Name Server 総合スレ【DNS】

**名無しさん＠お腹いっぱい。** · 2008/11/26(水) 01:14:36

立ててみるだよもん

●主なオープンソース
BIND
ttps://www.isc.org/software/bind
djbdns
ttp://djbdns.qmail.jp/
NSD
ttp://www.nlnetlabs.nl/projects/nsd/
Unbound
ttp://unbound.net/

●規格
RFC1034, 1035
ttp://www.ietf.org/rfc/rfc1034.txt
ttp://www.ietf.org/rfc/rfc1035.txt

●アプライアンス
Nominum
ttp://www.nominum.com/
Infoblox
ttp://www.infoblox.co.jp/

**名無しさん＠お腹いっぱい。** · 2008/11/26(水) 01:15:36

●関連スレ
djb(4)
http://pc11.2ch.net/test/read.cgi/unix/1148064021/
NSD - Name Server Daemon
http://pc11.2ch.net/test/read.cgi/unix/1092799781/
▲DHCPスレ
http://pc11.2ch.net/test/read.cgi/unix/997686566/
DNS (Domain Name System) 総合
http://pc11.2ch.net/test/read.cgi/network/1159978850/ (節穴注意)

●ついでに
ISC DHCP
ttps://www.isc.org/sw/dhcp
NIS
ttp://docs.sun.com/app/docs/doc/817-4911?l=Ja
NIS+
ttp://docs.sun.com/app/docs/doc/816-6236?l=Ja

Windows Server のDNSは省略だよもん

**名無しさん＠お腹いっぱい。** · 2008/11/26(水) 01:27:49

ダイナミックDNSについて語りませんか？
http://pc11.2ch.net/test/read.cgi/hosting/1004200355/
?レンタルDNSサーバ
http://pc11.2ch.net/test/read.cgi/hosting/1018780116/
ダイナミックDNSについて語ろう Part6
http://pc11.2ch.net/test/read.cgi/mysv/1165262414/
DDNSサービスサーバ作ってみたわけだが(^_^;)
http://pc11.2ch.net/test/read.cgi/mysv/1095412433/
DDNSで自宅鯖やっている学生どもはクズが多い
http://pc11.2ch.net/test/read.cgi/mysv/1070173236/
DNSで使用しているプロトコルを教えてください。
http://pc11.2ch.net/test/read.cgi/hack/1017156027/
DNSプロトコルの脆弱性情報　漏洩する
http://pc11.2ch.net/test/read.cgi/sec/1216822395/
ISPのDNSのキャッシュ書き換え時間について
http://pc11.2ch.net/test/read.cgi/network/1007295804/
DNSって？
http://pc11.2ch.net/test/read.cgi/network/1000134177/
DNSの参照
http://pc11.2ch.net/test/read.cgi/network/1005205639/
DNSが落ちててもIPアドレスが知りたい
http://pc11.2ch.net/test/read.cgi/network/1010769515/
BIND8.2.2 for Win32 論争
http://pc11.2ch.net/test/read.cgi/network/978889967/
DNSの安全性をチェックするスレ
http://pc11.2ch.net/test/read.cgi/isp/1217057555/

ネタスレも含めて集めてみた

**名無しさん＠お腹いっぱい。** · 2008/11/26(水) 01:30:41

あとdjbdnsはこっちが本家ね
ttp://cr.yp.to/djbdns.html

**名無しさん＠お腹いっぱい。** · 2008/11/26(水) 01:54:07

乙だよもん

**名無しさん＠お腹いっぱい。** · 2008/11/26(水) 07:35:37

ルートサーバーの中の人はおらんか？

**名無しさん＠お腹いっぱい。** · 2008/11/27(木) 07:50:06

>>1
https　・・・？

ttp://www.isc.org/software/bind
じゃだめなん？

**名無しさん＠お腹いっぱい。** · 2008/11/27(木) 16:47:21

PowerDNS ttp://www.powerdns.com/ はプロプライエタリ？

**名無しさん＠お腹いっぱい。** · 2008/11/28(金) 15:18:01

djbdnsでDKIM設定をやろうとしてレコードに公開鍵を設定したけど
実際にtxtで引くと下の用に途中で切れてしまう。

gBhRpVI8v70VWZo8p1txrvO" "IKI7xOxRN5uxtuwkCAwEAAQ==\" \; ----- DKIM selecto

128バイト以上だと駄目なのかな？

**名無しさん＠お腹いっぱい。** · 2008/11/28(金) 23:16:58

djbdnsだからなぁ・・・

**名無しさん＠お腹いっぱい。** · 2008/11/30(日) 21:01:35

djbdnsのparseがおかしいのかな?
今更コード読む気もおきん...

**名無しさん＠お腹いっぱい。** · 2008/12/03(水) 00:59:00

DHCPDのオプソ実装ってISCだけ?

**名無しさん＠お腹いっぱい。** · 2008/12/03(水) 09:11:24

WIDE も作ってたよ。最近は開発止まってるみたいだけど。

**名無しさん＠お腹いっぱい。** · 2008/12/04(木) 08:34:11

WIDE版にはよく泣かされました・・・

**名無しさん＠お腹いっぱい。** · 2008/12/05(金) 23:37:35

bindiからbind9へバージョンアップをしようとしています
プライマリ/プロバイダのセカンダリ２台構成なのですが、今回はバージョンアップ
だけでゾーンファイル等の変更は行いません

プライマリバージョンアップ後の動作確認として基本的な動作確認はするのですが
実際にセカンダリにゾーン転送されるかって確認はしたほうがいいんでしょうか？

セカンダリはプロバイダ持ちなのでプライマリ所有ゾーンファイルのシリアル値を増やしてHUPし、
シリアル値が増えるのを確認するぐらいしかないのですが・・・・・

**名無しさん＠お腹いっぱい。** · 2008/12/06(土) 19:15:39

>>15
しない方がいいと思える理由は？

**名無しさん＠お腹いっぱい。** · 2008/12/08(月) 10:52:17

bindiって何？

**名無しさん＠お腹いっぱい。** · 2008/12/11(木) 00:16:58

ﾋﾞﾝﾃﾞｨｰ!

**名無しさん＠お腹いっぱい。** · 2008/12/17(水) 00:44:47

だよもん

**名無しさん＠お腹いっぱい。** · 2008/12/26(金) 16:01:38

ぱにーに！

**名無しさん＠お腹いっぱい。** · 2008/12/27(土) 11:40:08

NISをいまだに使っている人っている？
うち、まだNISを使っていてDNSへの変更を提案したら、
「今動いているものをなぜ変える必要があるんだ！」と言われた・・・。

**名無しさん＠お腹いっぱい。** · 2008/12/27(土) 12:33:18

> 「今動いているものをなぜ変える必要があるんだ！」と言われた・・・。

君がなんで DNS に変えたがってるのかの説明ができてないだけかと

**名無しさん＠お腹いっぱい。** · 2008/12/29(月) 20:26:15

Fri Sep 21 07:57:01 UTC 2007
meti.go.jp NS ns.osaka.spin.ad.jp
hqm-sdnsg01.meti.go.jp postmaster.meti.go.jp (2007091300 10800 3600 604800 300)
meti.go.jp NS ns2.iprevolution.co.jp
hqm-sdnsg01.meti.go.jp postmaster.meti.go.jp (2007091300 10800 3600 604800 300)
meti.go.jp NS hqm-sdnsg01.meti.go.jp
hqm-sdnsg01.meti.go.jp postmaster.meti.go.jp (2007022801 10800 3600 604800 300)
!!! hqm-sdnsg01.meti.go.jp and ns2.iprevolution.co.jp have different serial for meti.go.jp
meti.go.jp NS hqm-sdnsg02.meti.go.jp
hqm-sdnsg01.meti.go.jp postmaster.meti.go.jp (2007022801 10800 3600 604800 300)
meti.go.jp NS ndrs-sdnsg01.meti.go.jp
hqm-sdnsg01.meti.go.jp postmaster.meti.go.jp (2007091300 10800 3600 604800 300)
!!! ndrs-sdnsg01.meti.go.jp and hqm-sdnsg02.meti.go.jp have different serial for meti.go.jp

