DNS Konfiguration

[Rossi]

So,

ich hab nun mehr oder weniger Erfolgreich meinen Bind9 eingerichtet. Ich hab zwar nicht den Hauch einer Ahnung, was halbwegs vernünftige TTL Werte sind, aber er scheint zu laufen.

Nun ist die Frage, was mache ich, wenn ich eine Adresse außerhalb meines lokalen Netzes auflösen will. Bind9 hat eine Liste mit Root Nameservern fest eingebaut, die er dann anfragt. Das ist aber nicht wirklich die feine Englische.

Also brauche ich sowas wie eine Forward Zone, richtig ? Nun, hat a) jemand ein Beispiel wie sowas aussehen könnte oder ne Doku und b) wie sage ich Ihm, das er die forward Zone erst dann anfragen soll, wenn die anderen keine Auflösung bieten. Er soll halt nicht gleich die forward Zone anfragen, sondern nur wenn er sonst nichts findet.

Weiter (wenn auch nebensächlich), kann ich Bind9 sagen, das er nur TCP Anfragen macht (DNS kann auch auf TCP/53 laufen) und kann ich festlegen, ob er nur rekursive oder nur iterative "Antworten" zuläßt ?

[gewitter]

wenn die namensserver im netz nicht feststünden, würde das netz nicht funktionieren. es kann also nur von feiner englischer art gesprochen werden, bei dieser konfiguration, oder denkst du, dass es namensserver im netz gibt, die mehr auflösen können als andere? ergo fragt bind, wenn er die namen nicht auflösen kann, bei anderen dns nach <img src="http://www.pl-forum.de/UltraBoard/Images/Happy.gif" border="0" align="middle">

[Rossi]

Schon klar, das er bei anderen Namenservern anfragen soll - dafür ja auch die Forward Zone. Aber nicht gerade bei den Root-Nameservern.

[Gunnar]

So funktionierts aber nun mal. Zuerst wird auf der obersten Ebene (root Nameserver) nachgefragt und dann wird sich nach unten durchgearbeitet. Oder hast Du irgend welche Probleme mit der Namensauflösung?

Gunnar

[Rossi]

Nein, so funktioniert das nicht - sollte zumindest nicht.Du fragst, wenn Du surfst ja auch nicht einen Root Nameserver an, sondern den Deines Providers (vorausgesetzt, Du hast keinen lokalen laufen - aber der sollte dann auch den Deines Providers anfragen und nicht einen der Root nameserver).

Ist aber für meine Frage auch nebensächlich, weil ich eigentlich nur wissen wollte (u.a.), wie ich bind mitteile, das er ertst dann die Forward Zone fragt, wenn die anderen keine Antwort wissen - oder generell, wie ich bind einen alternativ Nameserver mitteilen kann, wenn er die aufzulösende Adresse nicht kennt (geht ja vielleicht auch ohne eigene Zone)

[gewitter]

Also ich gebe immer einen Nameserver an und zwar einen von T-Online, weil ich da die IP auswendig kenne. Ich weiss leider nicht, wie die Namensserver im Netz sich abgleichen und was da der Unterschied zu Root-Nameservern ist. Vielleicht kann das mal jemand erklären.

[Rossi]

DNS ist hierachisch aufgebaut, wie ein Dateisystem. Ganz oben, quasi das Gegenstück zu "/" stehen die Rootnameserver ".", davon gab es mal sieben, inzwischen sind es glaube ich mehr.
Es sind einfach die höchsten Instanzen bei den Nameservern. Darunter kommen dann die "nationalen" Namenserver ".de" und darunter irgendwann die von Deinem Provider.

Und genu das ist mein Zeil, wenn mein lokaler Namenserver die angeforderte Adresse nicht auflösen kann, soll er den von meinem Provider anfragen. Wie mach ich das ?

[cptchaos]

Moin Moin,

ich nutze zwar noch den Bind 8, aber die Konfig. sollte sich in diesem Punkz zu Bind 9 wohl nicht geändert haben.

Es ist eigendlich immer eine gute Idee für die externe Namensauflösung den DNS des Providers zu nutzen das sich darus folgende Vorteile ergeben :

- Es entfällt die regelmässige Wartung der root.hint Datei, welche eine Liste der aktuellen root DNS enthält.
- Die root Nameserver und das Netz werden entlastet
- Ihr zahlt eh schon Geld für diesen Service bei euer´m Provider
- Die Auflösung geht schneller


Für diesen Zweck müssen die Nameserver als Forwarder in der Datei /etc/named.conf eingetragen werden.

forwarders {
212.185.253.70;
194.25.2.129;
};

Jetzt noch die Forwarder in der /etc/named.conf aktivieren :

forward first
Es wird zuerst Versucht über den Forwarder aufzulösen, klappt das nicht dann wird normal über die Root-Server eine Auflösung versucht. Hierbei sollte man sich gelegendlich doch noch die root.hint ziehen.

forward only
Es wird nur über den (die) Forwarder versucht die Anfrage aufzulösen. Ist dieses nicht möglich wird die Anforderung abgewiesen.

Generel werden Anfragen von Bind bis zum Ablauf der TTL gecach´t, so das hiermit eine merkbare Beschleunigung des Netzwerkzugriffes erfolgen kann, darum kann es auch sinnvoll sein, Bind ohne eigene Zone als "cache-only" zu betreiben.

Auch sollte man nach der Einrichtung dafür Sorge tragen das bei der Interneteinwahl nicht der Nameserver des Systemes gegen den des Providers ausgetausch wird. Hierfür genügt ein Blick in die Datei /etc/resolv.conf. Steht hier nach der Einwahl ein anderer Server drin, sollte diese Anpassung deaktiviert werden damit auch der eigene Server den eigenen DNS nutzt. Diese Deaktivierung wird von SuSE eigendlich schon selbständig vorgenommen wenn auf ihr Bind läuft, ansonsten in die Anleitung der Distie schauen.


Den aktuellen DNS seines Providers erfährt man durch einen Telefonanruf, oder durch das nachschauen nach einer Einwahl ohne eigenen DNS.

MfG Marek

[Rossi]

Danke. Ich habs gestern in einer Nachschicht "gebacken bekommen". "forwarders" sind richtig, aber ohne forward Zone. Denn, eine "forward zone" würde immer zuerst angefragt (egal ob "only" oder "first"), aber genau das wollte ich nicht - die Provider sollte nur angefragt werden, wenn die "lokale" Zone (oder der Cache) keine Antwort weiß.
Das liegt daran, das einige interne Einträge logischerweise nicht mit den "offiziellen" übereinstimmen - und der Provider kann logischerweise mein "internes" Netzt nicht auflösen.
"hint" brauche ich nicht ... um die soll sich mein Provider kümmern, da ich die Root Server eh nie anfragen werde. Für "externe" Anfragen sind ja die "forwarders", also mein Provider da.

Wie ich rekursive Anfragen erlaube/verbiete weiß ich jetzt auch, bleibt die Frage, wie ich Bind9 auf tcp-only für die "forwarders" festlegen kann (sofern mein Provider tcp Anfragen unterstützt).