Forum Debian Users Gang

plik 137.17.83.in-addr.arpa

@         IN         SOA     ns.tychydis.com.pl. ns.tychydis.com.pl (
                        2002070400 ; Serial ( yyyy/mm/dd/nn/)
                        3600 ; Refresh (1 hour)
                        1800 ; Retry (30 minutes)
                        604800 ; Expire (1 week)
                        7200 ) ; Minimum TTL (2 hours)
;
                   NS     ns.tychydis.com.pl. 
21                 PTR    tychydis.com.pl.

plik named.conf

options {
    directory "/var/named";
    /*
     * If there is a firewall between you and nameservers you want
     * to talk to, you might need to uncomment the query-source
     * directive below.  Previous versions of BIND always asked
     * questions using port 53, but BIND 8.1 uses an unprivileged
     * port by default.
     */
    // query-source address * port 53;
};

// 
// a caching only nameserver config
// 
zone "tychydis.com.pl" { 
     type master; 
     file "/etc/tychydis.com.pl"; 
     allow-update { none; }; 
};
zone "137.17.83.in-addr.arpa" { 
      notify yes; 
      type master; 
      file "/etc/137.17.83.in-addr.arpa"; 
};

plik tychydis.com.pl

$ttl 86400 
$ORIGIN tychydis.com.pl.
@         IN     SOA         ns.tychydis.com.pl. root.tychydis.com.pl. (
                            2002070400 ; Serial (yyyy/mm/dd/nn/)
                            3600 ; Refresh (1 hour)
                            1800 ; Retry (30 minutes)
                            604800 ; Expire (1 week)
                           7200 ) ; Minimum TTL (2 hours)
; 
        IN      A      83.17.137.187
        IN      NS     ns.tychydis.com.pl. ; adres naszego nameservera
        IN      MX  5  mail.tychydis.com.pl. ; podstawowy serwer poczty
www     IN      A      83.17.137.187
ftp     IN      A      83.17.137.187
mail    IN      A      83.17.137.187
pop     IN      A      83.17.137.187
smtp    IN      A      83.17.137.187

dodam jeszcze ze podczas restartu binda syslog wywala:

 named[22577]: /etc/137.17.83.in-addr.arpa:1: no TTL specified; using SOA MINTTL instead

dzieki

ok dzieki jeszcze jedna dziwna sprawa dziś wysłałem maila z domeny  poczta.fm do mnie na tychydis.com.pl o godz. 10:14 a przyszedł o godz. 13:41 - wycinek tego maila z maillog:

Jul 25 13:41:56 tychydis postfix/smtpd[19891]: connect from smtpo.poczta.interia.pl[217.74.65.206]
Jul 25 13:41:56 tychydis postgrey[7576]: action=pass, reason=client whitelist, client_name=smtpo.poczta.interia.pl, client_address=217.74.65.206, sender=mail1@poczta.fm, recipient=mail2@tychydis.com.pl 
Jul 25 13:41:56 tychydis postfix/smtpd[19891]: 3AA82A50124: client=smtpo.poczta.interia.pl[217.74.65.206]
Jul 25 13:41:56 tychydis postfix/cleanup[10455]: 3AA82A50124: message-id=<9A3AC712004E4397839A540FA5857C61@xxxxxx>
Jul 25 13:41:56 tychydis postfix/qmgr[2845]: 3AA82A50124: from=<mail1@poczta.fm>, size=2675, nrcpt=1 (queue active)
Jul 25 13:41:56 tychydis postfix/smtpd[19891]: disconnect from smtpo.poczta.interia.pl[217.74.65.206]
Jul 25 13:41:59 tychydis postfix/local[10507]: 3AA82A50124: to=<mail2@tychydis.com.pl>, orig_to=<mail2@tychydis.com.pl>, relay=local, delay=3.7, delays=0.08/0/0/3.6, dsn=2.0.0, status=sent (delivered to command: /usr/bin/procmail)
Jul 25 13:41:59 tychydis postfix/qmgr[2845]: 3AA82A50124: removed

i nie wiem jak to ugryźć, od czego zacząć .... :( co powoduje takie opóźnienia

ps. ver bind 9.3.1

Ostatnio edytowany przez todziu (2012-07-25 13:54:17)