**名無しさん＠お腹いっぱい。** · 2009/01/22(木) 01:33:02

今日はひどいね。。。
めんどいのでアタック系のアドレス前拒否で。
view "external" {
match-clients { any; !76.0.0.0; !66.0.0.0; };
match-destinations { any; };
recursion no;

**名無しさん＠お腹いっぱい。** · 2009/01/22(木) 01:34:27

拒否ったのはいいが、66とか76とかってCN？

**名無しさん＠お腹いっぱい。** · 2009/01/22(木) 01:35:31

おお！！squidセきゅでリピートカキコ

**名無しさん＠お腹いっぱい。** · 2009/01/22(木) 01:38:20

なるほどね

**名無しさん＠お腹いっぱい。** · 2009/01/22(木) 01:42:54

あっさりアタック系のアラートメール止まった。このままなら朝までにメールが10000通ペースだべさ
cn氏ね
idも市ね

**名無しさん＠お腹いっぱい。** · 2009/01/22(木) 01:52:30

なんだ66.0.0.0も76.0.0.0も喜多籠めじゃん
追浜市ね
＆串四ね

**名無しさん＠お腹いっぱい。** · 2009/02/02(月) 10:19:27

とあるDNSサーバに設定されている1つのドメインの情報について、
外部から丸ごと、一覧で見る事って出来る？
例えば、2ch.net だったら、ns1.maido3.com から、ns1.maido3.com内の2ch.netに関するレコードを全部一覧で見る、みたいな。
説明下手でごめん…変なトコとかあったら指摘をお願い。

それともう一つ、DNSについて「ここが参考になった」「俺はここで勉強した」っていう
良さそうなサイトがあったら教えておくれ。

**名無しさん＠お腹いっぱい。** · 2009/02/02(月) 12:06:36

>>30
昔はできた。　今はできないのが普通。

**名無しさん＠お腹いっぱい。** · 2009/02/02(月) 12:41:06

>>31
ありがとう。
昔は出来たけど、ってのを元にぐぐって出てきた単語「ゾーン転送」辺りで調べたら
今はできないのが普通、って言葉の意味が良くわかった。

**名無しさん＠お腹いっぱい。** · 2009/02/05(木) 20:09:57

VMwareにCentOS入れてDNS勉強始めたんですが、ローカルでの正引きができません

//
// named.caching-nameserver.conf
//
中略
// to create named.conf - edits to this file will be lost on
// caching-nameserver package upgrade.
//
options {
directory "/var/named";
};
zone "example.com" IN {
type master;
file "example.com.zone";
};

**名無しさん＠お腹いっぱい。** · 2009/02/05(木) 20:11:24

$TTL 86400
@ IN SOA server1.example.com. test.example.com.(
2009020505 ; serial
3600 ; refresh 1hr
900 ; retry 15min
604800 ; expire 1w
86400 ; min 24hr
)
IN NS server1
server1 IN A 192.168.1.1
server2 IN A 192.168.1.2
server3 IN A 192.168.1.3
host IN A 192.168.1.4

書式とか間違ってますか・・・？
サーバ自身からドメインでpingすると、時間はかかりますが一応名前解決できています。
同一ネットワーク内のPCからだと失敗しますが・・・

**名無しさん＠お腹いっぱい。** · 2009/02/05(木) 20:13:03

C:\Documents and Settings\@@@@>nslookup
DNS request timed out.
timeout was 2 seconds.
*** Can't find server name for address 192.168.1.1: Timed out
*** Default servers are not available
Default Server: UnKnown
Address: 192.168.1.1

> localhost
Server: UnKnown
Address: 192.168.1.1

DNS request timed out.
timeout was 2 seconds.
*** Request to UnKnown timed-out
> server1.example.com
Server: UnKnown
Address: 192.168.1.1

ipaddressでのpingは相互に成功しますがこっちはダメでした

**名無しさん＠お腹いっぱい。** · 2009/02/05(木) 20:32:12

>>33
VMware hostOSのWindowsとguestOS上のCentOSとの通信はローカルというのか？

pingは通るんなら、UDPのフィルタとかじゃね？

**名無しさん＠お腹いっぱい。** · 2009/02/05(木) 20:42:28

>>36
Hostonlyモードです
53番ポートが何かダメって可能性もありますね。フィルタと合わせて試してみます

**名無しさん＠お腹いっぱい。** · 2009/02/06(金) 09:35:58

.confでlocalhost以外からの問い合わせは許可してる？

**名無しさん＠お腹いっぱい。** · 2009/02/07(土) 13:13:01

すまん、どこで聞いたらいいかわからなかったんで優しいお前らに質問させてくれ
レジストリに登録してあるドメイン情報の中のDNSサーバについてなんだけれども

name1.com(222.222.222.222) というドメインを所有し、
専用サーバ会社のサーバを借りて運用しているとして、これのDNSサーバとして下の２つを使いたい
○ 専用サーバ会社のDNSサーバ、 test2.sen-you.com（111.111.111.111）
○ 自分のサーバ、name1.com(222.222.222.222)ns.name1.comの別名アリ
※test2.sen-you.com は name1.com からゾーン転送でname1.comと同じDNS情報を持っている

こういうとき、レジストリへのDNSサーバの登録って、どうすれば良いんだろう？
ns1.name1.com や name1.com をDNSサーバとして、そのままの名前で登録しちゃうとループする気がして。

わかり辛くてすまんが教えてくれ

**名無しさん＠お腹いっぱい。** · 2009/02/07(土) 15:10:26

>>39
ドメイン名にAレコードつけるのなんかかやめちまえ

ドメイン名のサンプルにはexample.comとかexample.jpを使えと何度言われたら(ry

**名無しさん＠お腹いっぱい。** · 2009/02/07(土) 15:16:23

当該所有組織の中の人かもね！

**名無しさん＠お腹いっぱい。** · 2009/02/07(土) 15:17:39

>>39
1. name1.com のネームサーバとして ns1.name1.com, ns2.name1.com を登録する
2. ns1.name1.com の IP アドレスとして 222.222.222.222
ns2.name1.com の IP アドレスとして 111.111.111.111
を登録する
3. name1.com のゾーン情報でゾーン自体に A レコードを書いて 222.222.222.222 を書く
4. test2.sen-you.com の IPアドレスが変わるとホスティング屋に言われたら
ns2.name1.com の登録情報を変更する
以上

**名無しさん＠お腹いっぱい。** · 2009/02/07(土) 18:32:49

>>39
name1.com のゾーンを登録しているｻｰﾊﾞｰは以下の通り。

name1.com. 86236 IN NS c.ns.joker.com.
name1.com. 86236 IN NS a.ns.joker.com.
name1.com. 86236 IN NS b.ns.joker.com.

