Servidor DNS para provedor

[lfernandosg]

Pessoal,

Estou montando um servidor DNS com IPs válidos para melhorar qualidade e resolver os nomes para os clientes localmente.

Fiz todas as configurações e todos testes dão OK mas, quando coloco o IP do servidor em uma máquina da rede interna, não resolve os nomes, pinga somente para fora por IP, acessa skype e etc...mas não navega e nem pinga em nomes.

Seguem testes direto do servidor:

root@dnswantel:/home/fernando# nslookup ns1.wantel.net.br
Server: 201.18.13.4
Address: 201.18.13.4#53

Name: ns1.wantel.net.br
Address: 201.18.13.4

root@dnswantel:/home/fernando# nslookup ns2.wantel.net.br
Server: 201.18.13.4
Address: 201.18.13.4#53

Name: ns2.wantel.net.br
Address: 201.18.13.2

root@dnswantel:/home/fernando# dig @wantel.net.br

; <<>> DiG 9.9.5-9ubuntu0.1-Ubuntu <<>> @wantel.net.br
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 20933
;; flags: qr rd ra ad; QUERY: 1, ANSWER: 13, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;. IN NS

;; ANSWER SECTION:
. 518198 IN NS g.root-servers.net.
. 518198 IN NS b.root-servers.net.
. 518198 IN NS l.root-servers.net.
. 518198 IN NS e.root-servers.net.
. 518198 IN NS h.root-servers.net.
. 518198 IN NS i.root-servers.net.
. 518198 IN NS c.root-servers.net.
. 518198 IN NS d.root-servers.net.
. 518198 IN NS k.root-servers.net.
. 518198 IN NS m.root-servers.net.
. 518198 IN NS a.root-servers.net.
. 518198 IN NS j.root-servers.net.
. 518198 IN NS f.root-servers.net.

;; Query time: 2 msec
;; SERVER: 201.18.13.4#53(201.18.13.4)
;; WHEN: Tue Jul 21 08:20:34 BRT 2015
;; MSG SIZE rcvd: 239


Seguem configurações:

root@dnswantel:/home/fernando# cat /etc/hosts
127.0.0.1 localhost
201.18.13.4 wantel.net.br dnswantel
201.18.13.2 ns2.wantel.net.br
# The following lines are desirable for IPv6 capable hosts
::1 localhost ip6-localhost ip6-loopback
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters
root@dnswantel:/home/fernando# cat /etc/bind/named.conf.default-zones
// prime the server with knowledge of the root servers
zone "." {
type hint;
file "/etc/bind/db.root";
};

// be authoritative for the localhost forward and reverse zones, and for
// broadcast zones as per RFC 1912

zone "localhost" {
type master;
file "/etc/bind/db.local";
};

zone "127.in-addr.arpa" {
type master;
file "/etc/bind/db.127";
};

zone "0.in-addr.arpa" {
type master;
file "/etc/bind/db.0";
};

zone "255.in-addr.arpa" {
type master;
file "/etc/bind/db.255";
};


zone "wantel.net.br" {
type master;
file "/etc/bind/db.wantel";
allow-transfer { 201.18.13.2;};
};

zone "13.18.201.in-addr.arpa" {
type master;
file "/etc/bind/db.wantel.rev";
};
root@dnswantel:/home/fernando# cat /etc/bind/db.wantel
$TTL 43200 ; 12 hours

@ IN SOA ns1.wantel.net.br. root.wantel.net.br. (
220920091 ; Serial
28800 ; refresh (8 hours)
14400 ; retry (4 hours)
3600000 ; expire (5 weeks 6 days 16 hours)
86400 ; minimum (1 day)
)


IN NS ns1.wantel.net.br.
IN NS ns2.wantel.net.br.
IN NS wantel.net.br.
IN A 201.18.13.4

ns1.wantel.net.br. IN A 201.18.13.4
ns2.wantel.net.br. IN A 201.18.13.2
NS IN CNAME dnswantel
root@dnswantel:/home/fernando# cat /etc/bind/db.wantel.rev
$TTL 43200 ; 12 hours
@ IN SOA wantel.net.br. root.wantel.net.br. (
220920091 ; Serial
28800 ; refresh (8 hours)
14400 ; retry (4 hours)
3600000 ; expire (5 weeks 6 days 16 hours)
86400 ; minimum (1 day)
)

@ IN NS wantel.net.br.
4 IN PTR ns1.wantel.net.br.
3 IN PTR ns2.wantel.net.br.




Porque não consigo pingar nos nomes na minha rede interna usando a faixa de IP 10.10.10..x/24 com DNS 201.18.13.4??

