Bind 9, Split Horizont e Master/Slave

[Massimo87]

ciao a tutti,

oggi ho configurato con successo su bind9 uno split-horizont per suddividere il resolve del dominio interno in modo diverso da una query esterna..

e fin qui tutto OK, il problema però si pone quando devo fare il transfer delle zone sulla macchina slave :(

siccome il nome del dominio è replicato su due zone diverse (xxx.net sia su internal che esternal) quando il dns slave si sincronizza si prende la configurazione interna in modo giusto, ma quella esterna no!

questa è la configurazione del master


view "internal" {
match-clients { lan_hosts; };
recursion yes;
notify no;
zone "testdomain.net" in {
type master;
file "master/testdomain.net";
notify no;
allow-transfer { xx.xx.xx.xx; };
};

view "external" {
match-clients { !localnets; any; };
recursion no;
allow-transfer { xx.xx.xx.xx; };
zone "testdomain.net" in {
type master;
file "external/testdomain.net";
};
};


questa dello slave


view "internal" {
match-clients { lan_hosts; };
recursion yes;
notify no;
zone "testdomain.net" in {
type slave;
file "slave/testdomain.net";
masters { xx.xx.xx.xx; };
notify no;
};

view "external" {
match-clients { !localnets; any; };
recursion no;
zone "testdomain.net" in {
type slave;
file "external/testdomain.net";
masters { xx.xx.xx.xx; };
};
};


dove sbaglio? :(
grazie per qualsiasi info..

[rizhwupgrade]

Ciao,

perchè neghi la "localnets" nella vista "external" ?


match-clients { !localnets; any; };


Non funziona semplicemente usando


view "external"
match-clients { any; };


Cosi', in ogni caso, funziona:


view "internal" {
match-clients { localnets; };
recursion yes;

zone "dominio.it" {
type master;
file "dominio.it.internal";
allow-transfer { any; }; /* se non va bene any, usa l' ip */
};
};

view "external" {
match-clients { any; };
recursion no;

zone "dominio.it" {
type master;
file "dominio.it.external";
allow-transfer { xxx.xxx.xxx.xxx; }; /* oppure any, oppure none */
};
};



Per lo slave, piu' o meno il concetto è lo stesso:


view "internal" {
match-clients { localnets; };
recursion yes;

zone "dominio.it" {
type slave;
file "dominio.it.internal";
};
};

view "external" {
match-clients { any; };
recursion no;

zone "dominio.it" {
type slave;
file "dominio.it.external"
};
};




Altra cosa: nella view internal dello slave, hai due volte la direttiva "notify no" : una globale e una per il singolo dominio, non ha senso. O la specifichi dominio per dominio o la metti globale.

Ciao.

[Massimo87]

sull'external le reti locali non devono fare il resolve (dato che dentro ci sono ip pubblici)

cmq anche mettendo any non funziona, si prende sempre il file della parte interna :(

forse mi sono spiegato male prima.. il transfer di entrambi i file (int ed ext) avviene correttamente, è il contenuto del file ext che è sbagliato (è uguale a quello interno..) :muro:

[rizhwupgrade]

Ah ok, ora è chiaro :)

Allora cambia un pochino la cosa. Devi usare la direttiva transfer-source sullo slave, altrimenti diventano uguali per forza :)


Slave


view "internal" {
match-clients { localnets; };
recursion yes;

zone "dominio.it" {
type slave;
masters { 192.168.0.1; }; /* cambialo col tuo */
transfer-source 192.168.0.2; /* primo ip sorgente */
file "internal/dominio.it";
allow-transfer { any; };
};
};

view "external" {
match-clients { any; };
recursion no;

zone "dominio.it" {
type slave;
masters { 192.168.0.1; }; /* cambialo col tuo */
transfer-source 192.168.0.3; /* secondo ip sou */
file "external/dominio.it";
allow-transfer { none; };
};
};


E nel master, nega il 192.168.0.3 come avevi fatto giustamente prima:


view "internal" {
match-clients { !192.168.0.3; localnets; };
recursion yes;

zone "dominio.it" {
type master;
file "internal/dominio.it";
allow-transfer { any; };
};
};



right ?

[Massimo87]

interessante..
peccato che non si fili quella direttiva, quando fa le query al master, usa sempre il primo IP e non il secondo :(

[rizhwupgrade]

Quanti ip ha lo slave ?

[Massimo87]

Quanti ip ha lo slave ?

1 sulla eth0 e 3 alias

[rizhwupgrade]

Natuaralmente, gli ip virtuali li hai configurati sullo slave, giusto ?
In ogni caso, nella view "internal" dello slave, metti il fisico.
Nella view "external" dello slave, metti il virtuale.
E ricordati di modificare anche il master con la negazione dell' ip virtuale.

Cosi' deve funzionare.

Se non funziona ancora, iniziamo a vedere i log.

Ciao

[Massimo87]

ho fatto delle prove con il transfer-source ma senza successo :(
o meglio, se faccio un tcpdump sul DNS slave, noto che le query le manda con il source modificato, peccato che non arriva nessuna query al dns master, nemmeno un pacchetto.. e non c'è nessun firewall in mezzo :(

[Massimo87]

questa è la risposta del BIND slave

Jan 17 14:59:33 www2 /usr/sbin/named[28632]: refresh_callback: zone testdomain.net/IN: failure for 10.100.3.32#53: timed out


ovviamente è una cazzata, perchè sia l'IP che la porta sono aperte e perfettamente raggiungibili..

è il master che non mi si fila :(

[rizhwupgrade]

Dice poco e dice male (a quanto pare...)
Sul master, nessun log significativo ?
Prova a modificare il SOA di un dominio, a cancellare la zona sullo slave e restartare bind..