SLAVE DNS BIND

Настройка сетевых служб, маршрутизации, фаерволлов. Проблемы с сетевым оборудованием.
Правила форума
Убедительная просьба юзать теги [code] при оформлении листингов.
Сообщения не оформленные должным образом имеют все шансы быть незамеченными.
posta
рядовой
Сообщения: 23
Зарегистрирован: 2011-04-05 12:48:50

SLAVE DNS BIND

Непрочитанное сообщение posta » 2011-09-02 8:42:42

Всем доброго дня,
Настроил авторитарный днс сервер bind на фрибсд.
Использовал view сlause для доменной зоны, чтобы разделить внешние и внутренние хосты.
Теперь стоит задача создать вторичный днс сервер. Впрочем уже сделал, она у меня обнавляется, но проблема в том что она не разделяет хосты на внешние и внутренние. Хотя должны были так делать, так как сохраняются в отдельные файлы.
это на первичном:

Код: Выделить всё

view "for_local_clients" {

	zone "."  {
	        type hint;
	        file "named.root";
	};

	zone "localhost" {
	        type master;
	        file "master/localhost.zone";
	     	allow-transfer { 127.0.0.1; };
		allow-query { 127.0.0.1; };
        };

	zone "0.0.127.IN-ADDR.ARPA" {       
		type master;
		file "master/localhost.rev";
		allow-transfer { 127.0.0.1; };
		allow-query { 127.0.0.1; };
        };

	match-clients {
		192.168.0.0/24;
	};
        zone "domanname" {
                type master;
                file "master/internal.domanname";

                allow-transfer {
					xxx.xxx.xxx.xxx;
					xxx.xxx.xxx.xxx;
                };
        };

	zone "0.168.192.IN-ADDR.ARPA" in{
		type master;
		file "reverse/in.0.168.192.rev";
		allow-transfer {
			xxx.xxx.xxx.xxx;
			xxx.xxx.xxx.xxx;
		};
	};

};

view "for_public_clients" {
	
	match-clients {
		"any";
	};
	
	zone "domanname"	{
		type master;
		file "master/external.domanname";

		allow-transfer {
			xxx.xxx.xxx.xxx;
			xxx.xxx.xxx.xxx;
		};
	};
	
	zone "0.168.192.IN-ADDR.ARPA" in{
		type master;
		file "reverse/ex.0.168.192.rev";
		allow-transfer {
			xxx.xxx.xxx.xxx;
			xxx.xxx.xxx.xxx;
		};
	};

};
а это на вторичном

Код: Выделить всё

view "for_local_clients" {

	zone "."  {
	        type hint;
	        file "named.root";
	};

	zone "localhost" {
	        type master;
	        file "master/localhost.zone";
	     	allow-transfer { 127.0.0.1; };
		allow-query { 127.0.0.1; };
        };

	zone "0.0.127.IN-ADDR.ARPA" {       
		type master;
		file "master/localhost.rev";
		allow-transfer { 127.0.0.1; };
		allow-query { 127.0.0.1; };
        };

	match-clients {
		192.168.0.0/24;
	};
        zone "domanname" {
			type slave;
			file "slave/internal.domanname";
			masters {
				xxx.xxx.xxx.xxx;
				xxx.xxx.xxx.xxx;
			};
        };

	zone "0.168.192.IN-ADDR.ARPA" in{
		type slave;
		file "slave/in.0.168.192.rev";
		masters {
			xxx.xxx.xxx.xxx;
			xxx.xxx.xxx.xxx;
		};
	};

};

view "for_public_clients" {
	
	match-clients {
		"any";
	};
	
	zone "domanname"	{
		type slave;
		file "slave/external.domanname";
		masters {
			xxx.xxx.xxx.xxx;
			xxx.xxx.xxx.xxx;
		};
	};
	
	zone "0.168.192.IN-ADDR.ARPA" in{
		type slave;
		file "slave/ex.0.168.192.rev";
		masters {
			xxx.xxx.xxx.xxx;
			xxx.xxx.xxx.xxx;
		};
	};

};
но при этом файлы slave/internal.domanname и slave/external.domanname получаются совершенно идентичны.
Как можно решить эту проблему? И вообще, это проблема?

Хостинговая компания Host-Food.ru
Хостинг HostFood.ru
 

Услуги хостинговой компании Host-Food.ru

Хостинг HostFood.ru

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

shlash
мл. сержант
Сообщения: 82
Зарегистрирован: 2007-10-21 13:34:58
Откуда: С.-Петербург
Контактная информация:

Re: SLAVE DNS BIND

Непрочитанное сообщение shlash » 2011-09-02 11:40:25

У вас на мастере определены два отображения: match-clients 192.168.0.0/24 и match-clients "все_остальные".
Нужно сделать так, чтобы запросы со вторичного, для получения внешнего отображения зон, имели адрес не входящий в диапазон 192.168.0.0/24.
Для получения внешнего отображения зон нужен отдельный сервер, находящийся во внешней адресной области.

shlash
мл. сержант
Сообщения: 82
Зарегистрирован: 2007-10-21 13:34:58
Откуда: С.-Петербург
Контактная информация:

