שלום לכולם.
ברשותי טווח כתובות תחת שליטתי (autonomous system) ואני מעוניין להקים זוג שרתי DNS שינהל אותו.
הרמתי שני שרתי Win 2008 R2 שמתפקדים בנוסף כשרתי DC ועליהם הגדרתי PTR Zone עם הטווח המתאים.
כשאני מבצע בדיקה דרך RIPE לצורך אישור השרתים לטווח, אני מקבל שגיאה ובה מצויין כי שדה Primary Server ברשומת ה- SOA איננו תקין.
ולהלן הבעיה:
שמות השרתים החיצוניים: dc1.mydomain.com
שמות השרתים הפנימיים: dc1.mydomain.local

כשאני מגדיר ברשומת ה- SOA את השם החיצוני, לאחר מספר דקות השם משתנה לשם הפנימי.
מדוע זה קורה ואיך מתקנים?
תודה לעונים.

אקדים ואומר שלחשוף שרתי DNS של מיקרוסופט לאינטרנט היא אחת הטעויות הגדולות שבנאדם יכול לעשות.

כמו כן - האם אני מבין נכון - אתה מריץ מכונות שמריצות Active Directory על גבי רשת האינטרנט??? קח את מה שאמרתי בשורה הראשונה, ותכפיל פי 10...

אין לי תשובה לשאלתך מלבד התשובה הרגילה במקרים כאלה: "מיקרוסופט יודעת יותר טוב ממך מה אתה רוצה, בשביל זה בחרת אותם, לא?" (כן, בטח יש איזה hack לרג'יסטרי שמעביר את זה למצב "אני יודע מה אני עושה, אדיוטים, צאו לי מהוריד!") - ולכן אני בטוח שייראה לכמה גולשים (ואולי גם לך) שהתשובה הזו לא כל כך פרודקטיבית. אבל היי, אני רק מבקר מפורום אבטחת מידע, and you'll thank me later אם תתקן את הטעות הקולוסיאלית שאתה מתחיל לעשות כאן...

בהצלחה במה שתעשה

נמאס לכם לזכור סיסמאות? לחצו כאן!

תודה שימי, אקח לתשומת ליבי.
אשמח גם לתשובה לשאלתי בכל מקרה.

כן טיפ שאני יכול לתת לך - תוודא שבטאב של ה Name Servers של ה Zone הרלוונטי מופיע ראשון ההוסט שאתה מחפש, ולא גירסת local שלו...

יש סבירות די גבוהה שהוא לוקח את זה משם, למרות שלא ביקשו ממנו...

נמאס לכם לזכור סיסמאות? לחצו כאן!

האמת שזה תקין, שם מופיע השם החיצוני של השרת.

משהו נוסף, ליד השדה Primary Server יש כפתור Browse שמפנה לעץ של כל ה- Zones מתוך מטרה למצוא רשומת A.
הבעיה היא כמובן שה- Zone החיצוני (הכולל בתוכו את השמות החיצוניים לשרתים) לא נמצא בשרתים האלה.

*חשבתי אולי שעלי בכל זאת ליצור את ה-Zone החיצוני באופן שלא יהיה Authorotive ואז להגדיר בתוכו רשומה שאותה אוכל לבחור.
אני לא בטוח שזה הכיוון הנכון.
האם ניתן בכלל לבצע מהלך שכזה?

ליצור כך אתה תוכל, אבל שים לב, שאם יש לך קליינטים שמשתמשים בשרת ה DNS הזה כדי לעשות resolve להוסטים על mydomain.com - הם יכשלו כנראה, משום שלא תהיה רשומה שם.

which brings me to... אם יש לך כבר שרת DNS שמנהל את mydomain.com (ואני מהמר שיש, אחרת משחקי PTR שווים כקליפת השום - כל שירות הגיוני יעשה בדיקת forward אחרי שהוא קיבל הוסט בבדיקת reverse) - למה שלא תגדיר עליו פשוט את רשומת ה in-addr.arpa הרלוונטית לטווח הכתובות שיהיה delegated אלייך, ותנהל את זה שם, וזהו?

נמאס לכם לזכור סיסמאות? לחצו כאן!

השרתים שמנהלים את הדומיין החיצוני הם בכלל שירותים חיצוניים ( dyndns.com למען האמת) ואינני מעוניין לנהל דרכם.

זה בעצם מה שהייתי רוצה להימנע ממנו, יצירת zone חיצוני שיטעה את כל מי שמשתמש בו.
יש דרך ליצור Zone רק לשם יצירתו ושלא יהיה Authorotive?

זה נקרא (נראה לי, לפי ההסבר במסך היצירה...) Stub Zone כשאתה יוצר Zone חדש



טרם הצלחתי להבין מה מפריע לך לשים את ה PTR הפחות קריטי היכן שאתה שם את הדומיין היותר קריטי שלך, אבל ניחא...

נמאס לכם לזכור סיסמאות? לחצו כאן!

תודה שימי,
האמת שפניתי במקור ל- DynDNS והם אמרו שאינם תומכים ב- PTR Zone, ייתכן שדרוש שם בירור חוזר.
בכל מקרה, Stub Zone אכן ניתן ליצור כ- Forward לשרתים החיצוניים, אך לא ניתן ליצור בו רשומות ולכן אינני יכול להשתמש בו לצורך זה.

DynDNS לא יכולים להיות אחראים על PTR מכיוון שאין להם שליטה על הפול כתובות שלך.

תבדוק מי אחראי על הפול הזה באמצעות שאילתת WHOIS או בדיקה באתר של RIPE
http://www.db.ripe.net/whois?form_type=simple

ניב, אם אבקש מ- Ripe לתת דלגציה ל- DynDNS אז DynDNS ישלטו עליו.
הפול שלי כפי שכתבתי בתחילת האשכול (A.S).

תודה.

השאלה היא אם בדקת שהפול אכן רשום כשלך.
כבר ראיתי הרבה פעמים בארץ שפולים שנקנו ושייכים לחברות ספציפיות, עדיין רשומים על שם הISP שרכש את טווח הכתובות הגדול יותר.
ואת הניהול של הPTR מנהל הספק.

גבר :-) הפול שלי, זה בסדר.

אוקיי, כמו שזה נראה הנושא נפתר.
הסיבה שהשדה השתנה כל הזמן היא מפני שהשרתים אכן היו שרתי DC, בשרתים אלה השדה Primary Server נגזר משם השרת, כך זה By Design.
הפיתרון הוא כמובן, להיכנס למאפייני ה- Zone ולהוריד את הסימון של Active-Directory Integrated Zone.
(בשלב זה, נאבד את הרפליקציה עבור ה- Zone המדובר בשני השרתים, מכיוון שהיא נסמכה על שירותי AD שביטלנו, לכן יש להוסיף את השרת השני כ- Secondary Zone רגיל).

עניין נוסף, DynDNS כמובן מספקים שירותי Reverse DNS וניתן להשתמש גם בהם.
שימי וניב, תודה רבה על עזרכתם.

אפשר לנסות גם את zoneedit.com ...

אשר ל stub, הוא לא נועד שתיצור בו רשומות אלא רק את ה NS שיהיה כאילו ה auth ואולי אז מיקרוסופט לא תדרוס לך את ה SOA עם שטויות, זו הייתה הכוונה...

נמאס לכם לזכור סיסמאות? לחצו כאן!