sen-you.com　についてはまだﾄﾞﾒｲﾝ登録されていないようです。

39 · 2009/02/07(土) 20:43:09

なんだかんだで相手をしてくれるお前らはやっぱり優しいな

>>40
すまん・・・クセでつい。次からそうするよ。

>>42
専用サーバ会社のDNS、test2.example.com（変えた）を
自分のDNSサーバ、 example.jp（これも変えた）にns2として登録する意味はなに？
そんな事をしても、
１． test2.example.com （111.111.111.111）
２． ns1.example.jp （222.222.222.222）
３． ns2.example.jp （111.111.111.111）
上の３つをレジストリに登録した場合、１．だけ他のドメインから名前解決されて
他の２つ、２．と３．は名前解決出来ずにループしない？

ns1.example.jpはどこ => example.jp の配下だからexample.jpのDNSに聞こう =>
　=> example.jpのDNSはどこ => ns1.exampleだ => ns1.exampleはどこ => 以下ループ
でもこう考えていくと、どんなホスト名も解決出来なくなる気がしてならない。

>>41,>>43
name1.comの中の人すまんｗｗｗｗｗ

**名無しさん＠お腹いっぱい。** · 2009/02/07(土) 21:10:40

ループ？
運用に関わるなら最低限の勉強してこい

**名無しさん＠お腹いっぱい。** · 2009/02/07(土) 22:17:32

>>44
>>45氏の言うとおり、もう少し勉強してからやった方が良いぜ。
そんな知識で実際に運用されたらかなわん。

問い：ns1.example.jp の IP がワカラン。 example.jp のゾーン情報を持っているのはどのホストだ？
この問いかけを ns1.example.jp に投げる事が出来たら神だろ。

example.jp ゾーンのネームサーバー名を問い合わせる先は ns1.example.jp ではないという事だ。

**39=44** · 2009/02/08(日) 01:32:02

>>46
んだよな。
だからこれまではexample.jpにゾーン情報書いて外部ドメインのDNSサーバへのゾーン転送許可して、
レジストリには外部ドメインのDNSサーバだけ登録してたんだけど…

whoisで見たら某ホスティング会社のDNSサーバと自ドメインのサーバのみを登録してる所があってな。
そんなんアリなのかよオイ、と思って聞いてみたんだ。
みんな㌧、もっと勉強してくる。

**名無しさん＠お腹いっぱい。** · 2009/02/09(月) 01:35:58

>>44
>自分のDNSサーバ、 example.jp（これも変えた）にns2として登録する意味はなに？
メリット：余計な再帰的名前参照が発生しない / ドメインハイジャックの危険性の低減
(後者については http://www.e-ontap.com/summary/ が参考になるやも)
デメリット：プロバイダのDNSコンテンツサーバのIPアドレス変更がユーザに告知されずに行われたら悲惨

その例なら1. の test2.example.com を登録する必要はない

**名無しさん＠お腹いっぱい。** · 2009/02/09(月) 20:08:28

DNS cache poisoning のアタックが鬱陶しいし、Logが肥大化してうざい。
何か、対策してます？

私の環境は、CentOS5 です。
何か、書かないと無理だろうなぁ・・・

**名無しさん＠お腹いっぱい。** · 2009/02/09(月) 20:31:32

その前で止めればいいよ

**名無しさん＠お腹いっぱい。** · 2009/02/20(金) 11:17:33

うろ覚えなんだけど、公開してるドメインを入力すると、
DNSの設定吸い上げて問題点指摘してくれるところがあった。
Another HTML-lintのDNS版みたいな感じ。
今探しなおしても出てこないんだけど、どこかにそういうサイトないかな？

**名無しさん＠お腹いっぱい。** · 2009/02/20(金) 11:46:17

細かいチェックは有償になってしまったけど
http://member.dnsstuff.com/pages/dnsreport.php

**名無しさん＠お腹いっぱい。** · 2009/02/20(金) 16:32:46

>>52
とんくす。
昔見たのも、多分このDNSReportだと思う。
21日の間にキャンセルすれば無料なんだけど、キャンセル前提でもクレジット番号送らないといけない。
そこに抵抗なければ使えるかな。
万が一請求来たら報告するｗ

**名無しさん＠お腹いっぱい。** · 2009/02/20(金) 23:09:02

>>53
ttp://vidmar.net/weblog/archive/2008/03/23/free-dns-report-alternatives.aspx

55 · 2009/02/27(金) 14:50:20

http://www.zoneedit.com/signup.html

上のURLから、無料ネームサーバー登録で、
[Sign Up Now]を押したが1時間たってもメールが届かないのです。
ちなみに、あるレンタルで再販するために、
このフリーネームサーバーを利用していました。
登録ごとに異なるアドレスを使い、yahoo.co.jpなどでも試してみたが、
パスワードが送られてこないのです。
本日になってzoneeditからメールが届かないという状況になりました。
理由だれか知ってますか。教えてほしいのです。ねらー様

**名無しさん＠お腹いっぱい。** · 2009/02/27(金) 14:56:15

>>55
誰か教えてやれよ

55 · 2009/02/27(金) 17:23:57

メールはリアルタイムに送られてくるに決まっているのにメールがすぐに届かないのはおかしいです！

**名無しさん＠お腹いっぱい。** · 2009/02/27(金) 17:32:33

>>55-57
自演までして業者必死だな。

**名無しさん＠お腹いっぱい。** · 2009/02/27(金) 17:35:36

そこにといあわせればいいのい

55 · 2009/02/27(金) 20:31:28

>>57-58
上は同一人物です。自演に文句いうために無理に自身で自演している・・

zoneeditに問い合わせてみた！
すると、数時間後に、「再度Sign Upを試してください」
と連絡があっただけでした。
しかし、その後、プロキシーしてみたり、別ドメインを使用してみたが、
メールが届かないのです。完了画面は出るのですけどね。
もちろんスパム判定されたわけでもない。そういうの使ってないメールで試したから。
ちょっと誰かテストしてみてくれますか。
ここネームサーバーお助けスレですよね(⌒∇⌒)

57 · 2009/02/27(金) 20:48:50

＞ここネームサーバーお助けスレですよね(⌒∇⌒)

どうやって煽ればいいのかわからないです＞＜

**名無しさん＠お腹いっぱい。** · 2009/02/27(金) 21:14:54

＞?ここネームサーバーお助けスレですよね(⌒∇⌒)

！　この板はそういう意味の板だったのかｗ

**名無しさん＠お腹いっぱい。** · 2009/02/27(金) 21:16:54

商売するのに自前のコントロールができないのを使うなんて
馬鹿なの？死ぬの？

**名無しさん＠お腹いっぱい。** · 2009/02/27(金) 22:17:50

きっと頭はすでに死んでいるんだよ
死んでいるからまともに考えることができなくてバカをやる

**名無しさん＠お腹いっぱい。** · 2009/02/27(金) 22:27:01

なんなら英語堪能な俺が問い合わせてやろうか？

55 · 2009/02/27(金) 23:16:31

>>65

頼む神の65様よ！
ちなみにプロキシーにして、今までと別のドメインのE-mailで
申し込んでもメールが来なかった。
Free トライアルで[Sign Up Now]を押しましたが駄目でした。
ちなみにその後、メールを出してみたが、時間的な問題かまだ、返事なし。
ttp://www.zoneedit.com/signup.html

55 · 2009/02/27(金) 23:46:00

普通ならメールは申込み完了と同時にリアルタイムで来るのですが、
来ないのです。
ちなみに申し込んだ後の完了画面にサポートのE-mailが記述されています。

**名無しさん＠お腹いっぱい。** · 2009/02/28(土) 00:51:46

板違い。

55 · 2009/02/28(土) 01:12:51

既違いではない！

Did you use any foreign characters in the email address?
Please check your junk mail filters, or try signing up using a different email.

