31 (18.09.2013 20:22:31 отредактировано AlfaStriker)

А что в логах /var/log/messages ?
Пинги не идут, но DNS сервер работает?

Покажи вывод команды:

iptables -n -L -v

32 (18.09.2013 20:23:49 отредактировано lone_wolf)

AlfaStriker пишет:

А что в логах /var/log/messages ?
Пинги не идут, но DNS сервер работает?

да днс работает, но не резольвит нечего, как бы команда nslookup :

nslookup google.ru
Server:        127.0.0.1
Address:    127.0.0.1#53

Non-authoritative answer:
*** Can't find google.ru: No answer

Так лан попробую привести свой конфиг в первоначальное состояние как в 1 моем посте.

Спросить - стыд минуты, не узнать - стыд всей жизни

33 (18.09.2013 20:29:35 отредактировано lone_wolf)

Вот

+ открыть спойлер
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT DROP [0:0]
-A INPUT -i lo -j ACCEPT 
-A INPUT -p tcp -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT 
-A INPUT -p udp -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT 
-A INPUT -p icmp --icmp-type 8 -j ACCEPT 
-A INPUT -p icmp --icmp-type 0 -j ACCEPT 
-A INPUT -p icmp -j DROP 
-A INPUT -m conntrack --ctstate NEW -p tcp --dport 53 -j ACCEPT 
-A INPUT -m conntrack --ctstate NEW -p udp --dport 53 -j ACCEPT 
-A INPUT -m conntrack --ctstate NEW -p tcp -i eth1 --dport 22 -j ACCEPT 
-A INPUT -m conntrack --ctstate NEW -p udp --dport 123 -j ACCEPT 

-A OUTPUT -p tcp -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT 
-A OUTPUT -p udp -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT 
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -p icmp -j ACCEPT 
-A OUTPUT -p tcp -o eth1 --sport 22 -j ACCEPT 
-A OUTPUT -m conntrack --ctstate NEW -p tcp --sport 32768:61000 -j ACCEPT 
-A OUTPUT -m conntrack --ctstate NEW -p udp --sport 32768:61000 -j ACCEPT 
-A OUTPUT -m conntrack --ctstate NEW -p tcp --sport 53 -j ACCEPT 
-A OUTPUT -m conntrack --ctstate NEW -p udp --sport 53 -j ACCEPT 
-A OUTPUT -m conntrack --ctstate NEW -p udp --sport 123 -j ACCEPT
Спросить - стыд минуты, не узнать - стыд всей жизни

34 (18.09.2013 20:37:43 отредактировано lone_wolf)

ну чтож заработало .... опять же маты в лог как в 1 посте моем ... но уже лучше хоть работает ) так вот теперь (над забекапить работаюший конфиг) и начать заново конфигурить.

З.ы. мой конфиг на сегодняшнее утро выглядел так :

+ открыть спойлер
acl local-lan { 10.10.0.0/16; };

options {
    listen-on port 53 { 10.10.0.200; 111.222.333.444(внешний ip); 127.0.0.1; };
    listen-on-v6 port 53 { none; };
    directory    "/var/named";
    version        "DNS Server";
    dump-file    "/var/named/data/cache_dump.db";
    statistics-file    "/var/named/data/named_stats.txt";
    memstatistics-file "/var/named/data/named_mem_stats.txt";
    allow-query    { 10.10.0.0/16; 111.222.333.444; 127.0.0.1; };
    allow-recursion { 10.10.0.0/16; 127.0.0.1; };
    allow-query-cache { local-lan; };
    allow-transfer    { localhost; };
    forwarders { 8.8.8.8; 8.8.4.4; };

    dnssec-enable yes;
    dnssec-validation yes;
    dnssec-lookaside auto;

    /* Path to ISC DLV key */
    bindkeys-file "/etc/named.iscdlv.key";

    managed-keys-directory "/var/named/dynamic";

