☰

É possível ter uma resposta vinculada com autoridade para domínios locais?

tag-icon • tag-icon dns bind nameserver
É possível ter uma resposta vinculada com autoridade para domínios locais?

Tal como o título diz: é possível terVincular(nomeadoservice) em uma máquina Linux (Fedora 27, Server Edition) responde com autoridade para domínios locais ou, pelo menos, responde de forma que algo que pergunte sobre eles aceite a resposta do servidor em detrimento de qualquer outra?

Eu sei que isso deveria ser possível (em teoria, pelo menos), mas não consigo fazê-lo funcionar, embora ambos osnomeadoerndcserviços são e mesmo que meus arquivos passem nas verificações de amboscheckconf nomeadoezona de verificação nomeada.

Preciso receber uma resposta do servidor Bind para meu domínio local (consultas originadas de um PC com Windows 7) que aponte para meu domínio local (em oposição a uma resposta oficial ou não autorizada em outro lugar na Internet), semelhante para esta postagem:BIND9 não pode resolver o domínio local. Eu também gostaria de tornar possível adicionar outros nomes de domínio (da Internet) posteriormente (para que uma raiz falsa provavelmente não funcionaria como solução), mas, do jeito que está, onslookupa resposta é:

** servidor não consegue encontrar vpntest.it: NXDOMAIN **

Eu também reinstalei a distro (instalação mínima), modifiquei os arquivos de acordo com o Guia do Administrador do Fedora e verifiquei (além de extrapolar cuidadosamente) esta postagem:https://serverfault.com/questions/838380/dns-use-public-domain-name-for-internal-use...eaindareceba o erro acima. Grrrrrrrrrrrrrr!

Meus arquivos atualmente são os seguintes:

/etc/nsswitch.confvalor:

files dns myhostname

/etc/resolv.conf:

# Generated by NetworkManager
nameserver 64.83.128.50
nameserver 64.20.192.50
nameserver 2001:4860:4860::8888
# NOTE: the libc resolver may not support more than 3 nameservers.
# The nameservers listed below may not be recognized.
nameserver 2001:4860:4860::8844

/etc/hosts:

127.0.0.1   localhost localhost.localdomain localhost4 localhost4.localdomain4
::1         localhost localhost.localdomain localhost6 localhost6.localdomain6

etc/named.conf(Chave RNDC excluída desta postagem):

options {
    listen-on port 53 { 10.200.0.1; }; // 127.0.0.1 //
    listen-on-v6 port 53 { ::1; };
    directory   "/var/named";
    dump-file   "/var/named/data/cache_dump.db";
    statistics-file "/var/named/data/named_stats.txt";
    memstatistics-file "/var/named/data/named_mem_stats.txt";

    recursion no;
    dnssec-enable yes;
    dnssec-validation auto;

    auth-nxdomain no;
    allow-query { localhost; };
    version "Damned If I Know";
    allow-recursion { 10.200.0.1/24; };

    managed-keys-directory "/var/named/dynamic";

    pid-file "/run/named/named.pid";
    session-keyfile "/run/named/session.key";

    include "/etc/crypto-policies/back-ends/bind.config";
};

logging {
        channel default_debug {
                file "data/named.run";
                severity dynamic;
        };
};

zone "." IN {
    type hint;
    file "named.ca";
};

include "/etc/named.rfc1912.zones";
# include "/etc/named.root.key";

key "rndc-key" {
    algorithm hmac-md5;
    secret "";
};

controls {
    inet 127.0.0.1 port 953
        allow { 127.0.0.1; } keys { "rndc-key"; };
};

zone "vpntest.it" IN {
    type master;
    file "vpntest.it.zone";
};

zone "0.200.10.in-addr.arpa" IN {
    type master;
    file "10.200.0.zone";
    allow-update { none; };
};

/var/named/vpntest.it.zone:

$ORIGIN vpntest.it.
$TTL 86400
@       IN      SOA    ns1.vpntest.it.    hostmaster.vpntest.it. (
                100 ; serial
                21600   ; refresh after 6 hours
                3600    ; retry after 1 hour
                604800  ; expire after 1 week
                86400 ) ; minimum TTL of 1 day
;
                IN  NS  ns1.vpntest.it.
;
ns1             IN  A   10.200.0.1
;
www             IN  A   10.200.0.6

/var/nomeado/10.200.0.zona:

$ORIGIN 0.200.10.in-addr.arpa.
$TTL 86400
@       IN      SOA    ns1.vpntest.it.    hostmaster.vpntest.it. (
                100 ; serial
                21600   ; refresh after 6 hours
                3600    ; retry after 1 hour
                604800  ; expire after 1 week
                86400 ) ; minimum TTL of 1 day
;
@               IN  NS  ns1.vpntest.it.
;
1               IN  PTR ns1.vpntest.it.
6               IN  PTR www

Responder1

Eu sei que esta pergunta é um pouco antiga (e parece que você tem alguma configuração semi-funcional), então, perdoe-me se eu declarar algo que você já conhece ou que não se aplica mais ao seu problema.

Não posso falar diretamente sobre quaisquer outros problemas, mas você (aparentemente) não tem uma entrada paravpntest.itno seu arquivo de zona:

$ORIGIN vpntest.it.
$TTL 86400
@       IN      SOA    ns1.vpntest.it.    hostmaster.vpntest.it. (
                100 ; serial
                21600   ; refresh after 6 hours
                3600    ; retry after 1 hour
                604800  ; expire after 1 week
                86400 ) ; minimum TTL of 1 day
;
                IN  NS  ns1.vpntest.it.
;
ns1             IN  A   10.200.0.1
;
vpntest.it.     IN  A   10.200.0.6  ; http://vpntest.it - no subdomain
www             IN  A   10.200.0.6  ; http://www.vpntest.it - subdomain

Observe que a serial sempre deve ser incrementada ao fazer alterações em suas zonas.

Outras notas

  • .ité um TLD real junto com .dev. Isso pode causar problemas de resolução (assim como qualquer TLD público real). Você pode querer verificar esta lista deDomínios internacionais de nível superiore escolha um TLD falso que não esteja nessa lista (por exemplo, .nxtalvez?). Há algunsTLDs não públicos oficialmente reservados(bem, semi-excludente .onion), mas .invalidé aquele que você escolheria para ser absolutamente seguro (evite, .localpois é usado em conjunto comrede zeroconf).

  • Como você observa em seus comentários, recursion no;deve ser removido (já que você já está limitando a recursão com allow-recursion { 10.200.0.1/24; };).

  • Qualquer computador vpntest.itcom o qual você deseja trabalhar precisa que seu tráfego DNS passe pelo servidor BIND.

  • anfitriõespode potencialmente substituir o BIND. Embora nsswitch.confnão pareça ser um problema (considerando a ordem), provavelmente ainda vale a pena observar isso para solução de problemas gerais (ou seja, você não deveria precisar vpntest.it 127.0.0.1ao usar o BIND).

  • Embora isso não se aplique ao seu problema, use, por exemplo vpntest.it/(observe a barra final) para acessar domínios personalizados nas versões atuais do Chrome, Firefox e Opera (ou outros navegadores derivados do Chromium). Deixá-lo desativado também pode causar problemas de resolução (supondo que o DNS esteja funcionando corretamente).

informação relacionada