知人から自分のサイトが時々見えなくなることがあるんだけどと相談を受ける。いつもではない、自分だけではない、聞いているとどうもDNSの設定ぽい。原因がすぐに浮かぶが…。家に帰って調査開始。1分かからず原因判明。ひどいな…。定番ネタがやってくれるとは。

• whoisに登録してある内容と実際のNSの内容が食い違っている。ただ、たまたま同じIPをさしていたからぎりぎりセーフ
• 二つNSがあるのがだが、片方(多分slaveだろうな)がそのドメインの権威サーバとして動作してない。
• というかオープンリゾルバだぞ、これ。

当人がわかるとは思えないので人に頼んでやってもらったのだと思うが…。プロだったら、いいから廃業してくれ、迷惑がかかるから、レベル。

そんなことよりどうやって説明すればいいのだろうか…。設定してやつを呼び付けて目の前で教えりゃいいが、それだったら金寄越せと思うよ。

DNS Managerを使用する。Import a Zone はゾーン転送を素にゾーンを作るだけなのでスレーブにするわけではない。Add anew domain zone から slave を作成する流れとなる。

自分のサーバをマスターとns[1-4].linode.com をスレーブにして NSを構成することとなる。ちなみに NSD3 では以下の設定となる。

zone:   
        name: "takaki-web.media-as.org"
        zonefile: "db.takaki-web"

        notify: 69.93.127.10 NOKEY
        provide-xfr: 69.93.127.10 NOKEY
        notify: 65.19.178.10 NOKEY
        provide-xfr: 65.19.178.10 NOKEY
        notify: 75.127.96.10 NOKEY
        provide-xfr: 75.127.96.10 NOKEY
        notify: 207.192.70.10 NOKEY
        provide-xfr: 207.192.70.10 NOKEY

 linode のDNS サーバはいくらでも使えるんじゃないのか？便利だな。

apacheを工夫というよりDNS(unbound)の工夫だな。

unbound.confに以下を追加。

local-zone: "local." static
local-data: "django.local. IN A 127.0.0.1"

とやりまして、django.localに対してVirtualHostを設定するという流れ。

Apacheのほうはwsgiを設定するところの肝心なところだけ再掲。

Alias /media "/usr/share/pyshared/django/contrib/admin/media"
<Directory "/usr/share/pyshared/django/contrib/admin/media">
Order allow,deny
Options Indexes
Allow from all
IndexOptions FancyIndexing
</Directory>

WSGIScriptAlias / "/home/takaki/src/django/myproject/apache/django_app.wsgi"

<Directory "/home/takaki/src/django/myproject/apache/django_app.wsgi">
Allow from all
</Directory>

forward-zone:
        name: "priv.example.org"
        forward-host: 192.168.1.2

実験してみる。Securityパッチがあたってないbindをインストールして実験実験。うーむ、見事に汚染された。これはひどい。

OCNも駄目と言っている人がいたが。あと某大学もひじょーに気になるんですが。

nslint

bindの設定ファイルを読み込んでチェックする。lintらしくうるさすぎる。

zonecheck

ゾーン転送がなくてもいいけど、その分チェック項目も少ないような感じ。動作が遅い。

dnswalk

ゾーンファイルを取得してチェックしてくれる。かなり便利ではあるがゾーン転送ができないと動かない。

エラーの内容は

zone example.com/IN: refused notify from non-master: 192.168.0.1#12345

なんでですかねと思ったらマニュアルによると、NSレコードを見てnotifyを送るらしい。スレーブであっても送るので当然自分に対してnotifyを送る。ということなので zone のエントリに送付しないように明示しておく。

zone "example.com" {
    ....;
    notify no;
    ....;
};