Dotaz: zone transfer 'milde.cz/AXFR/IN' denied

[Dundee5]

Cau, snazim se ted zprovoznit si zalozni DNSko, ale bojuju s tim uz dva dny a stale mi nejde provest transfer na jiny stroj.

Master hlasi: client 90.177.20.149#58741: zone transfer 'milde.cz/AXFR/IN' denied

Pritom ale v named.conf.local mam:

acl "my" { 90.177.20.149; };

zone "milde.cz" { type master; file "/etc/bind/milde.cz.hosts"; allow-transfer {"my";}; };

Transfer zony testuju prikazem: dig @77.93.192.212 milde.cz. axfr

Normalni dotaz na domenu probehne v poradku, transfer uz ne.

Odpovědi

[Filip Jirsák]

Máte na mezilehlých firewallech povolen port 53 pro protokol TCP?

[Dundee5]

Na obou počítačích jede Bind a oba odpovídají na DNS dotazy, takže bych řekl, že ve firewallu chyba nebude. Práva všech složek vypadají také v pořádku.

/etc/bind má sgid bit a je zapisovatelná bindem. všechny soubory v /etc/bind patří bindu a jsou zapisovatelné.

[Filip Jirsák]

Dotazy a odpovědi jdou protokolem UDP, transfer zóny protokolem TCP, takže ve firewallu klidně problém být může. Pokud nepředpokládáte obří odpovědi (aby se na TCP přepnulo i klasické resolvování po odpovědi „odpověď je příliš velká“), povoluje se běžně na firewallu pro DNS jen protokol UDP…

[Dundee5]

V iptables je:

ACCEPT tcp -- anywhere anywhere tcp dpt:domain

takže firewallem to snad není.

[Dundee5]

Změnil jsem acl na:

acl "my" { "any"; };

Takže můžete zkusit, že transfer opravdu nejde, ale Bind na něj odpoví.

[Filip Jirsák]

Bind mi na něj odpoví Refused. Pokud ta IP adresa v Bindu je zadaná opravdu správně (je to ta, kterou vidí Bind při komunikaci), podívejte se asi do logů, zda tam Bind nepíše něco o tom, proč přenos zamítl.

[Dundee5]

Právě, že v logu není skoro nic.

daemon.log: Apr 24 17:50:40 milde named[2595]: client 195.47.67.222#60688: zone transfer 'milde.cz/AXFR/IN' denied

V syslogu to same.

[Filip Jirsák]

Tak pro tuhle IP adresu mne to ani nepřekvapuje A pro tu vaši to hlásí stejnou chybu?

[Filip Jirsák]

Tomu vyhoví pakety směřující od sekundárního serveru k masteru, ale pakety v opačném směru mají zdrojový port 53 a cílový port nějaký vysoký náhodně zvolený. Ale pokud máte na firewallu nastaveno ACCEPT i pro protokol TCP pro stav established, mělo by to přes firewall projít. Nicméně stejně bych na tom sekundárním serveru ověřil tcpdumpem, že komunikace je v pořádku a spojení proběhne korektně.

[Dundee5]

Vrátí se mi zpět DNS response, kde je: Reply code: Refused (5)

[Dundee5]

Jinak je to na Debianu Lennym a apparmor tam vubec neni, takze na problem s pravy sluzby to taky nevypada.

[Dundee5]

Možná to bude mít něco společného s tím, že Bind není schopen resolvovat adresy (ale nevím proč).

network unreachable resolving 'ns0.xname.org/A/IN': 2001:503:ba3e::2:30#53

[Dundee5]

Neuvěřitelné, vyřešeno rebootem master serveru. Nechápu.