NS: получил небезопасный ответ; родитель указывает, что это должно быть безопасно

Я пытаюсь запустить Bind on Centos 6.3 в своей школьной сети, и у меня возникают проблемы с работой внешних запросов.

Я могу копать / запрашивать собственные зоны, запущенные на моем сервере, но как только я копаю внешнее доменное имя, я вижу следующее в моих файлах журнала:

NS: got insecure response; parent indicates it should be secure

Я отключил DNS без результата. Я использую DNS-серверы перенаправления из школы, служба поддержки не знает, что не так в данный момент.

Тем не менее, я могу выкопать @SCHOOL-SERVER, и он вернет правильный ответ. Это просто работает с экспедиторами, которые, похоже, не работают.

Может ли кто-нибудь указать мне правильное направление здесь? Дайте мне знать, если вам нужно больше логов или тестов от меня.

Спасибо!

Источник

3 ответа

Это связано с новой функцией DNSSEC, которая теперь включена по умолчанию. Это может указывать на то, что используемые вами средства разрешения / пересылки DNS не поддерживают DNSSEC, поэтому ответ кажется небезопасным для вашего сервера.

Вы можете использовать средства распознавания, которые поддерживают DNSSEC, или временно отключить эту функцию на вашем сервере. Чтобы отключить его, просто используйте эти параметры в вашем named.conf или же named.conf.options:

dnssec-enable no;
dnssec-validation no;
Источник

Интернет может быть довольно неприятным местом, где люди повторяют одни и те же ответы; Вместо решения вам предлагаются обходные пути.

Я могу точно сказать вам, что если DNS-сервер сообщает, что он предоставляет безопасный ответ, то он предоставляет безопасный ответ. Проблема здесь в том, что серверы пересылки DNS удаляют подписи DNSSEC, и это кажется обычным делом, и, поскольку я не слышал, чтобы это делалось прозрачно, у вас, вероятно, есть установленный сервер пересылки. Итак, если вы действительно хотите использовать DNSSEC таким образом, отключите пересылку в named.conf.options:

options {
        directory "/var/cache/bind";
        //forwarders {
        //      8.8.8.8;
        //};

        dnssec-validation auto;
        dnssec-enable yes;
        dnssec-lookaside auto;
};
Источник

просто изменить

      dns-validation auto;

к

      dns-validation yes;

в названном.conf

Источник
Другие вопросы по тегам