Я использовал unbound как локальный рекурсивный DNS-сервер. Просто добавил nsd для настройки локального DNS-сервера LAN. nsd слушает порт 53530, и это работает отлично:
$ dig @127.0.0.1 data2.datanet.home -p 53530
; <<>> DiG 9.9.2-P2 <<>> @127.0.0.1 data2.datanet.home -p 53530
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 59577
;; flags: qr aa rd; QUERY: 1, ANSWER: 1, AUTHORITY: 1, ADDITIONAL: 1
;; WARNING: recursion requested but not available
;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;data2.datanet.home. IN A
;; ANSWER SECTION:
data2.datanet.home. 600 IN A 192.168.1.62
;; AUTHORITY SECTION:
datanet.home. 600 IN NS ns1.datanet.home.
;; Query time: 0 msec
;; SERVER: 127.0.0.1#53530(127.0.0.1)
;; WHEN: Mon Jun 15 07:16:24 2015
;; MSG SIZE rcvd: 81
При переходе через локальный unbound не работает:
$ dig @127.0.0.1 data2.datanet.home
; <<>> DiG 9.9.2-P2 <<>> @127.0.0.1 data2.datanet.home
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: SERVFAIL, id: 47645
;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 1
;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;data2.datanet.home. IN A
;; Query time: 0 msec
;; SERVER: 127.0.0.1#53(127.0.0.1)
;; WHEN: Mon Jun 15 07:18:02 2015
;; MSG SIZE rcvd: 47
Вот что я получаю в непривязанном журнале с подробностями: 4
Jun 15 06:12:39 pizza.yoderdev.com unbound[1947]: [1947:0] info: validator operate: query router.datanet.home. A IN
Jun 15 06:12:39 pizza.yoderdev.com unbound[1947]: [1947:0] debug: validator: pass to next module
Jun 15 06:12:39 pizza.yoderdev.com unbound[1947]: [1947:0] debug: mesh_run: validator module exit state is module_wait_module
Jun 15 06:12:39 pizza.yoderdev.com unbound[1947]: [1947:0] debug: iterator[module 1] operate: extstate:module_state_initial event:
Jun 15 06:12:39 pizza.yoderdev.com unbound[1947]: [1947:0] debug: process_request: new external request event
Jun 15 06:12:39 pizza.yoderdev.com unbound[1947]: [1947:0] debug: iter_handle processing q with state INIT REQUEST STATE
Jun 15 06:12:39 pizza.yoderdev.com unbound[1947]: [1947:0] info: resolving router.datanet.home. A IN
Jun 15 06:12:39 pizza.yoderdev.com unbound[1947]: [1947:0] debug: request has dependency depth of 0
Jun 15 06:12:39 pizza.yoderdev.com unbound[1947]: [1947:0] info: use stub datanet.home. NS IN
Jun 15 06:12:39 pizza.yoderdev.com unbound[1947]: [1947:0] debug: cache delegation returns delegpt
Jun 15 06:12:39 pizza.yoderdev.com unbound[1947]: [1947:0] info: DelegationPoint<datanet.home.>: 0 names (0 missing), 1 addrs (0 r
Jun 15 06:12:39 pizza.yoderdev.com unbound[1947]: [1947:0] debug: ip4 127.0.0.1 port 53530 (len 16)
Jun 15 06:12:39 pizza.yoderdev.com unbound[1947]: [1947:0] debug: iter_handle processing q with state INIT REQUEST STATE (stage 2)
Jun 15 06:12:39 pizza.yoderdev.com unbound[1947]: [1947:0] info: resolving (init part 2): router.datanet.home. A IN
Jun 15 06:12:39 pizza.yoderdev.com unbound[1947]: [1947:0] info: use stub datanet.home. NS IN
Jun 15 06:12:39 pizza.yoderdev.com unbound[1947]: [1947:0] debug: iter_handle processing q with state INIT REQUEST STATE (stage 3)
Jun 15 06:12:39 pizza.yoderdev.com unbound[1947]: [1947:0] info: resolving (init part 3): router.datanet.home. A IN
Jun 15 06:12:39 pizza.yoderdev.com unbound[1947]: [1947:0] debug: iter_handle processing q with state QUERY TARGETS STATE
Jun 15 06:12:39 pizza.yoderdev.com unbound[1947]: [1947:0] info: processQueryTargets: router.datanet.home. A IN
Jun 15 06:12:39 pizza.yoderdev.com unbound[1947]: [1947:0] debug: processQueryTargets: targetqueries 0, currentqueries 0 sentcount
