Перейти до

Обратная зона DNS


Рекомендованные сообщения

Настроил свой ДНС сервер (bind). настроил обратную зону для блока своих IP-адресов (BGP. /24 сеть). Все работает. А как теперь передать "всем остальным" ДНС-серверам PTR-записи с моего DNS сервера? 

Ссылка на сообщение
Поделиться на других сайтах

http://muff.kiev.ua/content/back-resolv-dlya-bloka-ip-adresov

 

Только уже немного дизайн и ссылки страниц в RIPE поменялись. Но логика осталась та же...

Ссылка на сообщение
Поделиться на других сайтах

Адреса в аренде, ответ от арендодателя пришел такой:

К сожалению, согласно внутренней политике нашей организации мы не передаем управление DNS. 
В том числе, для того, чтобы избежать злоупотребления со стороны клиента из-за отсутсвия опыта или какой-либо другой причины.

Для того, чтобы делегировать управление обратными зонами на ваш ДНС мне необходимо, чтобы вы прислали минимум 2 ДНС сервера в 
формате FQDN, настроенных на прием обратных зон. Оба DNS сервера должны отвечать на запросы из-вне по TCP.

Поднял 2 сервера с bind: master и slave. Локально все работает.

С мира вижу открыты порты TCP/53 и UDP/53

 

Не могу немного понять параметры в настройках bind:

        allow-query     { localhost; А.В.С.0/24;};
        allow-transfer { any; };

allow-query - это кому можно отвечать по порту UDP/53?
allow-transfer - тут прописываю кому можно отдавать мою зону?
 
А.В.С.0/24 - моя белая сетка. Хочу чтобы на запросы ДНС сервер отвечал только моих клиентам, для других сетей был недоступен. А зоны мог бы отдать всем желающим. Правильно ли я сделал настройки этих параметров в bind? 
 
Ссылка на сообщение
Поделиться на других сайтах

 

Адреса в аренде, ответ от арендодателя пришел такой:

К сожалению, согласно внутренней политике нашей организации мы не передаем управление DNS. 
В том числе, для того, чтобы избежать злоупотребления со стороны клиента из-за отсутсвия опыта или какой-либо другой причины.

Для того, чтобы делегировать управление обратными зонами на ваш ДНС мне необходимо, чтобы вы прислали минимум 2 ДНС сервера в 
формате FQDN, настроенных на прием обратных зон. Оба DNS сервера должны отвечать на запросы из-вне по TCP.

Поднял 2 сервера с bind: master и slave. Локально все работает.

С мира вижу открыты порты TCP/53 и UDP/53

 

Не могу немного понять параметры в настройках bind:

        allow-query     { localhost; А.В.С.0/24;};
        allow-transfer { any; };

allow-query - это кому можно отвечать по порту UDP/53?
allow-transfer - тут прописываю кому можно отдавать мою зону?
 
А.В.С.0/24 - моя белая сетка. Хочу чтобы на запросы ДНС сервер отвечал только моих клиентам, для других сетей был недоступен. А зоны мог бы отдать всем желающим. Правильно ли я сделал настройки этих параметров в bind? 
 

 

 allow-query { any; }; - Отвечать нужно всем
 allow-transfer { xxx.xxx.xxx.xxx; yyy.yyy.yyy.yyy; }; - Тут IP адреса ваших слейвов.
Відредаговано Ромка
Ссылка на сообщение
Поделиться на других сайтах

Для глобальной конфигурации allow-query указали правильно.

Параметр allow-transfer - неверно. Здесь укажите IP, с которого slave будет коннектиться к master.

 

В описании домена параметр allow-query установите в значение any. Записи домена будем всем "отдавать" :)

Ссылка на сообщение
Поделиться на других сайтах

 

 

Адреса в аренде, ответ от арендодателя пришел такой:

К сожалению, согласно внутренней политике нашей организации мы не передаем управление DNS. 
В том числе, для того, чтобы избежать злоупотребления со стороны клиента из-за отсутсвия опыта или какой-либо другой причины.

