【設定面倒】BIND 総合スレッド【DNS】
無かったから建てた。 正直webminすごく助かる forwardersを設定している場合、 自分が管理しているゾーンで以外だったらクエリを転送すると思うのですが、 自分が管理しているゾーンファイル中で解決できなかった場合でも、 forwardersに飛ぶのでしょうか? 例えば、 ゾーンAを管理していて、A内にホストやサブドメインa1,a2,a3がある場合、 問い合わせがゾーンAのa1であれば即時解決、 問い合わせがゾーンBのb1であればforwardersで転送ですが、 問い合わせがゾーンAのa4である場合です。 >>235 それグローバルオプションのforwardersが優先されたはず。 サブドメインのセカンダリになるか、配下のサブドメインを個別にforwardersしないと 解決できなかった気がするけど、今ならオプションとかあるのかな。 それはnamed.confでなく、個別のファイルであるゾーンAファイル内に 「ホストa1〜a3」「(それ以外は)forwardersどこそこ」 という設定するということでしょうか? >>237 飛ばずに、無いとなると思います 基本、同一ドメイン名は他に存在しないのが原則ですから 例的に言えば管理ゾーンがAAA.BBB.CCCだったで 中に記載されているホスト名はa1・a2・a3とした場合 a1.AAA.BBB.CCCは即時解決 a1.EEE.FFF.GGGはforwarders転送 a4.AAA.BBB.CCCは存在しない >>237 スマソ、a4を権限委譲したサブドメインと勘違いしてた。 この場合でも1行目は書き間違いで「グローバルオプションのforwardersの 影響を受けてサブドメインの解決ができない」となるけどね。 自分が管理しているゾーンAにa4の情報はないが、 同じゾーンAを、例えば外部に設置したBINDも管理していて、そこにはゾーンAのa4の情報がある場合、 a1,a2,a3は自己解決し、a4は外部設置BINDに飛ばす、 という設定はできないものなんでしょうか。 Webサーバーみたいに、内部と外部で、同じゾーンの同じホストでも 違うIPを記述する例(同一ドメインが他に存在し、記述内容が異なる例)も あると思うんだけど、何か間違えてるかな? >>240 DNSの基本構造がおかしくなりますから、無理だと思います DNSの基本として、マスターは1個ですから その場合、同一ドメインのマスターが複数あると言う事になりますので 基本に違反する事になります (※設定によっては、複数のマスターが存在する事も有りますが、双方でレプリケートされ整合性が取れるようになってます) 何故そのような事をしたいのか?しないと行けないのか?など分れば 別の良い方法を提示できる可能性もありますが・・・ (私の知識が古いだけで今は出来たりするのかな?) >>240 >Webサーバーみたいに、内部と外部で、同じゾーンの同じホストでも・・・ それはアクセスしに来る場所(IPアドレス)により参照先を変更してます 確かセキュリティーゾーンの設定みたいな感じだったかな? 最近のBINDなら設定可能です それでも、上記のような管理配下に存在しない場合は別のDNSに問い合わせは無理だったかと で・・・方法は無い訳では有りません 基本設定にそのような項目が無いならソースは公開されてるので、 そのような動作をするようにすれば良いと言う考えも無くは無いですが・・・絶対にお勧めはしない どうしても必要、他に方法が無いと言う時の悪手の中の悪手の最終手段 CNAMEで別のゾーンに逃げるのがakamaiとかでの定石かな。 あるいはRPZでもいけるか? それは、ドメインが例えば a1.AAA.BBB.CCC a1.EEE.FFF.GGG に変わった場合のこと? 「あまりお勧めできるものではないけれど」という前置き付きで view 機能を使えばいいんじゃないか。 と、言いたい人は沢山いるんじゃないだろうか。 けれど view はちょっと複雑なケースになると面倒になるのを皆経験しているのじゃないかな。 viewを使うとクライアントのアドレスや、ホストのアドレスやら毎にドメイン情報を区別できます。 例えばあるbindサーバーが、example.jpのマスターだとして、 インターネット向けには www.example.jp A 1.2.3.4 と イントラネット向けには www.example.jp A 192.168.0.100 という異なるアドレスを返すようにできます。 これだけ見ると、「ああ、それそれ」と思うかもしれませんがやってみると zoneファイルが2つになるとか、master、slaveの関係とかいろいろ面倒なことがあります。 