Jump to content

Обратная зона DNS

lemosh

By lemosh,
in For newbies

 Share Followers 1

Recommended Posts

lemosh

lemosh 60

Posted
Posted

Настроил свой ДНС сервер (bind). настроил обратную зону для блока своих IP-адресов (BGP. /24 сеть). Все работает. А как теперь передать "всем остальным" ДНС-серверам PTR-записи с моего DNS сервера? 

Link to post
Share on other sites
lemosh

lemosh 60

Posted
  • Author
Posted

Адреса в аренде, ответ от арендодателя пришел такой:

К сожалению, согласно внутренней политике нашей организации мы не передаем управление DNS. 
В том числе, для того, чтобы избежать злоупотребления со стороны клиента из-за отсутсвия опыта или какой-либо другой причины.

Для того, чтобы делегировать управление обратными зонами на ваш ДНС мне необходимо, чтобы вы прислали минимум 2 ДНС сервера в 
формате FQDN, настроенных на прием обратных зон. Оба DNS сервера должны отвечать на запросы из-вне по TCP.

Поднял 2 сервера с bind: master и slave. Локально все работает.

С мира вижу открыты порты TCP/53 и UDP/53

 

Не могу немного понять параметры в настройках bind:

        allow-query     { localhost; А.В.С.0/24;};
        allow-transfer { any; };
allow-query - это кому можно отвечать по порту UDP/53?
allow-transfer - тут прописываю кому можно отдавать мою зону?
 
А.В.С.0/24 - моя белая сетка. Хочу чтобы на запросы ДНС сервер отвечал только моих клиентам, для других сетей был недоступен. А зоны мог бы отдать всем желающим. Правильно ли я сделал настройки этих параметров в bind? 
 
Link to post
Share on other sites
Ромка

Ромка 567

Posted
Posted (edited)

 

Адреса в аренде, ответ от арендодателя пришел такой:

К сожалению, согласно внутренней политике нашей организации мы не передаем управление DNS. 
В том числе, для того, чтобы избежать злоупотребления со стороны клиента из-за отсутсвия опыта или какой-либо другой причины.

Для того, чтобы делегировать управление обратными зонами на ваш ДНС мне необходимо, чтобы вы прислали минимум 2 ДНС сервера в 
формате FQDN, настроенных на прием обратных зон. Оба DNS сервера должны отвечать на запросы из-вне по TCP.

Поднял 2 сервера с bind: master и slave. Локально все работает.

С мира вижу открыты порты TCP/53 и UDP/53

 

Не могу немного понять параметры в настройках bind:

        allow-query     { localhost; А.В.С.0/24;};
        allow-transfer { any; };
allow-query - это кому можно отвечать по порту UDP/53?
allow-transfer - тут прописываю кому можно отдавать мою зону?
 
А.В.С.0/24 - моя белая сетка. Хочу чтобы на запросы ДНС сервер отвечал только моих клиентам, для других сетей был недоступен. А зоны мог бы отдать всем желающим. Правильно ли я сделал настройки этих параметров в bind? 
 

 

 allow-query { any; }; - Отвечать нужно всем
 allow-transfer { xxx.xxx.xxx.xxx; yyy.yyy.yyy.yyy; }; - Тут IP адреса ваших слейвов.
Edited by Ромка
Link to post
Share on other sites
muff

muff 116

Posted
Posted

Для глобальной конфигурации allow-query указали правильно.

Параметр allow-transfer - неверно. Здесь укажите IP, с которого slave будет коннектиться к master.

 

В описании домена параметр allow-query установите в значение any. Записи домена будем всем "отдавать" :)

Link to post
Share on other sites
muff

muff 116

Posted
Posted (edited)

 

 

Адреса в аренде, ответ от арендодателя пришел такой:

К сожалению, согласно внутренней политике нашей организации мы не передаем управление DNS. 
В том числе, для того, чтобы избежать злоупотребления со стороны клиента из-за отсутсвия опыта или какой-либо другой причины.