上のメールがzoneeditより届いた。
スパムフィルターがどうとかってこと？
でも今、もう一回同じメールで申し込んだらメール届きました。
一時的にzoneeditのサーバーが重くなって不具合を招いていたようです。
しかし、不具合があったときに登録したものは、返事が来なかったです。
こういうこともあるのですね。
zoneeditでこういう情報ほかに見当たらないから、このスレzoneedit使用する人に重宝されるよ＼(o⌒∇⌒o)/

55 · 2009/02/28(土) 01:16:55

あ～あ、zoneeditからメール来なかったとき、
21domainの有料ネームサーバ申し込んで損しちゃったよ。
ねら～君がいい情報くれると期待して書き込んだのに・・

**名無しさん＠お腹いっぱい。** · 2009/02/28(土) 01:22:45

　　　　　　　::　　　　　　　　　　　　　.|ﾐ|
　　　　　　　　::　　　　　　　　　　　　 .|ﾐ|　　　　　　　　　　 ::::::::
　　　　　　　　　:::::　　　　　＿＿＿＿　|ﾐ|　　　　　　　　　 ::::
　　　　　　　　　　 ::　,. -'"´　　　　　　｀¨ー､　　　　　　　::
　　 ::　　　　　　／　　　,,.-'"　　　　　　ヽ　ヽ、　　　 ::
　　　:: 　　　 ,,.-'"_　 r‐'"　　　　　,,.-'"｀　　　　　ヽ、　::
　　　:: 　　/　　　ヾ (　　　 _,,.-='==-､ヽ　　　　　ヽ、
　　　:: 　　i へ＿__ ヽゝ=-'"／　　　 _,,>　　　　　　　　ヽ　　　　　　←>>55
　　 ::　　 ./ /　　＞＝'''"　￣￣￣　　　　　　　　　ヽ
　　:: 　　/ .<_　ノ''"　　　　　　　ヽ　　　　　　　　　　　　　 i
　 ::　　 /　　　 i　　　人＿　　　ノ　　　　　　　　　　　　　　.l
　　:: 　,'　　　　 ' ,_,,ノｴｴｴｪｪ了　　　　　　　　　　　　　　　/
　　　　i　　　　　　　じｴ='='='" ',　　　　　　　　　　　　　　/　::
　　　　',　　　　　　 (___,,..----U　　　　　　　　　　　　／　::
　　　　ヽ、　　　　　　　　 __,,..　--------------i-'"　　::
　　　　　　ヽ､_　　　__ -_'"--''"ニニニニニニニﾆヽ　　 ::
　　　　　　　　｀¨i三彡--''"´　　　　　　　　　　　ヽ　　::

**名無しさん＠お腹いっぱい。** · 2009/02/28(土) 05:19:01

飛んだスレ荒らしだなこりゃ、
と自分で書いてみる

**名無しさん＠お腹いっぱい。** · 2009/02/28(土) 08:38:52

うに板でなく、レン鯖板の話題だからみんなスルーしただけ

**名無しさん＠お腹いっぱい。** · 2009/02/28(土) 11:55:52

有識者に伺いたい。
bind9でプライベートアドレスの逆引き要求は、上位DNSサーバに転送しない設定って、
ゾーンファイル書く以外に方法ありませんでしょうか？

YAMAHAルータだと設定1行でいけるっぽいんですが・・・。
ttp://www.rtpro.yamaha.co.jp/RT/FAQ/TCPIP/blackhole-isi-edu.html

dns private address spoof on

よろしくお願いします

**名無しさん＠お腹いっぱい。** · 2009/02/28(土) 13:03:55

>>74
10/8,172.16/16～172.32/16,192.168/16の18個書けばいいんだから
18行書けばいいんじゃないの。ゾーンファイルは全部兼用できるわけだし。

unboundやPowerDNS-recursorは同様に上位に送らず自前で処理してしまう定義が書ける。

**名無しさん＠お腹いっぱい。** · 2009/02/28(土) 13:16:02

169.254/16も必要だから19行か

**名無しさん＠お腹いっぱい。** · 2009/02/28(土) 13:42:39

192.0.2/24は?

**名無しさん＠お腹いっぱい。** · 2009/02/28(土) 13:56:54

DNS (Domain Name System) 総合
http://pc11.2ch.net/test/read.cgi/network/1159978850/l50

**名無しさん＠お腹いっぱい。** · 2009/02/28(土) 14:53:42

>>77,76
やっぱり書きますか。ゾーンファイルに追加するのは、運用上
厳しかったのですが、その方向で検討します。

>>78
そちらには昨日おじゃまさせていただいておりました。。。

**名無しさん＠お腹いっぱい。** · 2009/02/28(土) 17:20:32

コンテンツサーバとリゾルバサーバのIPアドレスを分けたらいいんじゃない？
クライアントマシンのアドレス割り当てをDHCPでやってるなら
DHCPの台帳側をかきかえれて新しいリゾルバサーバを見に行かせるようにすればばいいし、
固定アドレス割り振りのマシンが多くてそうも行かないならコンテンツサーバ側をリナンバすればいい。

とりあえずas122.netで提供されているやつをインターネットにながさなければいいと思うので>>75-76と書いた。
もう少し偏執的に書くならRFC3330に書かれているやつのうちのいくつかを加える必要があるかな。

**名無しさん＠お腹いっぱい。** · 2009/03/13(金) 15:48:57

ちなみにこの設定をすると名前解決でもたつく事が無くなり、
場合によっては、色々な応答性があがる。

問い合わせに応答しない設定で待たせていたりするくらいなら
でっち上げておいたほうがいい。

51 · 2009/03/30(月) 22:27:09

帰宅したら、クレジットの請求にDNSReportが混じってた。
明日ゴルァせねば。
時々メール来るのは無視できるけどこれはまずい。

**名無しさん＠お腹いっぱい。** · 2009/04/21(火) 10:03:12

最近unix（solaris10）を利用し始めた初心者です。

dnsを利用して、グーグルなどから検索をしようとしています。
Windowsから調べたところ、dnsサーバーがルータと同じＩＰになっていました。
そこで、unixの設定ファイル/etc/resolv.confに、
nameserver xx.xx.xx.xx
と記入して再起動しました。
ところが、利用できていないみたいなのです。
ＩＰで指定するとグーグルやほかのサイトには逝けるのですが、サーバー名だとエラーになります。
また、ドメインは取得していません。

どのような設定がひつようなのでしょうか？
bindと呼ばれるＤＮＳサーバー？はインストールしなければ行けないものなのでしょうか？

お手数ですがよろしくお願いします。

**名無しさん＠お腹いっぱい。** · 2009/04/21(火) 11:18:56

ttp://moin.qmail.jp/DNS

**名無しさん＠お腹いっぱい。** · 2009/04/21(火) 12:15:20

BINDはインストールしなくていい。

**名無しさん＠お腹いっぱい。** · 2009/04/21(火) 17:23:54

>>83
bind はいらん。/etc/nsswitch.conf を適切に設定しろ。
name server は関係ないから Solaris 系のスレに行け。
というか「solaris 10 resolv.conf」でググれ。

**名無しさん＠お腹いっぱい。** · 2009/04/29(水) 07:34:26

mxに関してだけど、優先度の低い鯖に配送されるのって優先度が
高い鯖がダウンしてる以外の条件って何かある？
新しい鯖に移行しようと思って構築中なんだけどmxを低めに
設定しておいたらたまに構築中の新鯖に配送される物があるんだよね

