{"id":33717,"date":"2019-10-31T21:54:20","date_gmt":"2019-10-31T18:54:20","guid":{"rendered":"https:\/\/prohoster.info\/blog\/delegirovanie-obratnoj-zony-podseti-menee-24-v-bind-kak-eto-rabotaet\/"},"modified":"2019-10-31T21:54:20","modified_gmt":"2019-10-31T18:54:20","slug":"delegirovanie-obratnoj-zony-podseti-menee-24-v-bind-kak-eto-rabotaet","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/delegirovanie-obratnoj-zony-podseti-menee-24-v-bind-kak-eto-rabotaet","title":{"rendered":"Delegierung der Reverse-Zone eines Subnetzes weniger als \/24 in BIND. So funktioniert's.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Eines Tages stand ich vor der Aufgabe, einem meiner Kunden das Recht zur Bearbeitung der PTR-Eintr\u00e4ge des ihm zugewiesenen Subnetzes \/28 zu gew\u00e4hren. Da ich keine Automatisierung zur Bearbeitung der BIND-Einstellungen von au\u00dfen habe, beschloss ich, einen anderen Weg zu gehen \u2013 ich delegiere einen Teil der PTR-Zone des Subnetzes \/24 an den Kunden.<\/p>\n

Es scheint einfach zu sein. Man gibt einfach das Subnetz richtig an und verweist auf den entsprechenden NS, wie man es mit einem Subdomain macht. Aber so einfach ist es nicht (obwohl es in der Praxis wirklich trivial ist, aber die Intuition hilft nicht), deshalb schreibe ich diesen Artikel.<\/p>\n

Wer selbst herausfinden m\u00f6chte, kann die RFC<\/a><\/noindex>
\nlesen. Wer eine fertige L\u00f6sung m\u00f6chte, ist herzlich eingeladen, weiterzulesen.
\n<\/a><\/noindex>
\nUm diejenigen, die die Copy-Paste-Methode lieben, nicht aufzuhalten, beginne ich mit dem praktischen Teil, gefolgt von dem theoretischen.<\/p>\n

1. Praxis. Delegation der Zone \/28.<\/b><\/p>\n

Angenommen, wir haben ein Subnetz 7.8.9.0\/24<\/b>. Wir m\u00fcssen das Subnetz delegieren 7.8.9.240\/28<\/b> an den DNS-Kunden 7.8.7.8<\/b> (ns1.client.domain.<\/b>).<\/p>\n

Im Provider-DNS m\u00fcssen wir die Datei finden, die die Reverse-Zone dieses Subnetzes beschreibt. Nehmen wir an, das ist 9.8.7.in-addr.arpa.<\/b>.
\nDie Eintr\u00e4ge von 240 bis 255 kommentieren wir, wenn vorhanden. Und am Ende der Datei schreiben wir Folgendes:<\/p>\n

255-240  IN  NS      7.8.7.8\n$GENERATE 240-255 $ CNAME $.255-240<\/code><\/pre>\n
\nVergessen Sie nicht, die Serial-Zonen zu erh\u00f6hen und f\u00fchren Sie aus <\/p>\n
rndc reload<\/code><\/pre>\n
\nDamit ist der Anbieterteil abgeschlossen. Wir wechseln zum Kundendns.<\/p>\n
Lassen Sie uns zun\u00e4chst eine Datei erstellen \/etc\/bind\/master\/255-240.9.8.7.in-addr.arpa<\/b> kubectl-img<\/p>\n
$ORIGIN 255-240.9.8.7.in-addr.arpa.\n$TTL 1W\n@                       1D IN SOA       ns1.client.domain. root.client.domain. (\n                        2008152607      ; serial\n                        3H              ; refresh\n                        15M             ; retry\n                        1W              ; expiry\n                        1D )            ; minimum\n@                       IN NS        ns1.client.domain.\n@                       IN NS        ns2.client.domain.\n241                     IN PTR          test.client.domain.\n242                     IN PTR          test2.client.domain.\n245                     IN PTR          test5.client.domain.\n<\/code><\/pre>\n
\nUnd in named.conf<\/b> f\u00fcgen wir die Beschreibung unserer neuen Datei hinzu:<\/p>\n
zone \"255-240.9.8.7.in-addr.arpa.\" IN {\n        type master;\n        file \"master\/255-240.9.8.7.in-addr.arpa\";\n};<\/code><\/pre>\n
\nWir starten den Bind-Prozess neu.<\/p>\n
\/etc\/init.d\/named restart<\/code><\/pre>\n
\nFertig. Jetzt k\u00f6nnen wir \u00fcberpr\u00fcfen.<\/p>\n
#>  host 7.8.9.245 \n245.9.8.7.in-addr.arpa is an alias for 245.255-240.9.8.7.in-addr.arpa.\n245.255-240.9.8.7.in-addr.arpa domain name pointer test5.client.domain.<\/code><\/pre>\n