どうしてもCNAMEのホスト名に @ を指定できないと困る状況なのですが、古いbindとかを使えばなんとかなったりしますか? 去年zoneedit.comでDNS設定した際に、どういうわけかCNAMEのホスト名に @ が指定できたのでそのままサービスを運用していたのです・・ RFC 的に禁止なので、バージョンによってどうにかなるもんじゃないです。 >>246 古い物ほどその辺厳密だと思いますよ @はユーザーとドメインの区切りでも使われますし(メールとかで) 仮に運用してても不具合や他の問題が出る可能性が考えられるので 登録情報を修正する事をお勧めします (移行期間を長く儲けていれば混乱も少ないと思います) 一応ソースは公開されているので、自らソースいじれば@も対応可能だとは思いますが 規定外なので何処でどのような問題が出るか分りません 別の件ですが、某携帯会社のメールアドレスに規定外のアドレスが設定できるために そのアドレスから送られたメールが届かなかったり、送っても届かないとか有ります フリーで出回ってるメールーサーバーは対応したりしてますが、大多数のサーバーは 未対応で今でも偶にそのような話が上がります >>247 >>246 はそんなことを聞いてるんじゃないと思われ。 DNS の仕様的には @ という文字を使うことはまったく禁止されてないし、 実際 BIND などでも何の問題なく設定できる。@ ではなく \@ と書けばいいだけ。 DNS に問い合わせる側がそういう応答をちゃんと扱えるかどうかはまったく別問題だが。 >>249 @使えるんだ と思って試した 今使ってるバージョン(9.6.2 古いバージョンだった)では ドメイン名に@入れると起動時にエラーで弾かれます。\@に変えても同じでした エラー出してるのがドメイン下の設定ファイルなので、その辺を上手く設定してあげればいけるかも 設定ファイルの中に@で書いてる場所がありますからそれと当ってるのかな? (@止めてきちんと書けば・・・) ホスト名の方に@は認識してくれました。\@にしなくても可能でした(\@でも可能) しかし、Windows版のping・nslookupでは共にエラー(該当データ無し) Linux版ping・nslookupではpingエラー・nslookup返り値有り と言う不安定な結果 何か渡し方が別途あるのかも知れないですが >>246 と 言う事で \付けて問題ないバージョンが存在するみたいなので それを見つけて導入してはいかがでしょうか? ただ、DNSを利用するソフトによって挙動が変わる可能性がありますので 使う用途によってはテストをしっかりする必要性が有るかと思います 現状運用していて問題が無いのであれば、問題が起きない可能性もありますが CNAMEを@に使って、NSやSOAはどうするつもりなんだ? 質問させてください。 ネームサーバーを複数登録し、その中の一台が応答すれば名前解決は行われるそうですが、 ゾーンの編集はネームサーバー一台毎に行っているのでしょうか? たとえば、バリュードメインのゾーン編集を行った場合 NS1-5.valuedomain.comまでを一括で編集するということですか? 内向けLAN内で使うDNS構築は意味ありそうなんですが 外部向けDNSって自分がDynamic DNSをユーザーに提供するような目的じゃないと構築する意味ないですよね? 自分のドメインでメールを受け取ったりWebサーバーを公開したりする人には意味があると思います。 え?外向けDNSなんか構築しなくてもWEBサーバの公開はできるでしょ? 自分のドメインは外部にあるDNS利用させてもらってIPアドレスを通知すればいいし。 ドメインに対して権威あるDNSをわざわざ自前で立てて外部へ向けるんですか? それでも可能でしょうけどルータのポートを解放してまで外部へ提供するDNSをわざわざ自前で立てるまでもないですよ。 運用次第だろうね 外部DNS利用するが外部のデータ更新は手続きが面倒なため 外部をサブにして自前をマスターにし、データ更新はマスターで行なうとかもあるし 別に無理して使う必要も無い代物だよ BIND9.7xから設定が難しくなりましたね。 デフォルトの設定ファイルの配置が違いす業て最初からハマります。 何がなんだかです。 biind9.8.2+bind9.8.2-chootでの内向けDNSの設定のやり方がいろんなサイト見てもやり方が違いすぎてどれが本当なのか分かりません。 LAN内の名前解決したいだけなのになんでこんなに難しいんだろう。 やりたいのはwindowsで言うところのhostsファイル書き換え程度なのに。 