Błąd (niedostępna sieć) w dziennikach mojego serwera

W pliku dziennika komunikatów Centos pojawia się wiele nieosiągalnych linii sieciowych. Wygląda na to, że nie potrafią rozwiązać niektórych adresów, na które nie mam pojęcia, dlaczego mój serwer musi je rozwiązać. Czy ktoś mógłby dać mi znać przyczynę takiego błędu? Czy jestem atakowany?

Oct 23 11:39:03 server named[1585]: error (network unreachable) resolving './DNSKEY/IN': 2001:503:ba3e::2:30#53
Oct 23 11:39:03 server named[1585]: error (network unreachable) resolving './NS/IN': 2001:503:ba3e::2:30#53
Oct 23 11:39:03 server named[1585]: error (network unreachable) resolving 'dlv.isc.org/DNSKEY/IN': 2001:500:48::1#53
Oct 23 11:39:03 server named[1585]: error (network unreachable) resolving 'dlv.isc.org/DNSKEY/IN': 2001:4f8:0:2::19#53
Oct 23 11:39:03 server named[1585]: error (network unreachable) resolving 'ns.isc.afilias-nst.info/A/IN': 2001:500:2f::f#53
Oct 23 11:39:03 server named[1585]: error (network unreachable) resolving 'ns.isc.afilias-nst.info/AAAA/IN': 2001:500:2f::f#53
Oct 23 11:39:03 server named[1585]: error (network unreachable) resolving 'ns.isc.afilias-nst.info/A/IN': 2001:500:1::803f:235#53
Oct 23 11:39:03 server named[1585]: error (network unreachable) resolving 'ns.isc.afilias-nst.info/AAAA/IN': 2001:500:1::803f:235#53
Oct 23 11:39:03 server named[1585]: error (network unreachable) resolving 'ns.isc.afilias-nst.info/A/IN': 2001:503:c27::2:30#53
Oct 23 11:39:03 server named[1585]: error (network unreachable) resolving 'ns.isc.afilias-nst.info/AAAA/IN': 2001:503:c27::2:30#53
Oct 23 11:39:03 server named[1585]: error (network unreachable) resolving 'ns.isc.afilias-nst.info/A/IN': 2001:500:1a::1#53
Oct 23 11:39:03 server named[1585]: error (network unreachable) resolving 'dlv.isc.org/DNSKEY/IN': 2001:4f8:0:2::20#53
Oct 23 11:39:03 server named[1585]: error (network unreachable) resolving 'dlv.isc.org/DNSKEY/IN': 2001:500:60::29#53
Oct 23 11:39:03 server named[1585]: error (network unreachable) resolving 'ns1.isc.ultradns.net/A/IN': 2001:7fd::1#53
Oct 23 11:39:03 server named[1585]: error (network unreachable) resolving 'ns1.isc.ultradns.net/AAAA/IN': 2001:7fd::1#53
Oct 23 11:39:04 server named[1585]: error (network unreachable) resolving 'ns2.isc.ultradns.net/A/IN': 2610:a1:1014::e8#53
Oct 23 11:39:04 server named[1585]: error (network unreachable) resolving 'pdns196.ultradns.org/A/IN': 2001:500:e::1#53
Oct 23 11:39:04 server named[1585]: error (network unreachable) resolving 'pdns196.ultradns.org/AAAA/IN': 2001:500:e::1#53
Oct 23 11:39:04 server named[1585]: error (network unreachable) resolving 'pdns196.ultradns.org/A/IN': 2001:500:40::1#53
Oct 23 11:39:04 server named[1585]: error (network unreachable) resolving 'pdns196.ultradns.org/AAAA/IN': 2001:500:40::1#53
Oct 23 11:39:04 server named[1585]: error (network unreachable) resolving 'pdns196.ultradns.org/AAAA/IN': 2001:502:4612::e8#53
Oct 23 11:39:04 server named[1585]: error (network unreachable) resolving 'pdns196.ultradns.info/AAAA/IN': 2610:a1:1016::e8#53
Oct 23 11:39:04 server named[1585]: error (network unreachable) resolving 'pdns196.ultradns.info/A/IN': 2610:a1:1016::e8#53
Oct 23 11:39:04 server named[1585]: error (network unreachable) resolving 'pdns196.ultradns.co.uk/AAAA/IN': 2610:a1:1017::e8#53
Oct 23 11:39:04 server named[1585]: error (network unreachable) resolving 'pdns196.ultradns.biz/A/IN': 2610:a1:1015::e8#53
Oct 23 11:39:04 server named[1585]: error (network unreachable) resolving 'pdns196.ultradns.com/AAAA/IN': 2001:502:f3ff::e8#53
Oct 23 11:39:04 server named[1585]: client 93.113.174.225#46368: query (cache) 'adobe.com/A/IN' denied
Oct 23 11:39:04 server named[1585]: client 93.113.174.225#23736: query (cache) 'adobe.com/A/IN' denied
Oct 23 11:39:04 server lfd[1196]: SYSLOG check [Lga6AZUNsgZGaVQX]

Nawiasem mówiąc, opcje mojego named.conf są jak poniżej, jeśli są pomocne:

options {
    //listen-on port 53 { 127.0.0.1; };
        //listen-on-v6 port 53 { ::1; };
        directory   "/var/named";
        dump-file   "/var/named/data/cache_dump.db";
        statistics-file "/var/named/data/named_stats.txt";
        memstatistics-file "/var/named/data/named_mem_stats.txt";
        //allow-query     { localhost; };
        allow-recursion { localnets; };

        dnssec-enable yes;
        dnssec-validation yes;
        dnssec-lookaside auto;

        /* Path to ISC DLV key */
        bindkeys-file "/etc/named.iscdlv.key";

        managed-keys-directory "/var/named/dynamic";
};

Proszę pomóż!