**名無しさん＠お腹いっぱい。** · 2009/04/29(水) 08:29:26

>>87
SPAMツールは優先順位に関係なく送ってるようで、
プライマリなmxが生きてる状態ではセカンダリにはSPAMばっかりやってくる。

**名無しさん＠お腹いっぱい。** · 2009/04/29(水) 13:31:03

sendmailとか、ロードアベレージが一定以上だと「今はダメ」とか返事する
機能なかったっけ？

87 · 2009/04/30(木) 14:19:41

なるほど。そうやってロードバランシングに使う訳ね。
いつも単体で構築してたから気にもしていなかったよ。
うちの状況はまさに>>88な状況だった。ちょっと調べたら今のpostfixは
順番にmxなめていって最初にsmtp喋る奴を見つけたら配送失敗しようと
終わりにするような実装になっているけど、今後の実装で挙動が変わりそうな
記述があった。ってことは他の実装では配送成功するまでmxなめる場合もある
ってことかな。いないユーザをプライマリではねていてもセカンダリで
受け入れると>>88みたいな状況になるのでは。うちの構成は今はプライマリが
postfix、セカンダリがqmail（いないユーザの分も受け取る）だから・・・。

**名無しさん＠お腹いっぱい。** · 2009/04/30(木) 16:33:22

セカンダリ MX にフォールバックするのは、そもそも接続できないか、
接続していきなりエラー応答が返ってきたときだけ。

>いないユーザをプライマリではねていても

これはある程度 SMTP セッションが進んだ後でのエラーになるので、
セカンダリ MX にはいかない。

つーか DNS 関係ない。

**名無しさん＠お腹いっぱい。** · 2009/06/06(土) 11:26:22

LAN内に構築した内部向けDNSサーバを Port 5353 で listen して運用したいと考えていますが、
LAN内クライアント（Linux PC）に、内部向けDNSサーバの Port 5353 に対してDNS問い合わせを
行わせる設定の方法が分かりません。

そもそも、LAN内クライアント（Linux PC）のリゾルバ設定で、Dest Port を変更することって
できるんでしょうか？

**名無しさん＠お腹いっぱい。** · 2009/06/06(土) 14:06:59

digだとできるけど、resolv.confなどではできないとか。

resolv.conf option for nameserver with specific port number
ttps://lists.isc.org/pipermail/bind-users/2007-May/thread.html

5353はmDNSのポート番号か。

**名無しさん＠お腹いっぱい。** · 2009/06/06(土) 14:16:19

>>92
MacOS X だと man 5 resolver にこんな風に書いてありました。

The address may optionally have a trailing dot followed by a port number.
For example, 10.0.0.17.55 specifies that the nameserver at 10.0.0.17 uses port 55.

**名無しさん＠お腹いっぱい。** · 2009/06/06(土) 14:17:49

>>92
参照するクライアントのservicesファイルのDNSポートを書き換えてやればよくね？
http://www.linux.or.jp/JM/html/LDP_man-pages/man5/services.5.html

とはいえ、作業漏れやらあとでそんなことしたこと忘れて大騒ぎの原因に
なりそうだからお勧めはしないけどねぇ～ｗ

**名無しさん＠お腹いっぱい。** · 2009/06/06(土) 14:26:16

services を NISでバラ撒けば問題は緩和される。

**名無しさん＠お腹いっぱい。** · 2009/06/06(土) 14:28:11

>>92
なぜ　Port53 で運用しないのかが気になる。

**名無しさん＠お腹いっぱい。** · 2009/06/06(土) 14:47:29

>>92です。色々レスありがとうございます。

>>93
dig は -p オプションでポート指定可能なようですね。

>>94
172.51.31.10:5353 とか 172.51.31.10.5353 とか
試したんですが、Linux（CentOS）では無理でした。

>>95
/etc/services で53を5353に書き換えると、
Slave DNS にDNS問い合わせをするようなケースでも
5353ポートに問い合わせてしまうので、断念した経緯があります。
# Slave DNS は53ポートで運用中なのです…。

>>97
それはズバリ、そのサーバでは既に別の named が53ポートで
稼働中だからですｗ

**名無しさん＠お腹いっぱい。** · 2009/06/06(土) 14:56:54

>>98
ListenするIPを限定すれば、
同じホストで同じ53portで、2つ以上のDNSサーバーを起動できるだろ。

**名無しさん＠お腹いっぱい。** · 2009/06/06(土) 15:28:35

>>98
なぁ～んか、「僕ってすごいことやってるでしょ、でも難しくって・・・てへっｗ」臭がするんだが、
見当違いなことしてねえか？

スプリットDNSって知ってるか・・・？

**名無しさん＠お腹いっぱい。** · 2009/06/06(土) 15:58:28

bind9とかなら普通にzoneごとのallow-hogeでどーにでもなる話な気がする。

**名無しさん＠お腹いっぱい。** · 2009/06/06(土) 16:24:45

>>92です。レスありがとうございます。

>>99-101
おっしゃる通り、そのような解決方法はいくつか考えられますが、
今回はクライアント（Linux PC）側のリゾルバ設定で Dest Port って
変更できるのかな、と思い質問してみました。

で、基本的には無理ということが分かりました。

多くの named で Listen するポートを指定できるのに、Linuxクライアント側で
DNS問い合わせの Port を指定できないのはちょっと意外でした。
MacOS X では簡単みたいでうらやましいｗ

DNSサーバ側の対応として現在考えているのは、

・iptables で特定ホストからのポートをリダイレクトする
・view で特定ホストの forwarders を 127.0.0.1:5353する（BIND 9 が動いてますので）

iptablesでうまくいくことは確認しました。
view の方も、特定ホストの数が多くなっても acl を使用すれば
シンプルに管理できそうです。

以上、ありがとうございました。

**名無しさん＠お腹いっぱい。** · 2009/06/06(土) 16:32:56

>>102
Listen するポートを指定するんじゃなくて、
Listen する IPを指定するの。
(外向きIPと内向きIPね)

で、複数のnamedが(異なるIPの) 53番を Listenする。

クライアント側は何も変更なし。

**名無しさん＠お腹いっぱい。** · 2009/06/06(土) 17:23:30

>>103
件のサーバで動かす named は両方とも内向き用です。
搭載 NIC は1つです。

**名無しさん＠お腹いっぱい。** · 2009/06/06(土) 17:27:31

>>104
搭載 NIC 1つでも IP alias できるだろ。知らないのかｗ

**名無しさん＠お腹いっぱい。** · 2009/06/06(土) 17:31:53

>>99 がすでに最適解を書いてるのに、

「NICが1つだとできない」って思い込んでる人には馬の耳に念仏。

**名無しさん＠お腹いっぱい。** · 2009/06/06(土) 17:39:55

>>105
IP alias は知っていますが、ただ単にポリシー的に IP alias が不可能な環境です。

>>106
>>99
馬の耳に念仏というか、Listen する IP を限定できない named です。

**名無しさん＠お腹いっぱい。** · 2009/06/06(土) 17:51:28

ここでＳＰＬＩＴ　ＤＮＳだとかＩＰエイリアスだとか、微妙な知識ひけらかしてる奴らいるけど恥しくねーの？
会社でもその調子？　それとも学生かなんか？

**名無しさん＠お腹いっぱい。** · 2009/06/06(土) 17:52:58

BIND9じゃないのか?