Для того, чтобы делегировать управление обратными зонами на ваш ДНС мне необходимо, чтобы вы прислали минимум 2 ДНС сервера в 
формате FQDN, настроенных на прием обратных зон. Оба DNS сервера должны отвечать на запросы из-вне по TCP.

Поднял 2 сервера с bind: master и slave. Локально все работает.

С мира вижу открыты порты TCP/53 и UDP/53

 

Не могу немного понять параметры в настройках bind:

        allow-query     { localhost; А.В.С.0/24;};
        allow-transfer { any; };
allow-query - это кому можно отвечать по порту UDP/53?
allow-transfer - тут прописываю кому можно отдавать мою зону?
 
А.В.С.0/24 - моя белая сетка. Хочу чтобы на запросы ДНС сервер отвечал только моих клиентам, для других сетей был недоступен. А зоны мог бы отдать всем желающим. Правильно ли я сделал настройки этих параметров в bind? 
 

 

 allow-query { any; }; - Отвечать нужно всем
 allow-transfer { xxx.xxx.xxx.xxx; yyy.yyy.yyy.yyy; }; - Тут IP адреса ваших слейвов.

 

 

Если в глобальной конфигурации укажем allow-query { any; } - получим Open Resolver, который через короткое время начнут использовать для проведения DDoS...

Edited by muff
Link to post
Share on other sites
Ромка

Ромка 567

Posted
Posted (edited)

 

 

 

Адреса в аренде, ответ от арендодателя пришел такой:

К сожалению, согласно внутренней политике нашей организации мы не передаем управление DNS. 
В том числе, для того, чтобы избежать злоупотребления со стороны клиента из-за отсутсвия опыта или какой-либо другой причины.

Для того, чтобы делегировать управление обратными зонами на ваш ДНС мне необходимо, чтобы вы прислали минимум 2 ДНС сервера в 
формате FQDN, настроенных на прием обратных зон. Оба DNS сервера должны отвечать на запросы из-вне по TCP.

Поднял 2 сервера с bind: master и slave. Локально все работает.

С мира вижу открыты порты TCP/53 и UDP/53

 

Не могу немного понять параметры в настройках bind:

        allow-query     { localhost; А.В.С.0/24;};
        allow-transfer { any; };
allow-query - это кому можно отвечать по порту UDP/53?
allow-transfer - тут прописываю кому можно отдавать мою зону?
 
А.В.С.0/24 - моя белая сетка. Хочу чтобы на запросы ДНС сервер отвечал только моих клиентам, для других сетей был недоступен. А зоны мог бы отдать всем желающим. Правильно ли я сделал настройки этих параметров в bind? 
 

 

 allow-query { any; }; - Отвечать нужно всем
 allow-transfer { xxx.xxx.xxx.xxx; yyy.yyy.yyy.yyy; }; - Тут IP адреса ваших слейвов.

 

 

Если в глобальной конфигурации укажем allow-query { any; } - получим Open Resolver, который через короткое время начнут использовать для проведения DDoS...

 

Я имел ввиду именно в описании зоны.

/etc/bind$ cat named.conf.options
acl my_network {
        aaa.bbb.ccc.0/24;
        10.0.0.0/8;
        172.16.0.0/12;
        192.168.0.0/16;
        127.0.0.0/8;
        };

acl my_secondary {
        aaa.bbb.ccc.ddd;
        };

acl ripe_ncc {
        193.0.19.193/32;
        };

options {
    directory "/var/cache/bind";
    auth-nxdomain no;
    listen-on-v6 { none; };
    allow-transfer { my_secondary; };
    allow-query { my_network; ripe_ncc;  };
    allow-query-cache { my_network; ripe_ncc; };
};


cat named.conf.local
//
// Do any local configuration here
//

// Consider adding the 1918 zones here, if they are not used in your
// organization
//include "/etc/bind/zones.rfc1918";


zone "zzz.yyy.xxx.in-addr.arpa" {
        type master;
        file "/var/lib/bind/zzz.yyy.xxx.rev";
        allow-query { any; };
        allow-transfer { my_secondary; ripe_ncc; };
        notify yes;
        };
Edited by Ромка
Link to post
Share on other sites
foreverok

foreverok 95

Posted
Posted

Тут судя по всему ошибка в конфиге.