Re: SLAVE DNS BIND

Непрочитанное сообщение shlash » 2011-09-02 11:45:47

Для внешних хостов абсолютно бессмысленно отдавать внутреннюю реверсную зону 0.168.192.IN-ADDR.ARPA

posta
рядовой
Сообщения: 23
Зарегистрирован: 2011-04-05 12:48:50

Re: SLAVE DNS BIND

Непрочитанное сообщение posta » 2011-09-02 11:50:14

shlash писал(а):У вас на мастере определены два отображения: match-clients 192.168.0.0/24 и match-clients "все_остальные".
Нужно сделать так, чтобы запросы со вторичного, для получения внешнего отображения зон, имели адрес не входящий в диапазон 192.168.0.0/24.
Для получения внешнего отображения зон нужен отдельный сервер, находящийся во внешней адресной области.
честно сказать я не очень понял "внешней адресной области".
У меня синхронизация идет, в этом нету проблем. Только вот вторичный не распознает файлы зоны для внешнего и для внутренного. Она обе сохраняет, но обьединяя обе.

posta
рядовой
Сообщения: 23
Зарегистрирован: 2011-04-05 12:48:50

Re: SLAVE DNS BIND

Непрочитанное сообщение posta » 2011-09-02 11:51:41

shlash писал(а):Для внешних хостов абсолютно бессмысленно отдавать внутреннюю реверсную зону 0.168.192.IN-ADDR.ARPA
ведь она и не отдается, или я неправ?

shlash
мл. сержант
Сообщения: 82
Зарегистрирован: 2007-10-21 13:34:58
Откуда: С.-Петербург
Контактная информация:

Re: SLAVE DNS BIND

Непрочитанное сообщение shlash » 2011-09-02 13:20:52

Какие у серверов собственные ip-адреса? Какие адреса забиты ххх.ххх?
slave/internal.domanname и slave/external.domanname это действительно два разных файла, а не хардлинк?
Логирование включали? Какие запросы приходят, какие ответы формируются?

Удалите из внешнего отображения zone "0.168.192.IN-ADDR.ARPA"

posta
рядовой
Сообщения: 23
Зарегистрирован: 2011-04-05 12:48:50

Re: SLAVE DNS BIND

Непрочитанное сообщение posta » 2011-09-02 14:46:44

shlash писал(а):Какие у серверов собственные ip-адреса? Какие адреса забиты ххх.ххх?
slave/internal.domanname и slave/external.domanname это действительно два разных файла, а не хардлинк?
Логирование включали? Какие запросы приходят, какие ответы формируются?

Удалите из внешнего отображения zone "0.168.192.IN-ADDR.ARPA"
У обоих серверов есть по два интерфейса, один для внешки (белый), другой для внутренней сети.
под ххх.ххх мастер файле айпи вторичного (один внешний, другой внутренний). В файле слайве тоже самое только айпи указывают на мастера.
Да, slave/internal.domanname и slave/external.domanname это действительно две разные файлы.
Как логирование включено. Уровень инфо.
на мастере:

Код: Выделить всё

02-Sep-2011 17:31:30.557 general: info: zone domanname/IN/for_local_clients: loaded serial 201108265
02-Sep-2011 17:31:30.557 general: info: zone localhost/IN/for_local_clients: loaded serial 201011023
02-Sep-2011 17:31:30.559 general: info: zone domanname/IN/for_public_clients: loaded serial 201108265
02-Sep-2011 17:31:30.560 notify: info: zone 0.168.192.IN-ADDR.ARPA/IN/for_local_clients: sending notifies (serial 201108265)
02-Sep-2011 17:31:30.560 notify: info: zone domanname/IN/for_local_clients: sending notifies (serial 201108265)
и это повторяется

на слайве:

Код: Выделить всё

02-Sep-2011 17:21:48.096 notify: info: client master_ip#61501: view for_public_clients: received notify for zone 'domanname'
02-Sep-2011 17:21:48.096 general: info: zone domanname/IN/for_public_clients: notify from master_ip#61501: zone is up to date
02-Sep-2011 17:21:48.096 notify: info: client master_ip#61501: view for_public_clients: received notify for zone 'domanname'
02-Sep-2011 17:21:48.096 general: info: zone domanname/IN/for_public_clients: notify from master_ip#61501: zone is up to date
02-Sep-2011 17:22:25.599 general: info: zone 0.168.192.IN-ADDR.ARPA/IN/for_local_clients: refresh: non-authoritative answer from master master_ip#53 (source 0.0.0.0#0)

posta
рядовой
Сообщения: 23
Зарегистрирован: 2011-04-05 12:48:50

Re: SLAVE DNS BIND

Непрочитанное сообщение posta » 2011-09-05 8:36:48

Неужели никто не пользовался view clause и не настраивал для него вторичный сервер?!

