Kešovací DNS server BIND (diskuse)

[Hobit]

Ahoj, měl bych dotaz k principu fungování cache. Jakým způsobem se to chová, když dojde ke změně DNS záznamu? To pak mám nepoužitelný link, ne? Není tam třeba někde nastaveno, že po 48 hodinách by si to mohl ověřit nebo tak? Nebo to je opravdu určeno pouze pro koncového uživatele s pomalým připojením a aktualizace je řešena pouze restartem serveru? Chtěl bych si to doma rozjet. Díky za info.

[Antonín Kolísek]

Tohle by mělo jít nastavit v zónovém souboru v RR záznamu. Zde nás zajímá TTL - doba kdy vyprší záznam.

Např:

$TTL	86400
@       IN      SOA     localhost. root.localhost.  (
                                      1997022700 ; Serial
                                      28800      ; Refresh
                                      14400      ; Retry
                                      3600000    ; Expire
                                      86400 )    ; Minimum
              IN      NS      localhost.

1       IN      PTR     localhost.

Sám používám defaultní nastavení více jak 4 roky a zatím jsem se nesetkal s problémem.

[www]

DNS zaznamy obsahuji mj. cislo, ktere udava, jak dlouho - kolik sekund - si maji kese udaj pamatovat. To znamena, ze dobu kesovani urcuje DNS server a kes by na ni sahat nemela. Kdyz se budete ptat serveru, bude vam vracet porad to same cislo, na kolik je nakonfigurovan. Kdyz se budete ptat kese, cislo se bude kazdou sekundu zmensovat. Kdyz dosahne cislo v pameti kese nuly, zepta se kes na zaznam serveru znova (a muze ziskat jine - aktualizovane udaje).

[Hobit]

Děkuji za odpověď

[b0rmann]

myslim ze pouziti bindu jen pro kesovani je pekne barbarstvi. nastartuje minimalne 5 procesu (nebo nekdo vi jak to omezit?) a sezere minimalne 16M ramky.

[Beda]

jo je to v tom pdf. v named.conf v sekci options. nastavuje se tam spousta veci a krom jineho pocet sezeni nejruznejsich klientu. pametove limity na data apod. jinak pouzival jsem bind a za nim pdnsd... pdnsd dokonce zabiralo vice pameti hned po startu v implicitni konfiguraci...

[Beda]

http://www.nominum.com/content/documents/bind9arm.pdf

[Marek Pasovsky]

5 procesu - viz.
http://www.isc.org/sw/bind/FAQ.php
Sekce "Why do I see 5 (or more) copies of named on Linux?"

s tou pameti to taky neni tak horky ... viz. tamtez

Marek

[David Pufer]

Vážení přátelé, používám již léta na našich DNS cache a DNS serverech balík od DJB (viz subj) a naprostá spokojenost. Tvrdit, že BIND je určen pro obrovské zatížení mi připadá tak trochu přitažené za vlasy, spíše je to DNS server snažící se implementovat poslední standardy v DNS. Pro dané použití se mi zdá naprosto nevhodný (spotreba systemovych prostredku). Obcas miva take problemy s bezpecnosti. Je to jen vyjadreni meho nazoru vyplyvajiciho ze zkusenosti.

[Antonín Kolísek]

V článku je psané, že existují různé alternativy k tomuto účelu a mnoho uživatelů je volí raději. Nicméně Bind DNS kešování umožňuje a cílem článku bylo ukázat základní postup jak to nastavit. Co se týká bezpečnosti, tak mám pocit že řada 9.X.Y je na tom o mnoho lépe než řada 8 a nižší, takže co se týká bezpečnosti toho bych se nebál. Další vec je ta, že DNS keš pracuje jen v lokální síti, takže pro vnější svět je nepřístupná, což také eliminuje rizika. Ohledně Bindu a velkého zatížení, nejsem si jist co běží na kořenových a dalších velkých DNS serverech, ale mám silný pocit, že to bude právě většinou Bind :)

[jm]

Obcas miva take problemy s bezpecnosti.

Nejaky priklad dejme tomu za posledni dva roky?

P.S. Pred usetrenymi par MB RAM teda rozhodne davam prednost dodrzovani standardu, ktere tinydns a spol. dodrzuje akorat tehdy, kdyz se to autorovi hodi do kramu a bugreporty v tomto smeru zvesela ignoruje a jejich autory oznacuje za blbce, kteri nepochopili jeho genialni reseni.

[kmarty]

To mne zajima. Cim djbdns nedodrzuje standardy?

[jm]

A6 (RFC 2874), DNAME (RFC 2672), DNSSEC (RFC 2535, 2931, 3008), Dynamic DNS (RFC 2136), IXFR (RFC 1995), TSIG (RFC 2845)...

Jinak tady si muzes precist seznam znamych bugu...