};


logging {
        channel "xfer" {
        file "/var/log/named/xfer.log" versions 3 size 10m;
        print-time yes;
        print-severity yes;
        severity info;
    };

        channel "lame" {
        file "/var/log/named/lamers.log" versions 3 size 10m;
        print-time yes;
        print-severity yes;
        severity info;
    };

        channel "config" {
        file "/var/log/named/conf.log" versions 3 size 10m;
        print-time yes;
        print-severity yes;
        severity info;
    };

        channel "security" {
        file "/var/log/named/security.log" versions 3 size 10m;
        print-time yes;
        print-severity yes;
        severity info;
    };

    //Sobytija, svjazannye s polucheniem zon
    category "xfer-in" {"xfer";};

    //Sobytija, svjazannye s peredachej zon
    category "xfer-out" {"xfer";};

    //Sobytija, svjazannye s izmeneniem v zonah
    category "notify" {"xfer";};

    //Sobytija, svjazannye s nekorektnym delegirovaniem
    category "lame-servers" {"lame";};

    //Sobytija, svjazannye s obrabotkoj fajla konfiguracii
    category "config" {"config";};

    //Sobytija, svjazannye s zapreshheniem/razresheniem zaprosov
    category "security" {"security";};

    //Esli dlja sobytija kanal ne opredeljon
    category "default" {"default_syslog";"default_debug";};
};


//include "/etc/named.rfc1912.zones";
include "/etc/named.root.key";
include "/etc/named/my_zones";
Спросить - стыд минуты, не узнать - стыд всей жизни

35

lone_wolf, читай ещё: http://redhat-club.org/2011/%D1%83%D1%8 … tos-fedora.

In Tux We Trust     Centos 6.5
Самурай без меча подобен самураю с мечом, но только без меча, однако как-будто с мечом, которого у него нет, но и без него он как с ним...

36 (20.09.2013 06:29:13 отредактировано AlfaStriker)

Allow-query {any;};
Allow-query-cache {localhost; твоя локальная сеть;};

37

AlfaStriker пишет:

Allow-query-cache {localhost; твоя локальная сеть;};

тьфу блин забыл забыл указать 127.0.0.1 ну или localhost

Спросить - стыд минуты, не узнать - стыд всей жизни

38 (20.09.2013 07:18:37 отредактировано AlfaStriker)

У тебя авторитарный DNS,  надо здесь ставить ANY:

Allow-query {any; };

Твой глюк вылазил потому что ты забыл прописать allow-query-cache = localhost

Покажи:

/etc/resolv.conf

/etc/sysconfig/network-scripts/ifcfg-eth0


ifcfg-eth0 - внешка

39

redix пишет:

lone_wolf, читай ещё: http://redhat-club.org/2011/%D1%83%D1%8 … tos-fedora.

эм ну как бы эта статья и была базовой в конфигурировании моего сервака + есче там несколько стаей были прочитаны.

Спросить - стыд минуты, не узнать - стыд всей жизни

40 (18.09.2013 21:05:17 отредактировано lone_wolf)

AlfaStriker пишет:

У тебя авторитарный DNS,  надо здесь ставить ANY:
Allow-query {any; };

Твой глюк вылазил потому что ты забыл прописать allow-query-cache = localhost

Покажи:
/etc/resolv.conf
/etc/sysconfig/network-scripts/ifcfg-eth0  - внешка

ну как бы у меня :

acl local-lan { 10.10.0.0/16; 127.0.0.1; };
allow-query-cache { local-lan; };
Allow-query {any; };

я же уазываю что с внешнего ip и с локальной сети разрешено обращение к моему серваку

/etc/resolv.conf

nameserver 127.0.0.1
search kompania.dom

/etc/sysconfig/network-scripts/ifcfg-eth0

DEVICE=eth0
ONBOOT=yes
BOOTPROTO=none
IPADDR=111.222.333.444
NETMASK=255.255.255.252
GATEWAY=111.222.333.445
TYPE=Ethernet
IPV6INIT=no
USERCTL=no
Спросить - стыд минуты, не узнать - стыд всей жизни