Для того, чтобы делегировать управление обратными зонами на ваш ДНС мне необходимо, чтобы вы прислали минимум 2 ДНС сервера в 
формате FQDN, настроенных на прием обратных зон. Оба DNS сервера должны отвечать на запросы из-вне по TCP.

Поднял 2 сервера с bind: master и slave. Локально все работает.

С мира вижу открыты порты TCP/53 и UDP/53

 

Не могу немного понять параметры в настройках bind:

        allow-query     { localhost; А.В.С.0/24;};
        allow-transfer { any; };

allow-query - это кому можно отвечать по порту UDP/53?
allow-transfer - тут прописываю кому можно отдавать мою зону?
 
А.В.С.0/24 - моя белая сетка. Хочу чтобы на запросы ДНС сервер отвечал только моих клиентам, для других сетей был недоступен. А зоны мог бы отдать всем желающим. Правильно ли я сделал настройки этих параметров в bind? 
 

 

 allow-query { any; }; - Отвечать нужно всем
 allow-transfer { xxx.xxx.xxx.xxx; yyy.yyy.yyy.yyy; }; - Тут IP адреса ваших слейвов.

 

 

Если в глобальной конфигурации укажем allow-query { any; } - получим Open Resolver, который через короткое время начнут использовать для проведения DDoS...

Відредаговано muff
Ссылка на сообщение
Поделиться на других сайтах

 

 

 

Адреса в аренде, ответ от арендодателя пришел такой:

К сожалению, согласно внутренней политике нашей организации мы не передаем управление DNS. 
В том числе, для того, чтобы избежать злоупотребления со стороны клиента из-за отсутсвия опыта или какой-либо другой причины.

Для того, чтобы делегировать управление обратными зонами на ваш ДНС мне необходимо, чтобы вы прислали минимум 2 ДНС сервера в 
формате FQDN, настроенных на прием обратных зон. Оба DNS сервера должны отвечать на запросы из-вне по TCP.

Поднял 2 сервера с bind: master и slave. Локально все работает.

С мира вижу открыты порты TCP/53 и UDP/53

 

Не могу немного понять параметры в настройках bind:

        allow-query     { localhost; А.В.С.0/24;};
        allow-transfer { any; };

allow-query - это кому можно отвечать по порту UDP/53?
allow-transfer - тут прописываю кому можно отдавать мою зону?
 
А.В.С.0/24 - моя белая сетка. Хочу чтобы на запросы ДНС сервер отвечал только моих клиентам, для других сетей был недоступен. А зоны мог бы отдать всем желающим. Правильно ли я сделал настройки этих параметров в bind? 
 

 

 allow-query { any; }; - Отвечать нужно всем
 allow-transfer { xxx.xxx.xxx.xxx; yyy.yyy.yyy.yyy; }; - Тут IP адреса ваших слейвов.

 

 

Если в глобальной конфигурации укажем allow-query { any; } - получим Open Resolver, который через короткое время начнут использовать для проведения DDoS...

 

Я имел ввиду именно в описании зоны.

/etc/bind$ cat named.conf.options
acl my_network {
        aaa.bbb.ccc.0/24;
        10.0.0.0/8;
        172.16.0.0/12;
        192.168.0.0/16;
        127.0.0.0/8;
        };

acl my_secondary {
        aaa.bbb.ccc.ddd;
        };

acl ripe_ncc {
        193.0.19.193/32;
        };

options {
    directory "/var/cache/bind";
    auth-nxdomain no;
    listen-on-v6 { none; };
    allow-transfer { my_secondary; };
    allow-query { my_network; ripe_ncc;  };
    allow-query-cache { my_network; ripe_ncc; };
};

cat named.conf.local
//
// Do any local configuration here
//

// Consider adding the 1918 zones here, if they are not used in your
// organization
//include "/etc/bind/zones.rfc1918";


zone "zzz.yyy.xxx.in-addr.arpa" {
        type master;
        file "/var/lib/bind/zzz.yyy.xxx.rev";
        allow-query { any; };
        allow-transfer { my_secondary; ripe_ncc; };
        notify yes;
        };


Відредаговано Ромка
Ссылка на сообщение
Поделиться на других сайтах

Тут судя по всему ошибка в конфиге.