\nBitte beachten Sie, dass nicht nur der PTR-Eintrag, sondern auch der CNAME zur\u00fcckgegeben wird. Das sollte so sein. Wenn Sie wissen m\u00f6chten, warum, sind Sie in Kapitel zwei herzlich eingeladen.<\/p>\n
2. Theorie. Wie funktioniert das.<\/b><\/p>\n
Es ist schwierig, ein Black Box einzurichten und zu debuggen. Es ist viel einfacher, wenn man versteht, was im Inneren passiert.<\/p>\n
Wenn wir einen Subdomain im Domain domain<\/b>, delegieren, schreiben wir etwas wie dies:<\/p>\n
client.domain.\tNS\tns1.client.domain.\nns1.client.domain.\tA\t7.8.7.8<\/code><\/pre>\n
\nWir sagen allen, die fragen, dass wir f\u00fcr diesen Abschnitt nicht verantwortlich sind und da wir mitteilen, wer verantwortlich ist. Und alle Anfragen an client.domain<\/b> werden auf 7.8.7.8 umgeleitet. Bei der \u00dcberpr\u00fcfung sehen wir folgendes Bild (lassen wir weg, was beim Kunden ist. Das ist nicht wichtig):<\/p>\n
# host test.client.domain\ntest.client.domain has address 7.8.9.241<\/code><\/pre>\n
\nDas hei\u00dft, uns wurde mitgeteilt, dass es diesen A-Eintrag gibt und seine IP 7.8.9.241 ist. Keine zus\u00e4tzlichen Informationen.<\/p>\n
Wie kann man dasselbe mit einem Subnetz machen?<\/b><\/p>\n
Da unser DNS-Server in RIPE eingetragen ist, wird bei der Anfrage nach PTR f\u00fcr eine IP-Adresse aus unserem Netzwerk die erste Anfrage trotzdem an uns gerichtet. Die Logik ist dieselbe wie bei Domains. Aber wie tr\u00e4gt man das Subnetz in die Zonen-Datei ein?<\/p>\n
Wir probieren es so einzutragen:<\/p>\n
255-240  IN  NS      7.8.7.8<\/code><\/pre>\n
\nUnd\u2026 das Wunder ist nicht geschehen. Wir erhalten keine Umleitung der Anfrage. Das ganze Problem ist, dass bind \u00fcberhaupt nicht wei\u00df, dass diese Eintr\u00e4ge in der R\u00fcckzone IP-Adressen sind, und erst recht nicht, was ein Bereichseintrag ist. F\u00fcr ihn ist das einfach ein symbolischer Subdomain. Das bedeutet, dass es f\u00fcr bind keinen Unterschied zwischen \u201e255-240<\/b>\u201c und \u201eoursuperclient<\/b>\u201e. Damit die Anfrage an die richtige Stelle gesendet wird, muss die Adresse in der Anfrage so aussehen: 241.255-240.9.8.7.in-addr.arpa<\/b>. Oder so, wenn wir eine symbolische Subdomain verwenden: 241.oursuperclient.9.8.7.in-addr.arpa<\/b>. Das unterscheidet sich von der normalen: 241.9.8.7.in-addr.arpa<\/b>.<\/p>\n
Mit einem solchen Anfrage k\u00f6nnte es schwierig sein, dies manuell zu erledigen. Selbst wenn es gelingt, ist unklar, wie man es in der Praxis umsetzt. Denn auf die Anfrage 7.8.9.241<\/b> antwortet weiterhin der DNS-Server des Anbieters und nicht der des Clients.<\/p>\n
Hier kommen dann CNAME<\/b>.<\/p>\n
ins Spiel. Auf der Seite des Anbieters m\u00fcssen f\u00fcr alle IP-Adressen des Subnetzes Aliase in einem Format erstellt werden, das die Anfrage an den clientseitigen DNS weiterleitet.<\/p>\n
255-240  IN  NS      ns1.client.domain.\n241     IN  CNAME   241.255-240\n242     IN  CNAME   242.255-240\nusw.\n<\/code><\/pre>\n
\nDas ist f\u00fcr die Flei\u00dfigen =). <\/p>\n
F\u00fcr die Fauleren ist die folgende Konstruktion besser geeignet:<\/p>\n
255-240  IN  NS      ns1.client.domain.\n$GENERATE 240-255 $ CNAME $.255-240<\/code><\/pre>\n
\nJetzt wird die Anfrage nach Informationen zu der Adresse 7.8.9.241<\/b> von 241.9.8.7.in-addr.arpa<\/b> auf dem DNS-Server des Anbieters in 241.255-240.9.8.7.in-addr.arpa<\/b> umgewandelt und an den DNS des Clients weitergeleitet. <\/p>\n
Auf der Seite des Clients m\u00fcssen solche Anfragen verarbeitet werden. Entsprechend erstellen wir die Zone 255-240.9.8.7.in-addr.arpa<\/b>. In dieser k\u00f6nnen grunds\u00e4tzlich r\u00fcckw\u00e4rtsgerichtete Eintr\u00e4ge f\u00fcr beliebige IPs des gesamten Subnetzes \/24 untergebracht werden, aber es werden nur die angefragt, die der Anbieter an uns weiterleitet, sodass wir uns nicht austoben k\u00f6nnen =).