**名無しさん＠お腹いっぱい。** · 2009/06/06(土) 17:59:07

なんか数人ｴｽﾊﾟｰが紛れ込んでる模様

**名無しさん＠お腹いっぱい。** · 2009/06/06(土) 18:39:46

現行のDNSソフトで、listenするIPアドレスを限定できないものって何? そんなのあるの?

**名無しさん＠お腹いっぱい。** · 2009/06/06(土) 19:44:09

>>107
× Listen する IP を限定できない named です。
○ Listen する IP を限定する方法を知らない named です。

**名無しさん＠お腹いっぱい。** · 2009/06/06(土) 20:05:43

>>98

「既に Port53 を使っているから」　はわかる。
というかそれが前提だろ？

だから、なぜ同一LANに対して１つの計算機で２つのDNSサーバーを立ち上げる必要があるのか？
という疑問が湧くのだ。

特に、
>/etc/services で53を5353に書き換えると
意味がサッパリわからんのだが・・・

目指す環境ややりたい事がわかれば、解決策はいろいろ有ると思うんだよ。

唐突にクライアントからサーバーのポートを指定できるのか？
と思いついたのなら、それはまた別問題ではあるけどね。

**名無しさん＠お腹いっぱい。** · 2009/06/06(土) 20:40:43

>>108でファビョった時点でもうだめ。
はい次。

**名無しさん＠お腹いっぱい。** · 2009/06/07(日) 00:40:01

とはいえ>>100や>>106に虫酸が走ったのは俺だけではないハズ

**名無しさん＠お腹いっぱい。** · 2009/06/07(日) 05:20:36

>>115
非合理な仕様にアレルギーが無い方なのですねｗ

**名無しさん＠お腹いっぱい。** · 2009/06/07(日) 08:59:01

>>107
×IP alias は知っていますが、ただ単にポリシー的に IP alias が不可能な環境です
○IP alias は今聞いて思い出しましたが、自分のスキル的に IP alias が不可能な状況です

**名無しさん＠お腹いっぱい。** · 2009/06/07(日) 14:25:47

53で動いてるやつにさわれるならBIND9でviewなんちゃらとか使うのが一番楽じゃない？

**名無しさん＠お腹いっぱい。** · 2009/06/07(日) 19:51:38

最初の頭悪そうな質問で予想してたがやっぱり無能なバカだったか

**sage** · 2009/06/10(水) 10:06:53

>>119
どうやったら自分の尊厳を保ったまま話を収束できるか、そういうことに
心血を注いでいた時期がオレにもありました

**名無しさん＠お腹いっぱい。** · 2009/06/10(水) 10:54:26

名前解決はシンプルに行け。hosts配ればいいんだよタコ　　

って向こうは言って無いけど、
そういうことを平気でするIT土方共にひどい目に合わされてます。
どうしたらよいですか。

**名無しさん＠お腹いっぱい。** · 2009/06/11(木) 20:04:02

よくわかってない技術は後で困るといけないからと多数のクライアントに
固定IPアドレスの手動設定をさせてまわる低能IT土方もいるよ
もちろんサーバへのアクセスはIPアドレス指定で

>>120
質問者乙と言えばいいのかな
内容を理解せず端的な作業手順をなぞる程度の能力でしかないのに
自分は出来ると誤解してる底辺土方って居ない方がましだと思う

**名無しさん＠お腹いっぱい。** · 2009/06/12(金) 01:18:06

土方より現場監督クラスに昇格しても奴隷をこき使うだけだからなぁ。ｲﾔﾀﾞｲﾔﾀﾞ

一人で50台管理しながら手間なコードも書いてる。　まあ、英国式の教育を受けた
家政婦ならあたりまえｗ

**名無しさん＠お腹いっぱい。** · 2009/06/12(金) 11:57:21

>>122
>内容を理解せず端的な作業手順をなぞる程度の能力でしかないのに
>自分は出来ると誤解してる底辺土方って居ない方がましだと思う

これはひどい自己紹介ｗ

**名無しさん＠お腹いっぱい。** · 2009/06/12(金) 13:50:53

他所でやれや

**名無しさん＠お腹いっぱい。** · 2009/06/22(月) 23:27:40

最近サブアロケーションの逆引きゾーンに対し
サブアロケーションされたかたちではなく直接4オクテットを逆順にしたクエリーが来るのが散見されるのですが
(自分で権威を持っていないゾーンへのクエリーと扱われて deny するログが残る。こちらは bind9.5か9.6)
どう言ったフルリゾルバがこのようなクエリーを出すのか情報をお持ちの方はいませんか

**名無しさん＠お腹いっぱい。** · 2009/06/23(火) 23:43:03

NSが糞だとか

**名無しさん＠お腹いっぱい。** · 2009/06/26(金) 23:49:21

サブアロケーションしている親のネームサーバーが設定ミスってるとか

**名無しさん＠お腹いっぱい。** · 2009/06/30(火) 01:26:38

ｱﾌｫにｱﾌｫと言っても判って貰えないのはDNS管理をやってればすぐ気がつくことだ。

質問 · 2009/07/07(火) 18:59:16

セカンダリDNS(Bind 9.2,solaris9)を運用しています。
named.confでは特にmax-refresh-time,min-refresh-time,max-retry-time,min-retry-time
などの設定はしていません。
あるドメインのSOAをrefresh 15m retry 10m expired 3hとして、
ゾーン転送がきちんと出来ていることを確認（セカンダリDNSにゾーンファイルが出来ている）した後で、
わざとプライマリDNSからのゾーン転送ができないようにしました。

namedをkill -hupで再起動したあとでログをずっと見ていると、
最初に zone xxx expiredがでたと、
その後、ずっとtransfer of xxx : time outのエラーが5分前後で8回、
その後5時間前後で同じエラーが現在まで18回繰り返されていました。

私の考えならば、kill -hupでexpiredであることを知り、
その後はretry 10mにしたがって10分ごとにゾーン転送を試みて
（＝time outのエラーがでる）、10分×18回retry後、
expireとなってそれ以降ゾーン転送は実施しない（＝エラーも出ない）と思うのですが、
エラーログから考えるとそのような動きではないようです。

retryについて指定した時間よりも短い間隔で行ったり、3時間を越えてもなおretryを
試すのはどうしてでしょうか？

bindのdocumentationやbind&dnsには載っていなくて困っています。

**名無しさん＠お腹いっぱい。** · 2009/07/07(火) 23:42:14

http://www.atmarkit.co.jp/fnetwork/dnstips/014.html

expiredになってもゾーン転送を試みる。
expiredになったら、コンテンツとしてゾーンを返さなくなる。

**名無しさん＠お腹いっぱい。** · 2009/07/08(水) 00:20:32

expireになったら持っているゾーン情報を無効にして、さらにゾーン転送
も試さなくなると本(BIND&DNSだったかも）に書いていましたが、どうなんでしょうか？

**名無しさん＠お腹いっぱい。** · 2009/07/08(水) 11:59:50

>>132
では、ゾーン転送を試させるにはどのような処理を行えばよいのでしょうか？

**名無しさん＠お腹いっぱい。** · 2009/07/08(水) 17:59:05

質問です。
LAN内のクライアントのためのキャッシュサーバーを立てる時、
クライアントからの AAAAレコードの問い合わせは一切 forwardしないで、
すぐにヌルデーターを返答するにはどうすればいいですか?
(その後、クライアントがすぐにAレコードを引きなおしてくれることを想定しています)