Попробуйте так:

zone "zzz.yyy.xxx.in-addr.arpa" {
        type master;
        file "/var/lib/bind/zzz.yyy.xxx.rev";
                options {
                        allow-query { any; };
                        allow-transfer { my_secondary; ripe_ncc; };
                        notify yes;
                };
        };
Ссылка на сообщение
Поделиться на других сайтах

 

Тут судя по всему ошибка в конфиге.

Попробуйте так:

zone "zzz.yyy.xxx.in-addr.arpa" {
        type master;
        file "/var/lib/bind/zzz.yyy.xxx.rev";
                options {
                        allow-query { any; };
                        allow-transfer { my_secondary; ripe_ncc; };
                        notify yes;
                };
        };

Слито с работающего DNS сервера

Ссылка на сообщение
Поделиться на других сайтах

в описании зоны все понятно. В глобальных настройках.

Вот мой текущий конфиг:

//
// named.conf
//
// Provided by Red Hat bind package to configure the ISC BIND named(8) DNS
// server as a caching only nameserver (as a localhost DNS resolver only).
//
// See /usr/share/doc/bind*/sample/ for example named configuration files.
//
// See the BIND Administrator's Reference Manual (ARM) for details about the
// configuration located in /usr/share/doc/bind-{version}/Bv9ARM.html

options {
        listen-on port 53 { 95.46.76.5; };
        forwarders { 8.8.8.8; 4.2.2.4; 8.8.4.4; 4.2.2.1; 208.67.222.222;};
        listen-on-v6 port 53 { none; };
        directory       "/var/named";
        dump-file       "/var/named/data/cache_dump.db";
        statistics-file "/var/named/data/named_stats.txt";
        memstatistics-file "/var/named/data/named_mem_stats.txt";
        allow-query     { localhost; 95.46.76.0/24;};
        allow-transfer { any; };

        /*
         - If you are building an AUTHORITATIVE DNS server, do NOT enable recursion.
         - If you are building a RECURSIVE (caching) DNS server, you need to enable
           recursion.
         - If your recursive DNS server has a public IP address, you MUST enable access
           control to limit queries to your legitimate users. Failing to do so will
           cause your server to become part of large scale DNS amplification
           attacks. Implementing BCP38 within your network would greatly
           reduce such attack surface
        */
        recursion yes;

        dnssec-enable yes;
        dnssec-validation yes;

        /* Path to ISC DLV key */
        bindkeys-file "/etc/named.iscdlv.key";

        managed-keys-directory "/var/named/dynamic";

        pid-file "/run/named/named.pid";
        session-keyfile "/run/named/session.key";
};

logging {
        channel default_debug {
                file "data/named.run";
                severity dynamic;
        };

zone "nasha.net.ua" {
        type master;
        file "nasha.net.ua";
        allow-transfer { 95.46.76.2; };
        allow-update { none; };
};
zone "76.46.95.in-addr.arpa" {
    type master;
    allow-transfer { 95.46.76.2; };
    file "76.46.95.nasha.net.ua";
};

include "/etc/named.rfc1912.zones";
include "/etc/named.root.key";

на втором сервере для зон соответственно прописано что слейв и получает от мастера конфигурацию зон

 

задача:

разрешить доступ к ДНС серверу по UDP/53 только моим клиентам, а к порту TCP/53 - райпу ну или всем желающим (???) для получения информации о моих зонах

Может этой фаирволом делать нужно? Или я что-то неправильно понимаю в этом всем?

Ссылка на сообщение
Поделиться на других сайтах

или достаточно разрешить доступ к зонам для трансфера для моего секондари сервера и 193.0.19.193/32; как в примере выше?

Ссылка на сообщение
Поделиться на других сайтах

Для глобальной конфигурации allow-query указали правильно.

