lemosh

это понятно на сервере в котором тип зоны указан слейв также нужно указать allow-query { any;}; в параметрах зоны?

А какие фильтры добавляли? Вот текущий рабочий конфиг: router bgp local-as ***** neighbor А.А.А.А remote-as 6703 neighbor А.А.А.А description vega neighbor А.А.А.А next-hop-self neighbor А.А.А.А timers keep-alive 20 hold-time 60 neighbor А.А.А.А soft-reconfiguration inbound neighbor В.В.В.В remote-as 21219 neighbor В.В.В.В description datagroup neighbor В.В.В.В next-hop-self neighbor В.В.В.В timers keep-alive 20 hold-time 60 neighbor В.В.В.В soft-reconfiguration inbound network С.С.С.0/24 neighbor А.А.А.А route-map in vega-in neighbor А.А.А.А route-map out vega-out neighbor В.В.В.В route-map in dg-in neighbor В.В.В.В route-map out dg-out ! route-map BRAS-out permit 100 match ip address prefix-list default route-map BRAS-out deny 200 ! route-map dg-in permit 100 match ip address prefix-list default set local-preference 50 route-map dg-in deny 200 ! route-map dg-out permit 100 match ip address prefix-list our-blocks set as-path prepend ***** route-map dg-out deny 200 ! route-map vega-in permit 100 match ip address prefix-list default route-map vega-in deny 200 ! route-map BRAS-in permit 100 match ip address prefix-list our-blocks route-map BRAS-in deny 200 ! route-map vega-out permit 100 match ip address prefix-list our-blocks route-map vega-out deny 200 !

выше мой полный конфиг, я так понял нужно сделать так: // allow-transfer { any; }; -- просто комментирую эту строку или изменить на none в глобальной конфигурации ??? zone "nasha.net.ua" { type master; file "nasha.net.ua"; allow-transfer { 95.46.76.2; }; allow-update { none; }; allow-query { any;}; }; zone "76.46.95.in-addr.arpa" { type master; allow-transfer { 95.46.76.2; }; file "76.46.95.nasha.net.ua"; allow-query { any;}; }; а со слейвом что делать тогда? также добавить в настройки зон allow-query { any;};?

или достаточно разрешить доступ к зонам для трансфера для моего секондари сервера и 193.0.19.193/32; как в примере выше?

в описании зоны все понятно. В глобальных настройках. Вот мой текущий конфиг: // // named.conf // // Provided by Red Hat bind package to configure the ISC BIND named(8) DNS // server as a caching only nameserver (as a localhost DNS resolver only). // // See /usr/share/doc/bind*/sample/ for example named configuration files. // // See the BIND Administrator's Reference Manual (ARM) for details about the // configuration located in /usr/share/doc/bind-{version}/Bv9ARM.html options { listen-on port 53 { 95.46.76.5; }; forwarders { 8.8.8.8; 4.2.2.4; 8.8.4.4; 4.2.2.1; 208.67.222.222;}; listen-on-v6 port 53 { none; }; directory "/var/named"; dump-file "/var/named/data/cache_dump.db"; statistics-file "/var/named/data/named_stats.txt"; memstatistics-file "/var/named/data/named_mem_stats.txt"; allow-query { localhost; 95.46.76.0/24;}; allow-transfer { any; }; /* - If you are building an AUTHORITATIVE DNS server, do NOT enable recursion. - If you are building a RECURSIVE (caching) DNS server, you need to enable recursion. - If your recursive DNS server has a public IP address, you MUST enable access control to limit queries to your legitimate users. Failing to do so will cause your server to become part of large scale DNS amplification attacks. Implementing BCP38 within your network would greatly reduce such attack surface */ recursion yes; dnssec-enable yes; dnssec-validation yes; /* Path to ISC DLV key */ bindkeys-file "/etc/named.iscdlv.key"; managed-keys-directory "/var/named/dynamic"; pid-file "/run/named/named.pid"; session-keyfile "/run/named/session.key"; }; logging { channel default_debug { file "data/named.run"; severity dynamic; }; zone "nasha.net.ua" { type master; file "nasha.net.ua"; allow-transfer { 95.46.76.2; }; allow-update { none; }; }; zone "76.46.95.in-addr.arpa" { type master; allow-transfer { 95.46.76.2; }; file "76.46.95.nasha.net.ua"; }; include "/etc/named.rfc1912.zones"; include "/etc/named.root.key"; на втором сервере для зон соответственно прописано что слейв и получает от мастера конфигурацию зон задача: разрешить доступ к ДНС серверу по UDP/53 только моим клиентам, а к порту TCP/53 - райпу ну или всем желающим (???) для получения информации о моих зонах Может этой фаирволом делать нужно? Или я что-то неправильно понимаю в этом всем?

