BIND recursivo não resolvendo alguns domínios

Question

Eu tenho uma configuração BIND / nomeada em cache recursiva e ela não quer resolver alguns domínios. Eu vejo esses erros no logfile:

Dec 22 11:53:02 router2.lan named[301]: skipping nameserver 'ns0.flowerfire.com' because it is a CNAME, while resolving 'www.sawmill.net/AAAA'
Dec 22 11:53:02 router2.lan named[301]: SERVFAIL unexpected RCODE resolving 'www.sawmill.net/A/IN': 63.249.66.124#53
Dec 22 11:53:02 router2.lan named[301]: skipping nameserver 'ns0.flowerfire.com' because it is a CNAME, while resolving 'www.sawmill.net/A'
Dec 22 11:53:02 router2.lan named[301]: skipping nameserver 'ns1.flowerfire.com' because it is a CNAME, while resolving 'www.sawmill.net/A'
Dec 22 11:53:02 router2.lan named[301]: SERVFAIL unexpected RCODE resolving 'www.sawmill.net/AAAA/IN': 63.249.66.124#53
Dec 22 11:53:02 router2.lan named[301]: skipping nameserver 'ns0.flowerfire.com' because it is a CNAME, while resolving 'www.sawmill.net/AAAA'
Dec 22 11:53:02 router2.lan named[301]: skipping nameserver 'ns1.flowerfire.com' because it is a CNAME, while resolving 'www.sawmill.net/AAAA'

(esse domínio não é meu)
O 8.8.8.8 do Google resolve este domínio corretamente

Aqui está o meu named.conf

options {
    directory "/var/named";
    pid-file "/run/named/named.pid";

    listen-on-v6 { any; };

    dnssec-validation auto;
    auth-nxdomain no;
    allow-query {
        any;
    };

    recursion yes;
    allow-recursion {
        any;
    };
    allow-transfer { none; };
    allow-update { none; };


    version none;
    hostname none;
    server-id none;

    max-cache-size 16M;
    max-ncache-ttl 3600;
};

E versão BIND:
BIND 9.11.0-P1

Alguém sabe por que isso está acontecendo?

A propósito, o servidor é protegido por firewall, portanto não há problema em permitir a recursão de todas as fontes.

    

Answer 1

A chave do problema são essas duas mensagens:

Dec 22 11:53:02 router2.lan named[301]: skipping nameserver 'ns0.flowerfire.com' because it is a CNAME, while resolving 'www.sawmill.net/A'
Dec 22 11:53:02 router2.lan named[301]: skipping nameserver 'ns1.flowerfire.com' because it is a CNAME, while resolving 'www.sawmill.net/A'

O BIND é muito rigoroso em aplicar a estipulação da RFC 1034 que NS records "devem sempre "aponte para um nome principal e não para um alias. Alguns softwares de servidor de nomes podem optar por contornar os danos cerebrais, mas devem ser considerados a exceção e não a regra.

Inicialmente, o BIND perseguirá os registros de cola exibidos pelo net. TLD, mas, quando chegar a hora de atualizar os registros NS , eles serão despejados do cache quando o CNAME for encontrado.

Como uma nota lateral, estes servidores de nomes sawmill.net são terríveis em geral. NS registros apontando para CNAME aliases, NS registros que estão faltando na cola, quatro NS registra quais IPs duplicados e somente realmente apontam para dois, um nameserver retornando um rcode inesperado e endereços IP adjacentes que ignoram BCP 16. Sheesh.