Wszystkie adresy są IPv6. Wygląda na problem z IPv6, prawdopodobnie nie masz skonfigurowanej sieci IPv6. Wyłącz suport IPv6 w Bind:

Edytuj / etc / sysconfig / named i ustaw:

OPTIONS="-4"

Następnie uruchom ponownie powiązanie:

service named restart

(z http://crashmag.net/disable-ipv6-lookups-with-bind-on-rhel-or-centos )

Czy jesteś atakowany? Nie sądzę, żebyś był zagrożony. Te wiadomości mogą być normalne w zależności od tego, jakie usługi uruchomisz (w każdym razie każdy serwer jest zawsze poddawany próbie ataku, ludzie skanują Internet, próbując wykorzystać exploity na każdym serwerze).

Warto zauważyć, że w Debian Jessie z systememd -4opcja w /etc/default/bind9może zostać zignorowana. Zobacz błąd # 767798 .

W takim przypadku musisz zmodyfikować bind9.serviceplik systemowy :

Przenieś plik bind9.service, aby uniknąć nadpisywania go podczas aktualizacji

cd /etc/systemd
find . -name "bind*" -delete
cp /lib/systemd/system/bind9.service system/

Edytuj, system/bind9.serviceaby użyć opcji w /etc/default/bind9.

$EDITOR system/bind9.service

Dodaj EnvironmentFile=-/etc/default/bind9i zmodyfikuj, ExecStartaby uwzględnić $OPTIONS. (Usuwam -u bind, ponieważ w Debianie jest już uwzględniony w $OPTIONS)

Pamiętaj, aby zachować -fopcję wymaganą dla systemd. Zobacz to diffna przykład:

# diff -u1 /lib/systemd/system/bind9.service /etc/systemd/system/bind9.service 
--- /lib/systemd/system/bind9.service   2015-12-14 21:12:28.000000000 +0100
+++ /etc/systemd/system/bind9.service   2016-02-08 15:34:59.634891951 +0100
@@ -6,3 +6,4 @@
 [Service]
-ExecStart=/usr/sbin/named -f -u bind
+EnvironmentFile=-/etc/default/bind9
+ExecStart=/usr/sbin/named -f $OPTIONS
 ExecReload=/usr/sbin/rndc reload

I w końcu

systemctl reenable bind9.service
service bind9 restart

Problem jest spowodowany aktualizacją BIND w Centos, próbuje on używać zarówno IPv6, jak i IPv4.

Najlepszym sposobem, aby to naprawić, jest albo użycie protokołu IPv6, albo skonfigurowanie powiązania, aby korzystało tylko z protokołu IPv4

w zestawie /etc/named.conf

OPTIONS="-4"

Spowoduje to zatrzymanie go przy użyciu IPv6 podczas uruchamiania i zrestartowanie DNS

usługa o nazwie restart

Dla zamówienia Ubuntu niż 16.04: sudo vi / etc / default / bind9

OPTIONS="-4 -u bind"

Fajne opcje, zdałem sobie sprawę, że ten dziennik pojawia się, gdy używasz serwerów named.root dostarczonych przez www.internic.net/zones, ponieważ niektóre z tych serwerów nie mają internetowych interfejsów IPv6.

To, co zrobiłem, to praca z sekcją forwarderów w moim pliku named.conf, a ten dziennik już się nie pojawił lub przynajmniej do tej pory.

Oto część mojego pliku named.conf. Jak widać, skomentowałem sekcję Wskazówki dotyczące stref. I inne zwrotki, ponieważ pracuję nad konkretną konfiguracją.

// Start the options clauses
options {
        listen-on-v6 {
                none;
                };
        listen-on port 53 {
                127.0.0.1;
                192.168.1.0/24;
                };
        directory "/var/named";
//      tkey-gssapi-keytab "/usr/local/samba/private/dns.keytab";
        version "Not Currently Available";
        auth-nxdomain yes;
        empty-zones-enable no;
        notify no;
        forwarders {
                208.67.220.220;
                208.67.222.222;
                };
        allow-query {
                127.0.0.1;
                192.168.1.0/24;
                };
        allow-recursion {
                127.0.0.1;
                192.168.1.0/24;
                };
        allow-transfer {
                none;
                };
        };
// Zone Clauses
// Root Servers to allow Recursion
//zone "." {
// Zone Clauses
// Root Servers to allow Recursion
//zone "." {
//      type hint;
//      file "named.root";
//      };

Dla mnie problem spowodowany tą wiadomością był nieco poważniejszy. Gdy serwer jest odłączony od Internetu, dostajesz wiele z nich na sekundę. Jeśli jesteś rozłączony przez długi czas, mogą zapełnić dysk.

Oczywistym rozwiązaniem jest wyłączenie tego konkretnego komunikatu, nie tylko dla IPv6, jak wspomniano w innych rozwiązaniach, ale dla wszystkich protokołów. Nie możesz wyłączyć określonej wiadomości w powiązaniu, więc jest to tak blisko, jak to możliwe:

logging {
    category lame-servers { default_debug; quiet_syslog; };
    channel quiet_syslog { severity notice; syslog daemon; };
};