Dotaz: DNS Ceske sporitelny - chovani vuci rekurzivnim DNS bind9, unbound, powerdns

[BigWrigley]

Ahoj,

narazil jsem na nasledujici problem s chovanim DNS Ceske sporitelny, konkretne s domenovym jmenem www.servis24.cz, ze ktereho nejsem prilis moudry a povazuji jej za chybne. Jde o toto. (na localhostu bezi bind)

bk:~# dig @localhost servis24.cz ns

; <<>> DiG 9.6-ESV-R3 <<>> @localhost servis24.cz ns
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 38694
;; flags: qr rd ra; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;servis24.cz.                   IN      NS

;; ANSWER SECTION:
servis24.cz.            6732    IN      NS      nsd.csas.cz.
servis24.cz.            6732    IN      NS      nsb.csas.cz.

;; Query time: 0 msec
;; SERVER: 127.0.0.1#53(127.0.0.1)
;; WHEN: Wed Jun 22 15:00:07 2011
;; MSG SIZE  rcvd: 70

bk:~# 

Cili pro domenu servis24.cz je autoritativni nsd.csas.cz a nsb.csas.cz. Potud ok. Autoritativni DNS by mel vratit zaznam pro www.servis.24.cz. Nicmene nevraci a vraci autoritativni NS pro www.servis.24.cz.

bk:~# dig @nsd.csas.cz. www.servis24.cz a

; <<>> DiG 9.6-ESV-R3 <<>> @nsd.csas.cz. www.servis24.cz a
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 11610
;; flags: qr rd; QUERY: 1, ANSWER: 0, AUTHORITY: 2, ADDITIONAL: 2
;; WARNING: recursion requested but not available

;; QUESTION SECTION:
;www.servis24.cz.               IN      A

;; AUTHORITY SECTION:
www.servis24.cz.        7200    IN      NS      css1.csas.cz.
www.servis24.cz.        7200    IN      NS      css2.csas.cz.

;; ADDITIONAL SECTION:
css1.csas.cz.           7200    IN      A       194.50.240.64
css2.csas.cz.           7200    IN      A       194.50.240.192

;; Query time: 19 msec
;; SERVER: 62.40.76.18#53(62.40.76.18)
;; WHEN: Wed Jun 22 15:03:02 2011
;; MSG SIZE  rcvd: 108

bk:~# 

A css1.csas.cz uz pote www.servis24.cz resolvi:

bk:~# dig @css1.csas.cz. www.servis24.cz a

; <<>> DiG 9.6-ESV-R3 <<>> @css1.csas.cz. www.servis24.cz a
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 47584
;; flags: qr aa rd; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0
;; WARNING: recursion requested but not available

;; QUESTION SECTION:
;www.servis24.cz.               IN      A

;; ANSWER SECTION:
www.servis24.cz.        120     IN      A       194.50.240.199

;; Query time: 21 msec
;; SERVER: 194.50.240.64#53(194.50.240.64)
;; WHEN: Wed Jun 22 15:05:29 2011
;; MSG SIZE  rcvd: 49

bk:~# 

Je toto nastaveni/fungovani spravne ? IMHO ne. Mate mi to rekurzivni DNS. Google, Bind9(53) a unbound(553) resolvi jinak, nez powerdns(5553) - v zavorkach cisla portu.

bk:~# 
bk:~# dig @8.8.8.8    www.servis24.cz a 

; <<>> DiG 9.6-ESV-R3 <<>> @8.8.8.8 www.servis24.cz a
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 61247
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;www.servis24.cz.               IN      A

;; ANSWER SECTION:
www.servis24.cz.        26      IN      A       194.50.240.71

;; Query time: 11 msec
;; SERVER: 8.8.8.8#53(8.8.8.8)
;; WHEN: Wed Jun 22 15:17:40 2011
;; MSG SIZE  rcvd: 49

bk:~# 
bk:~# 
bk:~# 
bk:~# dig @localhost -p 53   www.servis24.cz a 

; <<>> DiG 9.6-ESV-R3 <<>> @localhost -p 53 www.servis24.cz a
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 63377
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 2, ADDITIONAL: 2

;; QUESTION SECTION:
;www.servis24.cz.               IN      A

;; ANSWER SECTION:
www.servis24.cz.        12      IN      A       194.50.240.71

;; AUTHORITY SECTION:
www.servis24.cz.        6683    IN      NS      css2.csas.cz.
www.servis24.cz.        6683    IN      NS      css1.csas.cz.

