[Sysadmins] DNS

[Sysadmins] DNS

[Anton Gorlov]

Уважаемые коллеги - должен ли днс-серрвер отвечать не только 53/udp а 
ещё 53/tcp?

И ещё - как можно "вежливо попрсоить" суппорт првоайдера вернуть назад 
traceroute, а то со вчерашнего дня весело наблюдаю

tracert ya.ru

Трассировка маршрута к ya.ru [213.180.204.8]
с максимальным числом прыжков 30:

   1     2 ms    <1 мс    <1 мс  192.168.13.1
   2     8 ms     7 ms     7 ms  nas3.penza.com.ru [81.200.240.52]
   3    20 ms     7 ms     7 ms  gw-access-net.penza.com.ru [81.200.240.49]
   4     8 ms  192.168.13.1  сообщает: Заданный протокол недоступен.

Трассировка завершена.


Попытался погвоорить пока ещё вежливо ссуппортом по телефону - сказали 
что проблемы у вас. Ничё не знаем, ничё не видели и не трогали. у всех 
всё работает...

-- 
   np: silence

Re: [Sysadmins] DNS

[Aleksey Avdeev]

[-- Attachment #1: Type: text/plain, Size: 192 bytes --]

Anton Gorlov пишет:
> Уважаемые коллеги - должен ли днс-серрвер отвечать не только 53/udp а 
> ещё 53/tcp?

  Да: пересылка зон как правило идёт по tcp.

-- 

С уважением. Алексей.


[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 548 bytes --]

Re: [Sysadmins] DNS

[Andrii Dobrovol`s`kii]

[-- Attachment #1: Type: text/plain, Size: 644 bytes --]

Aleksey Avdeev пишет:
> Anton Gorlov пишет:
>> Уважаемые коллеги - должен ли днс-серрвер отвечать не только 53/udp а 
>> ещё 53/tcp?
> 
>   Да: пересылка зон как правило идёт по tcp.
> 
Пересылка зон действительно идет по TCP, только пресылать их кому
попало не стоит...
-- 
Rgrds,
Andriy
*********************************************************************
email: dobr at iop dot kiev dot ua            Kyiv, Ukraine
Phone: (380-44)   525-7824            Department of Gas Electronics
Fax:   (380-44)   525-2329             Institute of Physics of NASU
*********************dobrATjabber.iop.kiev.ua************************


[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re: [Sysadmins] DNS

[Aleksey Avdeev]

[-- Attachment #1: Type: text/plain, Size: 370 bytes --]

Andrii Dobrovol`s`kii пишет:
> Aleksey Avdeev пишет:
> 
>>Anton Gorlov пишет:
>>
>>>Уважаемые коллеги - должен ли днс-серрвер отвечать не только 53/udp а 
>>>ещё 53/tcp?
>>
>>  Да: пересылка зон как правило идёт по tcp.
>>
> 
> Пересылка зон действительно идет по TCP, только пресылать их кому
> попало не стоит...

  +1

-- 

С уважением. Алексей.


[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 548 bytes --]

Re: [Sysadmins] DNS

[Nick Gavrikov]

26.03.07, Aleksey Avdeev написал(а):

> > Пересылка зон действительно идет по TCP, только пресылать их кому
> > попало не стоит...

Ламмерский вопрос: если я поддерживаю зону (я master dns) - я обязан
пересылать ее только для slave? Аналогично, если я slave - я никому не
обязан ее пересылать?


-- 
С уважением,
Nick Gavrikov

Re: [Sysadmins] DNS

[Anton Gorlov]

Nick Gavrikov пишет:

> Ламмерский вопрос: если я поддерживаю зону (я master dns) - я обязан
> пересылать ее только для slave? Аналогично, если я slave - я никому не
> обязан ее пересылать?

Пересылать всю зону - да..не обязаны.

Re: [Sysadmins] DNS

[Serge]

В сообщении от 13 апреля 2007 09:35 Nick Gavrikov написал(a):
> 26.03.07, Aleksey Avdeev написал(а):
> > > Пересылка зон действительно идет по TCP, только пресылать их кому
> > > попало не стоит...
>
> Ламмерский вопрос: если я поддерживаю зону (я master dns) - я обязан
> пересылать ее только для slave? Аналогично, если я slave - я никому не
> обязан ее пересылать?
Если Вы master для своей зоны, то обязаны пересылать только slave
(что бы поддерживать информацию об DNS именах на slave в актуальном состоянии)
если Вы держите только slave зону - то не обязаны пересылать

Re: [Sysadmins] DNS

[Alexey Shabalin]

13.04.07, Nick Gavrikov<nickgavrikov@gmail.com> написал(а):
> 26.03.07, Aleksey Avdeev написал(а):
>
> > > Пересылка зон действительно идет по TCP, только пресылать их кому
> > > попало не стоит...
>
> Ламмерский вопрос: если я поддерживаю зону (я master dns) - я обязан
> пересылать ее только для slave? Аналогично, если я slave - я никому не
> обязан ее пересылать?

