1)Имеем Домен на 2003 windows (Active directory,dns,сервер терминалов). 2) Имеем прокси на debian(sams2+squid+bind) 3)В настройках сети у конечного пользователя 1 dns - (Виндовый)
Задача настроить бинд для приема и отправления dns запросов от вин сервера в нет и обратно
после установки bind9 на debian
named.conf
include "/etc/bind/named.conf.options";
include "/etc/bind/named.conf.local";
include "/etc/bind/named.conf.default-zones";
named.conf.default-zones
// prime the server with knowledge of the root servers
zone "." {
type hint;
file "/etc/bind/db.root";
};
// be authoritative for the localhost forward and reverse zones, and for
// broadcast zones as per RFC 1912
zone "localhost" {
type master;
file "/etc/bind/db.local";
};
zone "127.in-addr.arpa" {
type master;
file "/etc/bind/db.127";
};
zone "0.in-addr.arpa" {
type master;
file "/etc/bind/db.0";
};
zone "255.in-addr.arpa" {
type master;
file "/etc/bind/db.255";
};
named.conf.local
//
// Do any local configuration here
//
// Consider adding the 1918 zones here, if they are not used in your
// organization
//include "/etc/bind/zones.rfc1918";
named.conf.options
options {
directory "/var/cache/bind";
// If there is a firewall between you and nameservers you want
// to talk to, you may need to fix the firewall to allow multiple
// ports to talk. See http://www.kb.cert.org/vuls/id/800113
// If your ISP provided one or more IP addresses for stable
// nameservers, you probably want to use them as forwarders.
// Uncomment the following block, and insert the addresses replacing
// the all-0's placeholder.
// forwarders {
// 0.0.0.0;
// };
auth-nxdomain no; # conform to RFC1035
listen-on-v6 { any; };
};
Собственно хочу привести named.conf.options к виду. Т.е. хочу чтобы доступ к днс bind имела только моя подсетка ip6 мне не нужен.
acl mynetwork {192.168.0.0/24; 127.0.0.1; };
options {
directory "/var/cache/bind";
auth-nxdomain no;
listen-on-v6 { none; };
allow-query { mynetwork; };
};
Должно работать так : клиент посылает dns запросы win серверу если тот чего не знает (к примеру идет запрос на ip или имя не из локальной сети) то пересылает запрос bind далее они идут к корневым серверам. Поскажите может что упустил ? Нужно ли как нибудь защищать dns трафик (к примеру правила на фаерволе)?Вообще безопасна ли такая связка для win dns ?
