DNS сервер с одних IP разрешает имена с других IP нет

Кто мастер?

При изменении зоны на мастере в файле зоны на slave появляются изменения.

это значит, что файлы появляются на слейве?

Вообще в целом история напоминает ситуацию с кеширующим днс-сервером: пока кеш старый - все по-старому, передернуть кеширующий сервак - изменения становятся видны тем, кто им пользуется.

«это значит, что файлы появляются на слейве?»

файл зоны на слейве есть, в нем появляется новая запись - т.е. синхронизация с мастером происходит.

кэш? в файл зоны была добавлена запись, не изменена.

С IP AS которую обслуживает DNS сервер запрос на разрешение имени происходит, с IP вне AS разрешение имени не происходит до передергивания сервера.

не происходит до передергивания сервера.

А при этом в логах bind видно, какую он отдает зону? tailf'ом логи в этот момент смотрели?

в логах видно только что прилетает запрос
tcpdump DNS запроса с IP вне AS
11:01:51.908624 IP (tos 0x0, ttl 55, id 24865, offset 0, flags [none], proto: UDP (17), length: 64) 217.65.10.170.64177 > 211.211.211.6.domain: [udp sum ok] 35794+ A? test3.хххххх.pro. (36) 11:01:51.908864 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto: UDP (17), length: 125) 211.211.211.6.domain > 217.65.10.170.64177: [udp sum ok] 35794 NXDomain*- q: A? test3.хххххх.pro. 0/1/0 ns: хххххх.pro. SOA ns2.provider.ru. root.hosting.хххххх.pro. 2012030322 10800 3600 604800 86400 (97)

Скорректировал прошлое сообщение

tcpdump DNS запроса с IP вне AS

до ребута

12:37:09.498972 IP (tos 0x0, ttl 55, id 12604, offset 0, flags [none], proto: UDP (17), length: 64) 217.65.10.170.11700 > 211.211.211.6.domain: [udp sum ok] 3188+ A? test3.хххххх.pro. (36)
12:37:09.499270 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto: UDP (17), length: 125) 211.211.211.6.domain > 217.65.10.170.11700: [udp sum ok] 3188 NXDomain*- q: A? test3.хххххх.pro. 0/1/0 ns: хххххх.pro. SOA ns2.provider.ru. root.hosting.хххххх.pro. 2012030323 10800 3600 604800 86400 (97)

после ребута(когда все нормально)

12:39:17.977356 IP (tos 0x0, ttl 55, id 21453, offset 0, flags [none], proto: UDP (17), length: 64) 217.65.10.170.32875 > 211.211.211.6.domain: [udp sum ok] 56512+ A? test3.хххххх.pro. (36)
12:39:17.977795 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto: UDP (17), length: 156) 211.211.211.6.domain > 217.65.10.170.32875: [udp sum ok] 56512*- q: A? test3.хххххх.pro. 1/2/2 test4.хххххх.pro. A 211.211.212.150 ns: хххххх.pro. NS ns1.provider.ru., хххххх.pro. NS ns2.provider.ru. ar: ns1.provider.ru. A 211.211.211.6, ns2.provider.ru. A 211.211.212.6 (128)

если пройдет некоторое время то DNS начинает разрешать с внешних IP (без ребута), видимо срабатывает TTL зоны

Если это некоторое время - минуты, то надо посмотреть, где такой ttl. Обычно ttl на кеширующих серверах порядка нескольких часов.

При ребуте, может быть, просто как раз проходило необходимое время?

не минуты - полчаса - час, похоже на TTL

Боюсь, тут уже нужны люди с опытом работы конкретно с bind :)

При изменении зоны обновления докатываются до внешних машин в таком же режиме?

где то с задержкой полчаса - час

Тогда топологию нарисуйте и покажите картинку. А то я что-то недопонял схему взаимодействия, похоже.

обновился до 9.7.3 проблема остается

Если запрос идет с консоли dns slave - то работает
если с сайта http://www.nslookup.su не работает. Данный сайт размещен в отличной от AS где размещен dns

и еще - bind крутится в контейнере openvz

Если запрос идет с консоли dns slave - то работает

А при этом в /etc/resolv.conf на слейве кто - он сам? Или мастер?

«А при этом в /etc/resolv.conf на слейве кто - он сам? Или мастер?»

не понимаю сути вопроса
для этого DNS в качестве nameserver указан ip dns сервер либо слейв для зоны либо мастер либо кэширующий

если делаю запрос с соседнего компа (из своей AS) то также все разрешается.

вывод команды cat /etc/resolv.conf на слейве покажите

nameserver 127.0.0.1
nameserver 211.211.211.6

211.211.211.6

это мастер? или слейв?

слейв

Вот и мне так показалось. Тогда я ничего не понимаю: при обновлении информации о зонах на мастере слейв их сразу видит на себе, но другие, обращаясь к слейву, их не видят. Это не укладывается в мои представления о мире.

Единственное, что ещё я могу предположить, чтобы объяснить эту ситуацию - на слейве есть правила iptables, который форвардят его днс-запросы с него самого на мастер..

«Единственное, что ещё я могу предположить, чтобы объяснить эту ситуацию - на слейве есть правила iptables, который форвардят его днс-запросы с него самого на мастер..»

ничего такого даже в голову не приходило делать

Ну, мало ли )

Рекомендую поискать треды про dns и кастануть кого-нибудь умного.

На этом DNS-слейве view'ы используются или конфиг простой?

Если есть возможность, попробуйте для теста сделать на слейве максимально простой конфиг (только эта проблемная зона) и посмотреть, воспроизводится ли такое поведение.