Bind vraagje over CNAME's

[Paul van der Vlis]

Hallo,

Ik ben aan het experimenteren met CNAME's. Dit gaat allemaal goed, maar
niet als ik van een domeinnaam zelf een CNAME maak.

Als ik dat doe dan gaat het wel goed op de master, maar het wordt niet
goed doorgestuurd naar de slave.

Onderstaande voorbeeld staat er nu niet meer op:
----------
sigmund:/etc/bind/domeinen# nslookup hallo24.nl ns1.vandervlis.nl
Server: ns1.vandervlis.nl
Address: 91.198.178.50#53

Name: hallo24.nl.vandervlis.nl
Address: 91.198.178.50

sigmund:/etc/bind/domeinen# nslookup hallo24.nl ns2.vandervlis.nl
Server: ns2.vandervlis.nl
Address: 91.198.178.25#53

Name: hallo24.nl
Address: 91.198.178.50
-----------

Mag dat überhaupt, een domeinnaam die CNAME is?

Komt het wel vaker voor dat als je een fout maakt in een DNS record, dat
zo'n record dan niet correct wordt doorgestuurd naar een slave?

Wie weet een testprogramma om te controleren of een DNS record correct
is? Misschien wel handig om zoiets standaard te gaan draaien.

Met vriendelijke groet,
Paul van der Vlis.

[Johan van Selst]

Post by Paul van der Vlis
Mag dat überhaupt, een domeinnaam die CNAME is?

Nee. Een CNAME mag alleen bij records die geen andere velden hebben.
Voor een domein record zijn echter andere velden zoals SOA en NS
verplicht: dat kun je dus niet combineren met een CNAME.

Je zult dus het adres als A record (of evt. AAAA) moeten opgeven bij een
domein in plaats van een CNAME.

Post by Paul van der Vlis
Komt het wel vaker voor dat als je een fout maakt in een DNS record, dat
zo'n record dan niet correct wordt doorgestuurd naar een slave?

Ja, zinnige software zal weigeren om ongeldige DNS zones in te laden en
door te sturen naar anderen.

Post by Paul van der Vlis
Wie weet een testprogramma om te controleren of een DNS record correct
is? Misschien wel handig om zoiets standaard te gaan draaien.

BIND zal standaard in de errorlog waarschuwingen geven als je probeert
een niet-correcte zone in te laden. Wil je vooraf checken, dan kan dat
bv. met 'named-checkzone' (in de BIND distributie). Andere software
zoals 'dnslint' is ook beschikbaar; maar dergelijke software is vaak
geschreven voor een specifieke DNS applicatie, aangezien niet elke
nameserver hetzelfde zone file formaat gebruikt.


Ciao,
Johan

[Paul van der Vlis]

Post by Johan van Selst

Post by Paul van der Vlis
Mag dat überhaupt, een domeinnaam die CNAME is?

Nee. Een CNAME mag alleen bij records die geen andere velden hebben.
Voor een domein record zijn echter andere velden zoals SOA en NS
verplicht: dat kun je dus niet combineren met een CNAME.
Je zult dus het adres als A record (of evt. AAAA) moeten opgeven bij een
domein in plaats van een CNAME.

Op zich wel vreemd dat hij wel dat antwoord ging geven bij de master
dan. Maar misschien komt dat omdat de oude informatie niet meer aanwezig
is. De slave kan nog weigeren.

Post by Johan van Selst

Post by Paul van der Vlis
Komt het wel vaker voor dat als je een fout maakt in een DNS record, dat
zo'n record dan niet correct wordt doorgestuurd naar een slave?

Ja, zinnige software zal weigeren om ongeldige DNS zones in te laden en
door te sturen naar anderen.

Uiteraard.

Post by Johan van Selst

Post by Paul van der Vlis
Wie weet een testprogramma om te controleren of een DNS record correct
is? Misschien wel handig om zoiets standaard te gaan draaien.

BIND zal standaard in de errorlog waarschuwingen geven als je probeert
een niet-correcte zone in te laden. Wil je vooraf checken, dan kan dat
bv. met 'named-checkzone' (in de BIND distributie). Andere software
zoals 'dnslint' is ook beschikbaar; maar dergelijke software is vaak
geschreven voor een specifieke DNS applicatie, aangezien niet elke
nameserver hetzelfde zone file formaat gebruikt.

Heel hartelijk bedankt voor je informatie.

Met vriendelijke groet,
Paul van der Vlis.