Попробуйте так:

zone "zzz.yyy.xxx.in-addr.arpa" {
        type master;
        file "/var/lib/bind/zzz.yyy.xxx.rev";
                options {
                        allow-query { any; };
                        allow-transfer { my_secondary; ripe_ncc; };
                        notify yes;
                };
        };
Link to post
Share on other sites
Ромка

Ромка 567

Posted
Posted

 

Тут судя по всему ошибка в конфиге.

Попробуйте так:

zone "zzz.yyy.xxx.in-addr.arpa" {
        type master;
        file "/var/lib/bind/zzz.yyy.xxx.rev";
                options {
                        allow-query { any; };
                        allow-transfer { my_secondary; ripe_ncc; };
                        notify yes;
                };
        };

Слито с работающего DNS сервера

Link to post
Share on other sites
lemosh

lemosh 60

Posted
  • Author
Posted

в описании зоны все понятно. В глобальных настройках.

Вот мой текущий конфиг:

//
// named.conf
//
// Provided by Red Hat bind package to configure the ISC BIND named(8) DNS
// server as a caching only nameserver (as a localhost DNS resolver only).
//
// See /usr/share/doc/bind*/sample/ for example named configuration files.
//
// See the BIND Administrator's Reference Manual (ARM) for details about the
// configuration located in /usr/share/doc/bind-{version}/Bv9ARM.html

options {
        listen-on port 53 { 95.46.76.5; };
        forwarders { 8.8.8.8; 4.2.2.4; 8.8.4.4; 4.2.2.1; 208.67.222.222;};
        listen-on-v6 port 53 { none; };
        directory       "/var/named";
        dump-file       "/var/named/data/cache_dump.db";
        statistics-file "/var/named/data/named_stats.txt";
        memstatistics-file "/var/named/data/named_mem_stats.txt";
        allow-query     { localhost; 95.46.76.0/24;};
        allow-transfer { any; };

        /*
         - If you are building an AUTHORITATIVE DNS server, do NOT enable recursion.
         - If you are building a RECURSIVE (caching) DNS server, you need to enable
           recursion.
         - If your recursive DNS server has a public IP address, you MUST enable access
           control to limit queries to your legitimate users. Failing to do so will
           cause your server to become part of large scale DNS amplification
           attacks. Implementing BCP38 within your network would greatly
           reduce such attack surface
        */
        recursion yes;

        dnssec-enable yes;
        dnssec-validation yes;

        /* Path to ISC DLV key */
        bindkeys-file "/etc/named.iscdlv.key";

        managed-keys-directory "/var/named/dynamic";

        pid-file "/run/named/named.pid";
        session-keyfile "/run/named/session.key";
};

logging {
        channel default_debug {
                file "data/named.run";
                severity dynamic;
        };

zone "nasha.net.ua" {
        type master;
        file "nasha.net.ua";
        allow-transfer { 95.46.76.2; };
        allow-update { none; };
};
zone "76.46.95.in-addr.arpa" {
    type master;
    allow-transfer { 95.46.76.2; };
    file "76.46.95.nasha.net.ua";
};

include "/etc/named.rfc1912.zones";
include "/etc/named.root.key";

на втором сервере для зон соответственно прописано что слейв и получает от мастера конфигурацию зон

 

задача:

разрешить доступ к ДНС серверу по UDP/53 только моим клиентам, а к порту TCP/53 - райпу ну или всем желающим (???) для получения информации о моих зонах

Может этой фаирволом делать нужно? Или я что-то неправильно понимаю в этом всем?

Link to post
Share on other sites
lemosh

lemosh 60

Posted
  • Author
Posted

или достаточно разрешить доступ к зонам для трансфера для моего секондари сервера и 193.0.19.193/32; как в примере выше?

Link to post
Share on other sites
lemosh

lemosh 60

Posted
  • Author
Posted

Для глобальной конфигурации allow-query указали правильно.

Параметр allow-transfer - неверно. Здесь укажите IP, с которого slave будет коннектиться к master.