Аватара пользователя
Gamerman
капитан
Сообщения: 1717
Зарегистрирован: 2009-05-17 21:01:23
Откуда: Украина, Ужгород - Днепр
Контактная информация:

Re: SLAVE DNS BIND

Непрочитанное сообщение Gamerman » 2011-09-05 9:13:56

Локалка оба ДНС-сервера видит?
Глюк глюком вышибают!

posta
рядовой
Сообщения: 23
Зарегистрирован: 2011-04-05 12:48:50

Re: SLAVE DNS BIND

Непрочитанное сообщение posta » 2011-09-05 9:16:44

Да видит, и обе работают без проблем. Проблема в том что на слейве видны хосты которые не должны быть видимыми.

Аватара пользователя
Gamerman
капитан
Сообщения: 1717
Зарегистрирован: 2009-05-17 21:01:23
Откуда: Украина, Ужгород - Днепр
Контактная информация:

Re: SLAVE DNS BIND

Непрочитанное сообщение Gamerman » 2011-09-05 9:18:39

Видны - в смысле резольвятся?
А откуда запрос он правильно определяет?
Глюк глюком вышибают!

posta
рядовой
Сообщения: 23
Зарегистрирован: 2011-04-05 12:48:50

Re: SLAVE DNS BIND

Непрочитанное сообщение posta » 2011-09-05 9:23:10

Gamerman писал(а):Видны - в смысле резольвятся?
А откуда запрос он правильно определяет?
Да, резолвяться без проблем.
Например при запросе с мира не должнен быть видим хост жаббер.доменнайм.
Первичный сервер так и реагирует, тоесть говорит что незнает такой хост. А вот если спросить у вторичного, то он все с потрахами показывает.

Аватара пользователя
Gamerman
капитан
Сообщения: 1717
Зарегистрирован: 2009-05-17 21:01:23
Откуда: Украина, Ужгород - Днепр
Контактная информация:

Re: SLAVE DNS BIND

Непрочитанное сообщение Gamerman » 2011-09-05 9:28:44

Второй не за натом случайно?
Не, не в этом проблема. Не дочитал.
Последний раз редактировалось Gamerman 2011-09-05 9:30:58, всего редактировалось 1 раз.
Глюк глюком вышибают!

posta
рядовой
Сообщения: 23
Зарегистрирован: 2011-04-05 12:48:50

Re: SLAVE DNS BIND

Непрочитанное сообщение posta » 2011-09-05 9:30:58

Gamerman писал(а):Второй не за натом случайно?
Нет, имеет белый айпи.

Аватара пользователя
Gamerman
капитан
Сообщения: 1717
Зарегистрирован: 2009-05-17 21:01:23
Откуда: Украина, Ужгород - Днепр
Контактная информация:

Re: SLAVE DNS BIND

Непрочитанное сообщение Gamerman » 2011-09-05 9:31:45

Покажите настройки, как он получает с мастер-сервера записи.
Глюк глюком вышибают!

Аватара пользователя
Gamerman
капитан
Сообщения: 1717
Зарегистрирован: 2009-05-17 21:01:23
Откуда: Украина, Ужгород - Днепр
Контактная информация:

Re: SLAVE DNS BIND

Непрочитанное сообщение Gamerman » 2011-09-05 9:34:30

По ходу такая идея. Слейв обращается через серый АйПИ к мастеру и получает "внутренние" настройки.
Глюк глюком вышибают!

posta
рядовой
Сообщения: 23
Зарегистрирован: 2011-04-05 12:48:50

Re: SLAVE DNS BIND

Непрочитанное сообщение posta » 2011-09-05 9:39:03

На данный момент это кажется самым логичным объяснением. Уже поменял в настройках чтобы внутренний конфиг файл отдавал только только внутреннему адресу, а внешний конфиг файл отдавал только через белый айпи. Не помогает пока.

posta
рядовой
Сообщения: 23
Зарегистрирован: 2011-04-05 12:48:50

Re: SLAVE DNS BIND

Непрочитанное сообщение posta » 2011-09-05 9:43:57

shlash писал(а):У вас на мастере определены два отображения: match-clients 192.168.0.0/24 и match-clients "все_остальные".
Нужно сделать так, чтобы запросы со вторичного, для получения внешнего отображения зон, имели адрес не входящий в диапазон 192.168.0.0/24.
Для получения внешнего отображения зон нужен отдельный сервер, находящийся во внешней адресной области.
Кажется только теперь понял что вы имели ввиду. Спасибо за помощь. Проблема решена именно этим путем.

posta
рядовой
Сообщения: 23
Зарегистрирован: 2011-04-05 12:48:50

Re: SLAVE DNS BIND

Непрочитанное сообщение posta » 2011-09-05 9:45:18

posta писал(а):На данный момент это кажется самым логичным объяснением. Уже поменял в настройках чтобы внутренний конфиг файл отдавал только только внутреннему адресу, а внешний конфиг файл отдавал только через белый айпи. Не помогает пока.
А теперь работает! Забыл в конфиге вторичного забить соответствующие мастера.

posta
рядовой
Сообщения: 23
Зарегистрирован: 2011-04-05 12:48:50

Re: SLAVE DNS BIND

Непрочитанное сообщение posta » 2011-09-05 9:45:57

Gamerman писал(а):По ходу такая идея. Слейв обращается через серый АйПИ к мастеру и получает "внутренние" настройки.
Спасибо большое. Это была хорошая подсказка. Проблема решена.