☰

bind9 因未知请求导致服务器瘫痪

tag-icon • tag-icon linux domain-name-system redhat bind
bind9 因未知请求导致服务器瘫痪

我正在运行 Oracle Linux 服务器作为操作框。我注意到 VNC、SSH 和 Web 服务器请求随机锁定。我查看了我的消息日志，发现有很多随机解析。

[user@SERVER1 etc]# tail /var/log/messages
Jan 21 19:31:34 SERVER1 named[24210]: error (network unreachable) resolving '255.11.168.192.in-addr.arpa/PTR/IN': 2001:500:2f::f#53
Jan 21 19:31:34 SERVER1 named[24210]: error (network unreachable) resolving '255.11.168.192.in-addr.arpa/PTR/IN': 2001:7fe::53#53
Jan 21 19:31:34 SERVER1 named[24210]: error (network unreachable) resolving '255.11.168.192.in-addr.arpa/PTR/IN': 2001:dc3::35#53
Jan 21 19:31:34 SERVER1 named[24210]: error (network unreachable) resolving '255.11.168.192.in-addr.arpa/PTR/IN': 2001:500:1::803f:235#53
Jan 21 19:31:34 SERVER1 named[24210]: error (network unreachable) resolving '255.11.168.192.in-addr.arpa/PTR/IN': 2001:7fd::1#53
Jan 21 19:31:34 SERVER1 named[24210]: error (network unreachable) resolving '108.10.168.192.in-addr.arpa/PTR/IN': 2001:500:2f::f#53
Jan 21 19:31:34 SERVER1 named[24210]: error (network unreachable) resolving '108.10.168.192.in-addr.arpa/PTR/IN': 2001:7fe::53#53
Jan 21 19:31:34 SERVER1 named[24210]: error (network unreachable) resolving '108.10.168.192.in-addr.arpa/PTR/IN': 2001:dc3::35#53
Jan 21 19:31:34 SERVER1 named[24210]: error (network unreachable) resolving '108.10.168.192.in-addr.arpa/PTR/IN': 2001:500:1::803f:235#53
Jan 21 19:31:34 SERVER1 named[24210]: error (network unreachable) resolving '108.10.168.192.in-addr.arpa/PTR/IN': 2001:7fd::1#53

这些区域和表不存在于我的 /var/named/ 目录中，这严重拖慢了我的网络。任何帮助都非常感谢！

—夸济

答案1

您可能没有权威地托管这些反向区域，但如果您的网络位于 192.168.10-11 空间内，那么这很可能是合法流量。机器会要求它们，就这么简单。

您的域名服务器正在尝试递归解析 in-addr.arpa 空间，并且您将被发送到 IANA 的 IPV6 根服务器，该服务器这些是 IPV6 地址。如果您的内核似乎支持 IPv6，named您可能会对此感到困惑。您可以尝试-4在适当的配置文件中附加到启动选项，以使这些消息消失，但如果可以的话，您真的不应该让 in-addr.arpa 查询泄露到互联网上。即使您让这个错误从日志中消失，所有查询仍然会击中 ARIN黑洞服务器。

如果没有其他证据，我非常不愿意相信这是导致你的表现问题的原因。

答案2

听起来您已经禁用了空区域，因此您的 RFC 1918 区域（在本例中为 192.168.0.0/16 私有地址空间）的 PTR 查询正在从您的 NAT 中泄漏，这是一件坏事，原因有几个。

您可能应该为实际使用的地址空间的任何部分提供反向查找区域，并且可能想要打开“empty-zones-enable yes;”

另请参阅：BIND 9 管理员参考手册（BIND9 ARM）第 6.2.16.17 节

您也可能正在运行非常老版本的 BIND。在较新版本的 BIND 中，空区域默认处于打开状态。

相关内容