reverse zone delegation ກັບ subnets ຫນ້ອຍກວ່າ /24 ໃນ BIND. ມັນເຮັດວຽກແນວໃດ

ມື້ຫນຶ່ງຂ້ອຍໄດ້ປະເຊີນຫນ້າກັບວຽກງານທີ່ຈະໃຫ້ລູກຄ້າຂອງຂ້ອຍມີສິດທີ່ຈະແກ້ໄຂບັນທຶກ PTR ຂອງ /28 subnet ທີ່ຖືກມອບຫມາຍໃຫ້ລາວ. ຂ້ອຍບໍ່ມີລະບົບອັດຕະໂນມັດເພື່ອແກ້ໄຂການຕັ້ງຄ່າ BIND ຈາກພາຍນອກ. ດັ່ງນັ້ນ, ຂ້າພະເຈົ້າໄດ້ຕັດສິນໃຈເອົາເສັ້ນທາງທີ່ແຕກຕ່າງກັນ - ເພື່ອມອບໃຫ້ລູກຄ້າສ່ວນຫນຶ່ງຂອງເຂດ PTR ຂອງ /24 subnet.

ມັນເບິ່ງຄືວ່າ - ສິ່ງທີ່ສາມາດງ່າຍດາຍກວ່າ? ພວກເຮົາພຽງແຕ່ລົງທະບຽນ subnet ຕາມຄວາມຕ້ອງການແລະນໍາມັນໄປຫາ NS ທີ່ຕ້ອງການ, ດັ່ງທີ່ເຮັດກັບໂດເມນຍ່ອຍ. ແຕ່ບໍ່ມີ. ມັນບໍ່ແມ່ນເລື່ອງງ່າຍດາຍ (ເຖິງແມ່ນວ່າໃນຄວາມເປັນຈິງໂດຍທົ່ວໄປແລ້ວມັນເປັນເລື່ອງເບື້ອງຕົ້ນ, ແຕ່ intuition ຈະບໍ່ຊ່ວຍ), ນັ້ນແມ່ນເຫດຜົນທີ່ຂ້ອຍຂຽນບົດຄວາມນີ້.

ໃຜຢາກຮູ້ເອງກໍສາມາດອ່ານໄດ້ RFC
ໃຜຕ້ອງການການແກ້ໄຂທີ່ກຽມພ້ອມ, ຍິນດີຕ້ອນຮັບ cat.

ເພື່ອບໍ່ໃຫ້ຊັກຊ້າຜູ້ທີ່ມັກວິທີການຄັດລອກ, ຂ້ອຍຈະລົງພາກປະຕິບັດກ່ອນ, ແລະຫຼັງຈາກນັ້ນພາກທິດສະດີ.

1. ການປະຕິບັດ. ເຂດມອບໝາຍ/28

ໃຫ້ເວົ້າວ່າພວກເຮົາມີເຄືອຂ່າຍຍ່ອຍ 7.8.9.0/24. ພວກເຮົາຈໍາເປັນຕ້ອງໄດ້ມອບຫມາຍ subnet 7.8.9.240/28 ກັບລູກຄ້າ dns 7.8.7.8 (ns1.client.domain).

ໃນ DNS ຂອງຜູ້ໃຫ້ບໍລິການ, ທ່ານຈໍາເປັນຕ້ອງຊອກຫາໄຟລ໌ທີ່ອະທິບາຍເຂດ reverse ຂອງ subnet ນີ້. ປ່ອຍ​ໃຫ້​ມັນ​ເປັນ​ໄປ 9.8.7.in-addr.harp.
ພວກເຮົາສະແດງຄວາມຄິດເຫັນກ່ຽວກັບລາຍການຈາກ 240 ຫາ 255, ຖ້າມີ. ແລະໃນຕອນທ້າຍຂອງເອກະສານພວກເຮົາຂຽນດັ່ງຕໍ່ໄປນີ້:

255-240  IN  NS      7.8.7.8
$GENERATE 240-255 $ CNAME $.255-240

ຢ່າລືມເພີ່ມເຂດ serial ແລະເຮັດ

rndc reload

ນີ້ເຮັດສໍາເລັດພາກສ່ວນຜູ້ໃຫ້ບໍລິການ. ໃຫ້ກ້າວໄປສູ່ dns ລູກຄ້າ.