41

У тебя примерно вот так должно все быть:

acl local-lan { 10.10.0.0/16; };

options {
    listen-on port 53 { 10.10.0.200; 111.222.333.444(внешний ip); 127.0.0.1; };
    listen-on-v6 port 53 { none; };
    directory    "/var/named";
    version        "DNS Server";
    dump-file    "/var/named/data/cache_dump.db";
    statistics-file    "/var/named/data/named_stats.txt";
    memstatistics-file "/var/named/data/named_mem_stats.txt";
    allow-query    {any; };
    allow-recursion { local-lan; 127.0.0.1; };
    allow-query-cache { local-lan; 127.0.0.1; };
    allow-transfer    { localhost; };
    forwarders { 8.8.8.8; 8.8.4.4; };

    dnssec-enable no;
    dnssec-validation no;
    dnssec-lookaside auto;

    /* Path to ISC DLV key */
    bindkeys-file "/etc/named.iscdlv.key";

    managed-keys-directory "/var/named/dynamic";

};


logging {
        channel "xfer" {
        file "/var/log/named/xfer.log" versions 3 size 10m;
        print-time yes;
        print-severity yes;
        severity info;
    };

        channel "lame" {
        file "/var/log/named/lamers.log" versions 3 size 10m;
        print-time yes;
        print-severity yes;
        severity info;
    };

        channel "config" {
        file "/var/log/named/conf.log" versions 3 size 10m;
        print-time yes;
        print-severity yes;
        severity info;
    };

        channel "security" {
        file "/var/log/named/security.log" versions 3 size 10m;
        print-time yes;
        print-severity yes;
        severity info;
    };

    //Sobytija, svjazannye s polucheniem zon
    category "xfer-in" {"xfer";};

    //Sobytija, svjazannye s peredachej zon
    category "xfer-out" {"xfer";};

    //Sobytija, svjazannye s izmeneniem v zonah
    category "notify" {"xfer";};

    //Sobytija, svjazannye s nekorektnym delegirovaniem
    category "lame-servers" {"lame";};

    //Sobytija, svjazannye s obrabotkoj fajla konfiguracii
    category "config" {"config";};

    //Sobytija, svjazannye s zapreshheniem/razresheniem zaprosov
    category "security" {"security";};

    //Esli dlja sobytija kanal ne opredeljon
    category "default" {"default_syslog";"default_debug";};
};


//include "/etc/named.rfc1912.zones";
include "/etc/named.root.key";
include "/etc/named/my_zones";

В /etc/sysctl.conf  добавить строчки для отключения IPv6:

net.ipv6.conf.all.disable_ipv6 = 1
net.ipv6.conf.default.disable_ipv6 = 1

В /etc/sysconfig/network-scripts/ifcfg-eth0 :

BOOTPROTO=static

42 (19.09.2013 19:16:48 отредактировано lone_wolf)

В /etc/sysctl.conf  добавить строчки для отключения IPv6:

net.ipv6.conf.all.disable_ipv6 = 1
net.ipv6.conf.default.disable_ipv6 = 1

изначально как только разлил систему выполнил

В /etc/sysconfig/network-scripts/ifcfg-eth0 :

BOOTPROTO=static

насколько помню static и none равнозначны

Кстати заметил что если убрать 127.0.0.1 из acl (local-lan) и добавить в :

allow-recursion 
allow-query-cache ну либо в 
allow-query    {any; };

то пинги пропадают. Так что надо либо Acl указывать либо ip

Спросить - стыд минуты, не узнать - стыд всей жизни

43 (19.09.2013 20:14:09 отредактировано AlfaStriker)

lone_wolf⇓ пишет:

В /etc/sysctl.conf  добавить строчки для отключения IPv6:
net.ipv6.conf.all.disable_ipv6 = 1
net.ipv6.conf.default.disable_ipv6 = 1
изначально как только разлил систему выполнил

Почему ты сразу не пишешь об этом тогда.
По идее ты должен дать максимум информации о сложившейся ситуации.
Что сделал с системой и что у тебя не получается.

