Re: [mdk-re] ÷ÏÐÒÏÓ ÐÒÏ DNS

Re: [mdk-re] ÷ÏÐÒÏÓ ÐÒÏ DNS

[Yuri Ryazantsev]

On Tue, Apr 03, 2001 at 04:49:30PM +0400, Волков Сергей wrote:

> Есть два вопроса:
> 1) а кому можно давать спрашивать зону или имя. я постоянно получаю сообщение в лог
>     denied query from [некий IP].port for "comp.my_domain"
>      в конфиге у меня написаны акли, что запрашивать можно только моему провайдеру и моим серверам и сети
>     может я чего-то не правильно сделал ??? почему сыпется сообшение в лог???

Наверное упустил еще логе волшебное слово AXFR. Разрешают обычно только
secondary серверам и еще кому это нужно. Сыпатся в логи такая фигня будет
постоянно т.к. любят у нас (и не только у нас) знать все машины и IP адреса
в доменах. Убрать это из логов можно командой 
logging {
        category xfer-out { null; };
};

> 2)  на данный момент есть сеть выделенная провайдером и для нее есть у меня на внешнем сервере ДНС своя зона и реверс.
> Теперь стоит задача для внутренней сети поднять независимый ДНС сервер который только форвардит на внешний для разрешения внешних Internet адресов и разрешает внутренние домены?
>     что посоветуете ??? кто уже решал подобного плана задачи? 

Используются private IP address. И смотри forwarders в настройках BIND.

with best wishes,

Yuri.

[mdk-re] Re: [mdk-re] Вопрос про DNS

[Волков Сергей]

----- Original Message -----
From: Yuri Ryazantsev <yuri@unix.ru>
To: <mandrake-russian@altlinux.ru>
Sent: Tuesday, April 03, 2001 5:12 PM
Subject: Re: [mdk-re] Вопрос про DNS


> On Tue, Apr 03, 2001 at 04:49:30PM +0400, Волков Сергей wrote:
>
> > Есть два вопроса:
> > 1) а кому можно давать спрашивать зону или имя. я постоянно получаю
сообщение в лог
> >     denied query from [некий IP].port for "comp.my_domain"
> >      в конфиге у меня написаны акли, что запрашивать можно только моему
провайдеру и моим серверам и сети
> >     может я чего-то не правильно сделал ??? почему сыпется сообшение в
лог???
>
> Наверное упустил еще логе волшебное слово AXFR. Разрешают обычно только
Нет я не ошибся сыпется именно то сообщение которое я привел
так как AXFR у меня фильтруется и сваливается в лог другой
> secondary серверам и еще кому это нужно. Сыпатся в логи такая фигня будет
> постоянно т.к. любят у нас (и не только у нас) знать все машины и IP
адреса
> в доменах. Убрать это из логов можно командой
> logging {
>         category xfer-out { null; };
> };
>
> > 2)  на данный момент есть сеть выделенная провайдером и для нее есть у
меня на внешнем сервере ДНС своя зона и реверс.
> > Теперь стоит задача для внутренней сети поднять независимый ДНС сервер
который только форвардит на внешний для разрешения внешних Internet адресов
и разрешает внутренние домены?
> >     что посоветуете ??? кто уже решал подобного плана задачи?
>
> Используются private IP address. И смотри forwarders в настройках BIND.
>
а какие имена доменов использовать а то например
my_domain.ru --- снаружи и
office.my_domain.ru --- внутри слишком много набирать ??
а если я поставлю зону просто внутри office
> with best wishes,
>
> Yuri.
>
>
> _______________________________________________
> Mandrake-russian mailing list
> Mandrake-russian@altlinux.ru
> http://altlinux.ru/mailman/listinfo/mandrake-russian
>

Re: [mdk-re] Re: [mdk-re] Вопрос про DNS

[cornet]

Волков Сергей wrote:
> 
> ----- Original Message -----
> From: Yuri Ryazantsev <yuri@unix.ru>
> To: <mandrake-russian@altlinux.ru>
> Sent: Tuesday, April 03, 2001 5:12 PM
> Subject: Re: [mdk-re] Вопрос про DNS
> 
> > On Tue, Apr 03, 2001 at 04:49:30PM +0400, Волков Сергей wrote:
> >
> > > Есть два вопроса:
> > > 1) а кому можно давать спрашивать зону или имя. я постоянно получаю
> сообщение в лог
> > >     denied query from [некий IP].port for "comp.my_domain"
> > >      в конфиге у меня написаны акли, что запрашивать можно только моему
> провайдеру и моим серверам и сети
> > >     может я чего-то не правильно сделал ??? почему сыпется сообшение в
> лог???
> >
> > Наверное упустил еще логе волшебное слово AXFR. Разрешают обычно только
> Нет я не ошибся сыпется именно то сообщение которое я привел
> так как AXFR у меня фильтруется и сваливается в лог другой
> > secondary серверам и еще кому это нужно. Сыпатся в логи такая фигня будет
> > постоянно т.к. любят у нас (и не только у нас) знать все машины и IP
> адреса
> > в доменах. Убрать это из логов можно командой
> > logging {
> >         category xfer-out { null; };
> > };
> >
> > > 2)  на данный момент есть сеть выделенная провайдером и для нее есть у
> меня на внешнем сервере ДНС своя зона и реверс.
> > > Теперь стоит задача для внутренней сети поднять независимый ДНС сервер
> который только форвардит на внешний для разрешения внешних Internet адресов
> и разрешает внутренние домены?
> > >     что посоветуете ??? кто уже решал подобного плана задачи?
> >
> > Используются private IP address. И смотри forwarders в настройках BIND.
> >
> а какие имена доменов использовать а то например
> my_domain.ru --- снаружи и
> office.my_domain.ru --- внутри слишком много набирать ??
> а если я поставлю зону просто внутри office

