☰

Bind 9.2 服务器拒绝解析来自子区域的 CNAME

tag-icon • tag-icon linux domain-name-system bind
Bind 9.2 服务器拒绝解析来自子区域的 CNAME

我有一个运行 Bind 9.2 的旧主名称服务器和一个运行 9.8 的新从属名称服务器。现在我们正在进行一个项目，我们基本上将云一分为二，并使用子区域和 CNAME 来保持我们的服务平稳运行。然而，老旧的 9.2 服务器似乎不想将 CNAME 解析到子区域并返回REFUSED: recursion requested but not available。另一方面，9.8 服务器可以很好地满足请求。

免责声明：我知道这些名称服务器已经过时了，更糟糕的是，运行 9.2 操作系统的名称服务器也完全失去了支持，所以我不太可能找到一个可靠的软件包来升级它。这次云拆分之后的项目是从头开始重建我们的 DNS 服务器/服务。

我怎样才能让旧服务器正确解析这些 CNAME？

dig结果

挖掘@NS1[绑定9.2]

# dig foo.domain.com @ns1.domain.com

; <<>> DiG 9.8.2rc1-RedHat-9.8.2-0.30.rc1.el6_6.3 <<>> foo.domain.com @ns1.domain.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: REFUSED, id: 5937
;; flags: qr rd; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 0
;; WARNING: recursion requested but not available

;; QUESTION SECTION:
;foo.domain.com.        IN      A

;; Query time: 116 msec
;; SERVER: 4.3.2.1#53(4.3.2.1)
;; WHEN: Fri Jul 31 16:18:36 2015
;; MSG SIZE  rcvd: 48

挖掘@NS2 [Bind 9.8]

# dig foo.domain.com @ns2.domain.com

; <<>> DiG 9.8.2rc1-RedHat-9.8.2-0.30.rc1.el6_6.3 <<>> foo.domain.com @ns2.domain.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 59986
;; flags: qr aa rd; QUERY: 1, ANSWER: 2, AUTHORITY: 2, ADDITIONAL: 2
;; WARNING: recursion requested but not available

;; QUESTION SECTION:
;foo.domain.com.        IN      A

;; ANSWER SECTION:
foo.domain.com. 300 IN  CNAME   foo.sub.domain.com.
foo.sub.domain.com. 300 IN A     5.6.7.8

;; AUTHORITY SECTION:
sub.domain.com.  300     IN      NS      ns1.domain.com.
sub.domain.com.  300     IN      NS      ns2.domain.com.

;; ADDITIONAL SECTION:
ns1.domain.com.     30      IN      A       4.3.2.1
ns2.domain.com.     30      IN      A       1.2.3.4

;; Query time: 80 msec
;; SERVER: 1.2.3.4#53(1.2.3.4)
;; WHEN: Fri Jul 31 16:22:29 2015
;; MSG SIZE  rcvd: 161

配置

以下是服务器的配置文件，已精简至基本内容。

NS1 [绑定 9.2]

options {
        recursion no;
        additional-from-auth no;
        additional-from-cache no;
        blackhole { bogon; };
        directory "/var/named";
        notify yes;
};
zone "domain.com" {
        type master;
        file "/var/named/domain.com.hosts";
        also-notify { 1.2.3.4; };
        notify yes;
};
zone "sub.domain.com" {
        type master;
        file "/var/named/sub.domain.com.hosts";
        also-notify { 1.2.3.4; };
        notify yes;
};

NS2 [绑定 9.8]

options {
        directory       "/var/named";
        recursion no;
        blackhole{ bogon; };
        dnssec-enable yes;
        dnssec-validation yes;
        dnssec-lookaside auto;
};
zone "domain.com" {
        type slave;
        masters { 4.3.2.1; };
        allow-transfer { 4.3.2.1; };
        file "/var/named/slaves/domain.com.hosts";
};
zone "sub.domain.com" {
        type slave;
        masters { 4.3.2.1; };
        allow-transfer { 4.3.2.1; };
        file "/var/named/slaves/sub.domain.com.hosts";
};

