DNSの勉強中です

質問

お世話になります。

件名のとおりＢＩＮＤ９を使ってＤＮＳの勉強中です。

いきなりグローバル環境で試行というのも乱暴なので、
まずはＬＡN内の閉じた環境でと思っています。

同一マシン内で１個のドメイン（example)と１個のＷｅｂサーバ（www.example)
というシナリオで試行したところ、
無事名前解決に成功しました。

次に、マシンをもう一台用意したうえで、
sub.exampleというドメインと、www.sub.exampleを設定しました。

このとき、exampleからsub.exampleに対して権限移譲をしようとしているのですが、
ここでつまづいています。

具体的には、
１台目のマシンからのwww.sub.example（親から子に向かって）の名前解決と、
２台目のマシンからのwww.example（子から親に向かって）の名前解決ができません。
※各々のマシンの中でなら名前解決ができます。

何から手をつけたらよいのか、ご助言いただければ幸いです。

以下にそれぞれのマシンでのdigの結果をコピーしております。

【１台目のマシンでのdigの結果】

C:\dns\bin>dig www.sub.example

; <<>> DiG 9.9.2-P1 <<>> www.sub.example
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 26180
;; flags: qr rd; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 2
;; WARNING: recursion requested but not available

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;www.sub.example. IN A

;; AUTHORITY SECTION:
sub.example. 3600 IN NS ns.sub.example.

;; ADDITIONAL SECTION:
ns.sub.example. 3600 IN A 172.16.10.37

;; Query time: 0 msec
;; SERVER: 172.16.11.72#53(172.16.11.72)
;; WHEN: Tue Mar 12 18:07:19 2013
;; MSG SIZE rcvd: 77

C:\dns\bin>

【２台目のマシンでのdigの結果】
C:\dns\bin>dig www.example

; <<>> DiG 9.9.2-P1 <<>> www.example
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN, id: 21543
;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;www.example. IN A

;; AUTHORITY SECTION:
. 10800 IN SOA a.root-servers.net. nstld.verisign-grs.com. 201

;; Query time: 1625 msec
;; SERVER: 172.16.10.37#53(172.16.10.37)
;; WHEN: Tue Mar 12 18:05:26 2013
;; MSG SIZE rcvd: 115

回答No.5

maesen · ベストアンサー

ちょっと結果の整合性が取れていない感じもありますが、提示された情報だけでは判断が難しいですね。
前回から大きく結果が異なっていますので。

特にここと

＞【２台目での症状】
＞dig @相手DNSアドレス　 www.example
＞　REFUSEDとなる。（異常）　

ここの結果が相反します。

＞dig @127.0.0.1またはlocalhost　www.example
＞　www.exampleのアドレスが返る。（正常）

キャッシュの影響があるかもしれません。

REFUSEDが出ているということですが、これはクエリが拒否されているので allow-query とかの設定をしているのであれば、全て許可する状態にして検証を実施していくほうがいいでしょう。
BIND側のアクセス制御をすべて許可した状態で正常ならばアクセス制御の問題ですし、そうでなければ原因は違うところにあることになります。
既に実施していたら申し訳ないです。

お礼

何度もご返信いただきましてありがとうございました。

補足

ご助言いただいたとおり、
allow-queryの設定を見直してみました。

以下の通り設定したところ、
すべて問い合わせパターンで正常に応答が返るようになりました。

allow-query { any; };
allow-query-cache { localnets; localhost; };
allow-recursion { localnets; localhost; };

回答No.4

maesen

＞ただ、PINGが通らないことが気になっていたので、別にマシンを２台用意して、第3オクテットを合わせたIPアドレスを設定してました。ついでにWindowsではなくCentOSにしました。

httpが通信出来て、pingが通らないのならばほぼファイアウォールの設定のように思いますが、別の機器に変えたのならば今さらですね。

＃ ここでいうファイアウォールは総称です。
＃ 質問者さんの環境でファイアウォール機器やルータを使用しているのか、OS標準のファイアウォールを使用しているのかサードパーティ製のファイアウォールがインストールされているのかは判らないので、パケットを制限するもの全てを意味して書いています。

＞逆に、２台目から１台目に向かって　dig www.example を実行しても、結果は変わらずでした。

dig @１台目のIPアドレス www.example

とか

dig www.example +trace

などの結果から問題点を絞っていく必要があると思います。
１台目から２台目のDNSパケットは正常に通信出来ているということですので、ファイアウォール（CentOSなのでiptablesでしょうか）かnamed.confの設定、又はルートヒントの変更内容が確認すべきものになるでしょうか。