\nZur Veranschaulichung gebe ich nochmals ein Beispiel f\u00fcr den Inhalt der Reverse-Zone auf der Clientseite:<\/p>\n
$ORIGIN 255-240.9.8.7.in-addr.arpa.\n$TTL 1W\n@                       1D IN SOA       ns1.client.domain. root.client.domain. (\n                        2008152607      ; serial\n                        3H              ; refresh\n                        15M             ; retry\n                        1W              ; expiry\n                        1D )            ; minimum\n@                       IN NS        ns1.client.domain.\n@                       IN NS        ns2.client.domain.\n241                     IN PTR          test.client.domain.\n242                     IN PTR          test2.client.domain.\n245                     IN PTR          test5.client.domain.\n<\/code><\/pre>\n
\nDa wir auf Seiten des Providers CNAME verwenden, erhalten wir als Antwort auf die Abfrage bez\u00fcglich der IP-Adresse<\/a> zwei Eintr\u00e4ge statt einem.<\/p>\n
#>  host 7.8.9.245 \n245.9.8.7.in-addr.arpa is an alias for 245.255-240.9.8.7.in-addr.arpa.\n245.255-240.9.8.7.in-addr.arpa domain name pointer test5.client.domain.<\/code><\/pre>\n
\nVergessen Sie nicht, die ACL korrekt einzustellen. Es ist schlie\u00dflich sinnlos, sich die PTR-Zone zu nehmen und nicht auf externe Anfragen zu reagieren =).<\/b><\/i>
\n
Quelle: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0412\u0441\u0442\u0430\u043b\u0430 \u043e\u0434\u043d\u0430\u0436\u0434\u044b \u043f\u0435\u0440\u0435\u0434\u043e \u043c\u043d\u043e\u0439 \u0437\u0430\u0434\u0430\u0447\u0430, \u043e\u0442\u0434\u0430\u0442\u044c \u043e\u0434\u043d\u043e\u043c\u0443 \u0438\u0437 \u043a\u043b\u0438\u0435\u043d\u0442\u043e\u0432 \u043f\u0440\u0430\u0432\u043e \u043d\u0430 \u0440\u0435\u0434\u0430\u043a\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 PTR-\u0437\u0430\u043f\u0438\u0441\u0435\u0439 \u043e\u0442\u0434\u0430\u043d\u043d\u043e\u0439 \u0435\u043c\u0443 \u043f\u043e\u0434\u0441\u0435\u0442\u0438 \/28. \u0410\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0437\u0430\u0446\u0438\u0438 \u0434\u043b\u044f \u0440\u0435\u0434\u0430\u043a\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043d\u0430\u0441\u0442\u0440\u043e\u0435\u043a BIND \u0438\u0437\u0432\u043d\u0435 \u0443 \u043c\u0435\u043d\u044f \u043d\u0435\u0442. \u041f\u043e\u044d\u0442\u043e\u043c\u0443 \u044f \u0440\u0435\u0448\u0438\u043b \u043f\u043e\u0439\u0442\u0438 \u0434\u0440\u0443\u0433\u0438\u043c \u043f\u0443\u0442\u0435\u043c \u2014 \u0434\u0435\u043b\u0435\u0433\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u043a\u043b\u0438\u0435\u043d\u0442\u0443 \u043a\u0443\u0441\u043e\u043a PTR-\u0437\u043e\u043d\u044b \u043f\u043e\u0434\u0441\u0435\u0442\u0438 \/24. \u041a\u0430\u0437\u0430\u043b\u043e\u0441\u044c \u0431\u044b \u2014 \u0447\u0442\u043e \u043c\u043e\u0436\u0435\u0442 \u0431\u044b\u0442\u044c \u043f\u0440\u043e\u0449\u0435? \u041f\u0440\u043e\u0441\u0442\u043e \u043d\u0443\u0436\u043d\u044b\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c \u043f\u0440\u043e\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u043c \u043f\u043e\u0434\u0441\u0435\u0442\u044c \u0438 \u043d\u0430\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u043c \u043d\u0430 \u043d\u0443\u0436\u043d\u044b\u0439 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-33717","post","type-post","status-publish","format-standard","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Delegation der Reverse-Zone f\u00fcr Subnetze kleiner als \/24 in BIND. So funktioniert es | ProHoster","description":"Eines Tages stand ich vor der Herausforderung, einem meiner Kunden das Recht zur Bearbeitung von PTR-Eintr\u00e4gen f\u00fcr das ihm zugewiesene Subnetz \/28 zu geben. Da ich keine Automatisierung