☰

是否可以為本地域名提供權威的綁定答案？

tag-icon • tag-icon dns bind nameserver
是否可以為本地域名提供權威的綁定答案？

如標題所說：是否可以有綁定（命名的Linux 機器（Fedora 27，伺服器版）上的服務）對本地域進行權威回答，或至少以這樣的方式回答：詢問它們的東西將接受伺服器的答案而不是其他任何答案？

我知道這應該是可能的（至少在理論上），但我無法讓它工作，即使兩個命名的和國家資料中心服務是，即使我的文件通過了檢查命名檢查配置和命名檢查區。

我需要能夠從指向我的本地域的本地域（來自 Windows 7 PC 的查詢）的綁定伺服器接收答案（而不是互聯網上其他地方的權威或非權威答案），類似到這篇文章：BIND9 無法解析本地域。我還希望以後可以添加其他（互聯網）域名（因此假根可能無法作為解決方案），但是，就目前情況而言，尋找答案是：

** 伺服器找不到 vpntest.it: NXDOMAIN **

我還重新安裝了發行版（最低限度安裝），根據 Fedora 管理員指南修改了文件，並檢查了（並仔細推斷）這篇文章：https://serverfault.com/questions/838380/dns-use-public-domain-name-for-internal-use……和仍然收到上述錯誤。嗚嗚嗚！

我的文件目前如下：

/etc/nsswitch.conf價值：

files dns myhostname

/etc/resolv.conf：

# Generated by NetworkManager
nameserver 64.83.128.50
nameserver 64.20.192.50
nameserver 2001:4860:4860::8888
# NOTE: the libc resolver may not support more than 3 nameservers.
# The nameservers listed below may not be recognized.
nameserver 2001:4860:4860::8844

/etc/主機：

127.0.0.1   localhost localhost.localdomain localhost4 localhost4.localdomain4
::1         localhost localhost.localdomain localhost6 localhost6.localdomain6

等/命名.conf（RNDC 密鑰已從本文中刪除）：

options {
    listen-on port 53 { 10.200.0.1; }; // 127.0.0.1 //
    listen-on-v6 port 53 { ::1; };
    directory   "/var/named";
    dump-file   "/var/named/data/cache_dump.db";
    statistics-file "/var/named/data/named_stats.txt";
    memstatistics-file "/var/named/data/named_mem_stats.txt";

    recursion no;
    dnssec-enable yes;
    dnssec-validation auto;

    auth-nxdomain no;
    allow-query { localhost; };
    version "Damned If I Know";
    allow-recursion { 10.200.0.1/24; };

    managed-keys-directory "/var/named/dynamic";

    pid-file "/run/named/named.pid";
    session-keyfile "/run/named/session.key";

    include "/etc/crypto-policies/back-ends/bind.config";
};

logging {
        channel default_debug {
                file "data/named.run";
                severity dynamic;
        };
};

zone "." IN {
    type hint;
    file "named.ca";
};

include "/etc/named.rfc1912.zones";
# include "/etc/named.root.key";

key "rndc-key" {
    algorithm hmac-md5;
    secret "";
};

controls {
    inet 127.0.0.1 port 953
        allow { 127.0.0.1; } keys { "rndc-key"; };
};

zone "vpntest.it" IN {
    type master;
    file "vpntest.it.zone";
};

zone "0.200.10.in-addr.arpa" IN {
    type master;
    file "10.200.0.zone";
    allow-update { none; };
};

/var/named/vpntest.it.zone：

$ORIGIN vpntest.it.
$TTL 86400
@       IN      SOA    ns1.vpntest.it.    hostmaster.vpntest.it. (
                100 ; serial
                21600   ; refresh after 6 hours
                3600    ; retry after 1 hour
                604800  ; expire after 1 week
                86400 ) ; minimum TTL of 1 day
;
                IN  NS  ns1.vpntest.it.
;
ns1             IN  A   10.200.0.1
;
www             IN  A   10.200.0.6

/var/named/10.200.0.zone：

$ORIGIN 0.200.10.in-addr.arpa.
$TTL 86400
@       IN      SOA    ns1.vpntest.it.    hostmaster.vpntest.it. (
                100 ; serial
                21600   ; refresh after 6 hours
                3600    ; retry after 1 hour
                604800  ; expire after 1 week
                86400 ) ; minimum TTL of 1 day
;
@               IN  NS  ns1.vpntest.it.
;
1               IN  PTR ns1.vpntest.it.
6               IN  PTR www

答案1

我知道這個問題有點老了（而且您似乎有一些半工作配置），所以如果我陳述您已經知道的或不再適用於您的問題的任何內容，請原諒我。

我無法直接談論任何其他問題，但您（顯然）沒有以下條目：vpn測試在您的區域文件中：

$ORIGIN vpntest.it.
$TTL 86400
@       IN      SOA    ns1.vpntest.it.    hostmaster.vpntest.it. (
                100 ; serial
                21600   ; refresh after 6 hours
                3600    ; retry after 1 hour
                604800  ; expire after 1 week
                86400 ) ; minimum TTL of 1 day
;
                IN  NS  ns1.vpntest.it.
;
ns1             IN  A   10.200.0.1
;
vpntest.it.     IN  A   10.200.0.6  ; http://vpntest.it - no subdomain
www             IN  A   10.200.0.6  ; http://www.vpntest.it - subdomain

請注意，在變更區域時，序號應始終遞增。

其他注意事項

  • .it是真正的 TLD 以及.dev.這可能會導致解析問題（任何真實的公共 TLD 也可能如此）。您可能想查看此列表國際頂級域名並選擇一個不在該列表中的假頂級域名（例如.nx也許？）。有一些官方保留的非公共 TLD（好吧，半排除.onion）但.invalid你會選擇絕對安全的（避免，.local因為它與零設定網路）。

  • 正如您在評論中指出的那樣，recursion no;應該刪除（因為您已經使用 限制了遞歸allow-recursion { 10.200.0.1/24; };）。

  • 您希望使用的任何電腦都vpntest.it需要使其 DNS 流量通過您的 BIND 伺服器。

  • 主機可能會覆蓋 BIND。雖然nsswitch.conf這似乎不是一個問題（考慮到順序），但對於一般故障排除來說，這可能仍然值得注意（即，在使用 BIND 時不需要vpntest.it 127.0.0.1）。

  • 雖然它不適用於您的問題，但請確保使用eg vpntest.it/（注意尾部斜杠）來存取當前版本的 Chrome、Firefox 和 Opera（或其他 Chromium 衍生瀏覽器）中的自訂網域。不啟用它也會導致解析問題（假設 DNS 工作正常）。

相關內容