O Ubuntu MAAS DNS não encaminha o pedido

Question

Estou testando o MAAS, mas estou tendo problemas para fazer com que o nó chegue à Internet. Esta é minha configuração:

3 máquinas físicas, com 1 delas tendo duas placas de rede atuando como gateway, controladores de cluster e controlador de região. O gateway / controlador é configurado para ter uma interface recebendo IP da rede corporativa e tendo o outro gerenciado pelo MAAS (DHCP e DNS).

Do gateway, não tenho nenhum problema em alcançar, mas os nós não podem. Eu olhei para o controlador / gateway, eu posso ver que bind9 está sendo executado.

$ service bind9 status
 * bind9 is running

Fazer dig ubuntu.com me dá resultados. Mas se eu fizer dig @127.0.0.1 ubuntu.com , não receberei retorno. Eu também olho através da configuração de ligação e tudo parece estar em ordem (encaminhador é configuração.) O que estou faltando?

Aqui estão as configurações de ligação relevantes

$ cat /etc/bind/named.conf
include "/etc/bind/named.conf.options";
include "/etc/bind/named.conf.local";
include "/etc/bind/named.conf.default-zones";

$ cat /etc/bind/named.conf.options
options { directory "/var/cache/bind";
dnssec-validation auto;
include "/etc/bind/maas/named.conf.options.inside.maas";
auth-nxdomain no;
listen-on-v6 { any; }; };

$ cat /etc/bind/maas/named.conf.options.inside.maas 
    forwarders {
        172.24.3.136;
    };

    

Answer 1

Parece que a "resposta insegura" é o problema. Encontrei esta solução do StackOverflow: link

  

Isso está relacionado ao novo recurso DNSSEC, que agora está ativado por padrão. Isso pode indicar que os resolvedores / encaminhadores de DNS que você está usando não oferecem suporte ao DNSSEC, portanto, a resposta parece ser insegura para o servidor.

     

Você pode usar resolvedores compatíveis com DNSSEC ou desativar temporariamente o recurso em seu servidor. Para desativá-lo, basta usar esses parâmetros em seu “named.conf”:

     

dnssec-enable no; dnssec-validation no;

    

Answer 2

Além das questões do dnssec relatadas na resposta do OP ( no valid RRSIG resolving ... ), também tive problemas com o IPv6, que se manifestou assim:

maas1 named[1532]: network unreachable resolving './NS/IN': 2001:503:c27::2:30#53

A solução foi iniciar bind9 apenas no modo v4. Para conseguir isso, aproveitei este artigo (estou usando o MAAS 2.1 no Xenial, que está executando o systemd):

1. %código%. Isso fornece o cmdline atual usado para iniciar o daemon sudo systemctl cat bind9.service | grep ExecStart .
2. %código%. Um editor vazio aparece, o que permite substituir os aspectos necessários da definição do serviço.

3. Adicione o sinalizador bind9 ao sudo systemctl edit bind9.service cmdline mencionado anteriormente ao salvar o arquivo. No meu caso, parece assim:

   [Service]
   ExecStart=
   ExecStart=/usr/sbin/named -4 -f -u bind
   

   (NB: o primeiro espaço em branco -4 é destinado - consulte o artigo acima ).

4. Se você quiser verificar se sua substituição está em vigor, poderá executar novamente: ExecStart
5. ExecStart=
6. Execute algumas solicitações dos nós e verifique se tudo está em ordem: systemctl cat bind9.service - anteriormente, isso era repleto dos erros mencionados acima.