P.S. No, a pak to ma jeste "prima" licenci. :-P

[kmarty]

Zkuste z toho prosim vyjmenovat ty ktera nejsou "Experimental", "Proposed" ci "Draft".

Hadat se s Vami nechci (nejspis bych prohral ), ale tenhle seznam se az moc se podoba seznamu od jisteho pana Knowlese kteremu jak se zda Bernstein poradne slapl na kuri oko. A ze Bernstein umi byt ..."neomaleny" to je o nem znamo (tedy, povida se to o nem).

[jm]

Vite, me je to vcelku ukradene, co je experimental nebo draft. Vsechny tyhle veci BIND umi, djbdns neumi, djbdns ma krom toho X neresenych bugu, na ktere autor umyslne kasle a jeste je vydava za prednosti a navrch jako bonus domrseny transfer zonovych souboru a debilni licenci. Fakt sama pozitiva a socialni jistoty. :-P

[Frank J. Tomes]

Pěkný článek. Dříve jsem bind jako cache server používal na pomalém připojení, bez problémů. Protože jsem bind používal (a používám) na různých strojích v konfiguraci prim. a sek. DNS serveru, ani jsem neuvažoval o jiném sw řešení.

Nářek nad systémovými prostředky mi v dnešní době přijde k smíchu.

[Josef Kufner]

Nářek nad systémovými prostředky mi v dnešní době přijde k smíchu.

Ono pokud to ma clovek na notebooku kvuli pomalemu GPRS a jede z baterky, tak je zajimavy kazdy procento vykonu.

[Frank J. Tomes]

Docela by mě zajímalo, kolik minut provozu na baterky ušetříte tím, že místo bindu vám tam pojede jiné řešení.

[Krakonoš]

Tak tohle me zaujalo. Myslim, ze pokud bind nic nedela, neprokazuje ani znatelny vykon (tj. neco pod 1% vykonu procesoru?), tak ani nebude setrit baterku (5 procesu, ale kazdej jenom nasloucha na nejakem portu, ceka na nejaky signal a tak), takze pokud ten clovek prezije o 16MB mene (jak nekdo napsal ze si bind vezme), tak si klidne muze bind dovolit. Neco jineho je, kdyz chcu dns pro domaci sit rozbehat na 486 s 12MB ram, kam sem rad kdyz nacpu jadro, nejakej init, iptables,...Pak mi zalezi na kazdem kB a i na kazdem procentu vykonu (abych se vesel pod 50%, coz neni problem).

Jo, baterii by to setrilo az ve chvili, kdyz by clovek aktivne routoval pro velkou sit, ale to v pripade notebooku je nesmysl ;]

[Krakonoš]

Zdravim panove,

protoze jsem (bohuzel) uzivatelem gprs od t-mobilu, zda se mi tato myslenka velmi lakava. Stroj mam silnej dost na to, aby se nejakych 5 procesu a 16MB RAM ztratilo, kdyz usetrim ty zbytecne zdlouhave pozadavky na DNS providera.

Omlouvam se za spatnou otazku, ale teprve bind instaluju (stahuju a kompiluju bind a par upgradu co mi urcil emerge), ale mam takovy pocit, ze mi pppd po dhcp broadcastu resolv.conf prepisi (nebo se mylim?) - pote by me zajimalo jak urobit, aby mi pppd nechal resolv.conf nedotceny (mno napada me mu nastavit prava rrr, ale to neni zrovna elegantni reseni).

[cartman]

resolv.conf je vacsinou automaticky zmeneny pri pouziti dhcp. Gentoo nechava volbu dhcp clienta na uzivatela. Takze si treba pozriet akou volbou zabranis dhcp-clientovi aby prepisal resolv.conf. (z conf.d/net:

#dhcp_eth0="release nodns nontp nonis" # Only get an addres

) Na gentoo.org je niekde beta verzia ich Network Howto. Je to dost kvalitne.

[Krakonoš]

chmm...tak ja na to kouknu,..btw. jinak hus mi to beha, jenom bych sem dopsal, ze pod jadrem 2.6 musite nacist modul capability, aby to fungovalo :]...Je to tu nekde na abclinuxu v diskuzich, ale at to je tady taky, usetrim tim urcite nekomu praci :]...

Jinak s tim nastavenim,...asi si to budu muset precist, pac sem si malinko upravil jejich script, takze tedkon tam mam vlastne dva prikazy :

pppd call gprs

a

killall -s 2 pppd

:]...Chjo..vim, ze je to barbarstvi, ale tenkrat se mi nechtelo predelavat moje scripty z debiana na gentooacky, tak sem to urobil takto :]...Zatim mi to stacilo :]

[Zdeněk Štěpánek]

Zdravim

Pouzivam BIND 9.3.0. Mam dva servery. Primar je autoritativni pro lokalni domenu, taha nekolik cizich zon z jinyho serveru jako slave a dela cache do internetu. Sekundarni server je jen slave pro vsechny zony na primarnim.