Postfix? grzecznie przyjął maila i skierował do programu MDA - procmaila, aby ten wsadził maila do skrzynki, wszystko w logu, który wrzuciłeś.
W dodatku Bind i Postfix, to trochę za dużo na jeden wątek...

I nie wiem, jakiego pliku tld chcesz szukać, bo domena.tld - to jest przykładowa nazwa domeny,  ja całą konfigurację Binda i strefy robiłem w Webminie, i wszystko działa, śmiga, brak jakichkolwiek problemów.

A u Ciebie [b]named-checkconfig[/b] nie dał  żadnego wyniku, [b]named-checkzone[/b] - brak wyniku, zastanawiam się, czy piszę do ściany, czy do sufitu, bo średnio rozgarnięty pies by zrozumiał, po co to piszę, o człowieku nie wspominając w ogóle.

U mnie cala konfiguracja Binda wygląda tak:

[url=http://ompldr.org/vZXYyeA][img]http://ompldr.org/tZXYyeA[/img][/url]

Jedynie chrootowanie Binda zrobił instalator portage automatycznie ,- Gentoo ;).


Edyta:
I jeszcze jedno:
Poszukja sobie lepszego okulisty:
W Twojej strefie stoi:

ns.tychydis.com.pl

A w DNS - gdzie kupowałeś domenę, jako NSy stoi jak byk:

tychydis.com.pl.    80324    IN    NS    ns2.tychydis.com.pl.
tychydis.com.pl.    80324    IN    NS    ns4.rejestratordomen.pl.
tychydis.com.pl.    80324    IN    NS    ns1.tychydis.com.pl.
tychydis.com.pl.    80324    IN    NS    ns3.rejestratordomen.pl.

Natomiast w żadnym dnsie nie widaź hosta ns.tychydis.com.pl

host ns.tychydis.com.pl
Host ns.tychydis.com.pl not found: 3(NXDOMAIN)

Jak sobie w takiej sytuacji wyobrażasz działanie sewera DNS, jak masz pochrzanioną strefę?
I w interneccie nie można znaleść IP twojego serwera NS? (Twojego serwera nazw?)
A host wpisany u rejestratora domeny:

host ns1.tychydis.com.pl
ns1.tychydis.com.pl has address 83.17.137.187
Host ns1.tychydis.com.pl not found: 3(NXDOMAIN)
Host ns1.tychydis.com.pl not found: 3(NXDOMAIN)

Adres IP podał serwer rejestratordomen.pl., ale na Twoim serwerze nie udało się tego potwierdzić, bo w ogóle nie ma w strefie domeny  hosta ani aliansu  ns1.tychydis.pl

A narzędzia Binda o twojej strefie mają tylko tyle do powiedzienia:

named-checkzone tychydis.com.pl tychydis 
zone tychydis.com.pl/IN: NS 'ns.tychydis.com.pl' has no address records (A or AAAA)
zone tychydis.com.pl/IN: not loaded due to errors.

Krótko pisząc, tą strefę zrób od pocztątku, ale porządnie, bo na razie masz jeden wielki bajzel, i nic więcej.

