Newsgroup: it.comp.os.linux.sys
Titolo: crosspost: Bind

Ciao a tutto l'NG
Scrivo questo post per chiedere una consulenza su quello che sta succedendo
al mio name server.
Ho un Name server che funge anche da Mail Server. Utilizzo Bind 9.2.3 per il
primo e postfix per il secondo.
Da un pò di tempo trovo nei log del firewall delle richieste di uscita dal
server in questione ai root servers (porta udp 53 in uscita) che chiaramente
vengo bloccate perchè il Name server è configurato per essere soltanto
master di alcune zone.  (porta udp 53 in entrata)
Per motivi di sicurezza avevo deciso di limitare molto il traffico in
entrata/uscita e di laciare giusto lo stretto necessario, ma adesso mi vedo
costretto ad aprigli un altra porta... Cosa fareste??
E' possibile che il name server faccia delle richieste ai sui compagni root
servers perche non riesce a risolvere un dominio per fare il relay della
posta proveniente dalla mia lan???
Scusatemi per il Crosspost e GRazie a tutti!
Carlo


Se mi vuoi mandare un'email ed il tuo postfix spedisce direttamente e non 
tramire altro relay, come fa a sapere quale server contattare? CHiede al 
dns, che se non lo sa passa la palla a chi ne dovrebbe sapere più di lui.
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
	Due linee rette s'incontrano
	all'infinito, quando ormai non gliene frega più niente

 dns, che se non lo sa passa la palla a chi ne dovrebbe sapere più di lui.
Alt. Si, quello che dici è vero, ma non si incarica *lui* di contattare i
root-dns e fare la discesa verso il nameserver del dominio destinazione,
quanto, invece, lo domanda al suo resolver, il quale deve provvedere alla
recursion (lui si..).
Postfix non ha alcuna ragione di contattare altri nameserver che i
resolver riportati in /etc/resolv.conf...
Poi, non so la risposta alla domanda dell'OP (ovvero a cosa siano dovute
le interrogazioni)...
-- 
wash the blood from your hands
bury your secrets in the sand
and forget


Ma lui ha detto che il server smtp è lo stesso del dns, quindi il 
funzionamento è quello: postfix chiede al resolver (lui stesso) che cerca 
il root.


Fino qui tutto ok,
ma allora voi cosa fareste??? gli apro la porta e lo lascio libero e
felice??
Grazie ancora!!
Carlo

 il root.
Lui ha detto: " il Name server è configurato per essere soltanto
master di alcune zone" il che significa che ha la recursion disabilitata,
e che il resolver è un'altra macchina (a meno che non abbia due istanze di
bind, mantenendone una in ascolto sulla lo per avere dns caching a uso e
consumo di postfix... io lo faccio... ma lui non lo cita...).


 felice??
Io aprirei, snifferei cosa ci passa dentro e poi deciderei se è necessario
aprire o no...


 
Mi era appena appena sfuggita..


si è proprio cosi....
il resolver è lui stesso, la macchina fa dns caching...
resolv.conf 127.0.0.1
ho impostato come forwarders l' indirizzo del firewall che fà da forward
only..

 si è proprio cosi....

Se fa da resolver deve avere recursion, e quindi deve poter uscire (questo
perchè postfix deve poter verificare "cosine" come la zona inversa,
interrogare le rbl, ecc...).
Viceversa, se è master di alcune zone deve poter essere interrogabile
dall'esterno, e questo implica che -per evitare che altri possano usare il
tuo dns come resolver- devi togliergli la recursion.
Se hai necessità di fargli fare da resolver comunque (non hai un resolver
esterno di cui ti fidi, ad esempio) puoi, come detto, avere due istanze di
dns, uno in ascolto sulla interfaccia pubblica, impostato a no recursion,
e un altro (a tale scopo meglio il dns di bernstein, che ciuccia molte
meno risorsedi di bind...) che accetti recursion e che ascolti solo sulla
127.0.0.1 (a quel punto anche senza forwarder, che è anche meglio...
Non ho idea se con bind9 si possa avere recursion e no-recursion sullo
stesso server usando le viste, ma io eviterei comunque ;-)
Hola..