[dpetry]

@lfernandosg,

Você chegou a interceptar o tráfego para ver se a requisição do dns está chegando e saindo do seu seervidor?

Você tem firewall no meio do caminho??



--
Dpetry!

[lfernandosg]

root@dnswantel:/home/fernando# cat /etc/bind/named.conf.options
options {
directory "/var/cache/bind";


// If there is a firewall between you and nameservers you want
// to talk to, you may need to fix the firewall to allow multiple
// ports to talk. See http://www.kb.cert.org/vuls/id/800113


// If your ISP provided one or more IP addresses for stable
// nameservers, you probably want to use them as forwarders.
// Uncomment the following block, and insert the addresses replacing
// the all-0's placeholder.


// forwarders {
// 0.0.0.0;
// };


//====================================================================== ==
// If BIND logs error messages about the root key being expired,
// you will need to update your keys. See https://www.isc.org/bind-keys
//====================================================================== ==
dnssec-validation auto;


auth-nxdomain no; # conform to RFC1035
listen-on-v6 { any; };
};


Arthur, pensei em configurar o forwarders mas, pesquisando vi que como meus ips são válidos, não precisa e eles que vão ser meu dns da minha rede interna 10.10.10.x. na verdade, No active directory é que o IP 201.18.13.4 vai ser meu encaminhador. Lembrando que dentro do servidor linux, pingo normal para qualquer IP ou host. das máquinas da rede interna só pingo nos IPs.

[lfernandosg]

A requisição é feita só que só consigo pingar em IP das máquinas clientes. Do servidor dns consigo pingar tanto em IPs quanto em hosts externos. Ainda tá sem iptables pois está em fase de teste.

[dpetry]

@lfernandosg

Add essa linha ao seu arquivo /etc/bind/named.conf.options

allow-query { any; };


ai verifica se funciona.

--
Dpetry!

[lfernandosg]

Meu amigo, muito obrigado!!! resolveu.

Agora, só uma duvida, como consulto, limpo o cache do bind no linux?

[lfernandosg]

@lfernandosg

Add essa linha ao seu arquivo /etc/bind/named.conf.options

allow-query { any; };




ai verifica se funciona.

--
Dpetry!

Meu amigo, muito obrigado!!! resolveu.

Agora, só uma duvida, como consulto, limpo o cache do bind no linux?

[dpetry]

@lfernandosg

Qual distribuição do linux vc utiliza?


--
Dpetry!

[isaquebrumel]

Pessoal,

Estou montando um servidor DNS com IPs válidos para melhorar qualidade e resolver os nomes para os clientes localmente.

Fiz todas as configurações e todos testes dão OK mas, quando coloco o IP do servidor em uma máquina da rede interna, não resolve os nomes, pinga somente para fora por IP, acessa skype e etc...mas não navega e nem pinga em nomes.

Seguem testes direto do servidor:

root@dnswantel:/home/fernando# nslookup ns1.wantel.net.br
Server: 201.18.13.4
Address: 201.18.13.4#53

Name: ns1.wantel.net.br
Address: 201.18.13.4

root@dnswantel:/home/fernando# nslookup ns2.wantel.net.br
Server: 201.18.13.4
Address: 201.18.13.4#53

Name: ns2.wantel.net.br
Address: 201.18.13.2

root@dnswantel:/home/fernando# dig @wantel.net.br

; <<>> DiG 9.9.5-9ubuntu0.1-Ubuntu <<>> @wantel.net.br
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 20933
;; flags: qr rd ra ad; QUERY: 1, ANSWER: 13, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;. IN NS

;; ANSWER SECTION:
. 518198 IN NS g.root-servers.net.
. 518198 IN NS b.root-servers.net.
. 518198 IN NS l.root-servers.net.
. 518198 IN NS e.root-servers.net.
. 518198 IN NS h.root-servers.net.
. 518198 IN NS i.root-servers.net.
. 518198 IN NS c.root-servers.net.
. 518198 IN NS d.root-servers.net.
. 518198 IN NS k.root-servers.net.
. 518198 IN NS m.root-servers.net.
. 518198 IN NS a.root-servers.net.
. 518198 IN NS j.root-servers.net.
. 518198 IN NS f.root-servers.net.

