Dotaz: nefunguje DNS na web servery. na routry JO

[fife]

Zdravim vespolek,

Stav.

1.servr - router+firewall - debian 2.servr - dns - debian(mydns) 3.servr - webserver - debian

1, router - 2 site: propojovaci IP, plus narutovana podsit (verejne IP). resolv.conf nastaveny na localdns + dns poskytovatele. firewall na dalsi web stroj (povolene porty 80,ftp,sql). tento router pouzivam jako gw pro dalsi stroje. na tomto stroju pingam hostnamy - cely svet.

2, dns: bezi mydns na "moje" domeny

3, na dalsim - web stroji resolv.conf - pouze me dns. svet podle hostname nepingam. IP samozrejme jo.

Jde o to ze mi to takto bezelo ale menil sem dns server z bindu na mydns a zmena IPcky....a nejede to...

nema nekto nejaky napad?? mod dekuju.

Odpovědi

[Filip Jirsák]

„Nejede to“ – co, kde? Co zkoušíte, co očekáváte za výsledek a co se stane? Nemáte DNS zablokované na firewallu – odchozí komunikace TCP a UDP s cílovým portem 53 a příchozí UDP a TCP se zdrojovým portem 53?

[fife]

no me to kdysi slo tak ze sem mel na web servery v resolved.conf POUZE moje DNS. na routry jsem mel firewall, kde sem mel povolene na dany webservr jenom www,ftp a sql. nic vic.

port 53 jsem mel povolene jenom pro dns server.

no a nejakym zpusobem mi fungovalo to, ze kdyz jsem dal na danem web servery napr ping seznam.cz, tak mi to jelo. ted pokut nezadam konkretne do web serveru dns poskytovatele a na router do firewallu komplet odblokujem komunikaci tak mi to nejede :(

doufam, ze jsem to jakstaks popsal...

[Filip Jirsák]

Už se mi to spojilo. Bind v režimu autoritativního serveru funguje zároveň jako cache server (ani nevím, zda se to dá vypnout). Zrovna nedávno jsem popisoval, proč je to špatně. Takže Bind vám jaksi mimochodem překládal i ty ostatní adresy. MyDNS se asi takhle špatně nechová a překládá jenom ty adresy, pro které je autoritativním serverem.

Řešením je tomu DNS serveru přidělit ještě jednu IP adresu a na té rozchodit čistě kešující DNS server, a ten pak používat ve vnitřní síti (tedy i pro ten web server). Zkuste asi Unbound; případně dnscache z djbdns, ten byste ale asi spíš používal v kombinaci s tinydns jako autoritativním serverem. Jde provozovat i samostatně, ale ale kdo má rád DJBware, bude chtít obojí, kdo ho nemá rád, nebude chtít ani jeden

[fife]

Jo, Vas prispevek resi to ze vubec uz na dns nemusite pouzit zadny externy DNS.

dlouha noc mi ukazala uplne primarni a primitivni reseni. v /etc/mydns.conf je paramert recursive = xx.zz.aa.ss, kde vpodstate zadate dns vaseho ISP. - tim zadate servr kde ma hledat vsecky jine domeny, ktere nejsou zadefinovany u vas.

a hotovo. kdyz na web servery v resolv.conf mate zadany uz jenom VAS dns server i tak vam to bude slapat a ping bude vracat spravne data.

uff, konecne.

btw: moc dekuju.

[Filip Jirsák]

Tím jste ale právě vytvořil to špatné řešení. Kdybyste pak chtěl autoritativní server pro vaši doménu přesunout jinam, budete se divit, proč vám cache pořád vrací stará data. Ve vašem případě můžete případně ty autoritativní záznamy snadno smazat a problém tak rychle opravíte, ale být vámi, moc bych si na takovéhle špatné řešení nezvykal, jednou se vám to vymstí…