У меня следующая конфигурация: CISCO 881, IOS 15.2 (4) M6. На интерфейсе WAN настроена подсеть 86.34.156.48/29 от нашего провайдера. За роутером остаются 2 веб-сервера. NAT: 86.34.156.51 <> 10.10.10.100 (частный IP, server1). Если я настрою записи A DNS-сервера BIND с внешним IP-адресом сервера (86.34.156.51), внешний мир никогда не получит ответ от моего DNS-сервера (я не знаю, что там происходит, возможно, маршрутизатор выполняет DNS-лечение или что-то в этом роде подобное (это вопрос)), и он уверен, что DNS-сервер настроен и работает правильно (я захватил IP-пакеты с помощью TCPdump). Но если я настраиваю записи A DNS-сервера с частным IP-адресом сервера (10.10.10.100), пакеты всегда будут поступать в нужное место назначения (с внешним IP-адресом сервера, возможно, также с лечением DNS). Единственная проблема с этим - исчезновение значения TTL пакета DNS, как вы можете видеть в выходных данных ниже.
Что я мог сделать???
+-----+
| | an other host somewhere on internet(C)
| |
+-----+
|
|
:
: internet
:
|
+-----+
| | ISP's router
| | black box, without acces
+-----+
|
| 86.34.456.48/29
+-----+
| | CISCO 881,
| | IOS 15.2(4)M6
+-----+
|
|
------------------------------------------------------------ local private network 10.10.10.0/24
| |
| (86.34.156.51) | (Nat rule not yet attached)
| 10.10.10.100 | 10.10.10.101
| |
+-----+ +-----+
| | | |
| | | |
+-----+ +-----+
linux server (A) linux server (B)
BIND DNS server
style2take.ro
Вот немного (инструмент диагностики DNS под Linux):
От хоста B: $ dig style2take.ro
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 42222
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1
;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;style2take.ro. IN A
;; ANSWER SECTION:
style2take.ro. 0 IN A 10.10.10.100 <-- here you can see the TTL is 0
;; Query time: 52 msec
;; SERVER: 193.231.100.130#53(193.231.100.130)
;; WHEN: Fri Feb 20 10:27:25 EET 2015
;; MSG SIZE rcvd: 58
С хоста B: $ dig @ 10.10.10.100 style2take.ro
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 65374
;; flags: qr aa rd; QUERY: 1, ANSWER: 1, AUTHORITY: 2, ADDITIONAL: 3
;; WARNING: recursion requested but not available
;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;style2take.ro. IN A
;; ANSWER SECTION:
style2take.ro. 3600 IN A 10.10.10.100 <-- here you can see the TTL is 3600
;; AUTHORITY SECTION:
style2take.ro. 3600 IN NS ns1.style2take.ro.
style2take.ro. 3600 IN NS ns2.style2take.ro.
;; ADDITIONAL SECTION:
ns1.style2take.ro. 3600 IN A 10.10.10.100
ns2.style2take.ro. 3600 IN A 10.10.10.100
;; Query time: 0 msec
;; SERVER: 10.10.10.100#53(10.10.10.100)
;; WHEN: Fri Feb 20 10:28:58 EET 2015
;; MSG SIZE rcvd: 126
С хоста C: $ dig style2take.ro
;; global options: printcmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 32364
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 6, ADDITIONAL: 0
;; QUESTION SECTION:
;style2take.ro. IN A
;; ANSWER SECTION:
style2take.ro. 0 IN A 86.34.156.51 <-- here you can see the TTL is 0
;; AUTHORITY SECTION:
ro. 106161 IN NS sns-pb.isc.org.
ro. 106161 IN NS primary.rotld.ro.
ro. 106161 IN NS sec-dns-a.rotld.ro.
ro. 106161 IN NS sec-dns-b.rotld.ro.
ro. 106161 IN NS dns-at.rotld.ro.
ro. 106161 IN NS dns-ro.denic.de.
;; Query time: 149 msec
;; SERVER: 82.79.24.74#53(82.79.24.74)
;; WHEN: Fri Feb 20 10:29:52 2015
;; MSG SIZE rcvd: 201
С хоста C: $ dig @ 86.34.156.51 style2take.ro
; (1 server found)
;; global options: printcmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 48385
;; flags: qr aa rd; QUERY: 1, ANSWER: 1, AUTHORITY: 2, ADDITIONAL: 2
;; QUESTION SECTION:
;style2take.ro. IN A
;; ANSWER SECTION:
style2take.ro. 0 IN A 86.34.156.51 <-- here you can see the TTL is 0
;; AUTHORITY SECTION:
style2take.ro. 0 IN NS ns2.style2take.ro.
style2take.ro. 0 IN NS ns1.style2take.ro.
;; ADDITIONAL SECTION:
ns1.style2take.ro. 0 IN A 86.34.156.51
ns2.style2take.ro. 0 IN A 86.34.156.51
;; Query time: 29 msec
;; SERVER: 86.34.156.51#53(86.34.156.51)
;; WHEN: Fri Feb 20 10:35:05 2015
;; MSG SIZE rcvd: 115
Вам не нужно указывать внешний IP-адрес ни в одной из (именованных) настроек DNS. Вы можете везде использовать внутренний (10.10.10.100) и NAT его от роутера до 86.34.156.51 (ip nat inside source static 10.10.10.100 86.34.156.51). Если вы хотите настроить вторичный DNS, то для него применимо то же самое: используйте 10.10.10.101 (как NS2) NAT для чего-то еще (например, 86.34.156.51). Кроме того, убедитесь, что порты DNS действительно перенаправляются в маршрутизатор и не блокируются брандмауэром на сервере Linux. Используйте веб-средство проверки портов, чтобы убедиться, что UDP 53 открыт.
Что ж, если вы не решите DNS, проблема может быть двоякой:
Неправильная конфигурация DNS - может ли глобальная система DNS определить NS для вашего домена? Это то, что вам нужно установить у своего провайдера имени. Что dig style2take.ro NS вывод?
Ваш маршрутизатор не разрешает запросы DNS. Выйдите на сервер снаружи и попробуйте telnet на 53 порт вашего DNS. telnet 86.34.156.51 - DNS должен работать как через UDP, так и через TCP, это проверяет хотя бы часть TCP.