☰

Delegação DNS com BIND e Cloudflare

tag-icon • tag-icon domain-name-system bind dns-zone cloudflare
Delegação DNS com BIND e Cloudflare

provavelmente apenas uma pergunta comum, mas há meses que perco horas com isso. Se você precisar de outros logs/saída/explicação/etc. basta perguntar :)

Desde já, obrigado!

O que eu preciso

  • A zona local.example.comserá gerenciada por um servidor local10.20.0.9
  • Os servidores locais (10.20.0.0/24) só são acessíveis dentro da redemas
  • Seus nomes de host xxx.local.example.compodem ser resolvidos em todo o mundo pela Internet

O que eu tenho até agora

Estou usando CloudFlare como provedor de DNS, seguindoeste guia, configurei o seguinte:

  • Registros na CloudFlare: 
    ns.example.com   A   10.20.0.9       (local DNS server)
loc.example.com  NS  ns.example.com  (delegation to local DNS)
  • Arquivo de registros no meu servidor DNS local ( 10.20.0.9usando bind9) 
    loc.example.com. IN SOA ns.example.com. hostmaster.example.com. (
    1628517915
    3600
    600
    24H
    3600 )
s1.loc.example.com.  IN A 10.20.0.9

Meu problema

CloudFlare não responde minha solicitação de pesquisa de NS loc.example.comconforme ns.example.comesperado. Em vez disso, a solicitação simplesmente falha com "falha no servidor" (veja o último log da CLI)...

Saída CLI

  • dig ns.example.com

    ; <<>> DiG 9.11.5-P4-5.1+deb10u5-Debian <<>> ns.example.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 10036
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
;; QUESTION SECTION:
;ns.example.com.         IN      A

;; ANSWER SECTION:
ns.example.com.  300     IN      A       10.20.0.9

;; Query time: 111 msec
;; SERVER: 1.1.1.1#53(1.1.1.1)
;; WHEN: Mon Aug 09 16:42:06 CEST 2021
;; MSG SIZE  rcvd: 66

    Então o servidor de nomes resolve para o nosso IP local, ótimo!

  • dig @10.20.0.9 NS loc.example.com

    ; <<>> DiG 9.11.5-P4-5.1+deb10u5-Debian <<>> @10.20.0.9 NS loc.example.com
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 47653
;; flags: qr aa rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
; COOKIE: 7fa7e218d1c20f1e113b236e61113fb96c1b101d374cbde7 (good)
;; QUESTION SECTION:
;loc.example.com.                IN      NS

;; ANSWER SECTION:
loc.example.com. 3600    IN      NS      ns.example.com.

;; Query time: 1 msec
;; SERVER: 10.20.0.9#53(10.20.0.9)
;; WHEN: Mon Aug 09 16:46:17 CEST 2021
;; MSG SIZE  rcvd: 96

    Nosso servidor DNS local sabe que é responsável pelo subdomínio

  • dig @10.20.0.9 s1.loc.example.com

    ; <<>> DiG 9.11.5-P4-5.1+deb10u5-Debian <<>> @10.20.0.9 s1.loc.example.com
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 38039
;; flags: qr aa rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 1, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
; COOKIE: 7790b2d359140e5f04be8596611140927c7321fefc1fbbe9 (good)
;; QUESTION SECTION:
;s1.loc.example.com. IN      A

;; ANSWER SECTION:
s1.loc.example.com. 3600 IN  A       10.20.0.1

;; AUTHORITY SECTION:
loc.example.com. 3600    IN      NS      ns.example.com.

;; Query time: 1 msec
;; SERVER: 10.20.0.9#53(10.20.0.9)
;; WHEN: Mon Aug 09 16:49:54 CEST 2021
;; MSG SIZE  rcvd: 119

    Assim, o DNS local pode resolver nossos hosts locais

  • dig @1.1.1.1 NS loc.example.com

    ; <<>> DiG 9.11.5-P4-5.1+deb10u5-Debian <<>> @1.1.1.1 NS loc.example.com
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: SERVFAIL, id: 33748
;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
; OPT=15: 00 16 ("..")
;; QUESTION SECTION:
;loc.example.com.                IN      NS

;; Query time: 12 msec
;; SERVER: 1.1.1.1#53(1.1.1.1)
;; WHEN: Mon Aug 09 16:51:45 CEST 2021
;; MSG SIZE  rcvd: 57

    Aqui reside o problema:CloudFlare NÃO responde à nossa solicitação de registro NS. Por que: o?

informação relacionada