☰

これらの BIND 更新転送エラーは無視しても安全ですか?

tag-icon • tag-icon centos logs dns bind9
これらの BIND 更新転送エラーは無視しても安全ですか?

最近、CentOS 5 の権威 BIND サーバーを CentOS 7 に置き換えました。すべて正常に動作していますが、ログに奇妙な点が見られます。隠しマスターを使用しており、プライマリ ネーム サーバーとセカンダリ ネーム サーバーは隠しマスターのスレーブです。

私のプライマリ ネーム サーバーの named.run ログ ファイルには、次のようなエントリが多数あります。

08-Apr-2017 08:39:05.785 update-security: error: client 117.239.55.98#50131: update forwarding 'ABC.COM/IN' denied
08-Apr-2017 08:39:08.500 update-security: error: client 166.171.122.223#38067: update forwarding 'XXY.org/IN' denied
08-Apr-2017 08:39:20.855 update-security: error: client 69.43.159.190#51671: update forwarding 'yyz.com/IN' denied
08-Apr-2017 08:40:01.163 update-security: error: client 117.239.55.98#54976: update forwarding 'ABC.COM/IN' denied
08-Apr-2017 08:40:06.379 update-security: error: client 117.239.55.98#65535: update forwarding 'ABC.COM/IN' denied
08-Apr-2017 08:40:23.952 update-security: error: client 117.239.55.98#59592: update forwarding 'ABC.COM/IN' denied

これは無害で想定された動作であると確信しています。その理由は次のとおりです。

  1. 私の SOA レコードには、プライマリ ネーム サーバー (隠しマスターではない) がリストされています。そのため、ns1 ではこれらすべてのエラーが記録されるのに、ns2 ではこのようなエラーが記録されないのはなぜかがわかります。
  2. クライアントの更新は許可しておらず、許可する意思もありません。named.conf もそのように設定されています。

そこで私は次のような疑問を抱きます。

  1. これらのエラーを無視しても本当に安全でしょうか?
  2. もしそうなら、これらのエラーを抑制しながら、他の正当なエラーはログに記録するように named ログを設定する方法はありますか? named.conf の関連部分は次のようになります。
ログ記録 {
        チャネル default_debug {
                ファイル「data/named.run」バージョン3、サイズ5m;
                重大度通知;        
                印刷時 はい;
                印刷の重大度は yes です。
                印刷カテゴリ はい;
        }; };

関連情報