お礼

ご回答ありがとうございました。

補足

返信が遅くなりまして申し訳ありません。

Pingが通らなかった原因が、
ご指摘のとおり、ファイアウォールのフィルタ設定であったことが判明し、
さらにその設定がDNSの接続にも影響を与えていたことが判明しました。

お騒がせしておりましたが、
Windows環境でも、なんとかDNSが通り始めました。

CentOSのマシンと同じ症状になったところで、
CentOS側はお役御免です。

現在の症状としては以下のとおりです。

【１台目での症状】
dig @相手DNSアドレス　www.example
　www.exampleのアドレスが返る。（正常）　

dig @相手DNSアドレス　 www.sub.example
　www.sub.exampleのアドレスが返る。（正常）

dig @自信のアドレス　www.example
　REFUSEDとなる。　（異常）

dig @自信のアドレス　 www.sub.example
　REFUSEDとなる。（異常）

dig @127.0.0.1またはlocalhost　www.example
　www.exampleのアドレスが返る。（正常）　

dig @127.0.0.1またはlocalhost　 www.sub.example
　ns.sub.example.のアドレスが返る。（異常）

【２台目での症状】
dig @相手DNSアドレス　 www.example
　REFUSEDとなる。（異常）　

dig @相手DNSアドレス　 www.sub.example　
　REFUSEDとなる。（異常）

dig @自信のアドレス　www.example
　REFUSEDとなる。（異常）

dig @自信のアドレス　 www.sub.example
　REFUSEDとなる。（異常）

dig @127.0.0.1またはlocalhost　www.example
　www.exampleのアドレスが返る。（正常）　

dig @127.0.0.1またはlocalhost　 www.sub.example
　 www.sub.exampleのアドレスが返る。（正常）

【まとめ】
１台目も２台目も、
互いに相手をサーバとしたdigでは正常にアドレスを返す。

どちらも自分自身をサーバとしたdigではREFUSEDとなる。

ただし、ローカルホストを用いると正常にアドレスを返す場合があり、
１台目と２台目では症状が異なる。

１台目からのローカルホストを用いたdigは、
自分自身が管理するサーバのアドレスは返すが、
２台目が管理するサーバについてはネームサーバのアドレスのみが返る。

２台目からのローカルホストを用いたdigは、
どちらのサーバも正常にアドレスを返す。

ややこしく、わかりにくくて申し訳ありませんが、
お気づきの点があれば教えていただければと思います。

回答No.3

maesen

＞ネットワーク上にネームサーバを見つけられないようですが、そこで停滞しています。

これは考えにくいです。

＞C:\dns\bin>dig @172.16.10.37 www.sub.example

このコマンドでDNSサーバを直接IPアドレスで指定していますので。

＞どうやら、ファイアウォール以前に、問合わせしているマシンからDNSパケットが出ていかないか

この可能性も全く否定するものではありませんが、Windowsファイアウォールはデフォルトでアウトバウンドを制限していないしIPアドレス直接指定なので可能性は高くないと考えます。

digコマンドの問題というのもあるかと思いますので念のためWindows標準コマンドでチェックしてはいかがでしょうか。

nslookup www.sub.example 172.16.10.37

これでも応答が返らなければ、BINDの設定以前にWindowsのネットワーク設定に問題があるように思います。
pingコマンドによる疎通テストから始めて原因を特定していくなどのトラブルシューティングをしていく必要がありそうです。

ちょっと気になる点として

＞;; SERVER: 172.16.11.72#53(172.16.11.72)
＞;; SERVER: 172.16.10.37#53(172.16.10.37)

サブネットマスクがどのような設定かわからないのでなんともいえませんが、
１台目と２台目で第３オクテットが異なっています。
単純にルーティングの問題とか、サブネットマスクやIPアドレスの設定ミスなんてことはありませんよね。

お礼

ありがとうございました。

補足

第３オクテットが異なることについて、サブネットマスクが255.255.0.0なので問題ないと思っておりました。

また、HTTPであればアドレス直接指定で、２台目から１台目を見ることができたのでルーティングは問題ないと考えておりました。

ただ、PINGが通らないことが気になっていたので、別にマシンを２台用意して、第3オクテットを合わせたIPアドレスを設定してました。ついでにWindowsではなくCentOSにしました。

結果、１台目で dig wwww.sub.example　を実行したところ、正しく結果が返ってきました。

# dig www.sub.example

; <<>> DiG 9.3.6-P1-RedHat-9.3.6-20.P1.el5_8.6 <<>> www.sub.example
;; global options: printcmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 37322
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 1, ADDITIONAL: 1

;; QUESTION SECTION:
;www.sub.example. IN A

;; ANSWER SECTION:
www.sub.example. 2034 IN A 172.16.13.195

;; AUTHORITY SECTION:
sub.example. 2034 IN NS ns.sub.example.

