проблем, а один адрес - это прову проще ручками прописать.

vlary, Ruza
Скажите тогда пожалуйста, а мне от обратной зоны что реально надо? у меня щас правильный [more=конфиг]$ORIGIN w.z.y.x.in-addr.arpa.
$TTL 604800
@ IN SOA ns.domain.org. admin.domain.org. (
         2010110104        ; Serial
             604800        ; Refresh
             86400        ; Retry
            2419200        ; Expire
             604800 ; Negative Cache TTL
)
;
@ IN NS ns.domain.org.
@ IN NS ns2.domain.org.
IN PTR host.domain.org.
IN PTR domain.org.
IN PTR ns.domain.org.
IN PTR mail.domain.org.
IN PTR mx.domain.org.
[/more], если я им такие же настройки отдам? или достаточно одной PTR записи на domain.org.?

Alukardd
Тебе надо только PTR в основном для почтовых серверов. Твой конфиг прову не нужен, у него свой есть, где он просто запишет:
111.122.233.244 = domain.com или host.domain.com

Alukardd

Цитата:

а мне от обратной зоны что реально надо?

Реально надо, чтобы nslookup mail.domain.org давало 111.122.233.244, а nslookup 111.122.233.244 давало mail.domain.org
И тогда все будет шоколадно. А если nslookup 111.122.233.244 не дает ничего или дает что-то типа 111.122.233.244.adsl.pool.provider.net, то это веревка.