Re: Problème de notify refused

Bonjour,

Dans sa grande sagesse, Magali Bernard a écrit, le 14/04/11 09:16 :
> Bonjour,
>
>> J'ai un problème de refus de notification pour lequel j'hésite entre
>> deux solutions.
>> Sur un serveur déclaré pour une zone quelconque, ce dernier reçoit des
>> notify pour cette zone en provenance de lui même... qu'il refuse. Par
>> exemple, sur le serveur 129.88.32.24 :
>> 12-Apr-2011 13:51:07.612 general: info: zone imag.fr/IN: refused notify
>> from non-master: 129.88.32.24#63294
>> Si j'ajoute :
>>           allow-notify { 129.88.32.24; };
>> dans la configuration de named, je n'ai plus ce refus de notification.
> J'ai rencontré le même genre de problème avec des serveurs esclaves
> qui s'envoient des notifications entre eux.
> J'ai réglé ça en ajoutant dans les options des serveurs incriminés:
> notify master-only;
>
> ...sauf que je n'ai pas la main sur les esclaves externes qui se comportent
> de la même façon (ns1.ripe.net, et même imag.imag.fr !) et qui continuent
> à notifier mes esclaves.

Oui, je reçois aussi les notifications d'esclaves, y compris les 
externes mais dans ces cas là il n'y a pas de refus de notification. 
C'est uniquement dans le cas d'une notification du serveur vers lui-même 
que c'est refusé.

Et oui, je maintiens bien les zones pour vos domaines, n'hésitez pas à 
me contacter en cas de nécessité.

>> Le premier réflexe serait qu'il serait préférable de ne plus avoir le
>> refus de notification.
> Ça me semble normal de refuser une notification qui ne vienne pas d'un
> maître, non ? Et je me demande si l'option "notify master-only" ne devrait
> pas l'être par défaut.

D'après Albitz et Liu dans leur livre DNS and BIND (depuis au moins la 
3ème édition), la RFC1996 voudrait qu'un serveur esclave ayant reçu un 
notify d'un master émette un notify à destination de tous les autres 
serveurs faisant autorité pour la zone, donc à priori non, ce 
comportement est normal et conforme à la RFC. C'est juste l'incertitude 
concernant la notification du serveur esclave émettant lui-même la 
notification qui me gène. Normalement, le notify devrait être accepté 
sans faire de transfert de zone puisque le serial ne devrait pas changer 
mais on n'est jamais à l'abri d'un "bug". Ça ne m'est jamais arrivé avec 
BIND, mais sur des serveurs utilisant le service dns de Windows j'ai eu 
ce cas : deux serveurs faisant autorité pour une zone s'envoyaient des 
notify en ping pong, chacun incrémentant le sérial à chaque réception 
puis notifiant les autres serveurs... C'est une situation qui peut 
rapidement devenir incontrôlable et que je préfère éviter sur les 
serveurs importants.

Cordialement,

Oliver

> Pour les versions je ne sais pas si c'est lié à une en particulier, mais
> ça semble bien être du BIND.
>
> Cordialement,
>
>

-- 
Oliver Henriot | Administrateur systèmes
Responsable des services DNS, LDAP, NTP
Chef de projet système d'annuaires
Chargé de sécurité du système d'information
Autorité de certification
Équipe support
Responsable outils communautaires
Responsable cellule support de proximité
Administrateur listes de diffusion, postmaster
Chargé de mission développement durable

Moyens Informatiques | UMS MI2S | http://mi2s.imag.fr/

Domaine universitaire BP53 | 38041 Grenoble cedex 9 | France
tél.: +33 4 76 51 43 48 | fax: +33 4 76 51 47 15