ກ່ອນອື່ນ, ໃຫ້ສ້າງໄຟລ໌ /etc/bind/master/255-240.9.8.7.in-addr.arpa ເນື້ອໃນຕໍ່ໄປນີ້:

$ORIGIN 255-240.9.8.7.in-addr.arpa.
$TTL 1W
@                       1D IN SOA       ns1.client.domain. root.client.domain. (
                        2008152607      ; serial
                        3H              ; refresh
                        15M             ; retry
                        1W              ; expiry
                        1D )            ; minimum
@                       IN NS        ns1.client.domain.
@                       IN NS        ns2.client.domain.
241                     IN PTR          test.client.domain.
242                     IN PTR          test2.client.domain.
245                     IN PTR          test5.client.domain.

ແລະໃນ names.conf ເພີ່ມຄໍາອະທິບາຍຂອງໄຟລ໌ໃຫມ່ຂອງພວກເຮົາ:

zone "255-240.9.8.7.in-addr.arpa." IN {
        type master;
        file "master/255-240.9.8.7.in-addr.arpa";
};

B restart ຂະບວນການຜູກມັດ.

/etc/init.d/named restart

ທັງໝົດ. ໃນປັດຈຸບັນທ່ານສາມາດກວດສອບໄດ້.

#>  host 7.8.9.245 
245.9.8.7.in-addr.arpa is an alias for 245.255-240.9.8.7.in-addr.arpa.
245.255-240.9.8.7.in-addr.arpa domain name pointer test5.client.domain.

ກະລຸນາຮັບຊາບວ່າບໍ່ພຽງແຕ່ບັນທຶກ PTR ເທົ່ານັ້ນ, ແຕ່ຍັງໃຫ້ CNAME. ນັ້ນແມ່ນວິທີທີ່ມັນຄວນຈະເປັນ. ຖ້າທ່ານສົງໄສວ່າເປັນຫຍັງ, ຫຼັງຈາກນັ້ນຍິນດີຕ້ອນຮັບກັບບົດຕໍ່ໄປ.

2. ທິດສະດີ. ມັນເຮັດວຽກແນວໃດ.

ມັນເປັນການຍາກທີ່ຈະຕັ້ງຄ່າ ແລະດີບັກກ່ອງດຳ. ມັນງ່າຍຂຶ້ນຫຼາຍຖ້າທ່ານເຂົ້າໃຈສິ່ງທີ່ເກີດຂຶ້ນພາຍໃນ.

ເມື່ອພວກເຮົາມອບຫມາຍໂດເມນຍ່ອຍຢູ່ໃນໂດເມນ ໂດເມນ, ຫຼັງຈາກນັ້ນພວກເຮົາຂຽນບາງສິ່ງບາງຢ່າງເຊັ່ນນີ້:

client.domain.	NS	ns1.client.domain.
ns1.client.domain.	A	7.8.7.8

ພວກເຮົາບອກທຸກຄົນທີ່ຖາມວ່າພວກເຮົາບໍ່ຮັບຜິດຊອບສໍາລັບເວັບໄຊທ໌ນີ້ແລະເວົ້າວ່າໃຜເປັນຜູ້ຮັບຜິດຊອບ. ແລະການຮ້ອງຂໍທັງຫມົດສໍາລັບ client.domain ປ່ຽນເສັ້ນທາງໄປຫາ 7.8.7.8. ໃນ​ເວ​ລາ​ທີ່​ກວດ​ສອບ​, ພວກ​ເຮົາ​ເຫັນ​ຮູບ​ພາບ​ດັ່ງ​ຕໍ່​ໄປ​ນີ້ (ພວກ​ເຮົາ​ຈະ​ລະ​ເວັ້ນ​ສິ່ງ​ທີ່​ລູກ​ຄ້າ​ມີ​ຢູ່​ທີ່​ນັ້ນ​ມັນ​ບໍ່​ສໍາ​ຄັນ​)​:

# host test.client.domain
test.client.domain has address 7.8.9.241

ເຫຼົ່ານັ້ນ. ພວກ​ເຮົາ​ໄດ້​ຮັບ​ການ​ແຈ້ງ​ໃຫ້​ຊາບ​ວ່າ​ມີ​ການ​ບັນ​ທຶກ A ດັ່ງ​ກ່າວ​ແລະ ip ຂອງ​ມັນ​ແມ່ນ 7.8.9.241. ບໍ່ມີຂໍ້ມູນທີ່ບໍ່ຈໍາເປັນ.

