Szeretnék beállítani egy egyszerű kötőkiszolgálót, amely egyszerű továbbítóként működhet az OpenDNS-nél szerverek.
Nem akarom, hogy a kötésem képes legyen lekérdezni a gyökérszervereket, azt akarom, hogy az összes forgalom csak az OpenDNS-re menjen, és talán “gyorsítótárként” működjön rajta.
Hogyan lehet ezt elérni? Le kell-e kapcsolnom valamilyen módon a gyökérszerverek tippjeit? Ez a helyes eljárás?
Azt hiszem, hogy megjegyzem a “div” gyökérszerverek által kiszolgált zónát. id = “4c02801637”>
named.conf.default-zone fájl. Azt azonban olvastam, hogy a nem lekérdező root kiszolgálók a rekurzió letiltásával is elérhetők, de úgy tűnik, hogy a rekurzió letiltása azt eredményezi, hogy a szerver sem tudja kihasználni a továbbítók előnyeit .. ahol a konfrom hibás?
A Conf a következő:
named.conf
// This is the primary configuration file for the BIND DNS server named. // // Please read /usr/share/doc/bind9/README.Debian.gz for information on the // structure of BIND configuration files in Debian, *BEFORE* you customize // this configuration file. // // If you are just adding zones, please do that in /etc/bind/named.conf.local include "/etc/bind/named.conf.options"; include "/etc/bind/named.conf.local"; include "/etc/bind/named.conf.default-zones"; named.conf.options
acl "trusted" { 127.0.0.1/8; 10.0.0.0/8; 172.16.0.0/12; 192.168.0.0/16; ::1; }; options { directory "/var/cache/bind"; # bind cache directory recursion no; # enables resursive queries allow-query { trusted; } ; allow-recursion { "none"; }; additional-from-cache no; allow-transfer { none; }; # disable zone transfers by default // If there is a firewall between you and nameservers you want // to talk to, you may need to fix the firewall to allow multiple // ports to talk. See http://www.kb.cert.org/vuls/id/800113 // If your ISP provided one or more IP addresses for stable // nameservers, you probably want to use them as forwarders. // Uncomment the following block, and insert the addresses replacing // the all-0"s placeholder. forward only; forwarders { 208.67.222.222; 208.67.220.220; }; //======================================================================== // If BIND logs error messages about the root key being expired, // you will need to update your keys. See https://www.isc.org/bind-keys //======================================================================== dnssec-enable no; dnssec-validation no; dnssec-lookaside auto; auth-nxdomain no; # conform to RFC1035 }; named.conf.local
// // Do any local configuration here // // Consider adding the 1918 zones here, if they are not used in your // organization //include "/etc/bind/zones.rfc1918"; named.conf.default-zone
// prime the server with knowledge of the root servers zone "." { type hint; file "/etc/bind/db.root"; }; // be authoritative for the localhost forward and reverse zones, and for // broadcast zones as per RFC 1912 zone "localhost" { type master; file "/etc/bind/db.local"; }; zone "127.in-addr.arpa" { type master; file "/etc/bind/db.127"; }; zone "0.in-addr.arpa" { type master; file "/etc/bind/db.0"; }; zone "255.in-addr.arpa" { type master; file "/etc/bind/db.255"; }; Válasz
A BIND konfiguráció a továbbítók definiálásakor valóban elküldi az összes kérést, amelyeket a helyi BIND nem teljesített, a továbbítóknak.
Annál is inkább, hogy forward only; használatakor a helyi zónákat figyelmen kívül hagyják, és minden kérést csak a gyorsítótár vagy a továbbítók teljesítenek.
Ha helyi zónákra van szüksége (pl privát IP-címek az RFC 1918-ból és egy helyi otthoni / irodai zóna), a továbbítók érdekében meg kell kommentálni mind a gyökér tippekkel ellátott zónát, mind az forward only; irányelvet.
// forward only; // zone "." { // type hint; // file "/etc/bind/db.root"; // }; A DNS-ből
De ha “csak előre” van beállítva, akkor a BIND feladja, ha nem kap választ a szállítmányozóktól, és a gethostbyname () azonnal visszatér. Ezért nincs szükség a -hand az / etc fájlban található fájlokkal, és indítsa újra a szervert.
Esetemben csak a sorokat vettem fel
csak előre; továbbítók {193.133.58.5;};
a named.conf fájlom opciók {} szakaszába. Nagyon szépen működik. Ennek egyetlen hátránya, hogy egy hihetetlenül kifinomult DNS-szoftvert egy néma gyorsítótár állapotává redukál.
Tehát, ha csak néma gyorsítótárra van szükséged, akkor csak kérelmeket továbbíthatsz. Ez a megfelelő konfigurációs bekapcsolva vállalati környezetben, amikor például továbbítja a kéréseket a központi irodához.
Az Ön helyzetének megfelelően, amikor az átirányítási kérelmek kívülről érkeznek, azt tanácsolom, hogy ne tegye vakon forward only annak érdekében, hogy ne továbbítsák a magasabb IP-címek tartományának / helyi DNS / Windows tartományainak DNS-kéréseit a magasabb hierarchiák / gyökér névkiszolgálók számára.
Megjegyzések
- btw, az OpenDNS (és mások) támogatják a titkosított továbbítást. Otthon csinálom.
- Ó, fantasztikus, kérjük, adja meg a módosításokat, amikor csak tudsz ^^ Szeretnék titkosított továbbítást használni, hogy megszabadulhassak egy hülye szolgáltató routertől a dns enforcertől, amely átírja a dns csomagokat!
- nyisson meg egy új kérdést és kommenteljen a felhasználóval; így dokumentálódik, és nem szoktunk keverni tantárgyakat / kérdéseket.
- Ok, megcsinálom 🙂 Először a kávét, majd megírom az új kérdést!
- Most láttam .. .bonyolultabb, mint amire valójában vártam. Később válaszol.