Jun 15 06:12:39 pizza.yoderdev.com unbound[1947]: [1947:0] info: DelegationPoint<datanet.home.>: 0 names (0 missing), 1 addrs (0 r
Jun 15 06:12:39 pizza.yoderdev.com unbound[1947]: [1947:0] debug: ip4 127.0.0.1 port 53530 (len 16)
Jun 15 06:12:39 pizza.yoderdev.com unbound[1947]: [1947:0] debug: attempt to get extra 3 targets
Jun 15 06:12:39 pizza.yoderdev.com unbound[1947]: [1947:0] debug: skip addr on the donotquery list ip4 127.0.0.1 port 53530 (len 1
Jun 15 06:12:39 pizza.yoderdev.com unbound[1947]: [1947:0] debug: No more query targets, attempting last resort
Jun 15 06:12:39 pizza.yoderdev.com unbound[1947]: [1947:0] debug: configured stub servers failed -- returning SERVFAIL
Jun 15 06:12:39 pizza.yoderdev.com unbound[1947]: [1947:0] debug: store error response in message cache
Jun 15 06:12:39 pizza.yoderdev.com unbound[1947]: [1947:0] debug: return error response SERVFAIL
В частности, что с этим? [1947:0] отладка: пропустить адрес в списке donotquery ip4 127.0.0.1 порт 53530 (len 1 Это, похоже, ключ, но я действительно не уверен, почему он так говорит.
Вот мой полный unbound.conf:
server:
interface: 127.0.0.1
interface: 192.168.1.50
use-syslog: yes
username: "unbound"
directory: "/etc/unbound"
trust-anchor-file: trusted-key.key
access-control: 192.168.1.0/24 allow
verbosity: 2
local-zone: "1.168.192.in-addr.arpa" nodefault
remote-control:
control-enable: yes
control-interface: 127.0.0.1
control-port: 8953
server-key-file: "/etc/unbound/unbound_server.key"
server-cert-file: "/etc/unbound/unbound_server.pem"
control-key-file: "/etc/unbound/unbound_control.key"
control-cert-file: "/etc/unbound/unbound_control.pem"
stub-zone:
name: "datanet.home"
stub-addr: 127.0.0.1@53530
# stub-first: yes
stub-zone:
name: "1.168.192.in-addr.arpa"
stub-addr: 127.0.0.1@53530
В nsd.conf много комментариев, поэтому не уверен, стоит ли их вставлять, но в любом случае nsd, похоже, работает нормально. Он почти такой же, как и включенный пример conf, за исключением изменения порта, включения элементов управления и добавления зон.
Я в замешательстве, поэтому буду признателен за любые идеи!
решение1
Эта строка из журнала указывает на проблему:
Jun 15 06:12:39 pizza.yoderdev.com unbound[1947]: [1947:0] debug: skip addr on the donotquery list ip4 127.0.0.1 port 53530 (len 1
Unbound по умолчанию отказывается отправлять любые DNS-запросы на localhost. Чтобы разрешить ему запрашивать localhost, установите do-not-query-localhost
в no
разделе server
- конфигурации Unbound:
server:
interface: 127.0.0.1
interface: 192.168.1.50
[...]
do-not-query-localhost: no
Смотрите документацию дляunbound.confдля описания опции.
решение2
Я столкнулся с той же проблемой в контексте DNS с разделенным горизонтом — журнал Unbound показал, что"входящий очищенный пакет"(полученный от NSD) содержал указанную запись IP-адреса/CNAME, но после"финишная обработка", последний не будет пропущен.
В конце концов, добавление эквивалента domain-insecure: "datanet.home"
решило для меня эту проблему с помощью Unbound v1.12.0 и NSD v4.3.3.
решение3
У меня были похожие сообщения об ошибках с почти идентичной конфигурацией, за исключением того, что у меня была следующая опция:
tls-upstream: yes
Эта опция заставила unbound ожидать, что запросы вверх по течению для пересылаемых и заглушенных зон будут только через TLS для транспорта. Однако мой уполномоченный сервер NSD, на котором размещены заглушенные зоны, был настроен только для локальных подключений и без TLS. Это также может вызывать ответ SERVFAIL.
Правильная настройка — установить значение tls-upstream
и no
вместо этого установить forward-tls-upstream
значение yes
в forward-zone
разделе, если зоны-заглушки также не настроены для транспорта TLS.