**名無しさん＠お腹いっぱい。** · 2009/07/08(水) 18:56:43

>>133
本では、
expire後、セカンダリDNSからゾーン転送をさせるためにはnamedの再起動が必要と書いていました。

**名無しさん＠お腹いっぱい。** · 2009/07/08(水) 19:01:07

>>134
named を「-4」オプション付で起動したら駄目なの？

**名無しさん＠お腹いっぱい。** · 2009/07/08(水) 19:18:46

>>136
はい、駄目です。

-4 は、問い合わせのための通信をIPv4のみで行なうというだけで、
AAAAレコードの問い合わせとはまた別の話です。
よって、-4を付けても何の解決にもなりません。

引続き、わかる方、お願いします。
↓

**名無しさん＠お腹いっぱい。** · 2009/07/08(水) 19:33:58

>>134

　　　　　　　　　　｢￣｀ヽ､　　＿_＿_＿_
　　　　　　　　　　Ｌ -‐ '´ ￣｀ヽ- ､　　　〉
　　　　　　　　　　／　　　　　　　　ヽ＼ /
　　　　　　　　／/ 　/ 　/ 　　　ヽヽ　ヽ〈
　　　　　　　ヽ､レ! {　ﾑ-t ﾊ　li ､ i　i　　}ﾄ､
　　　　　　　　　ﾊＮ |　lヽ八l ヽｊﾊVヽ､ｉ j/ l　!
　　　　　　　　/ﾊ. ｌヽｋ=＝　,　r= ､ﾉﾙｌ　lＬ」
　　　　　　　　ヽN､ﾊｌ　　┌‐┐ 　ﾞl ﾉl　l
　　　　　　　　　　ヽﾄjヽ､　ヽ_ノ　ノ//ﾚ′
　　　　r７７７７７７７７７tﾉ｀ｰ　r ´ﾌ/′
　　　ｊ´ﾆゝ　　　　　　　ｌ|ヽ　_/｀＼
　　〈　‐　知ってるが　ｌﾄ、　/ 　〃ゝ、
　　〈､ﾈ.. 　　　　　　　.ｌＦＶ=＝"／ｲl.
　　　ト |お前の態度がとニヽ二／　　ｌ
　　　ヽ.|l　　　　　　　〈ｰ- 　 !　｀ヽ. 　ｌ
　　　 |l気に入らないｌﾄﾆ､_ﾉ　　ヾ、!
　　　 |l_＿_＿_＿_＿__ｌ| 　　＼　　　ソ

**名無しさん＠お腹いっぱい。** · 2009/07/08(水) 19:50:02

>>138 は知らないな。

**名無しさん＠お腹いっぱい。** · 2009/07/08(水) 23:31:58

OSのipv6をとめろ

**名無しさん＠お腹いっぱい。** · 2009/07/08(水) 23:36:49

>>140
だから、ipv6は関係ないって。OSのipv6を止めてもAAAAは問い合わせされる。

**名無しさん＠お腹いっぱい。** · 2009/07/09(木) 00:07:11

>>141
そりゃそうだ

**名無しさん＠お腹いっぱい。** · 2009/07/09(木) 00:25:54

質問者はtransportのIPv6と、クエリ対象レコードのIPv6を区別できてるのに
回答者は区別できてない奴が多いな。

で、もとの話題の戻ると、
・・・わからん、すまん。

**名無しさん＠お腹いっぱい。** · 2009/07/09(木) 09:40:17

v6のこと、よくわかってないから的外れなこと言ってたら優しく指摘してよ。
v4でインターネットに繋がっていないLAN内だけのDNSを立てるとき
ルートサーバーとして設定してたじゃない。
それと同じようにv6のルートサーバーにすればいいんじゃないのではございませんか。

**144** · 2009/07/09(木) 10:11:37

ああ、これじゃだめですね。

**名無しさん＠お腹いっぱい。** · 2009/07/09(木) 20:13:56

>>134
既存のプログラムを改造してそういうフルリゾルバを作ってやるしかないのでは。
大技としてAAAA他最近の拡張されたクエリーを理解できないくらい古いBINDを
フルリゾルバとして使うというのも考えられるけれど副作用が大きすぎる。

そもそもなんでそんなことしたいの？

**名無しさん＠お腹いっぱい。** · 2009/07/29(水) 20:00:08

Bindにセキュリティホールだって
http://jprs.jp/tech/security/bind9-vuln-dynamic-update.html

**名無しさん＠お腹いっぱい。** · 2009/07/29(水) 21:26:46

>>147
あらゆるプライマリサーバが脆弱性の対象か・・・
思ったより深刻なセキュリティホールだな。

**名無しさん＠お腹いっぱい。** · 2009/07/29(水) 22:13:30

iptablesのworkaroundが書いてあったけど
何やってるのかワケワカメ~

**名無しさん＠お腹いっぱい。** · 2009/07/30(木) 04:45:34

>>148
プライマリサーバって？

**名無しさん＠お腹いっぱい。** · 2009/07/30(木) 08:40:10

>>150
masterゾーンを管理しているサーバ

**名無しさん＠お腹いっぱい。** · 2009/07/30(木) 12:48:14

今はもうプライマリと言っても通じない世代が居るのか
BIND4時代の古い用語だからしょうがないな

**名無しさん＠お腹いっぱい。** · 2009/07/30(木) 12:53:54

それを知ってて突っ込んでるだけだろｗ釣られ過ぎ

**名無しさん＠お腹いっぱい。** · 2009/07/30(木) 14:17:07

>>153
JPRSの文章がそうなっているじゃん。w

**名無しさん＠お腹いっぱい。** · 2009/07/30(木) 19:56:31

type master;以外は雑魚ということですね-)

**名無しさん＠お腹いっぱい。** · 2009/07/30(木) 20:01:32

>>155
大抵localhostに対してはmasterよ

**名無しさん＠お腹いっぱい。** · 2009/07/30(木) 20:01:42

localhostや127.in-addr.arpaくらいはmasterになってるだろ

**ななし** · 2009/07/31(金) 00:13:35

BIND9.3以前はEOLでパッチが提供されないみたいだけど、9.4以降の修正内容を
参照すると9.3でも簡単にパッチ作れるな。^^;

