バインドゾーン転送が拒否されました

10

更新：

BINDバージョン：

[root@10.224.45.130] $ named -v
BIND 9.3.6-P1-RedHat-9.3.6-16.P1.el5

オペレーティング・システム：

CentOS release 5.6 (Final)

実行後[root@10.224.45.131] $ dig @10.224.45.130 example.com. axfr：

スレーブ：

; <<>> DiG 9.3.6-P1-RedHat-9.3.6-16.P1.el5 <<>> @10.224.45.130 example.com. axfr
; (1 server found)
;; global options:  printcmd
; Transfer failed.

主人：

28-Aug-2011 12:29:01.384 client 10.224.45.131#60553: query: example.com IN AXFR -
28-Aug-2011 12:29:01.384 client 10.224.45.131#60553: zone transfer 'example.com/AXFR/IN' denied

以前と同じエラーメッセージ。

更新2：

[root@10.224.45.130 ~] # iptables -L -n -v
Chain INPUT (policy DROP 30235 packets, 1747K bytes)
 pkts bytes target     prot opt in     out     source               destination         
 171K   23M ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0           
    0     0 ACCEPT     all  --  tun0   *       0.0.0.0/0            0.0.0.0/0           
    0     0 ACCEPT     all  --  tap0   *       0.0.0.0/0            0.0.0.0/0           
57196 6930K ACCEPT     all  --  br0    *       0.0.0.0/0            0.0.0.0/0           
  688 57376 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           icmp type 8 
37869 6120K ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED 
  392 21216 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:22 
    1    64 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:53 
   74  5275 ACCEPT     udp  --  *      *       0.0.0.0/0            0.0.0.0/0           udp dpt:53 
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:80 
    1    64 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:110 
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:143 
    3   192 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:389 
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:443 
    1    64 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:465 
    1    64 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:587 
   13   832 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:636 
    0     0 ACCEPT     udp  --  *      *       0.0.0.0/0            0.0.0.0/0           udp dpt:694 
    1    64 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:843 
    1    64 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:873 
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:953 
  119  7584 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:993 
    0     0 ACCEPT     udp  --  *      *       0.0.0.0/0            0.0.0.0/0           udp dpt:993 
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:1194 
    0     0 ACCEPT     udp  --  *      *       0.0.0.0/0            0.0.0.0/0           udp dpt:1194 
    1    48 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:3306 
    1    64 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:5901 
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            10.224.45.130       tcp dpt:10000 
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:11211 
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:11212 
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:11213 
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:11511 
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:11512 
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:11513 

Chain FORWARD (policy DROP 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
 2987  372K ACCEPT     all  --  br0    *       0.0.0.0/0            0.0.0.0/0           
    0     0 ACCEPT     all  --  *      br0     0.0.0.0/0            0.0.0.0/0           
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:80 
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:443 

Chain OUTPUT (policy ACCEPT 246K packets, 37M bytes)
 pkts bytes target     prot opt in     out     source               destination

おそらくBINDマスター/スレーブのセットアップに関するすべてのページを見てきましたが、私は一生、ゾーン転送を機能させることができません。

これが私のセットアップです：（問題の説明については下にスクロールしてください）

マスター： 10.224.45.130

/etc/named.conf

options {
    directory "/var/named";
    version "unknown";
    pid-file "/var/run/named/named.pid";
    recursion yes;
    allow-recursion { localhost; localnets; };
    notify explicit;
    allow-transfer {
        10.224.45.131;
    };
    also-notify {
        10.224.45.131;
    };
};

zone "." {
    type hint;
    file "named.root";
};

zone "example.com" IN {
    type master;
    file "data/example.com.hosts";
};

スレーブ： 10.224.45.131

/etc/named.conf

options {
    directory "/var/named";
    version "unknown";
    pid-file "/var/run/named/named.pid";
    recursion yes;
    allow-recursion { localhost; localnets; };
    notify yes;
    allow-transfer { "none"; };
    allow-notify {
        10.224.45.130;
    };
};

zone "." {
    type hint;
    file "named.root";
};

zone "example.com" IN {
    type slave;
    file "slaves/example.com.hosts";
    masters {
        10.224.45.130;
    };
};

ここに問題があります。スレーブサーバーでnamedを再起動すると、ゾーンファイルがまだ存在していないことがわかり、マスターサーバーからの転送を要求します。

named.log（スレーブ）

[10.224.45.131] zone example.com/IN: no database exists yet, requesting AXFR of initial version from 10.224.45.130#53

