概要

表題の通り

2015/8/22)
iptablesで落としていたルールが NXDOMAINだったらDROPではなく
レコードがなかったらDROPであったため修正しました。

テスト環境

Private DNSサーバ	管理ドメイン
192.168.7.129	example.net

テスト内容

No	問い合わせ	Private DNSサーバへのRecode存在有無	外部権威DNSへのRecode存在有無	期待する結果
1	private.example.net	有	無	Private DNS が 192.168.7.129 を返す
2	www.example.net	無	有	外部権威DNS が 93.184.216.34 を返す

bindの設定

example.net を bind の view で 127.0.0.1 に forward し、そこを権威として設定する

named.conf

view local {
	match-clients { 127.0.0.1;}; 
	recursion no;

	zone "example.net." {
		type master;
		file "zone/example.net.zone";
	};

};

view public {
	match-clients { any;}; 
	recursion yes;

	zone "." {
		type hint;
		file "conf/named.ca";
	};

	zone "example.net." {
		type forward;
		forwarders { 127.0.0.1; };
		forward first ;
	};

};

zone/example.net.zone

$TTL 5
@	IN	SOA	example.net. root.example.net. (
			2015080101	; Serial
			3600		; Refresh
			300		; Retry
			3600000		; Expire
			3600		; Minimum
			)
@			IN	NS	ns.example.net.
@			IN	A	192.168.7.129
ns			IN	A	192.168.7.129
private		IN	A	192.168.0.1

※ dnssec関連の設定は無効にすること

テスト

test1

$ dig @192.168.7.129 private.example.net
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 27575
private.example.net.	5	IN	A	192.168.0.1

成功!!

test2

$ dig @192.168.7.129 www.example.net
;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN, id: 3048

失敗!!

forwarderからNXDOMAINが返って来ても、再帰問い合わせはしてくれない。
forward first はforward先からの応答が返ってこない場合に再帰問い合わせをするので
NXDOMAINのパケットがforwarderから返って来たら捨てることにする

iptablesの設定

iptablesに 127.0.0.1 からの応答クエリかつ、NXDOMAINのクエリだった場合、DROPするルール
(NOERRORは DROPしない)

/etc/sysconfig/iptables

# 応答クエリの判定
-A INPUT -p udp -s 127.0.0.1 --sport 53 -m string --hex-string "|8503|" --algo bm --from 30 --to 32 -m comment --comment "check dns reply" -j DROP

テスト

test1

# iptables -L -nxv | grep ALGO
       0        0 NXDROP     udp  --  *      *       127.0.0.1            0.0.0.0/0           udp spt:53 STRING match "|85|" ALGO name bm FROM 30 TO 31 /* check dns reply */ 
       0        0 DROP       all  --  *      *       0.0.0.0/0            0.0.0.0/0           STRING match "|0000|" ALGO name bm FROM 34 TO 36 /* drop nxdomain query */

# dig @192.168.7.129 private.example.net
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 64385
private.example.net.	5	IN	A	192.168.0.1

# iptables -L -nxv | grep ALGO
       1      125 NXDROP     udp  --  *      *       127.0.0.1            0.0.0.0/0           udp spt:53 STRING match "|85|" ALGO name bm FROM 30 TO 31 /* check dns reply */ 
       0        0 DROP       all  --  *      *       0.0.0.0/0            0.0.0.0/0           STRING match "|0000|" ALGO name bm FROM 34 TO 36 /* drop nxdomain query */ 
=> NXDOMAINではないので捨てていない

test2

# iptables -L -nxv | grep ALGO
       0        0 NXDROP     udp  --  *      *       127.0.0.1            0.0.0.0/0           udp spt:53 STRING match "|85|" ALGO name bm FROM 30 TO 31 /* check dns reply */ 
       0        0 DROP       all  --  *      *       0.0.0.0/0            0.0.0.0/0           STRING match "|0000|" ALGO name bm FROM 34 TO 36 /* drop nxdomain query */ 

# dig @192.168.7.129 www.example.net
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 2848
www.example.net.	5	IN	A	93.184.216.34

成功!!

# iptables -L -nxv | grep ALGO
       2      226 NXDROP     udp  --  *      *       127.0.0.1            0.0.0.0/0           udp spt:53 STRING match "|85|" ALGO name bm FROM 30 TO 31 /* check dns reply */ 
       2      226 DROP       all  --  *      *       0.0.0.0/0            0.0.0.0/0           STRING match "|0000|" ALGO name bm FROM 34 TO 36 /* drop nxdomain query */ 
=> NXDOMAINだったので捨てている

結果

この手法では、cacheに載っていない問い合わせについて数秒応答にかかってしまう。
unboundだったら簡単にできるのでzone転送をしなくてもよい単独DNSであればunboundで素直に構築するのがいいと思います。