ສິ່ງດຽວກັນສາມາດເຮັດໄດ້ແນວໃດກັບເຄືອຂ່າຍຍ່ອຍ?

ເນື່ອງຈາກວ່າ ເຄື່ອງແມ່ຂ່າຍ DNS ຂອງພວກເຮົາຖືກລົງທະບຽນຢູ່ໃນ RIPE, ຫຼັງຈາກນັ້ນເມື່ອຮ້ອງຂໍທີ່ຢູ່ IP PTR ຈາກເຄືອຂ່າຍຂອງພວກເຮົາ, ການຮ້ອງຂໍທໍາອິດຈະຍັງຄົງຢູ່ກັບພວກເຮົາ. ເຫດຜົນແມ່ນຄືກັນກັບໂດເມນ. ແຕ່ເຈົ້າເຂົ້າ subnet ເຂົ້າໄປໃນໄຟລ໌ເຂດໄດ້ແນວໃດ?

ລອງໃສ່ມັນແບບນີ້:

255-240  IN  NS      7.8.7.8

ແລະ ... ມະຫັດສະຈັນບໍ່ໄດ້ເກີດຂຶ້ນ. ພວກເຮົາບໍ່ໄດ້ຮັບການຮ້ອງຂໍການປ່ຽນເສັ້ນທາງໃດໆ. ສິ່ງທີ່ແມ່ນວ່າ bind ບໍ່ຮູ້ວ່າລາຍການເຫຼົ່ານີ້ຢູ່ໃນໄຟລ໌ເຂດ reverse ແມ່ນທີ່ຢູ່ IP, ແລະຫຼາຍກວ່ານັ້ນກໍ່ບໍ່ເຂົ້າໃຈລະດັບການເຂົ້າ. ສໍາລັບລາວ, ນີ້ແມ່ນພຽງແຕ່ບາງປະເພດຂອງໂດເມນຍ່ອຍທີ່ເປັນສັນຍາລັກ. ເຫຼົ່ານັ້ນ. ສໍາລັບການຜູກມັດຈະບໍ່ແຕກຕ່າງກັນລະຫວ່າງ "255​-240"ແລະ"ລູກຄ້າຂອງພວກເຮົາ". ແລະສໍາລັບການຮ້ອງຂໍທີ່ຈະໄປບ່ອນທີ່ມັນຈໍາເປັນຕ້ອງໄປ, ທີ່ຢູ່ໃນຄໍາຮ້ອງຂໍຄວນຈະມີລັກສະນະນີ້: 241.255-240.9.8.7.in-addr.arpa. ຫຼືເຊັ່ນນີ້ຖ້າພວກເຮົາໃຊ້ໂດເມນຍ່ອຍຕົວອັກສອນ: 241.oursuperclient.9.8.7.in-addr.arpa. ນີ້ແມ່ນແຕກຕ່າງຈາກປົກກະຕິ: 241.9.8.7.in-addr.harp.

ມັນຈະເປັນການຍາກທີ່ຈະເຮັດການຮ້ອງຂໍດັ່ງກ່າວດ້ວຍຕົນເອງ. ແລະເຖິງແມ່ນວ່າມັນຈະເຮັດວຽກ, ມັນຍັງບໍ່ຊັດເຈນວ່າວິທີການນໍາໃຊ້ມັນໃນຊີວິດຈິງ. ຫຼັງຈາກທີ່ທັງຫມົດ, ຕາມຄໍາຮ້ອງຂໍ 7.8.9.241 DNS ຂອງຜູ້ໃຫ້ບໍລິການຍັງຄົງຕອບພວກເຮົາ, ບໍ່ແມ່ນຂອງລູກຄ້າ.

ແລະນີ້ແມ່ນບ່ອນທີ່ພວກເຂົາເຂົ້າມາຫຼິ້ນ CNAME.

