Bind ; recursive queries

[host3000]

Wij hebben een paar resolvers voor klanten opgesteld, en willen dit beperken tot de ranges van onze klanen.

Dus, in named.conf staat :

allow-query  { "naam-acl" ; };
allow-recursion { "naam-acl" ; }

En inderdaad,

query (cache) denied

Maar, tot mijn verbazing zie ik nog steeds af en toe 'lame server resolving' opduiken, uit ranges die toch echt niet binnen de acl vallen.

Heeft iemand een idee waar ik dat 'lek' moet zoeken? Dit komt voor op zowel een server met een IP alias als een server met een IP op elk van de nics (ik dacht daar tenminste aan...)

[dreamhost_nl]

Op het cPanel forum staat een hele goede tut (sticky geloof ik zelfs).
Kijk daar eens zou ik zeggen... (is overigens cPanel onafhankelijk)

[Dillard]

Heb je hier : "allow-recursion { "naam-acl" ; }" in je config wel een ';' achtergezet?

Named herstart ?

[Keenondots]

En nog belangrijker, wat staat er in je naam-acl?

[almar]

Dit is normaal. Ik heb het een paar jaar geleden ook nog uitgezocht. Je kunt de meldingen met een configuratieparameter uit de logbestanden houden. Ik weet niet meer exact hoe. Ik kan helaas ook het artikel niet meer vinden, maar dit kan ook:

http://www.webhostingtalk.com/archiv.../380114-1.html

[host3000]

acl "recurseallow" {
        0.0.0.0/24 ;
        0.0.0.0/26 ;
        0.0.0.0/24 ;
        0.0.0.0 ;
        127.0.0.1 ;
};
options {
        directory "/var/named";
        listen-on { 0.0.0.0 ; };
        allow-query  { "recurseallow" ; };
        allow-recursion { "recurseallow" ; };

Dit staat er (met andere IP's natuurlijk). Het meest irritante is dat het kinderlijk eenvoudig is (of iig zou moeten zijn). Named geherstart natuurlijk. Als ik extern buiten de allow zone een querie uitvoer, krijg ik deny, dus dat klopt. Maar ergens komen er nog recursive lookups binnen.

Er staat twee IP's op de server. Als ik het andere IP gebruik lukt de querie ook niet (ik dacht dat zij misschien via het andere IP zouden lekken).

De allow-recursion is volgens mij overbodig als er al een allow-querie staat. Ik vreesde voor een tikfout, maar ik zie hem toch echt niet.

[host3000]

Dit is normaal. Ik heb het een paar jaar geleden ook nog uitgezocht. Je kunt de meldingen met een configuratieparameter uit de logbestanden houden. Ik weet niet meer exact hoe. Ik kan helaas ook het artikel niet meer vinden, maar dit kan ook:

http://www.webhostingtalk.com/archiv.../380114-1.html

Nou ja normaal .... Dagelijkse praktijk wel iig.

Het gaat mij niet om de logregels. Deze lame server queries zorgen ervoor dat het aantal clients opgebruikt wordt waardoor reguliere klanten niet meer aan de bak komen. Ik kan dat wel verhogen, maar dan blijf je bezig. Ik wil die queries gewoon niet.

Alternatief is die IP's in IPtables knallen,maar:
- is erg veel werk en je hebt ze nooit allemaal;
- open nameserver hoort eigenlijk niet;
- hoort niet, bind zou gewoon moeten doen wat ik wil

[almar]

Ik begrijp niet helemaal wat je bedoeld. bind geeft hier gewoon aan dat hij een vraag heeft ontvangen, waarvoor geen reactie gegeven gaat worden.

[luser]

Je kunt de meldingen met een configuratieparameter uit de logbestanden houden. Ik weet niet meer exact hoe.

logging {
category lame-servers { null; };
};

[host3000]

Als er vaak genoeg een querie uitgevoerd wordt, kom je aan de default max van Bind:

no more recursive clients: quota reached

Zoals ik zei, kan je die max verhogen, maar voor de klanten is daartoe geen reden. Bovendien blijf je dan verhogen totdat je nameserver overuren draait.

Ik wil dus dat die queries denied worden, en niet dat ze beantwoord worden. Overigens lijkt het mij een goede gewoonte om een resolver te sluiten voor niet toegestaan gebruik. Dat doen de meeste grote providers ook (daar moet je ook in het subnet zelf zitten om een querie uit te kunnen voeren).

Dat lukt dus ook wel (erg veel 'denied'), maar af en toe sluipt er één tussendoor die toch antwoord krijgt. Dat is irritant en kan dus niet als ik de config zie. Ik zie dus iets over het hoofd...