Параметр allow-transfer - неверно. Здесь укажите IP, с которого slave будет коннектиться к master.

 

В описании домена параметр allow-query установите в значение any. Записи домена будем всем "отдавать" :)

 

 

выше мой полный конфиг, я так понял нужно сделать так:

//        allow-transfer { any; }; -- просто комментирую эту строку или изменить на none в глобальной конфигурации ???


zone "nasha.net.ua" {
        type master;
        file "nasha.net.ua";
        allow-transfer { 95.46.76.2; };
        allow-update { none; };
        allow-query { any;};
};
zone "76.46.95.in-addr.arpa" {
    type master;
    allow-transfer { 95.46.76.2; };
    file "76.46.95.nasha.net.ua";
    allow-query { any;};
};

а со слейвом что делать тогда?

также добавить в настройки зон  allow-query { any;};?

Ссылка на сообщение
Поделиться на других сайтах

Слейвы перечисляем в allow-transfer.

это понятно

на сервере в котором тип зоны указан слейв также нужно указать  allow-query { any;}; в параметрах зоны?

Ссылка на сообщение
Поделиться на других сайтах

Нашел вот такой ресурс: https://www.reg.ru/nettools/dig

указываю свой домен и адрес своего ДНС сервера - получаю ответ.

также получаю ответ от своего ДНС сервера через этот сайт на запрос 2.76.46.95.in-addr.arpa

На другие запросы с мира мой ДНС не отвечает, локально все работает. Судя по всему настроил все как и хотел

 

От RIPE приходит такое:

Modify FAILED: [domain] 76.46.95.in-addr.arpa

domain:         76.46.95.in-addr.arpa
descr:          **************************
nserver:        nss1.nasha.net.ua
nserver:        nss2.nasha.net.ua
admin-c:        ***************************
tech-c:        ************************
zone-c:         *************************
mnt-by:        **************************
source:         RIPE

***Error:   No common nameserver IP addresses between child () and parent
           (95.46.76.2; 95.46.76.5).

***Error:   Parent has nameserver(s) not listed at the child (nss1.nasha.net.ua;
           nss2.nasha.net.ua).

***Error:   None of the nameservers listed at the parent are listed at the
           child.

Не могу понять что они от меня хотят ;)

Ссылка на сообщение
Поделиться на других сайтах

так ваши nss обраткой не той светят :)

нужно сделать обратную зону для IP неймсерверов 95.46.76.5 - nss1.nasha.net.ua и 95.46.76.2 - nss1.nasha.net.ua. По-другому дела не будет?

Ссылка на сообщение
Поделиться на других сайтах

нужно сделать обратную зону для IP неймсерверов 95.46.76.5 - nss1.nasha.net.ua и 95.46.76.2 - nss1.nasha.net.ua. По-другому дела не будет?

Если экономите адреса, впишите ns'ы как mail.nasha.net.ua и www.nasha.net.ua соответственно.

Ссылка на сообщение
Поделиться на других сайтах

Вот у вас что нсы возвращают:

 

76.46.95.in-addr.arpa. 3600 IN SOA nss1.nasha.net.ua. admin.nasha.net.ua.76.46.95.in-addr.arpa. 201710248 3600 900 3600000 3600

2.76.46.95.in-addr.arpa. 3600 IN PTR nss2.nasha.net.ua.

76.46.95.in-addr.arpa. 3600 IN NS localhost.

 

Какая-то белеберда в SOA, должно быть без зачеркнутого. Потом NS должно быть две записи и указывать на реальные нсы зоны, а не на локалхост, тоже не то. После изменений не забывайте инкрементить серийный номер на единичку.

 

Еще TTL везде до 60 секунд опустите, а то запаритесь с обновлением записей. Т.е. вместо 3600 везде 60 и вместо 3600 900 3600000 3600 тоже 60 60 60 60.