To by było na tyle
;-)

Ostatnio edytowany przez Jacekalex (2012-07-25 15:21:41)

Wywal rekord:
        IN      NS     ns.tychydis.com.pl. ;

A wstaw dwa inne:
        IN      NS     ns1.tychydis.com.pl. ;
        IN      NS     ns2.tychydis.com.pl. ;

Dodaj dwa rekordy A:

ns1     IN      A      83.17.137.187
ns2    IN       A      83.17.137.187

I zgodnie z RFC każda zmiana w strefie domeny wymaga nowego numeru seryjnego, właśnie dlatego od razu radziłem Webmina, że robi to automatycznie.
Co z adresem ARPA? rzucał się chyba o wadliwy TTL?
Do poprawki, jak wyżej, ale to masz na zadanie domowe :D

Ostatnio edytowany przez Jacekalex (2012-07-25 15:28:33)

Twój Bind na zapytania DNS odpowiada niebyt szybko (około 45 - 600 ms ),
ale prawidłowo.

Do testowania DNSa zainteresuj się poleceniami [b]dig[/b] i [b]host[/b] w Linuxie,
i [b]nslookup[/b] w Windowsie.
np

dig -t ns tychydis.com.pl @8.8.8.8
dig -t mx tychydis.com.pl
dig tychydis.com.pl

RTFM:

man dig
man host

Jak coś będzie z Postfixem, to zalóż osobny wątek, a w tymz zmień temat, żeby było wiadomo, że dotyczy konfiguracji Binda i strefy DNS.


To by było na tyle
;-)

Ostatnio edytowany przez Jacekalex (2012-07-25 16:42:23)

[quote="dig -t ns ..."]

tychydis.com.pl.    80324    IN    NS    ns2.tychydis.com.pl.
tychydis.com.pl.    80324    IN    NS    ns4.rejestratordomen.pl.
tychydis.com.pl.    80324    IN    NS    ns1.tychydis.com.pl.
tychydis.com.pl.    80324    IN    NS    ns3.rejestratordomen.pl.

[/quote]
Po to, żeby nie zmieniać ustawień u rejestratora domeny, gdzie są ustawione 2 DNSy.

Po drugie, jak zajrzysz do RFC, to tam będzie najprawdopodobniej pisało o sytuacji idealnej, czyli 2 DNSy z różnych serwerów, z różnymi adresami IP, w różnych serwerowniach umieszczonych na różnych kontynentach. (czy coś w tym rodzaju). :D
Serwer podstawowy w Chile i zapasowy w Astrallli?
Sytuacja idealna, ale jak się nie ma co sie lubi, to się lubi, co się ma ;)
Jednak z powodu RFC,    Nazwa,, OVH, i Home i kilka innych firm, (wszystkie, jakie widziałem), chcą przy ustawieniu DNS 2 dnsów, bez tego nie wypełnisz durnowatego formularza w panelu klienta.

Pozdrawiam
;)

Ostatnio edytowany przez Jacekalex (2012-07-25 21:24:32)

Działa?

Tam chyba są dwa lub więcej,  różnych IP, można wtedy jeden dać inny.
Ale ja tego drugiego nie znałem proponując wpis, (jest w logu pokazanym później) a tak  już jest, że jak u ISP  jest wpisany ns2.domena, to musi być w strefie DNS, zeby przypału nie było.

Poza tym wątek jest otwarty, więc zamiast się czepiać mnie, po prostu pomóż poprawić strefę, żeby działało lepiej, niż w tej chwili.
Bo jakoś nie zauważyłem twojej aktywności, jak ten DNS bzdury pokazywał, bo miał schrzanione ustawienia serwerów NS.
Teraz ma takie, jakie mogłem wykombinować na podstawie posiadanych informacji, co nie znaczy, że nie może to być lepiej,  bardziej idealnie.

Do doskonałości należy dążyć wszelkimi możliwymi środkami :DDDDDD

Więc bardzo proszę, aby W.P. Hello_World zaproponował takie ustawienie strefy, jakie jego zdaniem będzie optymalne, i zarazem działające prawidłowo, na podstawie informacji zgromadzonych w całym wątku.