 

В описании домена параметр allow-query установите в значение any. Записи домена будем всем "отдавать" :)

 

 

выше мой полный конфиг, я так понял нужно сделать так:

//        allow-transfer { any; }; -- просто комментирую эту строку или изменить на none в глобальной конфигурации ???


zone "nasha.net.ua" {
        type master;
        file "nasha.net.ua";
        allow-transfer { 95.46.76.2; };
        allow-update { none; };
        allow-query { any;};
};
zone "76.46.95.in-addr.arpa" {
    type master;
    allow-transfer { 95.46.76.2; };
    file "76.46.95.nasha.net.ua";
    allow-query { any;};
};

а со слейвом что делать тогда?

также добавить в настройки зон  allow-query { any;};?

Link to post
Share on other sites
lemosh

lemosh 60

Posted
  • Author
Posted

Слейвы перечисляем в allow-transfer.

это понятно

на сервере в котором тип зоны указан слейв также нужно указать  allow-query { any;}; в параметрах зоны?

Link to post
Share on other sites
lemosh

lemosh 60

Posted
  • Author
Posted

Нашел вот такой ресурс: https://www.reg.ru/nettools/dig

указываю свой домен и адрес своего ДНС сервера - получаю ответ.

также получаю ответ от своего ДНС сервера через этот сайт на запрос 2.76.46.95.in-addr.arpa

На другие запросы с мира мой ДНС не отвечает, локально все работает. Судя по всему настроил все как и хотел

 

От RIPE приходит такое:

Modify FAILED: [domain] 76.46.95.in-addr.arpa

domain:         76.46.95.in-addr.arpa
descr:          **************************
nserver:        nss1.nasha.net.ua
nserver:        nss2.nasha.net.ua
admin-c:        ***************************
tech-c:        ************************
zone-c:         *************************
mnt-by:        **************************
source:         RIPE

***Error:   No common nameserver IP addresses between child () and parent
           (95.46.76.2; 95.46.76.5).

***Error:   Parent has nameserver(s) not listed at the child (nss1.nasha.net.ua;
           nss2.nasha.net.ua).

***Error:   None of the nameservers listed at the parent are listed at the
           child.

Не могу понять что они от меня хотят ;)

Link to post
Share on other sites
lemosh

lemosh 60

Posted
  • Author
Posted

так ваши nss обраткой не той светят :)

нужно сделать обратную зону для IP неймсерверов 95.46.76.5 - nss1.nasha.net.ua и 95.46.76.2 - nss1.nasha.net.ua. По-другому дела не будет?

Link to post
Share on other sites
mixtery

mixtery 123

Posted
Posted

нужно сделать обратную зону для IP неймсерверов 95.46.76.5 - nss1.nasha.net.ua и 95.46.76.2 - nss1.nasha.net.ua. По-другому дела не будет?

Если экономите адреса, впишите ns'ы как mail.nasha.net.ua и www.nasha.net.ua соответственно.

Link to post
Share on other sites
ttttt

ttttt 195

Posted
Posted (edited)

Вот у вас что нсы возвращают:

 

76.46.95.in-addr.arpa. 3600 IN SOA nss1.nasha.net.ua. admin.nasha.net.ua.76.46.95.in-addr.arpa. 201710248 3600 900 3600000 3600

2.76.46.95.in-addr.arpa. 3600 IN PTR nss2.nasha.net.ua.

76.46.95.in-addr.arpa. 3600 IN NS localhost.

 

Какая-то белеберда в SOA, должно быть без зачеркнутого. Потом NS должно быть две записи и указывать на реальные нсы зоны, а не на локалхост, тоже не то. После изменений не забывайте инкрементить серийный номер на единичку.

 

Еще TTL везде до 60 секунд опустите, а то запаритесь с обновлением записей. Т.е. вместо 3600 везде 60 и вместо 3600 900 3600000 3600 тоже 60 60 60 60.

Edited by ttttt
Link to post
Share on other sites
lemosh

lemosh 60

Posted
  • Author
Posted

Вот у вас что нсы возвращают:

 

76.46.95.in-addr.arpa. 3600 IN SOA nss1.nasha.net.ua. admin.nasha.net.ua.76.46.95.in-addr.arpa. 201710248 3600 900 3600000 3600

2.76.46.95.in-addr.arpa. 3600 IN PTR nss2.nasha.net.ua.