デフォルトの設定ファイルの配置って、 そんなもん大昔から変わってませんがいったい何の話をしていますか。 たしかにちょっとテストで使いたいとか、LANも含めて小規模のDNS作りたいときに BIND使うのは大げさでうざくて面倒な感じがする。 一時期自分も使ってたけど、面倒くさくなってプロバイダに委託してしまった。 だれかもそっと簡易なものを作ってくれんかな? むしろそういう用途こそBINDがラクできるんだが。 BIND以外のものはゾーンを持つものとキャッシュさせるものが別実装なので それぞれ別個に設定しなきゃいけない。 マジメに運用するときは分離していろいろ考えた構成にする必要があるから BINDでもそれ以外でもたいして手間に変わりはなくなるが、 外に晒さない内向きの名前解決をさせるだけのことでBINDが面倒ということはないはず。 BIND9.8が遅い fowardersをルータでなくISPのDNSにした。 ipv6を止めた。 それでも遅い。 >>15 をベースにすれば中用外用分離できるし簡単w すんません 教えてください valuedomain使ってるんだけど ns @ 対象のネームサーバ って設定はできないものですか? サブドメインなしのアドレスのネームサーバを 設定したいんですが・・・ >>267 利用されている場所の設定によると思います サイトを見ると、ネームサーバーの変更方法も有るみたいですし 他のサーバーを利用する場合の項目もあるみたいですが BINDなら SOAドメイン名がdomain.jpだった場合 「 NS @」 で domain.jpがDNSサーバーとなります 「 NS sample」 で sample.domain.jpがDNSサーバーとなります 「 NS sample.jp.」でsample.jpがDNSサーバーとなります 指定ドメイン名の最後がピリオドかどうかで、相対か完全かが分かれてたかと (このような場合も、相対・完全と言うか分りませんが) やりたい事は分るのですが、意図が分らない 上位サーバーにマスター・スレーブを登録されているなら分りますが optionsの記述変更は、rndc reloadコマンドだけで適用されますか? reload はゾーンの読み直し。 設定変更するなら rndc reconfig >>267 サブドメインなしのネームサーバーは、そこに定義するのではなく、別画面(NS)。 上位のネームサーバーで回答してもらわないといけないからね。 今月に入ってから所有する複数のサーバーでnamedのエラーが大量に出るようになったんですが、同じような症状の人います? 自動でアップデートするようにはしてないのでアタックなのかと不安なのですが… >>274 Jul 9 16:01:40 ns named[928]: client xxx.xxx.xxx.xxx#2091: error sending response: unexpected error こんな感じのエラーが大量に出ます。 リソース不足になってないか確認してみては? ttps://kb.isc.org/article/AA-00717/0/Why-does-named-log-error-sending-response.html ちょっと前の記事だけど、オープンリゾルバがDDOSの踏み台になってるとの事 http://www.rbbtoday.com/article/2013/04/18/106611.html 外部からの問い合わせは許可しない設定にしましょう bind9.7.3でdkimを設定してもdigで返ってこないんだけど何でだろ。 default._domainkey IN TXT "v=DKIM1; k=rsa; p=MI****" ; をゾーンに追記だけでいいんだよね? 設定のしかたが間違ってるか確認のしかたが間違ってるか、どっちかまたは両方。 その聞き方だと思い当たる可能性が多すぎて、これ以上のことはわからん。 あまり資料が無く困っているのですが、自身が管理しているゾーン(example.jp)をtype stubにして、 別のDNSへ委任させることはできるのでしょうか? この場合、上位(jpドメイン)のDNSでは、特に何もしなくても良いのでしょうか? Windows 2000 から Windows Server 2012に移行しました。 BINDを8から9.10.0-P1.x64に変更して named.confなどはそのままBIND 9に持ってきました。 いざ稼動してみると20分くらいでBINDが落ちてしまいます。 Windows Server 2012でBIND 9が正常に動いている人いますか? Bind設定してやっとエラーもでなくなったんで下みたいにnslookupしてみたんだけど引けない。 