Recursiva encaminha uma zona no BIND

Question

Eu tenho uma configuração VPS com BIND. Funciona bem por vários meses.

Recentemente, desejo configurar outro programa de DNS para gerenciar foo.example.org subdomínio neste VPS. Eu configurei estes em dns.he.net:

foo.example.org. IN NS vps.exmaple.org.
vps.example.org. IN A  xx.xx.xx.xx

Como o BIND escuta em 53 / udp, eu o configurei para escutar na porta 5353 e em named.conf :

zone "foo.example.org" {
 type forward;
 forwarders{ 127.0.0.1 port 5353; };
};

Acho que essa configuração encaminhará todas as consultas de *.foo.example.org para o segundo programa DNS. Mas quando eu testo isso ...

No próprio VPS:

dig bar.foo.example.org @127.0.0.1 -p5353 funciona bem.

dig bar.foo.example.org @127.0.0.1 funciona bem.

No meu laptop:

dig bar.foo.example.org @vps.example.org -p5353 funciona bem.

dig bar.foo.example.org @vps.example.org funciona bem.

dig foo.example.org @8.8.8.8 -t ns funciona bem.

dig bar.foo.example.org @8.8.8.8 retorna SERVFAIL .

A substituição de 8.8.8.8 por outros servidores DNS obtém os mesmos resultados e não há nada de errado com o TTL.

Existe alguém sabe o que há de errado com minha configuração? Aqui está mais informação:

Outra configuração do BIND9:

options {
  directory "/var/cache/bind";
  notify yes;
  allow-transfer { xx.xx.xx.xx; };
  dnssec-enable yes;
  dnssec-validation auto;
  auth-nxdomain no;    # conform to RFC1035
  listen-on-v6 { any; };
  recursion yes;
  allow-recursion { any; };
};

E, especificamente, o "segundo programa de DNS" é o iodo, que encapsula as consultas de IP sobre DNS. Eu segui este guia para configurar o BIND9: link

PS: Eu tentei outro servidor com o dnsmasq configurado e use server=/foo.example.org/127.0.0.1#5353 para testar. Ainda recebe erros.

Alguém poderia ajudar? Agradecemos antecipadamente.

    

Answer 1

Antes de mais nada, sugiro que você use algo diferente de 5353 como uma porta alternativa para servidores DNS. 5353 entra em conflito com o zeroconf / mDNS.

A razão de só funcionar quando você usa vps.example.org como resolvedor recursivo é porque esse é o único servidor recursivo que foi informado de que precisa ir para um servidor DNS especial na porta 5353 para localizar foo.example.org .

Como você não pode especificar um número de porta em um registro NS , geralmente é impossível ter um servidor autoritativo em uma porta diferente de 53. Todos os servidores de nomes recursivos no mundo encontrarão o registro NS para o domínio em questão e tentar entrar em contato com esse servidor na porta 53. Se você quiser que eles usem uma porta diferente, você deverá configurar cada um deles com uma zona direta apontando para a porta 5353.

A propósito, não está claro por que você deseja hospedar foo.example.org em um servidor de nomes separado em uma porta diferente (ou endereço IP). Por que você não adiciona a foo.example.org zone ao mesmo nameserver autoritativo que serve example.org ?