Dotaz: Named forwarders

[kibo]

Dobrý den
řeším následující problém se dvěmi adresami DNS:

Náš podnikový server má dvě síťová rozhranní. Jedno do místní sítě(eth1 - 192.168.1.1) a druhé ven do internetu(eth0 - 1.2.3.4).
Na serveru, běží name server BIND v režimu cache-only a odpovídá na dotazy pro naši domenu nasefirma.cz. Tedy např. že:
pc1 IN A 192.168.1.2
pc2 IN A 192.168.1.3
pc3 IN A 192.168.1.4
atd. Všechny stanice (pc1 - pc18)mají nastavenu adresu DNS na 192.168.1.1 (server - eth1 - LAN)

Od poskytovatele připojení k Internetu jsme dostaly jeho adresu DNS, která resolvuje adresy v internetu. Např, že
212.80.76.3 = seznam.cz
Na našem serveru by tedy měla být jako adresa DNS nastavena adresa od poskytovatele. A zde se už konečně dostávám k mým nejasnostem.

Kam mám nastavit tuto adresu??
v dokumentaci Bindu je volba forwarders, ale nejsem si jisty, zda je to skutečně to co potřebuji. A co soubor resolf.conf?

Za pomoc budu velmi vděčný a předem děkuji
Tomáš

Odpovědi

[Jiří Veselský]

V zásadě ji nemusíte nastavovat nikde.

V souboru /etc/resolv.conf definujete DNS server pro daný lokální stroj (bez ohledu na to, že je to gateway, běží na něm named a podobně) - zde zadáváte adresu, koho se má tento stroj ptát, pokud potřebujete resolvovat DNS. Vzhledem k tomu, že na něm běží named, je nejrozumnější zadat zde 127.0.0.1, ať se ptá sám sebe.

Druhá otázka je, koho se má ptát ten lokální named, pokud potřebuje něco zjistit. Defaultně nastavený caching-only named má nastavený seznam root serverů a ptá se tedy jich, respektive provede potřebný rekurzivní dotaz. Mohl byste jej sice donutit, ať se ptá jenom DNS serveru poskytovatele, ale v zásadě k tomu není žádný důvod.

[Marek Pasovsky]

Rozhodne DNS od ISP zadat do forwarders v named.conf

s ostatnim vyse uvedenym nelze nez souhlasit, ALE tvrdit, neni zadny duvod konfigurovat DNS a nechat ho vsechno resit pres root-servery je IMHO dost zverstvo

• trva dyl nez se dohrabe k odpovedi
• zbytecne obtezuje pulku planety rekurzivnimidotazy

nicmene je pravda,ze to tje funkcni reseni

Marek

[Michal Kubeček]

U dlouhodobě běžícího serveru se to ve skutečnosti týká jen relativně malého počtu dotazů, většinu obstará cache.

[Marek Pasovsky]

To nezalezi jen na dobe behu DNS serveru, ale i nastaveni kazdeho jednotlive zony; pokud je tam 'refresh' hodinu, tak stejne kazdou hodinu je DNS server nucen overit, ze se nic nezmenilo - coz pokud nema forwards resi rekurzivnimi dotazy pres root servery ..

Marek

[Jiří Veselský]

Řeší to nikoliv rekurzivním dotazem přes rooty, alébrž dotazem přímo na onen DNS s krátkou expirací, protože tu cestu od rootu k němu nacachovanou má. Nehledě k tomu, že při použití DNS ISP je situace přesně stejná - akorát že se neptáte vy, ale DNS ISP. Čili ten váš argument nemá valnou logiku.

[Jiří Veselský]

Mám na to jiný názor:

• Jak už psal kolega Kubeček, s tím obtěžováním okolního světa to není tak žhavé, protože většina věcí stejně půjde z cache.
• Co se týče rychlosti odpovědi, taky to není tak žhavé - samozřejmě je třeba vyhodit ty japonské exoty a nejlépe ponechat jenom K-ROOT. Jeho jedna anycast instance je mimo jiné v Praze přístupná přes NIX, takže je přesně stejně daleko jako name server ISP.
• No a nezanedbatelnou výhodou je tak asi o tři řády vyšší spolehlivost - DNSka různých ISP bývají občas pomalé, nedostupné a podobně, což o K-ROOTu rozhodně neplatí.

Osobně si prostě myslím, že pokud není nějaký obzvlášť přesvědčivý důvod k použití DNS poskytovatele (a žádný mě nenapadá, pokud nejde o "falešného" poskytovatele s privátními IP, jehož DNS odpovídá klientům věci, které se odjinud nelze dozvědět), pak je rozhodně lepší se mu vyhnout.