Адреса в аренде, ответ от арендодателя пришел такой: К сожалению, согласно внутренней политике нашей организации мы не передаем управление DNS. В том числе, для того, чтобы избежать злоупотребления со стороны клиента из-за отсутсвия опыта или какой-либо другой причины. Для того, чтобы делегировать управление обратными зонами на ваш ДНС мне необходимо, чтобы вы прислали минимум 2 ДНС сервера в формате FQDN, настроенных на прием обратных зон. Оба DNS сервера должны отвечать на запросы из-вне по TCP. Поднял 2 сервера с bind: master и slave. Локально все работает. С мира вижу открыты порты TCP/53 и UDP/53 Не могу немного понять параметры в настройках bind: allow-query { localhost; А.В.С.0/24;}; allow-transfer { any; }; allow-query - это кому можно отвечать по порту UDP/53? allow-transfer - тут прописываю кому можно отдавать мою зону? А.В.С.0/24 - моя белая сетка. Хочу чтобы на запросы ДНС сервер отвечал только моих клиентам, для других сетей был недоступен. А зоны мог бы отдать всем желающим. Правильно ли я сделал настройки этих параметров в bind?

Всем спасибо! Суть понятна, буду делать

Настроил свой ДНС сервер (bind). настроил обратную зону для блока своих IP-адресов (BGP. /24 сеть). Все работает. А как теперь передать "всем остальным" ДНС-серверам PTR-записи с моего DNS сервера?

Раньше можно было тут http://ic-line.ua/ua-ponзаказать бесплатную книжку по PON. Сам с неё начинал несколько лет назад. На очень доступном языке описаны начальные понятия о ПОН. PS впринципе там же эта книга есть в электроном виде...

Крутые у вас магистралы. шутки-шутками, но в точку, недавно у одного из моих аплинков упала часть мира, пришлось вручную local pref менять чтобы трафик ушел через второго. Вот теперь понял для себя как решать эту проблему автоматически . Нужно брас новый чтобы пару FV в него влезло

Мдееее.....Ну просто интересно Мне всегда говорили если объем исходящего трафика на порядок меньше входящего то особого смысла в фуллвью нет. Если у вас датацентр-тогда исходящий трафик преобладает и нужен фуллвью. Поправьте если ошибаюсь....

А нафига провайдеру full view?С дефолтами я не думаю что будут проблемы

Разобрался: нужно было добавить фильтры для анонсирования своей сети

на микротике прописываю статик роут 0.0.0.0./0 шлюз 10.117.***.1.... т.е по идее весь трафик уходит на брокейд, а он дальше уже не пускает... А вообще по OSPF должен ли этот маршрут приходить автоматом или нет?

