Обратно делегиране на зона към подмрежи под /24 в BIND. Как работи

Един ден бях изправен пред задачата да дам на един от моите клиенти правото да редактира PTR записи на подмрежата /28, която му е присвоена. Нямам автоматизация за редактиране на настройките на BIND отвън. Затова реших да поема по различен път - да делегирам на клиента част от PTR зоната на подмрежата /24.

Изглежда - какво може да бъде по-просто? Просто регистрираме подмрежата според изискванията и я насочваме към желания NS, както се прави с поддомейн. Но не. Не е толкова просто (въпреки че в действителност като цяло е примитивно, но интуицията няма да помогне), затова пиша тази статия.

Всеки, който иска сам да разбере, може да прочете RFC
Който иска готово решение, заповядайте в кат.

За да не бавя тези, които харесват копи-пейст метода, ще публикувам първо практическата част, а след това и теоретичната.

1. Практикувайте. Делегираща зона /28

Да кажем, че имаме подмрежа 7.8.9.0/24. Трябва да делегираме подмрежата 7.8.9.240/28 към dns клиент 7.8.7.8 (ns1.client.domain).

В DNS на доставчика трябва да намерите файл, който описва обратната зона на тази подмрежа. Нека бъде 9.8.7.в- addr.arpa.
Коментираме записи от 240 до 255, ако има такива. И в края на файла пишем следното:

255-240  IN  NS      7.8.7.8
$GENERATE 240-255 $ CNAME $.255-240

не забравяйте да увеличите серийната зона и направете

rndc reload

Това завършва частта за доставчика. Да преминем към DNS на клиента.

Първо, нека създадем файл /etc/bind/master/255-240.9.8.7.in-addr.arpa следното съдържание:

$ORIGIN 255-240.9.8.7.in-addr.arpa.
$TTL 1W
@                       1D IN SOA       ns1.client.domain. root.client.domain. (
                        2008152607      ; serial
                        3H              ; refresh
                        15M             ; retry
                        1W              ; expiry
                        1D )            ; minimum
@                       IN NS        ns1.client.domain.
@                       IN NS        ns2.client.domain.
241                     IN PTR          test.client.domain.
242                     IN PTR          test2.client.domain.
245                     IN PTR          test5.client.domain.

И в named.conf добавете описание на нашия нов файл:

zone "255-240.9.8.7.in-addr.arpa." IN {
        type master;
        file "master/255-240.9.8.7.in-addr.arpa";
};

B рестартирайте процеса на свързване.

/etc/init.d/named restart

Всичко. Сега можете да проверите.

#>  host 7.8.9.245 
245.9.8.7.in-addr.arpa is an alias for 245.255-240.9.8.7.in-addr.arpa.
245.255-240.9.8.7.in-addr.arpa domain name pointer test5.client.domain.

Моля, обърнете внимание, че е даден не само PTR записът, но и CNAME. Така трябва да бъде. Ако се чудите защо, тогава добре дошли в следващата глава.

2. Теория. Как работи.

Трудно е да се конфигурира и дебъгва черна кутия. Много по-лесно е, ако разбирате какво се случва вътре.

Когато делегираме поддомейн в домейн домейн, тогава пишем нещо подобно:

client.domain.	NS	ns1.client.domain.
ns1.client.domain.	A	7.8.7.8

Ние казваме на всеки, който пита, че не носим отговорност за този сайт и казваме кой е отговорен. И всички искания за client.domain пренасочване към 7.8.7.8. При проверка виждаме следната снимка (ще пропуснем това, което клиентът има там. Няма значение):

# host test.client.domain
test.client.domain has address 7.8.9.241

Тези. бяхме информирани, че има такъв запис A и неговият ip е 7.8.9.241. Без излишна информация.

Как може да се направи същото с подмрежа?

защото нашият DNS сървър е регистриран в RIPE, тогава, когато поискате PTR IP адрес от нашата мрежа, първата заявка пак ще бъде към нас. Логиката е същата като при домейните. Но как да въведете подмрежа във файл на зона?

Нека се опитаме да го въведем така:

255-240  IN  NS      7.8.7.8

И... чудото не се случи. Не получаваме пренасочване на заявки. Работата е там, че bind дори не знае, че тези записи във файла на обратната зона са IP адреси и със сигурност не разбира записа в диапазона. За него това е просто някакъв символичен поддомейн. Тези. за свързване няма да има разлика между "255-240"И"наш суперклиент". И за да отиде заявката там, където трябва, адресът в заявката трябва да изглежда така: 241.255-240.9.8.7.in-addr.arpa. Или като това, ако използваме поддомейн на знаци: 241.oursuperclient.9.8.7.in-addr.arpa. Това е различно от обичайното: 241.9.8.7.в- addr.arpa.

Ще бъде трудно да направите такава заявка ръчно. И дори да работи, все още не е ясно как да го приложите в реалния живот. В края на краищата, при поискване 7.8.9.241 DNS на доставчика все още отговаря на нас, а не на клиента.

И тук те влизат в действие CNAME.

От страна на доставчика трябва да направите псевдоним за всички IP адреси на подмрежата във формат, който ще препрати заявката към клиентския DNS.

255-240  IN  NS      ns1.client.domain.
241     IN  CNAME   241.255-240
242     IN  CNAME   242.255-240
и т.д.

Това е за трудолюбивите =).

А за мързеливите дизайнът по-долу е по-подходящ:

255-240  IN  NS      ns1.client.domain.
$GENERATE 240-255 $ CNAME $.255-240

Сега поискайте информация на 7.8.9.241 на 241.9.8.7.в- addr.arpa на DNS сървъра на доставчика ще бъдат преобразувани в 241.255-240.9.8.7.in-addr.arpa и отива към dns клиента.

Клиентската страна ще трябва да обработва такива заявки. Съответно създаваме зона 255-240.9.8.7.in-addr.arpa. В него по принцип можем да поставим обратни записи за всяко ip от цялата /24 подмрежа, но те ще ни питат само за тези, които доставчикът ни препраща, така че няма да можем да си играем =).
За да илюстрирам, отново ще дам пример за съдържанието на файл с обратна зона от страна на клиента:

$ORIGIN 255-240.9.8.7.in-addr.arpa.
$TTL 1W
@                       1D IN SOA       ns1.client.domain. root.client.domain. (
                        2008152607      ; serial
                        3H              ; refresh
                        15M             ; retry
                        1W              ; expiry
                        1D )            ; minimum
@                       IN NS        ns1.client.domain.
@                       IN NS        ns2.client.domain.
241                     IN PTR          test.client.domain.
242                     IN PTR          test2.client.domain.
245                     IN PTR          test5.client.domain.

Това е така, защото използваме CNAME от страна на доставчика и в отговор на заявка за данни по IP адрес получаваме два записа, а не един.

#>  host 7.8.9.245 
245.9.8.7.in-addr.arpa is an alias for 245.255-240.9.8.7.in-addr.arpa.
245.255-240.9.8.7.in-addr.arpa domain name pointer test5.client.domain.

И не забравяйте да конфигурирате правилно ACL. Защото няма смисъл да вземете PTR зона за себе си и да не отговаряте на никого отвън =).

Източник: www.habr.com