;; ADDITIONAL SECTION:
ns.sub.example. 2034 IN A 172.16.13.195

;; Query time: 2 msec
;; SERVER: 127.0.0.1#53(127.0.0.1)
;; WHEN: Thu Mar 14 14:15:34 2013
;; MSG SIZE rcvd: 82

逆に、２台目から１台目に向かって　dig www.example を実行しても、結果は変わらずでした。

# dig www.example

; <<>> DiG 9.3.6-P1-RedHat-9.3.6-20.P1.el5_8.6 <<>> www.example
;; global options: printcmd
;; connection timed out; no servers could be reached

回答No.2

maesen

＞SERVFAILとなりました。

再帰を有効にする前の結果では再帰すべきサーバの情報が見えていましたので、
再帰先のDNSサーバ（２台目）から応答が受信できなかった可能性が高いと思います。

DNSサーバが自分以外からのクエリを受けられるように設定されていますか？
たとえば、１台目から以下のコマンドで２台目のDNSにクエリを出して応答が返りますでしょうか？

dig @172.16.10.37 www.sub.example

クエリが返らなければ、BINDの設定やファイアウォールの設定などを確認してください。
逆もしかりです。

＞ルートヒントをどのように書き換えたらよいか、

なんのためにこれを行うか理解していないと意味が無いですよ。
理解すれば自ずと答えが見えてくると思います。
もちろん通常はルートヒントを書き換えるなんてことはしないです。

複数のルートサーバは必要は無いので、

・A.ROOT-SERVERS.NET. 以外の記載を全て削除する
・A.ROOT-SERVERS.NET. のIPアドレスを172.16.11.72（１台目）に変更する

こんな感じでしょうか。

お礼

ご回答ありがとうございました。

補足

１台目から２台目へのDNSにクエリですが、
以下のとおりとなりました。

C:\dns\bin>dig @172.16.10.37 www.sub.example

; <<>> DiG 9.9.2-P1 <<>> @172.16.10.37 www.sub.example
; (1 server found)
;; global options: +cmd
;; connection timed out; no servers could be reached

また、ルートヒントの書き換えにつきましては、ご指導ありがとうございます。
書き換え後に行った２台目のサーバにつきましても、１台目と同様の結果となりました。

C:\dns\bin>dig www.example

; <<>> DiG 9.9.2-P1 <<>> www.example
;; global options: +cmd
;; connection timed out; no servers could be reached

ご指摘のありました、ファイアウォールの設定につきましては、LAN内なので普通は支障なく通るのですが、マシンがWindows2008サーバなので、Windowsファイアウォールに対して、UDPの53番ポートを開けてあります。

Windowsファイアウォールのログを見たところ、同じマシンの中でのDNS問合わせは「ALLOW」で通過するのですが、１台目から２代目、または２代目から１台目に対するDNS問い合わせは、「ALLOW」どころか「DROP」さえ出ていません。

どうやら、ファイアウォール以前に、問合わせしているマシンからDNSパケットが出ていかないか、ネットワーク上にネームサーバを見つけられないようですが、そこで停滞しています。

何かお気づきの点があれば、また教えていただければと思います。よろしくお願いします。

回答No.1

maesen

＞１台目のマシンからのwww.sub.example（親から子に向かって）の名前解決と、
＞;; WARNING: recursion requested but not available

再帰問い合わせが許可されていないようです。

＞２台目のマシンからのwww.example（子から親に向かって）の名前解決ができません。
＞. 10800 IN SOA a.root-servers.net. nstld.verisign-grs.com. 201

２台目のDNSが管理しているゾーン以外のクエリなのでルートヒントに探しに行っています。

勉強用ということでルートヒントを書き換えるか、
フォワーダなどで管理ゾーン以外を１台目に向けるかでしょうか。

お礼

ご回答ありがとうございました。

補足

一台目について、
recursion yes;
にしたところ、
WARNING: recursion requested but not available
は出なくなったのですが、
SERVFAILとなりました。

２台目につきましては、
ルートヒントをどのように書き換えたらよいか、
教えていただければ幸いです。

【１台目のマシンでのdigの結果】
C:\dns\bin>dig www.sub.example

; <<>> DiG 9.9.2-P1 <<>> www.sub.example
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: SERVFAIL, id: 1777
;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;www.sub.example. IN A

;; Query time: 0 msec
;; SERVER: 172.16.11.72#53(172.16.11.72)
;; WHEN: Wed Mar 13 08:42:04 2013
;; MSG SIZE rcvd: 44

C:\dns\bin>