хм, с какого места интересно она исходила 

не знаю. Может и нет. Просто уже и не знал на что подумать. Сейчас все нормализовалось.

Походу мини атака

хм, с какого места интересно она исходила 

Конфигов твоих не видно, вот и дал маленький советик

Ты извини. На нервах был. Не серчай.

Да понимаешь какое дело, как то само все перестало. Походу мини атака =( Другого объяснения не нахожу.

recursion no

Ну так надо прописать вот так, а не как ты прописываешь:

allow-recursion   { 127.0.0.1; 10.168.50.0/24;};

Где:

Обычно вот такую вставку надо вставлять для авториатрного DNS сервера:

allow-query       { any;};
allow-query-cache { 127.0.0.1; 10.168.50.0/24;};
allow-recursion   { 127.0.0.1; 10.168.50.0/24;};

Нельзя чтобы рекурсивные запросы шли от других DNS серверов на твой.
Поэтому в allow-recursion  только твои доверенные сети и компы.

yars⇓ пишет:

Эти два IP ведь извне, я правильно понимаю?

Да. Из вне. Идут от DNS Slave. Если я на нем ставлю recursion no, то пропадают, но инет отваливается у всех, кто использует этот DNS Slave как основной.
Бинды на все обновлены до последней версии. Система CentOS 5.8 и 6.2

Получается 195.162.32.5 не может отрезолвиться на Slave и пересылает его на форвадинг (мастер). Только не понятно почему обратная зона. Могу ошибаться.

А как они вообще из вне к вам попадают? Вывесил slave dns наружу?

Эти два IP ведь извне, я правильно понимаю?

Да. Из вне. Идут от DNS Slave. Если я на нем ставлю recursion no, то пропадают, но инет отваливается у всех, кто использует этот DNS Slave как основной.
Бинды на все обновлены до последней версии. Система CentOS 5.8 и 6.2

Получается 195.162.32.5 не может отрезолвиться на Slave и пересылает его на форвадинг (мастер). Только не понятно почему обратная зона. Могу ошибаться.

Aug 24 21:58:05 ldap named[16984]: error (unexpected RCODE REFUSED) resolving '133.157.184.178.in-addr.arpa/PTR/IN': 195.162.32.5#53

Эти два IP ведь извне, я правильно понимаю?

Прошу помощи. Не знаю куда копать ((( Руки опускаются.

Я бы железо протестировал, и не только память. И блок питания и стресс-тесты погонял.

Aug 24 21:58:05 ldap named[16984]: error (unexpected RCODE REFUSED) resolving '133.157.184.178.in-addr.arpa/PTR/IN': 195.162.41.8#53
Aug 24 21:58:05 ldap named[16984]: error (unexpected RCODE REFUSED) resolving '133.157.184.178.in-addr.arpa/PTR/IN': 195.162.32.5#53
Aug 24 21:58:07 ldap named[16984]: error (unexpected RCODE REFUSED) resolving '133.157.184.178.in-addr.arpa/PTR/IN': 195.162.32.5#53
Aug 24 21:58:07 ldap named[16984]: error (unexpected RCODE REFUSED) resolving '133.157.184.178.in-addr.arpa/PTR/IN': 195.162.41.8#53

Лечится отключением логирования на мастере, но это не выход думаю. Может где в сети вирус завелся?

Попробуйте сделать более подробный вывод и посмотреть с какого mac идут запросы. Может кто то балуется ?

Каким образом? Кстати я отрубил всех кто качал, но сайты все равно так же не доступны. Пинги то есть, то нету. Сейчас все запросы перенаправил на другой сервер, заглушку. Так тот сервер сразу отвис и доступ к нему нормальный по ssh.

arp who-has 192.168.1.120 tell 192.168.1.77

Попробуйте сделать более подробный вывод и посмотреть с какого mac идут запросы. Может кто то балуется ?

Отпрваить поддельный arp reply с ложным mac адресом и ip шлюза. Через пару минут отправить нормальный reply.

[root@ldap named]# arp -na | grep 120
? (192.168.1.120) at 52:54:00:20:2B:38 [ether] on vlan4

Но ARP все равно постоянно идут