LINUX.ORG.RU
решено Форум — Admin  

BIND. Обратная зона

 , ,


0

1

Хочу усложнить смоделированную сетевую инфраструктуру, а именно DNS-сервер BIND.

Есть сеть 172.25.1.0/24
Добавим ей vlan-тег 11
Добавим ещё сеть 172.25.2.0/24 и аналогично накинем ей тег 12
Опущу настройки systemd-networkd
DNS-зоны будут следующие:
Прямая /var/lib/bind/forward.zone

…
resource1	IN	A	172.25.1.50
resource2	IN	A	172.25.2.50
…

Обратная /var/lib/bind/reverse.zone

…
50	IN	PTR	resource1
50	IN	PTR	resource2
…

правильно я понимаю, что обратная зона смотрит в прямую и от этого уже понимает в какой vlan отдавать ресурс1, а в какой ресурс2?

А что делать с named.conf.local? Там прописана обратная зона так

zone "1.25.172.in-addr.arpa" {
	type master;
	file "/var/lib/bind/reverse.zone";
};

Надо ещё одну обратную прописывать для влана 12?



Последнее исправление: Dodik (всего исправлений: 2)
← Удалённый по ssh с последующим chroot для сторонних пользователей
Не запускаются иксы Astra Linux на двух мониторах →
 ← 1 2

Что вы за дичь понаписли? vlan'ы вобще не имеют отношения к зонам.

Для каждого обратного домена свою зону ″1.25.172.in-addr.arpa″ и ″2.25.172.in-addr.arpa″, каждой зоне свой файл. Приводимые вами строки из файлов с зонами не имеют смысла, там не FQDN, поэтому туда добавляется $ORIGIN из начала файла. Для одного имени у вас должно быть:

50.1.25.172.in-addr.arpa. IN PTR resource1.bla.bla.

а для второго:

50.2.25.172.in-addr.arpa. IN PTR resource2.bla.bla.

И за счёт разных файлов, вынося ″1.25.172.in-addr.arpa.″ или ″2.25.172.in-addr.arpa.″ в $ORIGIN и получаются строки покороче.

mky ★★★★★
()
Ответ на: комментарий от mky

vlan’ы вобще не имеют отношения к зонам.

Этим я хотел сказать, что появится ещё одно адресное пространство, которое надо ДНС’ить.

в $ORIGIN и получаются строки покороче.

Дайте пример, пжлста…

Dodik
() автор топика
Ответ на: комментарий от mx__

Так не пиши глупостей тогда если не знаешь.

Днс это тривиальная штука, как в нём вообще можно запутаться не пойму. Вероятно, из-за архаичной терминологии которая сбивает с толку поначалу.

firkax ★★★★★
()
Ответ на: комментарий от mx__

В конфиге binda в левой колонке пишется доменное имя (или его префикс с общим концом для всей зоны), которому ты хочешь сопоставить днс-ответ. Что тут можно не так понять? Доменного имени, начинающегося на 1.50, у него разумеется нет.

firkax ★★★★★
()
Последнее исправление: firkax (всего исправлений: 1)
Ответ на: комментарий от sin_a

PTR это разновидность днс-записи, работает он так же как и все остальные, формат конфига у него такой же как у остальных. От записи A отличие только в том что в правой колонке (днс-ответ) там не айпи а домен, точно то же самое у CNAME.

А вот ты чего-то недопонял походу.

firkax ★★★★★
()

Надо ещё одну обратную прописывать

Можно да, на другой файл:

zone "2.25.172.in-addr.arpa" {
	type master;
	file "/var/lib/bind/reverse2.zone";
};


Лучше, кстати, имена файлам давать такие же, то есть file «/var/lib/bind/2.25.172.in-addr.arpa», потом удобнее будет, а можно да, одну зону zone «25.172.in-addr.arpa» сделать, в этом случае два числа слева. И последовательность _обратная_. И точку всегда после имени, а то добавится «2.25.172.in-addr.arpa».

AS ★★★★★
()
Ответ на: комментарий от firkax

И? mx__ написал 1.50, я ему и написал то он не прав.

Это вот твоё сообщение очень сложно распарсить: BIND. Обратная зона (комментарий)
Первое впечатление, что ты слева хочешь имя видеть. Но наверное да, надо было вчитываться. :-)

AS ★★★★★
()
Ответ на: комментарий от firkax

Имена лучше давать по айпишникам в нормальном порядке октетов т.к. иначе получается ужас с сортировкой, если тебе она конечно нужна.

Откуда ужас, если однообразно именовать? по первой цифре и сортируется, остальные-то одинаковые, если у тебя не /16 сеть какая-нибудь. Но тут кто как хочет конечно, главное не безликое reverse.zone

AS ★★★★★
()
Ответ на: комментарий от AS

Ну, это спорно. У него 172.25. это приватные адреса, может быть где-то в другом филиале 172.23. стоит или ещё что. Если не конкретно про автора, то днсы обычно делают для публичных адресов всё-таки, и там сортировка ещё актуальнее получается. Да и у автора может быть эти днсы обслуживают и имена внешних серверов?

Ну и дело не только в сортировке, эти in-addr.arpa просто неудобно читать, а с айпишниками всё будет наглядно.

firkax ★★★★★
()
Ответ на: комментарий от firkax

Меня сразу переспросили и я ответил что уже забыл … такие мелочи не помню, главное дать направление а там можно и глянуть инет или попробовать так и так.

Я больше скажу, 25 лет назад настраивал обратку на маску /25 те было пол сетки, синтакисис уже не помню и не хочу даже запоминать.