теоретически да, на практике надо еще разрешить для RIPN, провайдера -
они тестируют на правильность.

-- 
Alexey Shabalin

Re: [Sysadmins] DNS

[Andrii Dobrovol`s`kii]

[-- Attachment #1: Type: text/plain, Size: 970 bytes --]

Alexey Shabalin пишет:
> 13.04.07, Nick Gavrikov<nickgavrikov@gmail.com> написал(а):
>> 26.03.07, Aleksey Avdeev написал(а):
>>
>>>> Пересылка зон действительно идет по TCP, только пресылать их кому
>>>> попало не стоит...
>> Ламмерский вопрос: если я поддерживаю зону (я master dns) - я обязан
>> пересылать ее только для slave? Аналогично, если я slave - я никому не
>> обязан ее пересылать?
> 
> теоретически да, на практике надо еще разрешить для RIPN, провайдера -
> они тестируют на правильность.
> 
Кого и когда? Я никому кроме своих слейвов зону не отдаю и ещё никто
"не пискнул"...
-- 
Rgrds,
Andriy
*********************************************************************
email: dobr at iop dot kiev dot ua            Kyiv, Ukraine
Phone: (380-44)   525-7824            Department of Gas Electronics
Fax:   (380-44)   525-2329             Institute of Physics of NASU
*********************dobrATjabber.iop.kiev.ua************************


[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re: [Sysadmins] DNS

[Serge]

> > теоретически да, на практике надо еще разрешить для RIPN, провайдера -
> > они тестируют на правильность.
>
> Кого и когда? Я никому кроме своих слейвов зону не отдаю и ещё никто
> "не пискнул"...
+1

Re: [Sysadmins] DNS

[Anton Kvashin]

Alexey Shabalin пишет:
>>>> Пересылка зон действительно идет по TCP, только пресылать их кому
>>>> попало не стоит...
>> Ламмерский вопрос: если я поддерживаю зону (я master dns) - я обязан
>> пересылать ее только для slave? Аналогично, если я slave - я никому не
>> обязан ее пересылать?
> 
> теоретически да, на практике надо еще разрешить для RIPN, провайдера -
> они тестируют на правильность.

Провайдеру, если он slave.
RIPN (и другим регистраторам) достаточно SOA записи от заявленных 
ns-серверов.

-- 
Anton Kvashin

Re: [Sysadmins] DNS

[Nick Gavrikov]

13.04.07, Anton Kvashin написал(а):
> Alexey Shabalin пишет:

> >>>> Пересылка зон действительно идет по TCP, только пресылать их кому
> >>>> попало не стоит...
> >> Ламмерский вопрос: если я поддерживаю зону (я master dns) - я обязан
> >> пересылать ее только для slave? Аналогично, если я slave - я никому не
> >> обязан ее пересылать?
> >
> > теоретически да, на практике надо еще разрешить для RIPN, провайдера -
> > они тестируют на правильность.
>
> Провайдеру, если он slave.
> RIPN (и другим регистраторам) достаточно SOA записи от заявленных
> ns-серверов.

т.е. для RIPN достаточно 53/udp? А 53/tcp я могу смело закрывать на
файрволе для всех кроме slaves?

-- 
С уважением,
Nick Gavrikov

Re: [Sysadmins] DNS

[Alexey Borovskoy]

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

Nick Gavrikov пишет:
> 
> т.е. для RIPN достаточно 53/udp? А 53/tcp я могу смело закрывать на
> файрволе для всех кроме slaves?

Именно так.

- --
Алексей.
GPG key fingerprint
949B BC0E 2C44 7528 4F63 2753 E37A 9E3F 11F3 BDE1
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.5 (GNU/Linux)
Comment: Using GnuPG with Thunderbird - http://enigmail.mozdev.org

iD8DBQFGIJyW43qePxHzveERArL6AKC7MvUIJDPbrJUBA6wr4KAvTg/tGgCfXdhB
g3WW1yD2gra6xnd/dG0YrRc=
=UVZA
-----END PGP SIGNATURE-----

Re: [Sysadmins] DNS

[Serge]

В сообщении от 14 апреля 2007 12:19 Alexey Borovskoy написал(a):
> Nick Gavrikov пишет:
> > т.е. для RIPN достаточно 53/udp? А 53/tcp я могу смело закрывать на
> > файрволе для всех кроме slaves?
>
> Именно так.
извеняюсь, ща возможно глупый вопрос:
- а как узнать ip RIPN?
- как тогда прописать в bind разрешение для RIPN смотреть мои зоны?

