内部ユーザービューと外部(インターネットなど)ビューの2つのビューを持つDNSサーバーがあります。内部ユーザーがサンプルWebサイトを要求した場合(外部再帰クエリは拒否されます)、そのWebサイトへのアクセスが許可されていないという別のWebサイト(フィルタページ)にリダイレクトするようにRPZを設定したいと思います。しかし、RPZは機能しません。 bad.comを照会すると、実際のアドレスが返されます。問題が見つかりません。
Named.conf.オプション:
options {
directory "/var/cache/bind";
// If there is a firewall between you and nameservers you want
// to talk to, you may need to fix the firewall to allow multiple
// ports to talk. See http://www.kb.cert.org/vuls/id/800113
// If your ISP provided one or more IP addresses for stable
// nameservers, you probably want to use them as forwarders.
// Uncomment the following block, and insert the addresses replacing
// the all-0's placeholder.
forwarders {
8.8.8.8;
};
response-policy {zone "filter" recursive-only no;};
//========================================================================
// If BIND logs error messages about the root key being expired,
// you will need to update your keys. See https://www.isc.org/bind-keys
//========================================================================
# dnssec-validation auto;
auth-nxdomain no; # conform to RFC1035
listen-on-v6 { any; };
};
名前 .conf.local:
//
// Do any local configuration here
//
// Consider adding the 1918 zones here, if they are not used in your
// organization
//include "/etc/bind/zones.rfc1918";
acl internal {172.17.116/24; 192.168.20/24; 127/8;};
view "internal" {
match-clients {internal;};
recursion yes;
zone "wsi.org" {
type master;
file "/etc/bind/internal.zone";
};
zone "filter" {
type master;
file "/etc/bind/filter.zone";
};
include "/etc/bind/named.conf.default-zones";
};
view "external" {
match-clients {any;};
recursion no;
zone "wsi.org" {
type master;
file "/etc/bind/external.zone";
};
zone "filter" {
type master;
file "/etc/bind/filter2.zone";
};
include "/etc/bind/named.conf.default-zones";
};
フィルタ領域:
TTL 604800
@ IN SOA wsi.org. root.wsi.org. (
3 ; Serial
604800 ; Refresh
86400 ; Retry
2419200 ; Expire
604800 ) ; Negative Cache TTL
bad.com A filter.wsi.org
bad.net A filter.wsi.org
フィルター2エリア:
TTL 604800
@ IN SOA wsi.org. root.wsi.org. (
3 ; Serial
604800 ; Refresh
86400 ; Retry
2419200 ; Expire
604800 ) ; Negative Cache TTL
bad.com A filter.wsi.org
bad.net CNAME rpz-passthru
nslookup
常にbad.netとbad.comの物理アドレスを表示します。
そうしようとしているので、2つの分野があります。
答え1
最初の正しいAレコードは次のようになります。
bad.com A filter.wsi.org
到着する:
bad.com A 192.168.1.1
または、次のように変更してください。
bad.com CNAME filter.wsi.org
そして、次のテスト構成を使用します。
response-policy {zone "filter";};
答え2
別の問題を発見しました。 rpzゾーンファイルにnsレコードを定義していません。
@ NS 127.0.0.1.
そして、バインディングツールを使用して設定の問題を解決してください。構成構文を確認するには、次のようにします。
named-checkconf
そして、ゾーンファイルの構文を確認してください。
named-checkzone filter /etc/bind/filter.zone
そして、バインディングがエラーなしで実行されていることを確認してください。
netstat -lntup | grep 53