P.S. Но я стараюсь никого не обвинять в его не знании и тем более указывать что ему делать.

mx__ ★★★★★
()
Последнее исправление: mx__ (всего исправлений: 1)
Ответ на: комментарий от firkax

В конфиге binda в левой колонке пишется доменное имя (или его префикс с общим концом для всей зоны), которому ты хочешь сопоставить днс-ответ. Что тут можно не так понять? Доменного имени, начинающегося на 1.50, у него разумеется нет.

Вашими словами «Так не пиши глупостей тогда если не знаешь.».

anc ★★★★★
()
Ответ на: комментарий от mx__

Я больше скажу, 25 лет назад настраивал обратку на маску /25 те было пол сетки, синтакисис уже не помню и не хочу даже запоминать.

Тоже такое делал и тоже примерно 25 лет назад :) Только маску точно не помню /25 || /26 || ...

anc ★★★★★
()
Ответ на: комментарий от AS

А по-моему наоборот, это надо было упоминать обязательно, как раз чтобы люди не путались. Вот автор например про какие-то вланы вообще фантазировал. А вместо этого должно иметься чёткое понимание: обратный резолвинг айпи-адреса a.b.c.d делается с помощью обычного резолвинга доменного имени 6-го уровня d.c.b.a.in-addr.arpa с типом записи PTR, ни больше ни меньше, и у этого резолвинга правила ровно такие же как у остальных доменных резолвингов, без каких-либо особенностей, соответственно надо применять обычные практики настройки поддоменов в своём днс-сервере.

firkax ★★★★★
()
Последнее исправление: firkax (всего исправлений: 1)
Ответ на: комментарий от anc

Например делегирование подсетей меньше C,

Никаких «подсетей C» в in-addr.arpa нет. Там есть поддомены 3 4 5 6 уровней, и всё! Как ты (владелец большого диапазона) будешь выкручиваться чтобы делегировать своему клиенту не всю зону c.b.a.in-addr.arpa а только имена 0-127 в ней - твоё личное дело, но делать ты это будешь дефолтными инструментами, общими для любых доменов (потому что других нет). Скорее всего, с помощью CNAME-ов на другую зону, ну или просто дашь ему кастомную урезанную админку к своему днсу, без прямого доступа к его конфигу.

обратная форма самих записей ( в прямой записи это бы выглядело как tld.domain.subdomain.hostname).

В чём суть особенности? Во всех доменных именах обратная форма, тут никаких отличий нет.

Ещё кандидаты в особенности есть?

firkax ★★★★★
()
Ответ на: комментарий от anc

Я тебе больше скажу: их сейчас и в айпи-адресах нет. А в in-addr.arpa не было никогда.

Что касается твоей ссылки, то:

Category: Best Current Practice

некая группа людей делится своим опытом в плане удобных способов решать проблемы, не более того.

И они пишут как раз про найденный ими фокус с CNAME-редиректами.

Если ты вдруг не понял, уточню, вот это: 

1.0/25.2.0.192.in-addr.arpa.
ни в коем случае не стандарт про .in-addr.arpa, это всего лишь абуз «незанятых» стандартом поддоменов. Ты можешь использовать этот формат, а можешь любой другой, например 1.podset_0_25.2.0.192.in-addr.arpa, а вероятно можешь сделать и CNAME на вообще другой tld, например 1.podset_0.reverse.my_domain.ru. В стандарте ничего кроме d.c.b.a.in-addr.apra нет.

firkax ★★★★★
()
Ответ на: комментарий от firkax

некая группа людей делится своим опытом в плане удобных способов решать проблемы, не более того.

В рамках стандарта.

К примеру есть закон а есть комментарии к закону, потому что не до всех доходит как это закон можно применить.

mx__ ★★★★★
()
Ответ на: комментарий от firkax

Возражения есть (ты палец вниз поставил) или ты просто обиделся что оказался не прав?

Палец вниз я поставил потому что не согласен с мнением.

Еще раз rfc в случае BCP есть всего лишь подсказка как можно юзать стандарт, для людей который не мог сами до этого додуматься.

mx__ ★★★★★
()
Ответ на: комментарий от firkax

«This document describes a way to do IN-ADDR.ARPA delegation on non-
octet boundaries for address spaces covering fewer than 256
addresses. The proposed method should thus remove one of the
objections to subnet on non-octet boundaries but perhaps more
significantly, make it possible to assign IP address space in smaller
chunks than 24-bit prefixes, without losing the ability to delegate
authority for the corresponding IN-ADDR.ARPA mappings. The proposed
method is fully compatible with the original DNS lookup mechanisms
specified in [1], i.e. there is no need to modify the lookup
algorithm used, and there should be no need to modify any software
which does DNS lookups.»

anc ★★★★★
()
Ответ на: комментарий от anc

И? Повторяю, это не стандарт, а просто делятся способом что-то сделать. Понятное дело, с точки зрения потребителя там делегируются какие-то сети айпи-адресов, вот они про них и пишут. Но это только вид снаружи, на самом деле айпи-адреса там есть только на этапе конвертации адреса в in-addr.arpa домен, дальше идёт полностью обычный резолвинг, которому плевать для чего юзеру нужно это имя, ни про какие айпи-адреса (кроме тех что в ответах на некоторые типы запросов получаются) и правила их делегации ни резолвер, ни днс-сервера не знают, для них это всё текстовые имена.

firkax ★★★★★
()
Ответ на: комментарий от firkax

И? Повторяю, это не стандарт, а просто делятся способом что-то сделать.

Вам не кажется, что есть таки различия между грязным хаком aka «вот можно такие настроечки подкрутить» и тем, что эти «настроечки» таки запиливают в софт в соответствии с этой рекомендацией?

anc ★★★★★
()
 ← 1 2
← Удалённый по ssh с последующим chroot для сторонних пользователей
Admin
Не запускаются иксы Astra Linux на двух мониторах →