ໃນດ້ານຂອງຜູ້ໃຫ້ບໍລິການ, ທ່ານຈໍາເປັນຕ້ອງສ້າງນາມແຝງສໍາລັບທີ່ຢູ່ IP ທັງຫມົດຂອງເຄືອຂ່າຍຍ່ອຍໃນຮູບແບບທີ່ຈະສົ່ງຕໍ່ຄໍາຮ້ອງຂໍໃຫ້ກັບ DNS ຂອງລູກຄ້າ.

255-240  IN  NS      ns1.client.domain.
241     IN  CNAME   241.255-240
242     IN  CNAME   242.255-240
и т.д.

ນີ້ແມ່ນສໍາລັບ hardworking =).

ແລະສໍາລັບຄົນຂີ້ຄ້ານ, ການອອກແບບຂ້າງລຸ່ມນີ້ແມ່ນເຫມາະສົມກວ່າ:

255-240  IN  NS      ns1.client.domain.
$GENERATE 240-255 $ CNAME $.255-240

ຕອນນີ້ຂໍຂໍ້ມູນໄດ້ທີ່ 7.8.9.241 ຈາກນັ້ນ 241.9.8.7.in-addr.harp ໃນເຊີບເວີ DNS ຂອງຜູ້ໃຫ້ບໍລິການຈະຖືກປ່ຽນເປັນ 241.255-240.9.8.7.in-addr.arpa ແລະໄປຫາລູກຄ້າ dns.

ຝ່າຍລູກຄ້າຈະຕ້ອງຈັດການຄໍາຮ້ອງຂໍດັ່ງກ່າວ. ຕາມນັ້ນແລ້ວ, ພວກເຮົາສ້າງເຂດ 255-240.9.8.7.in-addr.arpa. ໃນມັນ, ພວກເຮົາສາມາດ, ໃນຫຼັກການ, ວາງ reverse entries ສໍາລັບ ip ໃດໆຂອງ subnet / 24 ທັງຫມົດ, ແຕ່ພວກເຂົາເຈົ້າພຽງແຕ່ຈະຖາມພວກເຮົາກ່ຽວກັບສິ່ງທີ່ຜູ້ໃຫ້ບໍລິການສົ່ງຕໍ່ໃຫ້ພວກເຮົາ, ດັ່ງນັ້ນພວກເຮົາຈະບໍ່ສາມາດຫຼິ້ນປະມານ =).
ເພື່ອສະແດງໃຫ້ເຫັນ, ອີກເທື່ອຫນຶ່ງຂ້າພະເຈົ້າຈະໃຫ້ຕົວຢ່າງຂອງເນື້ອໃນຂອງໄຟລ໌ເຂດ reverse ຈາກຝ່າຍລູກຄ້າ:

$ORIGIN 255-240.9.8.7.in-addr.arpa.
$TTL 1W
@                       1D IN SOA       ns1.client.domain. root.client.domain. (
                        2008152607      ; serial
                        3H              ; refresh
                        15M             ; retry
                        1W              ; expiry
                        1D )            ; minimum
@                       IN NS        ns1.client.domain.
@                       IN NS        ns2.client.domain.
241                     IN PTR          test.client.domain.
242                     IN PTR          test2.client.domain.
245                     IN PTR          test5.client.domain.

ມັນເປັນຍ້ອນວ່າພວກເຮົາໃຊ້ CNAME ຢູ່ຂ້າງຜູ້ໃຫ້ບໍລິການ, ແລະເພື່ອຕອບສະຫນອງຄໍາຮ້ອງຂໍຂໍ້ມູນໂດຍທີ່ຢູ່ IP ພວກເຮົາໄດ້ຮັບສອງບັນທຶກ, ບໍ່ແມ່ນຫນຶ່ງ.

#>  host 7.8.9.245 
245.9.8.7.in-addr.arpa is an alias for 245.255-240.9.8.7.in-addr.arpa.
245.255-240.9.8.7.in-addr.arpa domain name pointer test5.client.domain.

ແລະຢ່າລືມ configure ACL ຢ່າງຖືກຕ້ອງ. ເນື່ອງຈາກວ່າມັນບໍ່ມີຄວາມຫມາຍທີ່ຈະເອົາເຂດ PTR ສໍາລັບຕົວທ່ານເອງແລະບໍ່ຕອບສະຫນອງຕໍ່ໃຜຈາກພາຍນອກ =).

ແຫຼ່ງຂໍ້ມູນ: www.habr.com