;; ADDITIONAL SECTION:
css1.csas.cz.           6683    IN      A       194.50.240.64
css2.csas.cz.           6683    IN      A       194.50.240.192

;; Query time: 1 msec
;; SERVER: 127.0.0.1#53(127.0.0.1)
;; WHEN: Wed Jun 22 15:17:48 2011
;; MSG SIZE  rcvd: 124

bk:~# dig @localhost -p 5553   www.servis24.cz a 

; <<>> DiG 9.6-ESV-R3 <<>> @localhost -p 5553 www.servis24.cz a
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 29769
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;www.servis24.cz.               IN      A

;; ANSWER SECTION:
www.servis24.cz.        120     IN      A       194.50.240.199

;; Query time: 0 msec
;; SERVER: 127.0.0.1#5553(127.0.0.1)
;; WHEN: Wed Jun 22 15:17:54 2011
;; MSG SIZE  rcvd: 49

bk:~# dig @localhost -p 553   www.servis24.cz a 

; <<>> DiG 9.6-ESV-R3 <<>> @localhost -p 553 www.servis24.cz a
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 13208
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;www.servis24.cz.               IN      A

;; ANSWER SECTION:
www.servis24.cz.        11      IN      A       194.50.240.71

;; Query time: 0 msec
;; SERVER: 127.0.0.1#553(127.0.0.1)
;; WHEN: Wed Jun 22 15:17:59 2011
;; MSG SIZE  rcvd: 49

bk:~# 

Co s tim? Stezovat si u Sporky?

Dik

Ales

---

---

Odpovědi

[cynic_asshole]

Prijde mi to v poradku, proste maji "www.servis24.cz" delegovane jako subdomenu (stejne, jako by mohlo byt treba ostrava.servis24.cz, plzen.servis24.cz, ..). V ni je pak pro www.servis24.cz vedle zaznamu NS i zaznam A. Neni to zrovna obvykle, ale spatne to IMHO neni. Navic je tam ten A zaznam asi vicekrat/roundrobin, protoze dig @css1.csas.cz. www.servis24.cz a vraci pri opakovanych dotazech dve ruzne adresy (194.50.240.71 a 194.50.240.199).

Tomas

[Michal Kubeček]

Násobný záznam to nebude, protože pak by server vrátil oba záznamy (jen by střídal pořadí).

[BigWrigley]

No to je prave to, co me na tom mate. Pokud je A zaznam vicenasobny, dig vraci opravdu oba zaznamy...

[Michal Kubeček]

Nejspíš ten server prostě programově vrací jen jeden záznam, ale střídá jednotlivé hodnoty. Čistě na základě pozorování bych řekl, že je to dnes u podobných služeb častější než klasický násobný záznam, ale důvody neznám.

[lertimir]

IMHO zcela správně mi to nepřipadá. Pokud je www.servis24.cz delegované jako subdoména tak by tato subdoména měla mít svůj SOA záznam na autoritativním serveru css1.csas.cz a css1.csas.cz by měl i odpovědět na dotaz na nameservery na tuto doménu dig @css1.csas.cz www.servis24.cz ns. Takže pro tu delegovanou subdoménu jsou jen glue záznamy, ale ona není naplněna kromě A záznamu pro www.servis24.cz. Neexistence SOA a NS záznamů při existenci glue může být to, co rekurzor mate.

[Georg Halunke]

Byl jsem upozorněn na tuto diskuzi. Prosím, mohl upřesnit okolnosti, za kterých by mohly přijít praktické problémy? Rád bych si test.

Děkujeme Vám za Vaši ochotu

---

Georg Halunke, ZeroIT GmbH