Ma scusa
in named.conf ho:
query-source address * port 53
allow-query     "any"
allow-recursion     "io"        dove io è un acl con >> 
192.168.0.0/24
 mia
lan, 
192.168.2.0/24
 la mia dmz, 
127.0.0.1/32
 lui stesso
quindi?
Vi sto torturando eh??

 quindi?
quindi se accetta di fare recursion per conto di "io", deve poter
contattare i root per "recursare", ed č pertanto normale che tu lo veda
uscire...
Piuttosto, non č "normale" che lo faccia se usa un forwarder... :-/


 Piuttosto, non è "normale" che lo faccia se usa un forwarder... :-/
Ovvero, e` normale vedere uscire pacchetti con dport 53, verso gli ip del
dns-forwarder.
Detto questo, mi pare una malinconia inutile filtrare in uscita, specie
e sopratutto sulle wellknow.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
The software said it requires Windows 95 or better, so I installed Linux

 e sopratutto sulle wellknow.
mah, io di solito cerco di farlo, quando ce ne sono i presupposti. + che
altro per evitare inconvenienti spiacevoli nel caso in cui "qualcuno"
(clienti, programmatori, a seconda) metta su sw (maledetti portali in php)
che viene sfondato e attraverso il quale venga fatto mass-mailing, che č
ben peggio di un portscan (specialmente per noi, qui e ora...).
Non blocco la 53, comunque (a meno che non abbia un resolver interno alla
rete, ovvio...)
Hola..


 rete, ovvio...)
Certo, ma in tal caso, fai dei blocchi mirati (tipo dport 25). Il resto,
mi pare una fatica inutile. Poi, caso, per caso, ovviamente.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
And on the seventh day, He exited from append mode.

 mi pare una fatica inutile. Poi, caso, per caso, ovviamente.
Uh, ad essere sinceri (se non è troppo complesso) blocco proprio tutto,
e lascio passare lo stretto necessario, poi dipende...
Volevo dirti: se hai qualche conoscente acquirente di Internet News, nel
numero in edicola ci trovi la foto di Furio (devo ancora vederla, ma mi
hanno detto...).
Casomai ti venisse la curiosità... :-D


 Casomai ti venisse la curiosità... :-D
Eheh. Conosco la faccia del buon Furio, da qualche foto apparsa in
vecchi articoli su "cosi" online. Anche di recente, fu intervistato da
qualcuno (Punto Informatico?), e anche li` c'era una foto, o un pointer
ad essa.


 ad essa.
Ecco, e io che speravo di stupirti...
Se ti dico che mi ricorda 
http://www.porcupine.org/wietse/wzv-75dpi.gif
che mi dici? :-D


 che mi dici? :-D
rotfl, meno capelli, ma gli fai un bel complimento (i love wietse).


Si vabbč il post aveva un altro oggetto!

 Si vabbč il post aveva un altro oggetto!
Ok, ma che altro c'č da dire?!?


Mi autorispondo,
il problema della faccenda stava nel name server impostati sul forward,
controllandoli mi sono accorto che sia la nic che wind avevano senza
preavviso cambiato gli indirizzi ip ed ecco perche faceva le query sui
root-servers!!!
Grazie a tutti comunque!
Carlo
Kubos System Administrator
www.kubos.it

 root-servers!!!
Mah, sbaglio o avevi detto di avere 'forward only' ?
In quel caso le richieste non sarebbero dovute uscire comunque, AFAIK.
-- 
Vuoi fare colpo su di lei con me?
Fai colpo su di lei con me! Fai colpo su di lei con me!
[Dr. Gonzo : Paura e delirio a Las Vegas]