nslookup server.com 192.168.1.88 *** Can't find server name for address 192.168.1.88: No response from server Server: UnKnown Address: 192.168.1.88 *** UnKnown can't find server.com: No response from server ログファイル見てみると下のログが延々と並んでる。 netstat -ls すると53番ポートは開いてる。 なにをどうなおせばいいのか全くわからないだれか教えてください。 20-Jun-2014 13:29:37.955 general: debug 1: zone_maintenance: managed-keys-zone ./IN: enter 20-Jun-2014 13:29:38.006 general: debug 1: zone_settimer: managed-keys-zone ./IN: enter 20-Jun-2014 13:29:38.006 general: debug 1: zone_timer: managed-keys-zone ./IN: enter 20-Jun-2014 13:29:38.006 general: debug 1: zone_maintenance: managed-keys-zone ./IN: enter 127.0.0.1は? そしてファイアウォールとかaclとか。 > Server: UnKnown BIND以前の問題だなw なんだか古巣に戻ってきた気分で。 BIND 9.8.2rc1-RedHat-9.8.2-0.23.rc1.el6_5.1 (CentOS6.5) 動かしてます。けれども。 top - 23:58:09 up 6 days, 22:13, 2 users, load average: 1.34, 1.39, 1.36 Tasks: 248 total, 2 running, 246 sleeping, 0 stopped, 0 zombie Cpu(s): 24.9%us, 0.1%sy, 0.0%ni, 74.9%id, 0.0%wa, 0.0%hi, 0.0%si, 0.0%st Mem: 12187176k total, 10465200k used, 1721976k free, 286760k buffers Swap: 23568376k total, 16324k used, 23552052k free, 4413928k cached PID USER PR NI VIRT RES SHR S %CPU %MEM TIME+ COMMAND 4101 named 20 0 5349m 4.8g 2680 S 100.0 41.3 10564:16 /usr/sbin/named -u named -t /var/named/chroot こんなことになっています。 動作は問題無いけれども、負荷掛かりすぎ?メモリ食い過ぎ? ちょと心配になって。これって異常? ちなみにエントリ数が5.3Mあったりします。 >>288 純粋にキャッシュの増大が原因ならmax-cache-size設定してみたら? アホな質問かもしれませんが、 1台のサーバでマスターとスレーブを設定することってできますか? BINDを使って名前解決できるようになったんだけど、 一部のドメインとレジストラの組み合わせではマスターとスレーブの二台を登録しないと 登録できないみたいで困っとります。 >>290 view使えばできるけど・・・というのは置いといて。 2つのNSレコードが必要なんでしょ。 2つのNSレコードを登録してIPアドレス一緒にして回避するか、 だめなら2つの異なるIPアドレスでネームサーバ立てるしかないでしょ。 >>291 だめなら2つの異なるIPアドレスでネームサーバ立てるしかないでしょ。 一つのネームサーバに2つのIPアドレスでいけるかもね。 >>291 なるほど、2つのNSレコードで対応すればいいんですな。 >>292 上の方法でダメだったらあきらめてVPSでも借りて二台立てます。 しかし、普通みんな普通に2台も立ててんのかな? ネームサーバなんてスパムさえ来なければ全然負荷ないのに…。 >>293 負荷対策って言うより、障害対策って事だと思う。 ありがとう。 NSをもう一つ書いたらレジストラに登録はできたけど、 セカンダリでアクセス出来なかった。 