...その後、マスターサーバーが転送要求を受信します。

named.log（マスター）

[10.224.45.130] client 10.224.45.131#53467: query: example.com IN AXFR -

...そして拒否される転送要求で応答します：

named.log（マスター）

[10.224.45.130] client 10.224.45.131#53467: zone transfer 'example.com/AXFR/IN' denied

...スレーブサーバーでは、拒否されたと表示されます。

named.log（スレーブ）

[10.224.45.131] transfer of 'example.com/IN' from 10.224.45.130#53: failed while receiving responses: REFUSED

すべての設定を何度も見てみると、設定に問題はありません。mastersスレーブゾーン構成の設定にマスターサーバーのIPアドレスが表示されていallow-transferます。マスターオプション設定の設定にスレーブサーバーのIPアドレスが表示されています。

すべてのIPアドレスは本来あるべきものです。パブリックIPアドレスを使用しようとしていて、IPアドレスが一致しないために拒否されるわけではありません。両方のサーバーのポート53（および953）でTCP / UDP接続を許可するようにiptablesを設定しています。スレーブゾーンファイルが保存されている/ slavesディレクトリがnamedユーザーによって書き込み可能になるように、ファイルの権限を適切に設定しました。

私が何をしても、いつも同じエラーが出ます。誰かが私が欠けているものについての手がかりを与えることができるなら、私は本当にそれを感謝します！

— サラ・ライアン
ソース

2

（一時的に）設定allow-transferを試してany、問題が解決するかどうか確認しましたか？あなたのallow-transfer条項は正しいように見えますが、これは問題の可能性を排除します...

— voretaq7 '28

いいえ、まだ同じエラーが発生します。また、念のため、マスターサーバーのWAN IPアドレスを「マスター」設定に追加してみましたが、それでも修正されませんでした。

— サラライアン

1

rndc reconfigマスターの設定を変更した後に実行しましたか？

— Cakemox 2011

3

まず、ゾーン転送が機能することを確認してください。

スレーブで、dig @master your-domainを発行します。axfr

BINDのバージョンとOSは？

— dmourati
ソース

このコマンドの出力とログで質問を更新しました。通常のゾーン転送リクエストと同様に拒否されたことが示されます。バージョンとOSに関する情報も追加しました。重要な情報を省いてごめんなさい。

— サラライアン

1

わかりました。digコマンドが失敗するという事実は、マスターにまだ問題があることを示しています。上記の@ voretaq7は、私が同意したものへの転送の許可が合理的なトラブルシューティング手順であると提案しました。localhostを許可転送に追加し、localhostのマスターからdigコマンドを試してください。また、マスターに「tcpdump -i any port 53」を設定して、送信元/宛先IPアドレスを確認します。「両方のサーバーのポート53（および953）でTCP / UDP接続を許可するようにiptablesを設定しています」と言いましたが、マスターに「iptables -L -n -v」の出力を追加してください。それか、マスターのiptablesをシャットダウンして再テストします。

— dmourati 2011

ローカルホスト（および可能性のある他のすべてのホスト名とIPアドレス）を許可転送設定に追加しましたが、それでも同じエラーが発生します。リクエストしたiptablesコマンドの出力を追加し、再試行中はiptablesを無効にしました。まだ運がない。

— サラライアン

3

問題が見つかりました。私はchrootされたBINDを使用していますが、/ var / named / chroot / etcではなく、/ etcのconfファイルを編集していました。そのため、私が行った変更は見られませんでした。confファイルをchrootディレクトリにコピーしましたが、すべて正常に動作します。

— サラ・ライアン
ソース

1

こんにちはchroot。見つけてよかった。

— dmourati '30

1

これはすでにのallow-transferステートメントでカバーされているように見えるかもしれませんが、ゾーンの下にoptions明示的なallow-transferステートメントを追加してみてください。

私は本当にあなたの設定に何も悪いことを見ていません。それはように見えなければならない仕事します。バインドはそのポートでリスニングしていますか？（つまりは、ない任意の要求が成功するか、それとも彼らはすべて失敗するのですか？）

さて、私は試す価値のあるアイデアがさらに2つあります。

両方のサーバーでクロックが両方とも最新であることを確認してください（少なくとも妥当なマージン内にあります）。
SELinuxが干渉している可能性があります。テストのために一時的に無効にしてみてください。

— バハマト
ソース

ゾーン構成に許可転送オプションを入れてみましたが、それでも同じエラーが発生します。失敗するのは転送リクエストのみです。サーバーに任意のレコードタイプを正常にクエリすると、期待どおりに返されます。しかし、ゾーン転送を実行しようとすると、拒否/ REFUSEDエラーメッセージが表示されます。

— サラライアン

更新について私の回答を確認してください。

— バハマ