Newsgroup: it.comp.os.linux.sys
Titolo: Bind

Ciao a tutti,
 
 
avrei bisogno di qualche suggerimento sui DNS: tempo fa, seguendo questa 
guida ho messo in piedi a casa la soluzione:
 
http://guide.debianizzati.org/index.php/Un_server_DNS_e_DHCP_su_Debian
 
 
e fin qui tutto bene. Poi, su suggerimento di questo gruppo, ho provato 
anche questa:
 
https://www.marcoalbarelli.eu/bind-dns-autoritativo-su-ip-dinamico/
 
 
e anche qui, da sola, tutto bene. I problemi nascono quando provo a farle 
convivere: bind mi dice che la definizione del dominio è duplicata.
 
Innanzitutto come gestite in genere un dominio del tipo 
dominio.it
 per fare 
in modo che, con un unico DNS per la LAN e per il mondo esterno, le macchine 
interne risolvano per es. 
server.dominio.it
 come 192.168.1.5 mentre le 
macchine esterne ad es. in 173.194.44.176 (poi ovviamente non tutte le 
macchine interne saranno esposte, ma era per fare un esempio)? È possibile? 
È una cavolata?
 
Nel caso specifico avrei:
 
=== named.conf =============================================================
include "/etc/bind/named.conf.options";
include "/etc/bind/named.conf.local";
include "/etc/bind/named.conf.default-zones";
zone "
dominio.it
." IN {
       type master;
       file "pri/dominio.it.zone";
};
 
=== named.conf.options =====================================================
options {
        directory "/var/cache/bind";
        allow-query { 127.0.0.1; 192.168.1/24; } ;
        allow-transfer { none; } ;
        allow-recursion { 127.0.0.1; 192.168.1/24; } ;
        forwarders {
                192.168.1.1; # router
                8.8.8.8;     # Google
        };
        auth-nxdomain no;    # conform to RFC1035
        listen-on-v6 { any; };
};
 
=== named.conf.local =======================================================
include "/etc/bind/rndc.key";
controls {
        inet 127.0.0.1 allow {localhost; } keys { "rndc-key"; };
};
zone "
dominio.it
" {
        type master;
        file "/etc/bind/
db.dominio.it
";
        allow-update { key rndc-key; };
};
zone "1.168.192.in-addr.arpa" {
        type master;
        file "/etc/bind/db.192.168.1";
        allow-update { key rndc-key; };
};
 
=== pri/dominio.it.zone ====================================================
$TTL 1M
dominio.            IN SOA  
dominio.no-ip.org
. 
posta.google.com
. (
 
2012110514
      ; serial
                                        5M              ; refresh
                                        5M              ; retry
                                        5M              ; expiry
                                        1M )            ; minimum
dominio.it
.            IN NS 
dominio.no-ip.org
.
dominio.it
.            IN NS 
dominio.homelinux.net
.
dominio.it
.            IN A    11.22.33.44
 
ftp.dominio.it
.        IN CNAME 
dominio.it
.
www.dominio.it
.        IN CNAME 
dominio.it
.
 
 
Ciao,
  Void

 È una cavolata?
 
Per niente, cerca bind views su google. Scusa ma sono di fretta
 
-- 
BOFH excuse #362:
 
Plasma conduit breach


 
[CUT]
 
 
Devi configurare il tuo dns per la rete interna (che hai fatto) e in più 
aggiungere una opzione per dirgli che tutto il resto deve risolverlo 
attraverso un dns esterno di cui devi specificare, ovviamente, l' ip
Purtroppo così su due piedi non ricordo il nome dell' opzione ma 
cercando in rete non dovrebbe essere difficile da trovare
 

 Per niente, cerca bind views su google. Scusa ma sono di fretta
 
Grazie, erano proprio le parole magiche :-) :
 
http://www.cyberciti.biz/faq/linux-unix-bind9-named-configure-views/
 
 
 
Ciao,
  Void

 cercando in rete non dovrebbe essere difficile da trovare
 
Trovato:
 
http://www.cyberciti.biz/faq/linux-unix-bind9-named-configure-views/
 
 
 
Ciao e grazie,
  Void

 
http://www.cyberciti.biz/faq/linux-unix-bind9-named-configure-views/
 
 
Funziona! :-) Ho dovuto modificare anche questo in named.conf.options:
 
        //allow-query { 127.0.0.1; 192.168.1/24; } ;
        allow-query { any; } ;
 
Questo non rappresenta un problema di sicurezza, vero?
 
 
Ciao,
  Void


Se non stai limitando la recursion (allow-recursion) sì, lo è.
Soprattutto per gli altri.
 
http://blog.cloudflare.com/deep-inside-a-dns-amplification-ddos-attack
 
 
 
-- 
Paranoia is a disease unto itself. And may I add: the person standing
next to you may not be who they appear to be, so take precaution.
-----------------------------------------------------------------------------
http://bofhskull.wordpress.com/
 

 Soprattutto per gli altri.
 
/etc/bind# grep recurs *
named.conf.options:     allow-recursion { 127.0.0.1; 192.168.1/24; } ;
 
questo è sufficiente?
 
 
Ciao,
  Void


La risposta breve è "sì".
 
La risposta lunga è che in teoria dovrebbe essere affiancato da
 
allow-query-cache { 127.0.0.1; 192.168.1/24; } ;
 
 
Questo serve ad evitare che in caso "da fuori" venga richiesta una
risorsa, bind la fornisca dalla cache: allow-recursion dice che non deve
essere onorata la ricorsione, ma se il dato è già in cache viene fornito
ugualmente...
 
 
In pratica però, riguardo a "allow-query-cache":
 
«Its default setting depends on:
 
If recursion no; present, defaults to allow-query-cache {none;};. No
local cache access permitted.
 
If recursion yes; (default) then, if allow-recursion present, defaults
to the value of allow-recursion. Local cache access permitted to the
same address_match_list as allow-recursion.
 
[...]
»
 
Quindi, purchè tu non stia ridefinendo allow-query-cache in maniera
esplicita e meno restrittiva (cosa che dubito) in pratica sei OK così.


 esplicita e meno restrittiva (cosa che dubito) in pratica sei OK così.
 
Grazie per la risposta esaustiva!
 
 
Ciao,
  Void


E' un modo per dirmi che mi passa poco?!? O:-)


 E' un modo per dirmi che mi passa poco?!? O:-)
 
Assolutamente no, ero sincero! :-)
 
 
Ciao,
  Void