f\u00fcr die Bearbeitung der BIND-Einstellungen von au\u00dfen habe, beschloss ich, einen anderen Weg zu gehen \u2014 und delegierte dem Kunden einen Teil der PTR-Zone des Subnetzes \/24. Es scheint ganz einfach zu sein? Wir schreiben die Subnetzmaske einfach korrekt und leiten auf die gew\u00fcnschte","canonical_url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/delegirovanie-obratnoj-zony-podseti-menee-24-v-bind-kak-eto-rabotaet","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0414\u0435\u043b\u0435\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u043e\u0431\u0440\u0430\u0442\u043d\u043e\u0439 \u0437\u043e\u043d\u044b \u043f\u043e\u0434\u0441\u0435\u0442\u0438 \u043c\u0435\u043d\u0435\u0435 \/24 \u0432 BIND. \u041a\u0430\u043a \u044d\u0442\u043e \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 | ProHoster","og:description":"\u0412\u0441\u0442\u0430\u043b\u0430 \u043e\u0434\u043d\u0430\u0436\u0434\u044b \u043f\u0435\u0440\u0435\u0434\u043e \u043c\u043d\u043e\u0439 \u0437\u0430\u0434\u0430\u0447\u0430, \u043e\u0442\u0434\u0430\u0442\u044c \u043e\u0434\u043d\u043e\u043c\u0443 \u0438\u0437 \u043a\u043b\u0438\u0435\u043d\u0442\u043e\u0432 \u043f\u0440\u0430\u0432\u043e \u043d\u0430 \u0440\u0435\u0434\u0430\u043a\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 PTR-\u0437\u0430\u043f\u0438\u0441\u0435\u0439 \u043e\u0442\u0434\u0430\u043d\u043d\u043e\u0439 \u0435\u043c\u0443 \u043f\u043e\u0434\u0441\u0435\u0442\u0438 \/28. \u0410\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0437\u0430\u0446\u0438\u0438 \u0434\u043b\u044f \u0440\u0435\u0434\u0430\u043a\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043d\u0430\u0441\u0442\u0440\u043e\u0435\u043a BIND \u0438\u0437\u0432\u043d\u0435 \u0443 \u043c\u0435\u043d\u044f \u043d\u0435\u0442. \u041f\u043e\u044d\u0442\u043e\u043c\u0443 \u044f \u0440\u0435\u0448\u0438\u043b \u043f\u043e\u0439\u0442\u0438 \u0434\u0440\u0443\u0433\u0438\u043c \u043f\u0443\u0442\u0435\u043c \u2014 \u0434\u0435\u043b\u0435\u0433\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u043a\u043b\u0438\u0435\u043d\u0442\u0443 \u043a\u0443\u0441\u043e\u043a PTR-\u0437\u043e\u043d\u044b \u043f\u043e\u0434\u0441\u0435\u0442\u0438 \/24. \u041a\u0430\u0437\u0430\u043b\u043e\u0441\u044c \u0431\u044b \u2014 \u0447\u0442\u043e \u043c\u043e\u0436\u0435\u0442 \u0431\u044b\u0442\u044c \u043f\u0440\u043e\u0449\u0435? \u041f\u0440\u043e\u0441\u0442\u043e \u043d\u0443\u0436\u043d\u044b\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c \u043f\u0440\u043e\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u043c \u043f\u043e\u0434\u0441\u0435\u0442\u044c \u0438 \u043d\u0430\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u043c \u043d\u0430 \u043d\u0443\u0436\u043d\u044b\u0439","og:url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/delegirovanie-obratnoj-zony-podseti-menee-24-v-bind-kak-eto-rabotaet","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:54:20+00:00","article:modified_time":"2019-10-31T18:54:20+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"33717","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-02-08 20:27:18","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 02:35:31","updated":"2026-02-08 20:27:18"},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/33717","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=33717"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/33717\/revisions"}],"predecessor-version":[{"id":157777,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/33717\/revisions\/157777"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=33717"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=33717"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=33717"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}