Відредаговано ttttt
Ссылка на сообщение
Поделиться на других сайтах

Вот у вас что нсы возвращают:

 

76.46.95.in-addr.arpa. 3600 IN SOA nss1.nasha.net.ua. admin.nasha.net.ua.76.46.95.in-addr.arpa. 201710248 3600 900 3600000 3600

2.76.46.95.in-addr.arpa. 3600 IN PTR nss2.nasha.net.ua.

76.46.95.in-addr.arpa. 3600 IN NS localhost.

 

Какая-то белеберда в SOA, должно быть без зачеркнутого. Потом NS должно быть две записи и указывать на реальные нсы зоны, а не на локалхост, тоже не то. После изменений не забывайте инкрементить серийный номер на единичку.

 

Еще TTL везде до 60 секунд опустите, а то запаритесь с обновлением записей. Т.е. вместо 3600 везде 60 и вместо 3600 900 3600000 3600 тоже 60 60 60 60.

исправил....

 

 

А может RIPE ругаться еще из-за того что для домена nasha.net.ua неймсервер указан не мой сервер, а другой?? Домен старый, а сервер ДНС только сейчас решил поднять....

Ссылка на сообщение
Поделиться на других сайтах

 

 

Еще TTL везде до 60 секунд опустите, а то запаритесь с обновлением записей.
 

Шутите? Это ведь обратная зона! ​TTL в 60 секунд приведет к увеличению бесполезной нагрузки на ваш сервер, а если поразмыслить, то отрицательно повлияет и на нагрузку других устройств по всему миру. Берегите ресурсы планеты  :) 
 

Ссылка на сообщение
Поделиться на других сайтах

А может RIPE ругаться еще из-за того что для домена nasha.net.ua неймсервер указан не мой сервер, а другой?? Домен старый, а сервер ДНС только сейчас решил поднять....

Абсолютно всё равно ему.

 

PTR дело сугубо провайдера ответственно за зону.

Ссылка на сообщение
Поделиться на других сайтах

Создайте аккаунт или войдите в него для комментирования

Вы должны быть пользователем, чтобы оставить комментарий

Создать аккаунт

Зарегистрируйтесь для получения аккаунта. Это просто!

Зарегистрировать аккаунт

Вхід

Уже зарегистрированы? Войдите здесь.

Войти сейчас
  • Зараз на сторінці   0 користувачів

    Немає користувачів, що переглядають цю сторінку.

  • Схожий контент

    • Від forella
      Вопрос чисто для саморазвития.
      есть схема некоего домена (прикреплена), например en.microsoft.com
      не смог найти вот такую информацию, почему так исторически сложилось, что домен мы записываем как en.microsoft.com, а, например, поиск днс записи мы производим наоборот .(root servers)-->com-->microsoft-->en
      Как я понимаю, сначала появились корневые сервера и домены 1-2 уровня, затем уже все остальное, почему было не оставить написание доменов так как они резолвятся например com.microsoft.en
      Почему такой вопрос возник вдруг? Например вы попытаетесь незнающему человеку объяснить как работает днс, как мы ищем записи о домене, а в итоге прийдете к выводу что домен будете писать (например в браузере) в обратном порядке.

    • Від zabiyako
      Легально ли использовать 8.8.8.8 сегодня?
      Subj
    • Від a_n_h
      Какие публичные DNS лучше использовать при настройке своего кеширующего сервера?
    • Від DenimMark
      Доброго дня.
       
      DNS сервера старенькі працюють на FreeBSD старенькій. Потрібно обновити. Тип ОС не грає ролі. Може хтось робив і може порадити ОС, версію та сам сервер, що ставився без проблем і працював без проблем.
       
      Дякую.
       
    • Від Daniil_
      Ищу партнера, который сможет предложить ddos защиту для dns only
      трафика мало, на днс порядка 10к доменов
       
      что нужно
      - пересылать только dns пакеты (53 порт)
      - чтобы при атаке по icmp dns пакеты продолжали пересылаться
      - при флуде на dns порт фильтровать запросы
       
      пробовали работать с компаниями, которые специализируются на защите web трафика, получили много проблем с тем, что dns запросы не все отрабатывали
       
×
×
  • Створити нове...