そこでセカンダリDNSに登録したらさくっとできたわ。 無料で提供している所あるんだねっていうか、これ絶対に一定の需要あるよね。 昔は知り合いのところと相互にセカンダリーを引き受けてたよね。 ___ _ ヽo,´-'─ 、 ♪ r, "~~~~"ヽ i. ,'ノレノレ!レ〉 ☆ 日本のカクブソウは絶対に必須です ☆ __ '!从.゚ ヮ゚ノル 総務省の『憲法改正国民投票法』のURLです。 ゝン〈(つY_i(つ http://www.soumu.go.jp/senkyo/kokumin_touhyou/index.html `,.く,§_,_,ゝ, ~i_ンイノ ★マインドコントロールの手法★ ・沢山の人が偏った意見を一貫して支持する 偏った意見でも、集団の中でその意見が信じられていれば、自分の考え方は間違っているのか、等と思わせる手法 ・不利な質問をさせなくしたり、不利な質問には答えない、スルーする 誰にも質問や反論をさせないことにより、誰もが皆、疑いなど無いんだと信じ込ませる手法 偏った思想や考え方に染まっていたり、常識が通じない人間は、頭が悪いフリをしているカルト工作員の可能性が高い ,,,,, 質問です。 BIND9を使ってます。 netstat などで待ち受け状況を見ると IPv6では *.53 IPv4では 127.0.0.1.53 <自IP>.53 などと、IPv4では持っているIPアドレス毎にbindしているように見えます。 これを *.53の様に「何処からでも待ち受け」にするには、 どのような設定を行えばよいでしょうか。 関係ありそうなものといえば、現在 listen-on { any; }; listen-on-v6 { any; }; としているくらいです。 tcpじゃね? バージョンもなんもかいとらんし判らンゴ >>301 OSなどの種類が分らないと netstatはBINDのコマンドでも無いからね 既にその設定なら何処からでも受け付けていると思うけど それに、 IPv6では *:53 IPv4では 127.0.0.1:53 <自IP>:53 こうでは無いかな? 仮に繋がらないと言うなら FW(linux系ならiptablesとか)が遮断しているのでは無いでしょうか? それともネットワークカードが複数あり全てで待ちうけしたいのかな? BINDは逆に何もしなければ全てのNICで待ち受けしたと思うけど >>303 NICが複数ある状態で使っているのです。 現状を簡単に説明すると、 今使っている環境、仮にインタフェースが3つあってそれぞれIPアドレスを <a>、<b>、<e>とすると <a>.53にbindは成功するけど、<e>.53はbindに失敗するといった状況です。 これ自体は問題ではなくて、権限の話なのでどうでもいいのですが BINDではbindに失敗すると(ややこしいな・・・)エラーログを出し続けます。 これがうっとおしいので、どうにかしたいのです。 わざわざすべてのNIC(<a>、<b>、<e>)に対してbindするのではなく、 0.0.0.0に対してbindすれば解決するんですが、どうにかならないものかと。 ( IPv6では 0に対してbindしてますよね ) >>305 ありゃ。駄目なんですか。 別のアプローチ考えます。。。 情報有り難うございました。 今度IPアドレスが変わるんですが 事前作業としてはDNSサーバーのzoneファイルのTTLを 15分とかにしておけばいいでしょうか? ゾーン転送のリフレッシュタイムを1時間にしました。 質問させて下さい。 DDNS、サブドメイン無しの環境で ホスト名「SV01」固定IP「192.168.1.100」のAレコードを登録している正引きゾーンに対し、 同一のホスト名のDHCPクライアント「SV01」「172.16.1.101」が現れた時に DHCPサーバからのdns updateによる上記レコードの上書きをさせないようにするには どのような手法がありますか? >>311 SV01をサブドメインにして、そのドメインはDDNSでの更新を許可しない。 >>313 update-policyを調べてみたけど、要件は満たしていそうに見える。 ダメな理由は? >>316 >>317 deny sv01.example.jp self sv01.example.jp. A; ではダメなんか? ここは質問スレじゃないから書く奴のご機嫌次第だぞ 1から10まで書かないと理解できないというのなら実装されてないと思って諦めなさい read.cgi ver 07.5.1 2024/04/28 Walang Kapalit ★ | Donguri System Team 5ちゃんねる