Tohle je konfigurace primaru, dal uz jsou jen zony. Dve loopbackovy (".", "0.0.127.in-addr.arpa") mam prakticky stejne jako je v clanku, tu treti nemam. DNS od providera mam v /etc/resolv.conf (za )

options {
        pid-file "/var/run/named/named.pid";
        directory "/etc/bind";
};

/etc/resolv.conf:

search gavanet.czf
nameserver 127.0.0.1
nameserver 213.180.32.2
nameserver 213.180.33.225

Vsechno funguje, vsechno se preklada, ale kdyz spustim "rndc -k /etc/rndc.key dumpdb" tak to vubec nic nevypise. Ani na jednom serveru. Pritom si myslim ze cache chodi, kdyz treba nefunguje inet, tak domenove jmeno se casto prelozi, ale ping nejde.

Nevite nekdo v cem je zakopanej pes?

Zdenek

[pupu]

rndc dumpdb nic nevypisuje, pouze da prikaz k vypsani (dumpu) obsahu cache do souboru. ten se vam taky nevyrobi, nebo jste ho nehledal/nenasel? funkcnost cache jest asi nejlepe overit prikazem 'dig @localhost nejakaadresa'.

[Zdeněk Štěpánek]

Zdravim

Z clanku jsem pochopil ze se to ma vypsat na konzoli. Ono se to skutecne objevilo v souboru v /etc/bind (popripade /var/named). Takze to chodi.

Zdenek

[Kolombo]

Nemohl by ještě někdo doplnit konfiguraci o napevno zadané záznamy pro PC v lokální síti? Postupně zjišťuji, že budu muset něco takového do sítě dodělat ...

[jarous]

Uživatelé Mandriva (Mandrake) Linuxu si můžou pomocný DNS nainstalit jednoduše pomocí balíčku "Caching Nameserver". Krátký návod je tady: http://linux.tosovsky.info/exec.php/show=howto#caching-nameserver.

[David Sedláček]

A ted kdo to opsal?

http://www.abclinuxu.cz/clanky/show/86044

[David Sedláček]

Oprava: http://linuxx.hyperlinx.cz/praxe10.html

[David Sedláček]

Omlouvam se autorovi, prehledl jsem jmeno autora odkazovanych stranek.

[Stanislav Sedláček]

Dobrý den, jsem totální analfabet co se BIND týče. Mohl bych prosím dostat odpověď na otázku: "K čemu je ten BIND dobrý? Bude tak pomocí BIND mé surfování po internetu bezpečnější?" Předem děkuji za odpověď.

[Krakonoš]

Zdravim :)...Nebude bezpecnejsi. BIND je DNS server, tj. preklada nazvy stranek na IP adresy a opacne (zjednodusene receno). Surfovani bude tedy malinko rychlejsi - ale rozdil je znat pouze pri pomalem pripojeni a dlouhyma odezvama (napr. GPRS). V ostatnich pripadech si instalovat BIND nejspis nema zadny vyznam,...

[Stanislav Sedláček]

Děkuji za odpověď. A ještě pokud bych mohl obtěžovat, jak tedy zařídím aby mé surfování po netu bylo alespoň přibliženo ke 100% bezpečnosti? Mám na mysli aby někdo jen tak neočumoval mou IP adresu a podobné věci. Existujou na tohle nějaké spec. prográmky? POpřípadě nějaký kvalitní web s články o problematice bezpečného surfování? Děkuji

[Krakonoš]

Pouzivat zabezpecene protokoly, shovat se za proxy server, neposilat zbytecne hlavicky o SW (nektere prohlizece to umi nastavit, casto se umi vydavat i za nekoho uplne jineho) atp. Web netusim, vic me toho takhle po ranu nenapada:)

[Adilkhatri]

검증된 파워볼사이트 를 찾으신다면 eos파워볼사이트 가 있는 파워볼사이트추천 에서 파워볼 을 즐기시길 바랍니다. 5년 이상 운영된 메이저업체 이며 지금까지 많은분들께 사랑받은 안전한파워볼사이트 입니다. 안전한파워볼사이트

[jackyseo15]

I need to seek destinations with important data on given point and give them to educator our feeling and the article. 토토

[먹튀검증]

I appreciate your effect and bouncing for some more informative article. I always appreciate such kind of awesome content, would expect more from your side. Thanks for sharing such an informative blog post. 먹튀검증

[메이저사이트]

I'm going to read this I'll definitely be back Thanks for sharing And this article provides us with the light we can see This is a very good one and provides in-depth information Thank you for this wonderful article 메이저사이트