;; Query time: 2 msec
;; SERVER: 201.18.13.4#53(201.18.13.4)
;; WHEN: Tue Jul 21 08:20:34 BRT 2015
;; MSG SIZE rcvd: 239


Seguem configurações:

root@dnswantel:/home/fernando# cat /etc/hosts
127.0.0.1 localhost
201.18.13.4 wantel.net.br dnswantel
201.18.13.2 ns2.wantel.net.br
# The following lines are desirable for IPv6 capable hosts
::1 localhost ip6-localhost ip6-loopback
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters
root@dnswantel:/home/fernando# cat /etc/bind/named.conf.default-zones
// prime the server with knowledge of the root servers
zone "." {
type hint;
file "/etc/bind/db.root";
};

// be authoritative for the localhost forward and reverse zones, and for
// broadcast zones as per RFC 1912

zone "localhost" {
type master;
file "/etc/bind/db.local";
};

zone "127.in-addr.arpa" {
type master;
file "/etc/bind/db.127";
};

zone "0.in-addr.arpa" {
type master;
file "/etc/bind/db.0";
};

zone "255.in-addr.arpa" {
type master;
file "/etc/bind/db.255";
};


zone "wantel.net.br" {
type master;
file "/etc/bind/db.wantel";
allow-transfer { 201.18.13.2;};
};

zone "13.18.201.in-addr.arpa" {
type master;
file "/etc/bind/db.wantel.rev";
};
root@dnswantel:/home/fernando# cat /etc/bind/db.wantel
$TTL 43200 ; 12 hours

@ IN SOA ns1.wantel.net.br. root.wantel.net.br. (
220920091 ; Serial
28800 ; refresh (8 hours)
14400 ; retry (4 hours)
3600000 ; expire (5 weeks 6 days 16 hours)
86400 ; minimum (1 day)
)


IN NS ns1.wantel.net.br.
IN NS ns2.wantel.net.br.
IN NS wantel.net.br.
IN A 201.18.13.4

ns1.wantel.net.br. IN A 201.18.13.4
ns2.wantel.net.br. IN A 201.18.13.2
NS IN CNAME dnswantel
root@dnswantel:/home/fernando# cat /etc/bind/db.wantel.rev
$TTL 43200 ; 12 hours
@ IN SOA wantel.net.br. root.wantel.net.br. (
220920091 ; Serial
28800 ; refresh (8 hours)
14400 ; retry (4 hours)
3600000 ; expire (5 weeks 6 days 16 hours)
86400 ; minimum (1 day)
)

@ IN NS wantel.net.br.
4 IN PTR ns1.wantel.net.br.
3 IN PTR ns2.wantel.net.br.




Porque não consigo pingar nos nomes na minha rede interna usando a faixa de IP 10.10.10..x/24 com DNS 201.18.13.4??

pq vc não instala o unbound+debian?

[dpetry]

@lfernandosg

Vê se te ajuda!!!

http://www.vivaolinux.com.br/topico/...-dados-do-bind



--
Dpetry!

[dpetry]

@Arthur Bernardes,

Mas se tiver um fw de borda, pode dropar toda requisição.


--
Dpetry!

[dpetry]

[arciliodamiati]

Como o amigo disse, recursivo aberto para "any" pode geral alguns problemas para a rede.
O ideal é deixar somente para sua rede local.
Att
Arcílio Damiati

[netuai]

Me interesso muito pelo assunto

[lfernandosg]

Mas se o BIND/Unbound já permite o uso de ACL, segurança nunca é demais.

Arhtur,

esse servidor estará ligado a um roteador de borda para um provedor. Como ficaria a regra?

[AlexTrevisol]

No lugar de any coloca o cidr da sua rede.

[lfernandosg]

No lugar de any coloca o cidr da sua rede.

Nesse caso, coloca da minha rede interna 10.10.10.x e minha rede de clientes 189.x.x.x??

[AlexTrevisol]

isso, coloca assim ex: {10.10.10.1/24;189.x.x.x/24;}

[eeds]

Em named.conf crie um filtro para resolver somente para sua rede interna por questão de segurança, exemplo:
acl "rede_interna" {
127.0.0.0/8;
172.16.0.0/22;
192.168.1.0/24;
};

Em options esconda a versão se for o bind no caso:
version none;
Defina em qual ip ele era escutar:
listen-on { 127.0.0.1; SEU_IP_VALIDO_AQUI; };
Permita somente sua rede interna:
allow-recursion { rede_interna; };
Ative o dnssec:
dnssec-enable yes;
dnssec-validation yes;

Importante: ele tem que ter acesso a internet para resolver nomes, somente isso não vai impedir de sofrer ataques. tem que reforçar seu firewall na porta 53 udp, se você for usa-lo como autoritativo isso é um problema, pois outros servidores na internet também vão consulta-lo.