XNAMEをセカンダリDNSとして使う
プライマリDNSは自宅サーバで、セカンダリDNSはXNAMEを利用することにしていた。プライマリDNSがとりあえず機能していたため、セカンダリDNSとして使用していたXNAMEとの連携ができていない事を把握していながら、しばらく放置していた。
XNAMEと連携できていない「not available」
どのような症状だったかというと、xnameのコントロールパネル上（右上図）に
wingnotes.net (S) Logs
ns0.xname.org. not available zone content
ns1.xname.org. not available zone content
xxx.xxx.xxx.xxx not available zone content
「not available」となっていてxnameにゾーン転送が行われていない模様。
xnameのコントロールパネル[zone content]で、ゾーン情報を確認しようとしても、xnameから自宅サーバのDNSにアクセスができていないようだ。（↓）
Zone content for wingnotes.net on server xxx.xxx.xxx.xxx
; <<>> DiG 9.3.4 <<>> axfr wingnotes.net @xxx.xxx.xxx.xxx
; (1 server found)
;; global options: printcmd
;; connection timed out; no servers could be reached
xnameと連携できない原因究明＆対策
原因を推測する。
①ルーターのフォーワード設定に不備がある
②ファイアーウォールで通信がブロックされている
③BINDがゾーン転送できていない
tailコマンドを使って、bindのログを監視する。
XNAMEのコントロールパネルから「zone content」をクリックしてもBINDのログは何の変化も無し。うちのルータ（Gateway）ではUDP 53ポートへのアクセスがDNSサーバーにフォワードされる設定になっている。まず関係ないと思いながらもルーター（Gateway）にTCP 53ポートもフォワードするように設定を追加。UDP 53ポートは元もとアクセス許可済み（①の対策）
さらにDNSサーバーのファイアーウォール（iptables）にTCP 53ポートへのアクセスおよび送出を許可する（②の対策）
そしてもう一度XNAMEのコントロールパネルから「not available」をクリックしてみた。すると
BINDのログに次のように出た。
Jun 29 16:25:15.520 queries: info: client 92.243.14.172#33204: query:
wingnotes.net IN AXFR
Jun 29 16:25:15.520 security: error: client 92.243.14.172#33204: zone transfer
'wingnotes.net/IN' denied
おおっ！プライマリのDNS（BIND）が反応している。ただし、ゾーン転送は denied （＝拒否された）と出ている。拒否しているクライアントIPアドレス 92.243.14.172 は何なのだろうか。調べてみると www.xname.org の様だ。XNAMEの管理画面を動かしているWebサーバーのようである。
それまでBINDの設定ファイル named.conf でセカンダリDNSにゾーン転送を許可しているのは
・ns0.xname.org （195.234.42.1）
・ns1.xname.org （87.98.164.164）
の二つであった（2008.6.29時点）。
とりあえず named.conf の転送設定「allow-transfer」に www.xname.org （92.243.14.172） を追加する。（↓）
zone "wingnotes.net" IN {
type master;
notify yes;
file "wingnotes.net.zone";
allow-transfer {
195.234.42.1; /* ns0.xname.org */
87.98.164.164; /* ns1.xname.org */
92.243.14.172; /* www.xname.org */
};
};
DNSとプロトコル「TCP」
XNAMEのコントロールパネルの「zone content」の結果には「; <<>> DiG 9.3.4 <<>> axfr wingnotes.net @xxx.xxx.xxx.xxx」と出ているので、www.xname.org上ではDigコマンドがたたかれているようだ。DiGコマンドはプロトコルTCPを使うのか？？DNSはTCPでもレスポンスを返すのか？？
ここで、ルータのフォワードにTCP 53ポートを追加した事でアクセスできるようになったのはなぜだろう？管理人は「DNSはUDPポートを使う」と思いこんでいた。
ネットで情報を探すと仙石浩明の日記の記事には、
DNS問合わせというと、ネームサーバの UDP/IP の 53番ポートへ問合わせるのが一般的であり、 TCP/IP の 53番ポートはゾーン転送のみに使われることが多い。しかし RFC (RFC1035 および RFC2136) 上は TCP も、UDP と同様、通常の問合わせにも利用することができることになっているし、多くのネームサーバでそのような実装になっている。
と書いてあった。ゾーン転送はTCPを使う事があり、さらに通常のDNS問い合わせもTCPでもOKという事らしい。これまでうちのサーバーではTCP 53ポートを完全にブロックしていた。これがXNAMEとDNS連携取れなかった原因だったらしい。
xnameへゾーン転送できた
NAMEDを再起動する。
しばらくログを見ていると、、、
Jun 29 18:32:57.918 queries: info: client 92.243.14.172#36434: query:
wingnotes.net IN AXFR
Jun 29 18:32:57.918 xfer-out: info: client 92.243.14.172#36434: transfer of 'wingnotes.net/IN': AXFR started
と「www.xname.org」へゾーン転送されている模様。（↑）
さらに「ns0.xname.org」へのゾーン転送も確認できた。（↓）
Jun 29 16:36:38.399 queries: info: client 195.234.42.1#63154: query: wingnotes.net IN AXFR
Jun 29 16:36:38.399 xfer-out: info: client 195.234.42.1#63154: transfer of 'wingnotes.net/IN': AXFR started
XNAMEのコントロールパネルで[zone content]で、ns0.xname.orgのゾーン転送状態を確認すると、きちんと転送されていた。（↓）
Zone content for wingnotes.net on server ns0.xname.org.
; <<>> DiG 9.3.4 <<>> axfr wingnotes.net @ns0.xname.org.
; (1 server found)
;; global options: printcmd
wingnotes.net. 86400 IN SOA ns1.wingnotes.net. xxxxxx.xxxxx.xxxxx.
2008051303 3600 1800 864000 3600
wingnotes.net. 86400 IN A xxx.xxx.xxx.xxx
wingnotes.net. 86400 IN NS ns0.xname.org.
wingnotes.net. 86400 IN NS ns1.xname.org.
wingnotes.net. 86400 IN NS ns1.wingnotes.net.
wingnotes.net. 86400 IN NS ns2.xname.org.
ftp.wingnotes.net. 86400 IN A xxx.xxx.xxx.xxx
mail.wingnotes.net. 86400 IN MX 10 mail.wingnotes.net.
mail.wingnotes.net. 86400 IN A xxx.xxx.xxx.xxx
ns1.wingnotes.net. 86400 IN A xxx.xxx.xxx.xxx
wnsvr.wingnotes.net. 86400 IN A xxx.xxx.xxx.xxx
www.wingnotes.net. 86400 IN A xxx.xxx.xxx.xxx
wingnotes.net. 86400 IN SOA ns1.wingnotes.net. xxxxxx.xxxxx.xxxxx.
2008051303 3600 1800 864000 3600
;; Query time: 7 msec
;; SERVER: 195.234.42.1#53(195.234.42.1)
;; WHEN: Sun Jun 29 14:35:09 2008
;; XFR size: 14 records (messages 1)
うーん、DNSって奥深い。しかも少々間違った設定のままでも不具合無いように動いてしまうから怖い。
]]>