И вообще, я тебе пишу, а ты меня игнорируешь, зачем все время спрашивать и получать ответ и при этом ни чего не делать.
Я тебя вообще не понимаю.

44 (19.09.2013 22:38:26 отредактировано lone_wolf)

AlfaStriker пишет:
lone_wolf⇓ пишет:

В /etc/sysctl.conf  добавить строчки для отключения IPv6:
net.ipv6.conf.all.disable_ipv6 = 1
net.ipv6.conf.default.disable_ipv6 = 1
изначально как только разлил систему выполнил

Почему ты сразу не пишешь об этом тогда.
По идее ты должен дать максимум информации о сложившейся ситуации.
Что сделал с системой и что у тебя не получается.

И вообще, я тебе пишу, а ты меня игнорируешь, зачем все время спрашивать и получать ответ и при этом ни чего не делать.
Я тебя вообще не понимаю.

насчет ipv6 признаю не прав надо было сразу сказать.
почему же игнорирую, я выполняю советы и если что то не так то я отписываюсь. Всё что ты спрашивал чтоб я выложил я выложил.

Эм сейчас работает более менее нормально. Большое спасибо за оказанную помощь.

З.ы. в любом случае приношу свои извинения.

Спросить - стыд минуты, не узнать - стыд всей жизни

45

Эх как же меня уже достал bind. Со всеми внесёнными изменениями все ровно срет в лог что не может разрезольвить нормально домены. Хотя через раз открываются.
Не отрицаю я туплю выходит раз так долго не могу настроить 1 сервис.

Спросить - стыд минуты, не узнать - стыд всей жизни

46 (28.09.2013 20:28:17 отредактировано AlfaStriker)

Можно разные ограничения поставить, но не знаю помогут ли они тебе.
Обычно это правило iptables используют когда хотят защитится от DDoS на 53 порту:

iptables -A INPUT -p udp --dport 53 -m hashlimit --hashlimit-name DNS --hashlimit-above 20/second \
        --hashlimit-mode srcip --hashlimit-burst 100 --hashlimit-srcmask 28 -j DROP

И добавь ограничения скорости в /etc/named.conf секцию options: 

rate-limit {
    responses-per-second 15;
    window 5;
};

Не факт что поможет, у меня хоть логи и загажены, но DNS работает.
Пока ни кто еще не ругался.

47

AlfaStriker пишет:

Можно разные ограничения поставить, но не знаю помогут ли они тебе.
Обычно это правило iptyables используют когда хотят защитится от DDoS на 53 порту:

iptables -A INPUT -p udp --dport 53 -m hashlimit --hashlimit-name DNS --hashlimit-above 20/second \
        --hashlimit-mode srcip --hashlimit-burst 100 --hashlimit-srcmask 28 -j DROP

И добавь ограничения скорости в /etc/named.conf секцию options: 

rate-limit {
    responses-per-second 15;
    window 5;
};

Не знаю, может тебе это поможет.

Спасибо, попробую в понедельник как доберусь к своему компу на работе...

Спросить - стыд минуты, не узнать - стыд всей жизни

48

Какие результаты?

49

да все по старому  ac

Спросить - стыд минуты, не узнать - стыд всей жизни

50

Последние настройки которые я тебе дал - по большей степени замедляют работу DNS сервера. Поэтому как говорится это не вариант.

51

AlfaStriker пишет:

Последние настройки которые я тебе дал - по большей степени замедляют работу DNS сервера. Поэтому как говорится это не вариант.

да эт да... лан буду ковыряться может что на ковыряю, выход есть всегда просто его надо найти  ab
Если что найду напишу.

Спросить - стыд минуты, не узнать - стыд всей жизни