LINUX.ORG.RU
Форум — Admin  

Трабл с 127.0.53.53


1

2

Приветствую.
Столкнулся с проблемой при резолве доменного имени в нутри локальной (частной) сети.
Домен cn.energy .
В сети bind+dhcpd на gentoo, второй бинд на другом серваке.
При попытке достучаться по имени к серверам - например srv-gw(srv-appl).cn.energy я тыкаюсь на ИП 127.0.53.53
Прочитал:
https://www.icann.org/news/announcement-2-2014-08-04-ru
http://www.webnames.ru/blog/1663

Но не понял как решить вопрос.
В данный момент все ВПНщики столкнулись с такой траблой.
ВПН выдаёт адрес шлюза+днс.

Домен cn.energy сейчас свободен (был), я подал заявку на его регистрацию, но не знаю как мне это поможет.
Компания закрытого типа и внешние доменные имена не нужны.
Менять доменное имя - это пипец, компания большая, всё завязано на домене.

Подскажите плиз как решить этот вопрос.
Спасибо.

← SVN server на debian, работает не на всех компах
mysql бекап и восстановление большой(150гб) базы. →

если прям «cn.energy» - то ты соснул с регистрацией, cn.* для китая.
Если «companyname.energy» - то ты решил проблему.

Компания закрытого типа и внешние доменные имена не нужны.

ну так bind не закрыт-то, из интернета получает инфу о energy.

parrto ★
()
Ответ на: комментарий от parrto

cn.(ua)* - это региональная зона второго уровня, когда придумывали(6лет_назад) имя для домена, ни кто не мог предположить что energy сделают доменом первого уровня

ну так bind не закрыт-то, из интернета получает инфу о energy.

согласен, но тогда как решить эту проблему ? может подскажете ? я думаю это коснётся многих

SimbioS
() автор топика
Ответ на: комментарий от parrto

Согласен с этим.
бинд отпахал 6 лет без проблем.
Но наверно умы из ИСАНН решили по другому (((
http://www.icann.org/en/about/agreements/registries/apd-reports-17nov13-en.zip
Список открытых теперь зон из чёрного списка для регистрации.
Посмотрите, может быть и ваш локальный домен уже там (((

SimbioS
() автор топика
Ответ на: комментарий от parrto

Чето я мимокрокодил, прочитал тред и у меня впечатление что кто-то где-то не дочитал (возможно, я). По ссылке речь о gTLD, т. е. о регистрации доменных имен вида .mycoolnewgtld, в том числе .energy. .energy можно зарегистрировать как gTLD, .am — нельзя. При чем здесь cn.energy? Как я понял, .energy — gTLD, и к нему применимы ограничения пункта 2.12, но никто не запрещает зарегистрировать cn.energy любому желающему. Или нет?

Kiborg ★★★
()
Ответ на: комментарий от Kiborg

[qoute].energy можно зарегистрировать как gTLD, .am — нельзя. При чем здесь cn.energy? Как я понял, .energy — gTLD, и к нему применимы ограничения пункта 2.12, но никто не запрещает зарегистрировать cn.energy любому желающему. Или нет?[/qoute]

проблема не в cn.energy а в energy.
Мне не надо регистрировать этот домен - он внутренний !
При обращении к домену(хосту) например srv-gw.cn.energy ДНС сервер смотрит зону в cn.energy где прописаны хосты.
А дальше идёт на рутовые ДНС и вот тут начинается самое интересное, рутовые сервера отвечают что energy - это рутовая зона и получается коллизия по этому они придумали адрес 127.0.53.53 для её выявления.

Как побороть это без изменения имени внутреннего домена ?

SimbioS
() автор топика
Ответ на: комментарий от SimbioS

Я щас не тебе отвечал. Тут я не большой спец, предполагаю что на сервере надо запретить рекурсию, чтобы он не лез в корневые DNS сервера за зоной .energy.

Kiborg ★★★
()
Ответ на: комментарий от blind_oracle

Если у тебя днс авторитативный для зоны, то ни на какие руты он не пойдет.

Сорри, но это не доказательно !? Почему не пойдёт ? Если зона energy уже стала корневой !