Re: [Sysadmins] DNS

[Nick Gavrikov]

14.04.07, Serge написал(а):

> > > т.е. для RIPN достаточно 53/udp? А 53/tcp я могу смело закрывать на
        ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^

> > > файрволе для всех кроме slaves?
> >
> > Именно так.
> извеняюсь, ща возможно глупый вопрос:
> - а как узнать ip RIPN?
> - как тогда прописать в bind разрешение для RIPN смотреть мои зоны?

Как я понял, для RIPN ничего специфичного не требуется. Ничего
специально для него прописывать в таком случае не нужно.


-- 
С уважением,
Nick Gavrikov

Re: [Sysadmins] DNS

[Anton Gorlov]

Nick Gavrikov пишет:

> т.е. для RIPN достаточно 53/udp? А 53/tcp я могу смело закрывать на
> файрволе для всех кроме slaves?

Если страдаете параноей -то да.. не забывайте что некотоырй софт юзает 
tcp/53 (тот же ткаббер)

-- 
   np: silence

Re: [Sysadmins] DNS

[Денис Смирнов]

On Sat, Apr 14, 2007 at 12:53:14PM +0400, Nick Gavrikov wrote:

NG> т.е. для RIPN достаточно 53/udp? А 53/tcp я могу смело закрывать на
NG> файрволе для всех кроме slaves?

Этого делать не нужно никогда. А вот запретить IXFR в настройках bind'а
для всех кроме slaves дело полезное.

-- 
С уважением, Денис

http://freesource.info
----------------------------------------------------------------------------
Мастер достоин того, чтобы ради него купить DVD :)
		-- mithraen in community@

Re: [Sysadmins] DNS

[Nick Gavrikov]

14.04.07, Денис Смирнов написал(а):

> NG> т.е. для RIPN достаточно 53/udp? А 53/tcp я могу смело закрывать на
> NG> файрволе для всех кроме slaves?
>
> Этого делать не нужно никогда.

Почему? Тормозить будет? Возможно, тогда можно сделать REJECT вместо DROP?
Несколькими письмами раньше говорили, что tcp используется только для
получения всей зоны. Никому кроме slaves и вероятного противника она
понадобиться не может, так?


-- 
С уважением,
Nick Gavrikov

Re: [Sysadmins] DNS

[Денис Смирнов]

On Sat, Apr 14, 2007 at 03:18:24PM +0400, Nick Gavrikov wrote:

> NG>> т.е. для RIPN достаточно 53/udp? А 53/tcp я могу смело закрывать на
> NG>> файрволе для всех кроме slaves?
>> Этого делать не нужно никогда.
NG> Почему? Тормозить будет? Возможно, тогда можно сделать REJECT вместо DROP?
NG> Несколькими письмами раньше говорили, что tcp используется только для
NG> получения всей зоны. Никому кроме slaves и вероятного противника она
NG> понадобиться не может, так?

tcp используется:
а) тогда, когда этого захотел клиент;
б) клиент этого хочет всегда, если ответ не влезает в один пакетик, обычно
это как раз происходит при ответе на IXFR-запрос, поэтому эти ответы
всегда идут по tcp;

Соответственно смысла резать tcp нет никакого, а вот смысл зарезать IXFR
есть.

-- 
С уважением, Денис

http://freesource.info
----------------------------------------------------------------------------
Если это ничего не испортит, то надо сделать update.
		-- ldv in devel@

Re: [Sysadmins] DNS

[Marat Khayrullin]

Anton Gorlov пишет:
> tracert ya.ru
> 

Насколько я помню, по умолчанию используется udp. Попробуйте icmp - 
опция -I.

Re: [Sysadmins] DNS

[Anton Gorlov]

Marat Khayrullin пишет:

>> tracert ya.ru
> Насколько я помню, по умолчанию используется udp. Попробуйте icmp - 
> опция -I.

Я под оффтопиком -тут юзается по icmp..
К тмоу же -мне бывает нужно и то и другое.. так как частенько icmp И 
прчоие ходят разными путями и я не просил прова фильтровать это!

-- 
   np: silence

Re: [Sysadmins] DNS

[Serge]

В сообщении от 24 марта 2007 22:26 Anton Gorlov написал(a):
> Marat Khayrullin пишет:
> >> tracert ya.ru
> >
> > Насколько я помню, по умолчанию используется udp. Попробуйте icmp -
> > опция -I.
>
> Я под оффтопиком -тут юзается по icmp..
> К тмоу же -мне бывает нужно и то и другое.. так как частенько icmp И
> прчоие ходят разными путями и я не просил прова фильтровать это!
если они зафильтровали icmp - попробуйте tcptraceroute (из одноименного 
пакета), потом можно указывать провайдеру, что tcp пакеты ходят через них к 
заданному узлу, а icmp нет