域名.com.主机

$ORIGIN .
$TTL 300        ; 5 minutes
domain.com      IN SOA  ns1.domain.com. servers.domain.com. ( ... )
    NS      ns1.domain.com.
    NS      ns2.domain.com.
$ORIGIN domain.com.
sub NS ns1.domain.com.
sub NS ns2.domain.com.
foo CNAME foo.sub

子域名.com.主机

$ORIGIN .
$TTL 300        ; 5 minutes
sub.domain.com   IN SOA  ns1.domain.com. servers.domain.com. ( ... )
    NS      ns1.domain.com.
    NS      ns2.domain.com.
$ORIGIN sub.domain.com.
foo A 5.6.7.8

答案1

我在 IRC 上向一些聪明的家伙提出了这个问题，并得到了答案：

options {
    additional-from-auth yes;
    additional-from-cache yes;
}

在我的配置中两者都明确设置了no。

http://www.zytrax.com/books/dns/ch7/queries.html#additional-from-auth

additional-from-auth并additional-from-cache控制当区域有额外（区域外）数据或遵循 CNAME 或 DNAME 记录时的行为。这些选项用于配置仅权威（非缓存）服务器，并且仅recursion no在全局选项子句或视图子句中指定时才有效。两种情况下的默认值均为是。这些语句可用于全局选项或视图子句中。行为由下表定义：

然后表格基本上可以归结为：

如果它们没有都设置为yes 本问题中引用的查询类型或多或少都会被拒绝。

答案2

它是极其困难用模糊示例来排除 DNS 问题，我们经常这么说。（正如 MadHatter 已经指出的那样）当我们遇到不合逻辑的推论时，我们基本上不得不假设你没有向我们展示某些东西，或者你因为翻译错误而玷污了示例。你的评论似乎暗示你的答案的上下文对于任何阅读你的问答的人来说都应该是“显而易见的”，但这显然是胡说八道。

domain.com这据称是两台服务器上的区域的内容：

$ORIGIN .
$TTL 300        ; 5 minutes
domain.com      IN SOA  ns1.domain.com. servers.domain.com. ( ... )
    NS      ns1.domain.com.
    NS      ns2.domain.com.
$ORIGIN domain.com.
sub NS ns1.domain.com.
sub NS ns2.domain.com.
foo CNAME foo.sub

但您告诉我们请求正在您的其中一台服务器上foo.domain.com返回？REFUSED

# dig foo.domain.com @ns1.domain.com

; <<>> DiG 9.8.2rc1-RedHat-9.8.2-0.30.rc1.el6_6.3 <<>> foo.domain.com @ns1.domain.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: REFUSED, id: 5937
;; flags: qr rd; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 0
;; WARNING: recursion requested but not available

;; QUESTION SECTION:
;foo.domain.com.        IN      A

;; Query time: 116 msec
;; SERVER: 4.3.2.1#53(4.3.2.1)
;; WHEN: Fri Jul 31 16:18:36 2015
;; MSG SIZE  rcvd: 48

抱歉，不行。这是配置错误如果您准确地呈现它，因为当实际的区域文件加载到内存中时，服务器不可能返回该答案。（假设它确实加载了 -SOA由于显而易见的原因，我们无法通过查询来验证）

REFUSED意味着服务器直接拒绝查询，因为它将查询解释为对区域外信息的请求。CNAME在这种情况下，记录的目标（右侧）是什么并不重要；左侧才是最重要的。即使目标不在区域内，也没关系，这只是意味着您的服务器将提供答案而不CNAME提供相应的A记录。（除非另一个区域位于同一台服务器上，这应该是这里的情况）但仍然NOERROR不是REFUSED。在权威上下文中，需要递归（）标志的存在rd也不会对此行为产生影响。

我明白您想让我们相信您的答案解决了您提出的问题，但事实并非如此。我无法说出还有什么其他更改可能为您解决了这个问题，但您的示例配置清楚地表明这些数据应该在区域内。您调整的选项应该对此没有影响。我们可以相信您的更改在某种程度上解决了问题，但这确实是 1 + 1 = zucchini 的情况。

为了您自己着想，请确保aaNS1 的响应中存在该标志。

相关内容