SimbioS
() автор топика
Ответ на: комментарий от SimbioS

Потому что если у бинда в конфиге есть зона xxx.yyy и она type master, то он считает эту зону своей и рекурсию по ней проводить не будет, это азы его работы.

blind_oracle ★★★★★
()
Ответ на: комментарий от blind_oracle

Опять таки согласен.

Но мля ICANN таки что-то изменил - и это я так думаю не касается самого бинда (((

Почему я начал упираться в 127.0.53.53 при запросе в своей сети на *.cn.energy ?

Сори за эмоции.

SimbioS
() автор топика
Ответ на: комментарий от blind_oracle

Ну-ну 

acl "srv-ad" {
10.00.00.5;
10.00.00.6;
10.00.0.17;
};

server 10.00.0.5 {
        keys { "rndc-key"; };
};

acl "trusted" {
    127.0.0.1/32;
    10.00.0.0/16; #cn.energy network
    11.0.00.0/24;  #network of ASUTP
    192.00.0.0/24; #CityNet
    192.00.00.0/24; #Sever
    10.100.00.0/24; #VPN subnet
    10.200.00.0/24; #VPN TCP subnet
};

options {
        directory "/var/bind";
        pid-file "/var/run/named/named.pid";

        /* https://www.isc.org/solutions/dlv >=bind-9.7.x only */
        //bindkeys-file "/etc/bind/bind.keys";

        listen-on-v6 { none; };
        listen-on { 127.0.0.1; 10.00.0.15; };

        allow-query {
                trusted;
        };

        allow-query-cache {
                trusted;
        };

        allow-recursion {
                trusted;
        };

        dnssec-enable yes;
        dnssec-validation yes;
        dnssec-lookaside auto;
};


logging {
        channel default_log {
                file "/var/log/named/named.log" versions 5 size 50M;
                print-time yes;
                print-severity yes;
                print-category yes;
        };
        channel update_debug {
                 file "/var/log/named/update-debug.log";
                 severity  debug 6;
                 print-category yes;
                 print-severity yes;
                 print-time     yes;
            };
        channel security_info    {
                 file "/var/log/named/named-auth.info";
                 severity  info;
                 print-category yes;
                 print-severity yes;
                 print-time     yes;
            };

            category update { update_debug; };
            category security { security_info; };
            category lame-servers {null; };
            category default { default_log; };
            category general { default_log; };
};

include "/etc/bind/rndc.key";

controls {
        inet 127.0.0.1 port 953 allow { 127.0.0.1/32; } keys { "rndc-key"; };
};

zone "." in {
        type hint;
        file "/var/bind/root.cache";
};

zone "localhost" IN {
        type master;
        file "pri/localhost.zone";
        notify no;
};

zone "127.in-addr.arpa" IN {
        type master;
        file "pri/127.zone";
        notify no;
};

zone "cn.energy" {
    type master;
    file "pri/cn.energy.zone";
    allow-update { key "rndc-key";};
    check-names ignore;
    notify no;
    allow-transfer { key "rndc-key"; };
};

zone "energy.xxx.yyy" {
    type slave;
    file "sec/energy.xxx.yyy.zone";
    check-names ignore;
    masters {10.00.00.05;};
    notify yes;
};

zone "er.energy.xxx.yyy" {
    type slave;
    file "sec/er.energy.xxx.yyy.zone";
    check-names ignore;
    masters {10.00.00.001;};
    notify yes;
};

zone "in-addr.arpa" IN {
    type master;
    file "pri/00.10.zone";
    allow-update { key "rndc-key";};
    check-names ignore;
    notify no;
    allow-transfer { key "rndc-key"; };
};

zone "0.00.10.in-addr.arpa" IN {
    type master;
    file "pri/srv.zone";
    allow-update { none;};
    check-names ignore;
    notify no;
    allow-transfer { key "rndc-key"; };
};

zone "_msdcs.cn.energy" {
    type master;
    file "din/_msdcs.cn.energy.db";
    check-names ignore;
    allow-update {srv-ad;};
};