Задача банальна на Brocade FESX424 по BGP пришло 2 аплинка, по OSPF связаны между собой внутренние роутеры. BGP сессия подымается, пинги в мир с консоли ходят OSPF тоже подымается, правда маршрута с dst 0.0.0.0 никто не получает, все остальные локальные ус-ва видны в таблице маршрутизации и пингуются К Brocade FESX424 подключены Mikrotikи вот конфиг: Current configuration: ! ver 07.2.02kT3e3 ! ! ! ! vlan 91 by port untagged ethe 11 router-interface ve 91 ! vlan 92 by port untagged ethe 12 router-interface ve 92 ! vlan 99 by port tagged ethe 24 untagged ethe 1 ethe 3 router-interface ve 99 ! vlan 101 name adm_vlan by port tagged ethe 2 ethe 4 ethe 13 to 16 ethe 24 router-interface ve 1 ! ip route 192.168.***.0 255.255.255.0 192.168.***.1 ! ip router-id 10.117.***.1 username lemosh password ..... snmp-server community ..... ro clock timezone gmt GMT+02 no web-management hp-top-tools no web-management http router ospf area 0 ! interface ve 1 ip address 192.168.***.241 255.255.255.0 ! interface ve 91 ip access-group Incoming-From-Inside in ip address 195.2**.***.**0 255.255.255.240 ! interface ve 92 ip access-group Incoming-From-Inside in ip address 46.1**.***.*** 255.255.255.252 ! interface ve 99 ip address 10.117.***.1 255.255.255.0 ip ospf area 0 ip ospf md5-authentication key-id 1 key 1 $6\,-SGhn\ ! ! router bgp local-as 42146 neighbor 195.2**.***.*** remote-as 6703 neighbor 195.2**.***.*** description vega neighbor 195.2**.***.*** next-hop-self neighbor 195.2**.***.*** timers keep-alive 20 hold-time 60 neighbor 195.2**.***.*** soft-reconfiguration inbound neighbor 46.1**.***.*** remote-as 21219 neighbor 46.1**.***.*** description datagroup neighbor 46.1**.***.*** next-hop-self neighbor 46.1**.***.*** timers keep-alive 20 hold-time 60 neighbor 46.1**.***.*** soft-reconfiguration inbound ! ! ip access-list extended Incoming-From-Inside deny udp any any range netbios-ns netbios-ssn deny tcp any any range loc-srv netbios-ssn deny tcp any any eq microsoft-ds deny swipe any any deny mobile any any deny sun-nd any any deny pim any any deny icmp any any redirect deny ip 10.0.0.0 0.255.255.255 any deny ip 127.0.0.0 0.255.255.255 any deny ip 172.16.0.0 0.15.255.255 any deny ip 192.168.0.0 0.0.255.255 any permit ip any any ! ! ! ! ! ! ! end что могу пропустить?

спробуйте Outer TPID 88А8 замінити на 8100 на всіх портах і потім Enable попробовал... трафик ходит только в тех вланах, которые есть в списке вланов.... тоже что и без QinQ

Значит менять коммутатор на что-то постарше, пробовать серию DGS-1510 ок, тогда проще в L3 всунуть SFP RJ45 , порты пока свободные есть

вот настройки QinQ в вэб-морде... делаю просто enable и apply - трафик в влан101 перестает ходить вот настройки вланов текущие DGS-1100-10/ME:5# show vlan Command: show vlan VID : 1 VLAN NAME : default VLAN Type : Static Member Ports : Untagged Ports : VID : 99 VLAN NAME : vlan99_ospf VLAN Type : Static Member Ports : 1,10 Untagged Ports : VID : 101 VLAN NAME : adm_vlan VLAN Type : Static Member Ports : 1-10 Untagged Ports : 2-8 Total Entries : 3

когда QinQ включаю - перестает ходить

Сделайте из него тупарик. На старших моделях это делается примерно так: enable gvrp он эту команду не понимает.... DGS-1100-10/ME:5# enable gvrp Command: enable Next possible completions : 802.1x admin asymmetric_vlan authen_policy auto autoconfig autoimage clipaging command community_encryption ddp dhcp_local_relay dhcp_relay dhcpv6_relay flood_fdb igmp_snooping ipif_ipv6_link_local_auto ipv6 jumbo_frame lldp loopdetect mac_notification management mirror mld_snooping password pvid qinq rmon snmp sntp ssh syslog telnet trusted_host web QinQ есть, а GVRP - нет тогда другой

там то и управлять нечем, пусть отваливается после настройки... главное чтобы трафик бегал стабильно по портам....

ну вот в этой роли он и выступает , просто удобно что в одном корпусе Фокус з qinq ще можна спробувати подробнее?

его задача быть тупо медиаконвертором и через него DHCP сервер будет IP выдавать для станицы-заглушки... трафика там толком через него ходить не будет.... короче нихрена он теги не пропускает если нет ВЛАНа в списке ВЛАНов. Может есть еще идеи?

Сейчас последняя В083. Завтра поставлю на узел, посмотрю пропустит ли через себя VLANы которые в нем не прописаны

Есть D-LINK DGS-1100-10/ME. Задача: пропустить через него сотни полторы-две VLAN через 3 порта - один медный и два оптических. В меню не могу найти режим порта trunk, в настройках VLAN можно указать только 128 шт VLANов и назначить им порты tagged. Но 128 реально мало и вообще головняк столько ВЛАНов вручную забивать . Можно его как-то заставить не обрезать теги а передавать их другие порты без изменения? PS 1, 9 и 10 порт должны быть trunk, 2-8 порты untagged на них навешивается VLAN100, который доступен в портах trunk