Por razões de histórico, temos IPs internos (192.168.0.0/16) e públicos em hosts em um domínio (example.com). Agora quero dividir isso para que nomes de host internos não sejam resolvidos para usuários externos.
Meu plano atual é usar bind com RPZ.
meu named.conf é o seguinte:
options {
directory "/var/named";
pid-file "/run/named/named.pid";
// Uncomment these to enable IPv6 connections support
// IPv4 will still work:
// listen-on-v6 { any; };
// Add this for no IPv4:
// listen-on { none; };
allow-recursion { localhost; };
allow-transfer { none; };
allow-update { none; };
version none;
hostname none;
server-id none;
response-policy { zone "rpz"; };
};
zone "localhost" IN {
type master;
file "localhost.zone";
};
zone "0.0.127.in-addr.arpa" IN {
type master;
file "127.0.0.zone";
};
zone "1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa" {
type master;
file "localhost.ip6.zone";
};
zone "255.in-addr.arpa" IN {
type master;
file "empty.zone";
};
zone "0.in-addr.arpa" IN {
type master;
file "empty.zone";
};
zone "." IN {
type hint;
file "root.hint";
};
zone "rpz" {type master; file "rpz"; allow-query {localhost;}; };
meu arquivo de zona rpz é o seguinte:
$TTL 1H
@ SOA LOCALHOST. named-mgr.example.com (16 1h 15m 30d 2h)
@ IN NS localhost.
support.example.com A 192.168.1.1
cname.example.com CNAME support.example.com
*.example.com CNAME rpz-passthru.
* CNAME .
Quando eu pesquiso support.example.com, obtenho o resultado que quero:
# dig +short support.example.com @127.0.0.1
192.168.1.1
Mas quando eu procuro por cname.example.com, o IP é resolvido, mas o cliente é informado de que ele está em uma zona RPZ.
# dig +short cname.example.com @127.0.0.1
support.example.com.rpz.
192.168.1.1
Como alternativa, posso alterar o CNAME no arquivo de zona da seguinte forma:
cname.example.com CNAME support.example.com. ;mind the period at the end
Mas isso impedirá que o bind resolva recursivamente o cname:
# dig +short cname.example.com @127.0.0.1
support.example.com.
# dig +short support.example.com. @127.0.0.1
192.168.1.1
Você pode explicar o que eu fiz de errado?
Obrigado Clemens
Tags bind cname-record rpz