**名無しさん＠お腹いっぱい。** · 2009/07/31(金) 14:53:20

JPRS の DNS 攻撃で落ちたのか。
こりゃ、急いだ方が良いな。

月曜日にやろうと思ったけど、今からあげよ。

えっ · 2009/07/31(金) 16:45:16

ほんとに？

**名無しさん＠お腹いっぱい。** · 2009/07/31(金) 16:48:19

>>160
マジだよ。JP DNS が落ちた訳じゃないらしいけど。
みんみんが、言っているんだから間違いない！

**NoName** · 2009/07/31(金) 16:55:19

みんみんて誰だよ

**名無しさん＠お腹いっぱい。** · 2009/07/31(金) 17:01:04

>>162
JPRSの中の人
民田雅人

**NoName** · 2009/07/31(金) 17:03:52

ほんとだメールアドレスがみんみんだ
俺もうｐしよう
これはやばそうだ

**名無しさん＠お腹いっぱい。** · 2009/07/31(金) 17:11:16

(ﾟДﾟ)ノ⌒SMF
Solaris10純正は落ちたら再起動してくれるよ

**名無しさん＠お腹いっぱい。** · 2009/07/31(金) 18:36:47

>>165
それで良いのか？
アップデートないの？

**名無しさん＠お腹いっぱい。** · 2009/07/31(金) 19:31:25

http://sunsolve.sun.com/search/document.do?assetkey=1-66-264828-1

**名無しさん＠お腹いっぱい。** · 2009/07/31(金) 20:33:00

ｽﾞｺ(AA略

**名無しさん＠お腹いっぱい。** · 2009/07/31(金) 23:20:58

OSX ServerのアップデートがAppleから落ちてこないのは気のせい？

**名無しさん＠お腹いっぱい。** · 2009/07/31(金) 23:53:17

龍谷大の人がexploitのコード載せちゃったからね

**名無しさん＠お腹いっぱい。** · 2009/08/01(土) 00:14:32

>>170
あらら・・・
手回しの良いことで。

せめて週明けまで待てばいいのに。

**名無しさん＠お腹いっぱい。** · 2009/08/01(土) 00:23:02

>>165
落ちるんじゃなくてnamed生きたまま応答しなくなるという嫌らしさ

ほんとに他愛のないUDPパケット一個で即死する
発信元IPが偽造されたら追跡もできないな
プロバイダ各社のエグレスフィルタ採用状況はどうなんだっけ？

**ななし** · 2009/08/01(土) 01:42:22

>>172
環境依存なのかRHEL5を使っているウチではnamedが死ぬけどね。

**名無しさん＠お腹いっぱい。** · 2009/08/01(土) 15:19:24

>>173
ウチの環境では起こっていない。@RHEL 5 64bit

**173** · 2009/08/02(日) 03:45:55

>>174
assertionで落とされているという認識なので、CPUアーキテクチャの
違い(32bit/64bit)に影響を受ける部分とは思えないんだけど、興味深い
話ですね。

検証できる環境もないし、する必要もないのでそれだけですが。

**名無しさん＠お腹いっぱい。** · 2009/08/03(月) 21:34:42

tmが出張してtinydnsの宣伝してるけど、メンテが期待できないものを薦めるなんて正気の沙汰とは思えない。
IPv6対応にするだけでも他人が書いたパッチが必要とか・・・DNSSEC対応できるの？

**名無しさん＠お腹いっぱい。** · 2009/08/03(月) 21:53:43

>>176
tinydns ねぇ。あったねそんなの。
ところで、どこの話題？俺の入っていないMLなんだろうけど

**名無しさん＠お腹いっぱい。** · 2009/08/03(月) 22:20:03

>>177
tss氏の日記（2009-07-29）へのコメント。
「コンテンツサーバとキャッシュサーバの分離」とか、安全なDNSサーバのPoCとしては十分な役割を果たしたと
思うけど、もう引退させた方が良いでしょ。

**名無しさん＠お腹いっぱい。** · 2009/08/03(月) 22:36:49

>>178
Res ありがとう。どこか判った。
つーか、なんちゅう極端な人たちだ。

**名無しさん＠お腹いっぱい。** · 2009/08/04(火) 10:29:08

今ならunbindおすすめ？

**名無しさん＠お腹いっぱい。** · 2009/08/04(火) 10:42:51

>>180
unboundな。

コンテンツサーバなら、NSD使えばいいんでね。

**名無しさん＠お腹いっぱい。** · 2009/08/04(火) 18:12:54

手元の検証用マシンに載ってたDNS鯖（9.3.6-P1）に
PoC（perl版, C版）投げても平気な顔してるうちのDNS鯖。

PoCの設定の仕方がおかしいのか(´・ω・｀)

**名無しさん＠お腹いっぱい。** · 2009/08/04(火) 19:16:05

>>182
ログはどうなの？↓が出ている？
/ANY: 'RRset exists (value dependent)' prerequisite not satisfied (NXRRSET)

**名無しさん＠お腹いっぱい。** · 2009/08/04(火) 19:21:27

>>183
レス㌧
C版でやるとソレが出たわ

perl版は正しいrndcのkey nameとkey入れんとダメなんかいな

**184** · 2009/08/04(火) 19:50:09

perl版にkey nameとkeyを実際に設定している値にすると >>183 のログが出たわ。

**184** · 2009/08/04(火) 20:19:40

http://www.ntt.com/icto/security/images/sr200803101.pdf の通りにやってみたが
PoCは途中で止まらずprint後にプロンプトに戻るし、
ログには >>183 が出るだけだわ('A`;)

今日はもう遅いのでまた明日チャレンジしてみるﾉｼ

**名無しさん＠お腹いっぱい。** · 2009/08/04(火) 21:21:07

>>184
私が見たPoCのコードだと、構造体のパディングが考慮されてなくて
うまく動かないかもしれないように見えたんだけど。Cで書かれたやつね。

**名無しさん＠お腹いっぱい。** · 2009/08/08(土) 01:49:21

DNS担当って損だよな。

影響大きいのに、金は安い。
SEでさえ、きちんと仕組みを理解している人が少ない。
だから、いつも説明に困る。。
コンテンツとキャッシュを区別できるひとはどれだけいるのだろう。。

**ななし** · 2009/08/08(土) 13:55:55

>>188
>コンテンツとキャッシュを区別できるひとはどれだけいるのだろう。。

さすがにそれはお前の環境だけの問題では？という気がするが・・・。

**名無しさん＠お腹いっぱい。** · 2009/08/09(日) 00:15:20

>>189
んなことはない。
客先に説明するときは、まず、コンテンツとキャッシュを説明する。

**189** · 2009/08/09(日) 10:32:21

>>190

客にはそうだと思うけど、>>188は客相手の話なのか？

**名無しさん＠お腹いっぱい。** · 2009/08/10(月) 17:00:01

NICの故障も、ケーブル抜けも、ハブの故障も、DNSのダウンも、
ファイルサーバーのダウンも、プロキシサーバーのダウンも、
ウェブサーバーのアクセス禁止処置も、なんでもかんでも、
「ネットが落ちてるんですけど、どのくらいで直りますか」
と言う奴に比べると120%ましだと思うんですけど何か。

**名無しさん＠お腹いっぱい。** · 2009/08/10(月) 17:09:47

見当外れの予想で口を挟みまくるヤツもイヤだなあ

**188** · 2009/08/11(火) 00:36:02

客といってもSEだよ。しかも、大手だったりする。

こんなやつらがalteonなんてつかっていると思うと怖いわー

**184** · 2009/08/14(金) 11:08:26

手元の本番サーバ（8.3.5-P2）にPoCしかけたらnamedあっさり止まりやがった(´・ω・｀)
そっこー対処しますた。

検証環境の9.3.6-P1には例のPoCは効かんのかいな。

>>194
5年近くインフラ周り全般の管理をやってる俺だけど、
キャッシュ鯖とコンテンツ鯖の違いを知ったのは3年くらい前だ。

システム管理の先輩社員がおらず、俺よりも知識・技術が上の人（教えてくれる人）が
居ない状況だとはいえすげえ恥ずかしいわ('A`;)

**名無しさん＠お腹いっぱい。** · 2009/08/16(日) 21:47:09

>>195
viewつかってるとか？

**名無しさん＠お腹いっぱい。** · 2009/08/18(火) 23:55:34

http://tomocha.net/diary/?20090817#200908171

ime.nuだめぽ。

**名無しさん＠お腹いっぱい。** · 2009/09/02(水) 04:41:11

xname更新遅せー

**名無しさん＠お腹いっぱい。** · 2009/09/03(木) 00:35:53

すごいこと発見。

某大手新聞社のネームサーバはオープンリゾルバです。
しかも、サブドメインの権限委譲を別のネームサーバにしてます。
で、その権限委譲した先のネームサーバは自分のＡレコードを間違って応答します。

これを組み合わせると、どうなるでしょう？？

**名無しさん＠お腹いっぱい。** · 2009/09/03(木) 08:39:48

ひさしぶりの大先生チェックですね。