Если внутренняя сетка состоит только из адресов зарезервированного
диапазона, то имя любое, например host1.office, server.office и т.д.
вполне пойдет :-))

> > with best wishes,
> >
> > Yuri.
> >
> >
> > _______________________________________________
> > Mandrake-russian mailing list
> > Mandrake-russian@altlinux.ru
> > http://altlinux.ru/mailman/listinfo/mandrake-russian
> >
> 
> _______________________________________________
> Mandrake-russian mailing list
> Mandrake-russian@altlinux.ru
> http://altlinux.ru/mailman/listinfo/mandrake-russian

-- 
******** FIRE & STEEL ********

Re: [mdk-re] Вопрос про DNS

[Vyt]

On Tue, 3 Apr 2001 17:12:16 +0400
Yuri Ryazantsev <yuri@unix.ru> wrote:

> On Tue, Apr 03, 2001 at 04:49:30PM +0400, Волков Сергей wrote:
> 
> > Есть два вопроса:
> > 1) а кому можно давать спрашивать зону или имя. я постоянно получаю
сообщение в лог

Немного из практики - правильность не гарантирую :)
Когда Вам будут отдавать поддержку primary dns, скорее всего, будет
проверка корректности Вашей зоны, например, мне предложили открыть 53/tcp
порт для 194.85.119.1 (ns.ripn.net) и для secondary dns-серверов. Он был
закрыт ipchains. И сразу напомню - не используйте "CNAME" записи в зоне,
просто "A" записи на один ip тоже работают, а то мне пришло письмо "check
zone failed" с url'ом на документ по этой теме (затерял).

> >     denied query from [некий IP].port for "comp.my_domain"
> >      в конфиге у меня написаны акли, что запрашивать можно только
моему провайдеру и моим серверам и сети
> >     может я чего-то не правильно сделал ??? почему сыпется сообшение в
лог???
> 
> Наверное упустил еще логе волшебное слово AXFR. Разрешают обычно только
> secondary серверам и еще кому это нужно. Сыпатся в логи такая фигня
будет
> постоянно т.к. любят у нас (и не только у нас) знать все машины и IP
адреса
> в доменах. Убрать это из логов можно командой
> logging {
>         category xfer-out { null; };
> };
> 
> > 2)  на данный момент есть сеть выделенная провайдером и для нее есть у
меня на внешнем сервере ДНС своя зона и реверс.
> > Теперь стоит задача для внутренней сети поднять независимый ДНС сервер
который только форвардит на внешний для разрешения внешних Internet
адресов и разрешает внутренние домены?
> >     что посоветуете ??? кто уже решал подобного плана задачи?
> 
> Используются private IP address. И смотри forwarders в настройках BIND.
> 
> with best wishes,
> 
> Yuri.
> 
> 
> _______________________________________________
> Mandrake-russian mailing list
> Mandrake-russian@altlinux.ru
> http://altlinux.ru/mailman/listinfo/mandrake-russian
> 


-- 
Regards, Vyt
mailto:vyt@vzljot.ru

Re: [mdk-re] ÷ÏÐÒÏÓ ÐÒÏ DNS

[Yuri Ryazantsev]

On Tue, Apr 03, 2001 at 05:40:45PM +0400, Vyt wrote:

> On Tue, 3 Apr 2001 17:12:16 +0400
> Yuri Ryazantsev <yuri@unix.ru> wrote:
> 
> > On Tue, Apr 03, 2001 at 04:49:30PM +0400, Волков Сергей wrote:
> > 
> > > Есть два вопроса:
> > > 1) а кому можно давать спрашивать зону или имя. я постоянно получаю
> сообщение в лог
> 
> Немного из практики - правильность не гарантирую :)
> Когда Вам будут отдавать поддержку primary dns, скорее всего, будет
> проверка корректности Вашей зоны, например, мне предложили открыть 53/tcp
> порт для 194.85.119.1 (ns.ripn.net) и для secondary dns-серверов. Он был
> закрыт ipchains. И сразу напомню - не используйте "CNAME" записи в зоне,
> просто "A" записи на один ip тоже работают, а то мне пришло письмо "check
> zone failed" с url'ом на документ по этой теме (затерял).

Раньше такое в RIPN было: проверяли правильность настройки трансфером зоны.
Теперь этого у них нет. Правда есть некоторая машина info.ripn.net которая
собирает трансфером зарегистрированные домены. Когда я с ними разговаривал
на эту тему зачем они это делают, ответ был: "Можете не разрешать для нее
доступ, на Вас это никак не отразится. Это мы собираем для себя информацию".
Я доступ для нее не открывал, но хотел бы иметь такую информацию ;-))
Так что 53/tcp можно открывать только для своих secondary server.

with best wishes,

Yuri.