zone "_sites.cn.energy" {
    type master;
    file "din/_sites.cn.energy.db";
    check-names ignore;
    allow-update {srv-ad;};
};

zone "_tcp.cn.energy" {
    type master;
    file "din/_tcp.cn.energy.db";
    check-names ignore;
    allow-update {srv-ad;};
};

zone "_udp.cn.energy" {
    type master;
    file "din/_udp.cn.energy.db";
    check-names ignore;
    allow-update {srv-ad;};
};

zone "_vlmcs._tcp.cn.energy" {
    type master;
    file "din/_vlmcs._tcp.cn.energy.db";
    check-names ignore;
    allow-update {srv-ad;};
};

$ORIGIN .
$TTL 604800<--->; 1 week
cn.energy<-----><------>IN SOA<>srv-ddns.cn.energy. admin.srv-ddns.cn.energy. (
<------><------><------><------>2010140566 ; serial
<------><------><------><------>28800      ; refresh (8 hours)
<------><------><------><------>14400      ; retry (4 hours)
<------><------><------><------>604800     ; expire (1 week)
<------><------><------><------>86400      ; minimum (1 day)
<------><------><------><------>)
<------><------><------>NS<---->srv-ddns.cn.energy.
<------><------><------>A<----->10.00.0.15
<------><------><------>MX<---->10 srv-mail.cn.energy.
$ORIGIN cn.energy.
_vlmcs._tcp<---><------>SRV<--->0 0 1688 srv-backup.cn.energy
$TTL 3600<----->; 1 hour
aho-000<--><------>A<----->10.00.00.130
$TTL 10800<---->; 3 hours
<------><------><------>TXT<--->"3169dc92a67fc8aebe7e9e7ed32cab6ab2"
$TTL 3600<----->; 1 hour
aho-111<-----><------>A<----->10.00.00.135
<------><------><------>TXT<--->"314675af4cd02758cd47c1419e7164aac0"

ETC
ИП фейковые ДХСЦ динамически обновляет прямую и обратню зону ДНС.

Надеюсь теперь вы сможете мне помочь. Спасибо.

SimbioS
() автор топика
Ответ на: комментарий от SimbioS

Ну нах.еверчено, использовать бинд в качестве днс для AD это так себе решение.

_vlmcs._tcp<---><------>SRV<--->0 0 1688 srv-backup.cn.energy

Вот тут точки в конце нет, работать не будет.

Покажи еще вывод dig srv-gw.cn.energy @ipбинда и dig cn.energy @ipбинда

blind_oracle ★★★★★
()
Ответ на: комментарий от blind_oracle

Эта схема работает уже 6 лет без проблем !!! И нех трындеть что с Ад это хуёво. да бля ты не понял !!! Проблема не в бинде, сцуко.

ЧИТАЙ: http://www.webnames.ru/blog/1663

Менять доменное имя - это пипец, компания большая, всё завязано на домене.

Подскажите плиз как решить этот вопрос. Спасибо.

SimbioS
() автор топика
Ответ на: комментарий от SimbioS

zone «localhost» IN

не сиделось в правильной зоне, да?

parrto ★
()
Ответ на: комментарий от parrto

К делу это как относится? У аффтара внутренняя зона и ему до какого-то иканна, который там что-то придумал, до фонаря. У него бинд резолвит эту зону для внутренних клиентов и наружу ее не должен спрашивать при нормальной настройке.

blind_oracle ★★★★★
()
Ответ на: комментарий от parrto

Автор залетел поистерить и что там у него на самом деле происходит - не понятно. Может у него там где-то в зоне стоит «* IN NS 8.8.8.8» и поэтому все непонятные запросы улетают туда. Или у него хосты резолвят через какой-то левый днс. Или точки где-то не стоит. Или еще какой косяк, хрен его знает.

blind_oracle ★★★★★
()
Ответ на: комментарий от blind_oracle

не понятно

а мне непонятно, почему я в каждом первом потсе вижу ебную ошибку с пробелом. Таксложнонеставитьлишнихпробелов?

parrto ★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← SVN server на debian, работает не на всех компах
Admin
mysql бекап и восстановление большой(150гб) базы. →