76.46.95.in-addr.arpa. 3600 IN NS localhost.

 

Какая-то белеберда в SOA, должно быть без зачеркнутого. Потом NS должно быть две записи и указывать на реальные нсы зоны, а не на локалхост, тоже не то. После изменений не забывайте инкрементить серийный номер на единичку.

 

Еще TTL везде до 60 секунд опустите, а то запаритесь с обновлением записей. Т.е. вместо 3600 везде 60 и вместо 3600 900 3600000 3600 тоже 60 60 60 60.

исправил....

 

 

А может RIPE ругаться еще из-за того что для домена nasha.net.ua неймсервер указан не мой сервер, а другой?? Домен старый, а сервер ДНС только сейчас решил поднять....

Link to post
Share on other sites
ig0r

ig0r 25

Posted
Posted

 

 

Еще TTL везде до 60 секунд опустите, а то запаритесь с обновлением записей.
 

Шутите? Это ведь обратная зона! ​TTL в 60 секунд приведет к увеличению бесполезной нагрузки на ваш сервер, а если поразмыслить, то отрицательно повлияет и на нагрузку других устройств по всему миру. Берегите ресурсы планеты  :) 
 

Link to post
Share on other sites
mixtery

mixtery 123

Posted
Posted

А может RIPE ругаться еще из-за того что для домена nasha.net.ua неймсервер указан не мой сервер, а другой?? Домен старый, а сервер ДНС только сейчас решил поднять....

Абсолютно всё равно ему.

 

PTR дело сугубо провайдера ответственно за зону.

Link to post
Share on other sites

Create an account or sign in to comment

You need to be a member in order to leave a comment

Create an account

Sign up for a new account in our community. It's easy!

Register a new account

Sign in

Already have an account? Sign in here.

Sign In Now
 Share
Followers 1
Go to topic listing

  • Recently Browsing   0 members

    No registered users viewing this page.

  • Similar Content

    • forella
      домены, dns и рекурсивный поиск. теория.
      By forella
      Вопрос чисто для саморазвития.
      есть схема некоего домена (прикреплена), например en.microsoft.com
      не смог найти вот такую информацию, почему так исторически сложилось, что домен мы записываем как en.microsoft.com, а, например, поиск днс записи мы производим наоборот .(root servers)-->com-->microsoft-->en
      Как я понимаю, сначала появились корневые сервера и домены 1-2 уровня, затем уже все остальное, почему было не оставить написание доменов так как они резолвятся например com.microsoft.en
      Почему такой вопрос возник вдруг? Например вы попытаетесь незнающему человеку объяснить как работает днс, как мы ищем записи о домене, а в итоге прийдете к выводу что домен будете писать (например в браузере) в обратном порядке.

    • zabiyako
      Легально ли использовать 8.8.8.8 сегодня?
      By zabiyako
      Легально ли использовать 8.8.8.8 сегодня?
      Subj
    • a_n_h
      использование публичных DNS
      By a_n_h
      Какие публичные DNS лучше использовать при настройке своего кеширующего сервера?
    • DenimMark
      DNS сервер обновити
      By DenimMark
      Доброго дня.
       
      DNS сервера старенькі працюють на FreeBSD старенькій. Потрібно обновити. Тип ОС не грає ролі. Може хтось робив і може порадити ОС, версію та сам сервер, що ставився без проблем і працював без проблем.
       
      Дякую.
       
    • Daniil_
      ddos защита для ДНС
      By Daniil_
      Ищу партнера, который сможет предложить ddos защиту для dns only
      трафика мало, на днс порядка 10к доменов
       
      что нужно
      - пересылать только dns пакеты (53 порт)
      - чтобы при атаке по icmp dns пакеты продолжали пересылаться
      - при флуде на dns порт фильтровать запросы
       
      пробовали работать с компаниями, которые специализируются на защите web трафика, получили много проблем с тем, что dns запросы не все отрабатывали
       
×
×
  • Create New...