Onderwerp: Poort 53 gesloten: geen firewall

Ik heb sinds afgelopen weekend een nieuwe server draaien, maar vooralsnog is named op mijn oude server verantwoordelijk gebleven als nameserver (verwijst dus door naar de nieuwe server), omdat het erop lijkt dat poort 53 helemaal dicht zit. Het gekke is echter: er draait geen firewall en mijn iptables is leeg (tot ik dus KISS laad, maar dat laat ik vooralsnog dus nog even achterwege).

Hoe kom ik er achter waar dit aan ligt?

Aangezien ik niets meer kan wijzigen: Het gaat om Fedora Core 8 met DirectAdmin.

Wellicht dat er een andere service gebruikmaakt van poort 53?

Hoe kom ik daar achter?

Het is (als het goed is) een clean install, dus dat zou niet moeten kunnen. Wel zie ik als ik "netstat -an" draai twee verwijzingen naar poort 53:

tcp 0 0 127.0.0.1:53 0.0.0.0:* LISTEN
tcp 0 0 ::1:53 :::* LISTEN

Heb ik ook bij 2 verschillende hosters gehad (beiden DA), in beide gevallen bleek dat het ip adres reeds elders in hun datacenter in gebruik was.
Zij zeiden van niet, dus ik fijn dat ip adres in de hosts file gezet en de server gereboot met als resultaat dat er een paar servers uitvlogen inclusief die van mezelf want die wilde niet meer terug doorstarten.
Hups, technicus erop en toen bleek dat het inderdaad in gebruik was. Ander ip gekregen en de zaak was gefixed.

Weet niet of dat bij jou ook het geval is, maar het is een mogelijkheid.

Nee, dat is het zeker niet. De IP-adressen zijn goed toegevoegd en ze kunnen op andere poorten aangeroepen worden. Probleem is dan ook dat alléén poort 53 niet lijkt te werken.

Toch misschien een named probleem?

Okee, dat is opgelost! Blijkbaar moest ik named nog vertellen te luisteren naar mijn nameserver IPs. Dat heb ik eerlijk gezegd nog nooit hoeven doen, maar het is gelukt. Nu echter het volgende probleem. SIDN zegt:

* primary name server "ns1.domein.nl." [BROKEN]
Broken: the name server does not know of domain "domein.nl."
No SOA record was found for the requested domain, because the
addressed server does not have the domain configured and does not
relay the request either.

Je moet eerst het domein in bind (DA) zetten, alvorens je het aanvraagt bij sidn

Dat snap ik ook nog wel. Het domein is toegevoegd in DA, net als de nameservers.

Punt is wel dat het dus ns1.domein.nl en ns2.domein.nl betreft en de query uitgevoerd wordt voor domein.nl, kan dat wel zomaar bij SIDN? En zo nee, wat dan te doen?

Het betreft hier overigens geen nieuwe aanvraag, maar een nameserver IP change bij TransIP.

Moet je even de IP's ook meegeven bij de nameservercheck. Waarschijnlijk kent SIDN jouw ns1 en ns2 nog niet of heeft nog verkeerde gluerecords voor deze nameservers.

De glue's worden pas aangemaakt als de naamserverwijziging bij Transip lukt. Om dat te laten lukken moet eerst SIDN ze herkennen, althans als je de check doet met de ip adressen erbij anders krijg je die glue melding van sidn.

Dus vermoedelijk zijn ns1 en 2 inderdaad nog niet bekend, even afwachten.
Als ze goed staan ingeregeld in DA kan het niet lang meer duren.

Ik ken de GUI van Trans IP niet, maar wellicht dat je eerst ergens de IP-adressen aan de nameservers dien te koppelen (glue records), voordat je de nameservers van je domeinnaam kan wijzigen.

bij een installatie van een nieuwe da server kan het enige tijd duren voordat sidn de nameservers resolven.
Wij herstarten na een nieuwe installatie altijd even named, vervolgens kan de naam geregistreerd worden.

Bij een migratie (naar andere ip adressen) kan het zijn dat extra toegevoegde ip,s niet correct werken, een herstart van de server lost hier alle problemen op.

Het is mij onduidelijk of je geprobeert hebt om te testen of poort 53 daadwerkelijk open of dicht staat, hiervoor kan je ff een poortscanner gebruiken

netstat -plant:

[ns1] ~# netstat -plant |grep \:53
tcp 0 0 ipnummer 0.0.0.0:* LISTEN 26582/named
tcp 0 0 ipnummer 0.0.0.0:* LISTEN 26582/named
tcp 0 0 ipnummer 0.0.0.0:* LISTEN 26582/named
tcp 0 0 ipnummer 0.0.0.0:* LISTEN 26582/named

Waarbij het laatste getal het PID is van het proces

Het is opgelost.

Wat betreft poort 53: In /etc/named.conf moesten de listen-to IPs handmatig worden ingevuld, terwijl dit bij een DA server install gewoonlijk automatisch gebeurt, daarna luisterde named wel naar poort 53.

Wat betreft de domeinaanvraag: Dit kwam ook door een bizarre configuratiefout in named.