I  przedstawił sposób, aby proponowane przez  niego <miany  nie zmuszały
do interwencji u rejestratora domeny, która to interwencja może mieć trudne do przewidzenia skutki. ;)

Miłego kombinowania ;)

Ostatnio edytowany przez Jacekalex (2012-07-30 12:06:38)

Odpowiedzi DNS dla twojej domeny są prawidlowe, możesz tylko, jeśli masz drugi adres IP, dać dla rekordu ns2 ten inny adres.
nNie zmieni to w niczym dzialania serwera, ale będzie ladniej wyglądalo, i bardziej "profesjonalnie".

Co do tych logów, to jeśli named-checkconf nie pokazuje błędów, to w ogóle bym się tym nie zajmował, poza solidnym ograniczeniem dostępu do Binda przy pomocy Firewalla, limity pakietów, połączeń, itp.

Te logi, to pewnie wynik robotow sieciowych, które caly czas skanują sieć w poszukiwaniu maszyn, które można latwo shakować i wystylać z nich spam.
Twój serwer jest w tej chwili diabelnie narażony na wlamanie, ma stary soft, w którym przez ostatnie lata zznaleźiono setki jeśli nie tysiace blędow.

Takze lepiej zajmijsię aktualizacja tego softu, bo trzymanie Php-.4.4, Apacha 1.3.33 czy binda 9.3 to proszenie się o kłopoty.

oczywiście przy Php uważaj, czy nie masz tam jakiegoś starego skryptu, ktory wymaga np funkcji PHP Register Globals, która była chyba największą wtopą w dziedzinie bezpieczeństwa w historii PHP, niestety nie jedyna wtopa, nie pierwsza i nie ostatnia.
Tą funkcję wyłączono domyślnie w PHP 4.4.9 o ile pamiętam, a w aktualnych wersjach 5.2 i 5.3 nie ma jej w ogóle, także tu możesz mieć przypał, jeśli to bylo coś niestandardowego, robionego na zamówienie.

I pamiętaj, ze każdy serwer jest tylko tak bezpieczny, jak jegonajslabszy element.
A jeśli masz tam np od 5 lat nie aktualizowane jajo 2.6.20  - to w tej i nowszych kernelach średnio co miesiac znajdywane mniejsze lub większe dziury, które są naprawiane w bieżących wydaniach kernela.

Takze zamiast miauczeć z powodu jakiegś skanera portów, czy bootneta, który obwąchuje twój serwer, lepiej postaw ten serwer na świeżym i aktualnym sofcie, który ma aktualne wsparcie i poprawki bezpieczeństwa.
Oczywiście w miarę istniejących możliwości.

To by było na tyle
;-)

Ostatnio edytowany przez Jacekalex (2012-07-30 13:45:37)

Tu masz bardzo podstawowy przykład informacji, jak można się wbić na Twój serwer do Apacha:

 nikto -h tychydis.com.pl
- Nikto v2.1.4
---------------------------------------------------------------------------
+ Target IP:          83.17.137.187
+ Target Hostname:    tychydis.com.pl
+ Target Port:        80
+ Start Time:         2012-07-27 10:09:03
---------------------------------------------------------------------------
+ Server: Apache/1.3.33 (Unix) PHP/4.4.0
+ No CGI Directories found (use '-C all' to force check all possible dirs)
+ OSVDB-27487: Apache is vulnerable to XSS via the Expect header
+ PHP/4.4.0 appears to be outdated (current is at least 5.3.5)
+ Apache/1.3.33 appears to be outdated (current is at least Apache/2.2.17). Apache 1.3.42 (final release) and 2.0.64 are also current.
+ ETag header found on server, inode: 2130252, size: 4545, mtime: 0x4ffc2567
+ Allowed HTTP Methods: GET, HEAD, OPTIONS, TRACE, POST, PUT, DELETE, CONNECT, PATCH, PROPFIND, PROPPATCH, MKCOL, COPY, MOVE, LOCK, UNLOCK 
+ OSVDB-397: HTTP method ('Allow' Header): 'PUT' method could allow clients to save files on the web server.
+ OSVDB-5646: HTTP method ('Allow' Header): 'DELETE' may allow clients to remove files on the web server.
+ HTTP method ('Allow' Header): 'CONNECT' may allow server to proxy client requests.
+ OSVDB-5647: HTTP method ('Allow' Header): 'MOVE' may allow clients to change file locations on the web server.
+ WebDAV enabled (UNLOCK LOCK MKCOL COPY PROPPATCH PROPFIND listed as allowed)
+ OSVDB-877: HTTP TRACE method is active, suggesting the host is vulnerable to XST
+ Retrieved x-powered-by header: PHP/4.4.0
+ OSVDB-3092: /import/: This might be interesting...
+ OSVDB-3092: /secret/: This might be interesting...
+ OSVDB-3268: /icons/: Directory indexing found.
+ OSVDB-3268: /images/: Directory indexing found.
+ OSVDB-3268: /images/?pattern=/etc/*&sort=name: Directory indexing found.
+ OSVDB-3233: /icons/README: Apache default file found.
+ 6448 items checked: 29 error(s) and 18 item(s) reported on remote host
+ End Time:           2012-07-27 10:58:18 (2955 seconds)
---------------------------------------------------------------------------
+ 1 host(s) tested

To wynik darmowego skanera Nikto, z Twojego Apacha, dowodzi to, że kiedyś ktoś dość sensownie to skonfigurował, ale od tego czasu conieco nowych rzeczy się znalazło.
Prosta info, co znaleziono, (podatnośći), np:
http://en.wikipedia.org/wiki/Cross-site_tracing

Ostatnio edytowany przez Jacekalex (2012-07-26 15:27:01)

Strefę robisz na docelowym DNSie, a potem u rejestratora ustawiasz
ns1.tychydis.com.pl
ns2.tychydis.com.pl
na adresy Primary i Secondary serwera, na którym masz domenę.
To wpisu u rejestratora powodują, że w ogóle ktoś wie, gdzie jest twój serwer.

Maksymalnie 48 godzin, czasami 72 godziny.
Czas propagacji zależy od wartości TTL ustawionej dla danego rekordu w konfiguracji strefy.
Np OpenDNS potrzyma ten rekord jescze 10 godzin:

ns1.tychydis.com.pl.    [b]36112[/b]    IN    A    83.17.137.187
;; Query time: 24 msec
;; SERVER: 208.67.220.220#53(208.67.220.220)[/quote]
A czas ponownej propagacji zależy od wartości TTL, jaka jest ustawiona u rejestratora  na serwerze.

I nie jest to wartość stała dla wszystkich serwerów, przykładowo Google DNS w ogóle nie znajduje tego rekordu:

Kod:

;; QUESTION SECTION:
;tychydis.com.pl.        IN    A

;; Query time: 1323 msec
;; SERVER: 8.8.8.8#53(8.8.8.8)

także po prostu zrób tą strefę bez ciągłych pomyłek, wsadź ją na serwer DNS, potem sprawdź, czy tam działa i rekordy się zgadzają, poleceniem dig, czyli np:

Kod:

dig -t mx tychydis.com.pl @{adres-nowego-serwera-dns-który-trzyma-strefę}

i jak sprawdzisz tak wszystkie rekordy,  to wtedy, zmieiniasz zawartość rekordów ns1 ins2 u rejestratora, żeby wskazywaly na nowy serwer dns.

I dopiero po 2 dniach od przestawienia rekordów u rejestratora mozesz wyłączać stary serwer, zeby przejście między serwerami było płynne i bezproblemowe.

To by było na tyle
;-)

Ostatnio edytowany przez Jacekalex (2012-07-31 13:29:46)

---

W demokracji każdy naród ma taką władzę, na jaką zasługuje ;)
Si vis pacem  para bellum  ;)       |       Pozdrawiam :)