bind 9.2.2配置请教

qiaofengzi

我在RedHat企业版3.0下装了一个bind 9.2.2，也进行了相关配置，我在该系统下运行
$ dig @172.18.9.208 a.vnetdns.com a
显示
; <<>> DiG 9.2.2 <<>> @172.18.9.208 a.vnetdns.com a
;; global options:  printcmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 64500
;; flags: qr aa rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 1, ADDITIONAL: 0

;; QUESTION SECTION:
;a.vnetdns.com.                 IN      A

;; ANSWER SECTION:
a.vnetdns.com.          86400   IN      A       172.18.9.57

;; AUTHORITY SECTION:
vnetdns.com.            86400   IN      NS      ns.vnetdns.com.vnetdns.com.

;; Query time: 0 msec
;; SERVER: 172.18.9.208#53(172.18.9.208)
;; WHEN: Sat Mar 26 15:04:59 2005
;; MSG SIZE  rcvd: 76

但是在局域网内的另一台机器使用nslookup命令却解析不到这个域名，请问是怎么回事？
C:\Documents and Settings\Administrator>nslookup
Default Server:  ns.guangzhou.gd.cn
Address:  202.96.128.143

> server 172.18.9.208
Default Server:  [172.18.9.208]
Address:  172.18.9.208

> a.vnetdns.com
Server:  [172.18.9.208]
Address:  172.18.9.208

DNS request timed out.
    timeout was 2 seconds.
DNS request timed out.
    timeout was 2 seconds.
*** Request to [172.18.9.208] timed-out
>

系统开了防火墙，但是开了53端口，telnet 172.18.9.208 53也是可以的

qiaofengzi

今天我把系统防火墙关了，就可以解析了，但是这样很不安全啊
请教防火墙应该怎么设置才行？多谢！

jxgzoyke

在防火墙中加入下面两条就可以了：
iptables -A INPUT -p tcp --dport 53 -j ACCEPT
iptables -A INPUT -p udp --dport 53 -j ACCEPT

qiaofengzi

Post by jxgzoyke
在防火墙中加入下面两条就可以了：
iptables -A INPUT -p tcp --dport 53 -j ACCEPT
iptables -A INPUT -p udp --dport 53 -j ACCEPT

加了这两行也不行啊，系统防火墙没有关闭53端口
远程telnet 系统的53端口是可以连上的
是不是防火墙还做了其它设置？

qiaofengzi

我在安装过程中做了如下设置：
修改/etc/rc.d/init.d/syslog文件中 start()选项:
daemon syslogd $SYSLOGD_OPTIONS -a /home/dns/bind/dev/log
/etc/rc.d/init.d/syslog restart

mknod -m=w /home/dns/bind/dev/null c 1 3
ntsysv 去掉了 named 前的*
chmod 200 /home/dns/bind/dev/null
chown dns:dns /home/dns/bind/dev/null
然后使用root帐号运行/home/dns/bind/sbin/named -u dns -t /home/dns/bind -c /etc/named.conf启动服务，请问是不是用户的权限问题？

jxgzoyke

你现在的情况是不是把防防火墙关掉就可以正常解析了？如果是的话那就应该是防火墙没设置好了，跟其他的没关系的

qiaofengzi

在防火墙关掉的情况下都可以正常解析。
在开启防火墙，但是按照你教我的运行
iptables -A INPUT -p tcp --dport 53 -j ACCEPT
iptables -A INPUT -p udp --dport 53 -j ACCEPT
开启53端口的情况下，只有在安装bind的这台机器上能够正常解析，其它机器都不能正常解析，显示的是：
DNS request timed out.
    timeout was 2 seconds.
但是可以telnet安装了 bind的这台机器的53端口。

jxgzoyke

你的Linux是什么版本，把iptables脚本贴出来我看一下

qiaofengzi

linux版本是RedHat AS3.0

# Generated by iptables-save v1.2.8 on Thu Mar 31 09:50:27 2005
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [469:88056]
:RH-Firewall-1-INPUT - [0:0]
-A INPUT -j RH-Firewall-1-INPUT
-A INPUT -p tcp -m tcp --dport 53 -j ACCEPT
-A INPUT -p udp -m udp --dport 53 -j ACCEPT
-A FORWARD -j RH-Firewall-1-INPUT
-A RH-Firewall-1-INPUT -i lo -j ACCEPT
-A RH-Firewall-1-INPUT -p icmp -m icmp any -j ACCEPT
-A RH-Firewall-1-INPUT -p esp -j ACCEPT
-A RH-Firewall-1-INPUT -p ah -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state --state NEW -m tcp --dport 53 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state --state NEW -m tcp --dport 5100 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state --state NEW -m tcp --dport 8080 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A RH-Firewall-1-INPUT -j REJECT --reject-with icmp-host-prohibited
COMMIT
# Completed on Thu Mar 31 09:50:27 2005

qiaofengzi

netstat -anp的结果：
tcp        0      0 192.168.0.3:53          0.0.0.0:*               LISTEN      6191/named         
tcp        0      0 172.18.9.208:53         0.0.0.0:*               LISTEN      6191/named         
tcp        0      0 127.0.0.1:53            0.0.0.0:*               LISTEN      6191/named     
tcp        0      0 127.0.0.1:953           0.0.0.0:*               LISTEN      6191/named
udp        0      0 0.0.0.0:32780           0.0.0.0:*                           6191/named
udp        0      0 192.168.0.3:53          0.0.0.0:*                           6191/named         
udp        0      0 172.18.9.208:53         0.0.0.0:*                           6191/named         
udp        0      0 127.0.0.1:53            0.0.0.0:*                           6191/named