☰

¿Es posible tener una respuesta vinculante con autoridad para dominios locales?

tag-icon • tag-icon dns bind nameserver
¿Es posible tener una respuesta vinculante con autoridad para dominios locales?

Tal como dice el título: ¿es posible tenerUnir(llamadoservice) en una máquina Linux (Fedora 27, Server Edition) responde con autoridad para dominios locales o, al menos, responde de tal manera que alguien que pregunte sobre ellos acepte la respuesta del servidor sobre cualquier otra?

Sé que se supone que es posible (al menos en teoría), pero no puedo hacerlo funcionar, aunque tanto elllamadoyrndcservicios son y aunque mis archivos pasan controles en amboscheckconf con nombreyzona de verificación con nombre.

Necesito poder recibir una respuesta del servidor Bind para mi dominio local (consultas originadas desde una PC con Windows 7) que apunte a mi dominio local (a diferencia de una respuesta autorizada o no autorizada en otro lugar de Internet), similar a esta publicación:BIND9 no puede resolver el dominio local. También me gustaría hacer posible agregar otros nombres de dominio (de Internet) en una fecha posterior (por lo que una raíz falsa probablemente no funcionaría como solución) pero, tal como están las cosas, elbúsquedanla respuesta es:

** el servidor no puede encontrar vpntest.it: NXDOMAIN **

También reinstalé la distribución (instalación mínima), modifiqué los archivos de acuerdo con la Guía del administrador de Fedora y revisé (y extrapolé cuidadosamente) esta publicación:https://serverfault.com/questions/838380/dns-use-public-domain-name-for-internal-use...yaúnRecibe el error anterior. ¡Grrrrrrrrrrrrrrr!

Mis archivos son actualmente los siguientes:

/etc/nsswitch.confvalor:

files dns myhostname

/etc/resolv.conf:

# Generated by NetworkManager
nameserver 64.83.128.50
nameserver 64.20.192.50
nameserver 2001:4860:4860::8888
# NOTE: the libc resolver may not support more than 3 nameservers.
# The nameservers listed below may not be recognized.
nameserver 2001:4860:4860::8844

/etc/hosts:

127.0.0.1   localhost localhost.localdomain localhost4 localhost4.localdomain4
::1         localhost localhost.localdomain localhost6 localhost6.localdomain6

etc/named.conf(Clave RNDC eliminada de esta publicación):

options {
    listen-on port 53 { 10.200.0.1; }; // 127.0.0.1 //
    listen-on-v6 port 53 { ::1; };
    directory   "/var/named";
    dump-file   "/var/named/data/cache_dump.db";
    statistics-file "/var/named/data/named_stats.txt";
    memstatistics-file "/var/named/data/named_mem_stats.txt";

    recursion no;
    dnssec-enable yes;
    dnssec-validation auto;

    auth-nxdomain no;
    allow-query { localhost; };
    version "Damned If I Know";
    allow-recursion { 10.200.0.1/24; };

    managed-keys-directory "/var/named/dynamic";

    pid-file "/run/named/named.pid";
    session-keyfile "/run/named/session.key";

    include "/etc/crypto-policies/back-ends/bind.config";
};

logging {
        channel default_debug {
                file "data/named.run";
                severity dynamic;
        };
};

zone "." IN {
    type hint;
    file "named.ca";
};

include "/etc/named.rfc1912.zones";
# include "/etc/named.root.key";

key "rndc-key" {
    algorithm hmac-md5;
    secret "";
};

controls {
    inet 127.0.0.1 port 953
        allow { 127.0.0.1; } keys { "rndc-key"; };
};

zone "vpntest.it" IN {
    type master;
    file "vpntest.it.zone";
};

zone "0.200.10.in-addr.arpa" IN {
    type master;
    file "10.200.0.zone";
    allow-update { none; };
};

/var/named/vpntest.it.zone:

$ORIGIN vpntest.it.
$TTL 86400
@       IN      SOA    ns1.vpntest.it.    hostmaster.vpntest.it. (
                100 ; serial
                21600   ; refresh after 6 hours
                3600    ; retry after 1 hour
                604800  ; expire after 1 week
                86400 ) ; minimum TTL of 1 day
;
                IN  NS  ns1.vpntest.it.
;
ns1             IN  A   10.200.0.1
;
www             IN  A   10.200.0.6

/var/named/10.200.0.zone:

$ORIGIN 0.200.10.in-addr.arpa.
$TTL 86400
@       IN      SOA    ns1.vpntest.it.    hostmaster.vpntest.it. (
                100 ; serial
                21600   ; refresh after 6 hours
                3600    ; retry after 1 hour
                604800  ; expire after 1 week
                86400 ) ; minimum TTL of 1 day
;
@               IN  NS  ns1.vpntest.it.
;
1               IN  PTR ns1.vpntest.it.
6               IN  PTR www

Respuesta1

Sé que esta pregunta es un poco antigua (y parece que tiene alguna configuración que funciona a medias), así que perdóneme si digo algo que ya conoce o que ya no se aplica a su problema.

No puedo hablar directamente sobre ningún otro problema, pero (aparentemente) no tienes una entrada paravpntest.iten su archivo de zona:

$ORIGIN vpntest.it.
$TTL 86400
@       IN      SOA    ns1.vpntest.it.    hostmaster.vpntest.it. (
                100 ; serial
                21600   ; refresh after 6 hours
                3600    ; retry after 1 hour
                604800  ; expire after 1 week
                86400 ) ; minimum TTL of 1 day
;
                IN  NS  ns1.vpntest.it.
;
ns1             IN  A   10.200.0.1
;
vpntest.it.     IN  A   10.200.0.6  ; http://vpntest.it - no subdomain
www             IN  A   10.200.0.6  ; http://www.vpntest.it - subdomain

Tenga en cuenta que el número de serie siempre debe incrementarse al realizar cambios en sus zonas.

Otras notas

  • .ites un TLD real junto con .dev. Esto puede causar problemas de resolución (al igual que cualquier TLD público real). Quizás quieras consultar esta lista deDominios internacionales de primer nively elija un TLD falso que no esté en esa lista (por ejemplo, .nx¿quizás?). Hay algunosTLD no públicos oficialmente reservados(bueno, semi-excluyente .onion), pero .invalides el que usted elegiría para estar absolutamente seguro (evítelo .localya que se usa junto conredes zeroconf).

  • Como señala en sus comentarios, recursion no;debe eliminarse (ya que ya está limitando la recursividad con allow-recursion { 10.200.0.1/24; };).

  • Cualquier computadora con la que desee vpntest.ittrabajar necesita que su tráfico DNS pase a través de su servidor BIND.

  • Hospedadorespotencialmente puede anular BIND. Si bien nsswitch.confno parece ser un problema (teniendo en cuenta el orden), probablemente valga la pena tenerlo en cuenta para la resolución de problemas generales (es decir, no debería ser necesario vpntest.it 127.0.0.1cuando se utiliza BIND).

  • Si bien no se aplica a su problema, asegúrese de usar, por ejemplo, vpntest.it/(tenga en cuenta la barra diagonal) para acceder a dominios personalizados en las versiones actuales de Chrome, Firefox y Opera (u otros navegadores derivados de Chromium). Dejarlo desactivado también puede causar problemas de resolución (suponiendo que, de lo contrario, DNS funcione correctamente).

información relacionada