[richard lucassen]

On Thu, 17 Dec 2009 14:19:02 +0100

Post by Paul van der Vlis

Post by Johan van Selst
Nee. Een CNAME mag alleen bij records die geen andere velden hebben.
Voor een domein record zijn echter andere velden zoals SOA en NS
verplicht: dat kun je dus niet combineren met een CNAME.
Je zult dus het adres als A record (of evt. AAAA) moeten opgeven bij
een domein in plaats van een CNAME.

Op zich wel vreemd dat hij wel dat antwoord ging geven bij de master
dan. Maar misschien komt dat omdat de oude informatie niet meer
aanwezig is. De slave kan nog weigeren.

Remember the wise words of Inigo Montoya: ``You keep using CNAME
records. I do not think they mean what you think they mean.''

Vuistregel: gebruik alleen een CNAME als je verwijst naar een domein dat
niet onder jouw beheer valt en zorg ervoor dat je geen CNAME stapeling
krijgt:

Stel www.example.com draait op server344.webhoster.tld. je kunt dan een
A record aanmaken dat wijst naar het ip-nummer van
server344.webhoster.tld, maar als de hoster server344.webhoster.tld een
ander ip geeft dan moet jij volgen.

Je kunt ook overwegen om een CNAME aan te maken voor www.example.com dat
wijst server344.webhoster.tld. Als de eigenaar van
server344.webhoster.tld die server een ander ip-adres geeft dan ga je
gewoon mee.

En misschien ook als je veel entries hebt die naar 1 of een cluster van
servers wijzen. Dan hoef je maar op 1 plek het A-record aan te passen.
Maar dat is uitzonderlijk en komt niet veel voor.

En zet een CNAME op een domein en je mail gaat de mist in als je MX
records hebt. Probeer maar ;-)

Speel eens met djbdns, dan zie hoe simpel DNS wel kan zijn. En geen
gesodemieter met master en slaves, gewoon een simpele tekstfile met 1
regel per entry. De rest synct met rsync. Simpel en zeer effectief.
Bovendien is de caching resolver strikt gescheiden van de authoritative
resolver. Dat maakt de zaak inzichtelijk en helder. Maak een intern
domein (of meerdere interne domeinen, speel met delegations en zo, en
ga er vooral mee spelen, dan zie je hoe (simpel) het werkt.

Er zijn zat voorbeelden van CNAME hells. Laatst wees www.ikea.nl nog via
tig CNAME's naar een ip. Wat dat betreft ben ik het met Philip Paeps
roerend eens: er zitten ongelofelijk veel klojo's op het net het
Domain Name System te verzieken. Loop je even mee met www.ikea.nl?

################################################################

Stap 1:

dnsq ns .nl b.root-servers.net
2 nl:
403 bytes, 1+0+7+11 records, response, noerror
query: 2 nl
authority: nl 172800 NS ns3.nic.nl
authority: nl 172800 NS ns4.nic.nl
authority: nl 172800 NS ns-nl.nic.fr
authority: nl 172800 NS sns-pb.isc.org
authority: nl 172800 NS nl1.dnsnode.net
authority: nl 172800 NS ns1.nic.nl
authority: nl 172800 NS ns2.nic.nl
additional: nl1.dnsnode.net 172800 A 194.146.106.42
additional: ns1.nic.nl 172800 A 193.176.144.2
additional: ns2.nic.nl 172800 A 213.154.241.28
additional: ns3.nic.nl 172800 A 194.171.17.2
additional: ns4.nic.nl 172800 A 62.4.86.232
additional: ns-nl.nic.fr 172800 A 192.93.0.4
additional: sns-pb.isc.org 172800 A 192.5.4.1
additional: ns2.nic.nl 172800 AAAA 2001:7b8:606::28
additional: ns3.nic.nl 172800 AAAA 2001:610::800d:0:0:0:2
additional: ns-nl.nic.fr 172800 AAAA 2001:660:3005:1::1:2
additional: sns-pb.isc.org 172800 AAAA 2001:500:2e::1

################################################################

Stap 2:

dnsq ns ikea.nl ns3.nic.nl
2 ikea.nl:
76 bytes, 1+0+2+0 records, response, noerror
query: 2 ikea.nl
authority: ikea.nl 7200 NS ns.domainnetwork.se
authority: ikea.nl 7200 NS ns2.domainnetwork.se

################################################################

Stap 3:

dnsq a www.ikea.nl ns.domainnetwork.se
1 www.ikea.nl:
68 bytes, 1+1+0+0 records, response, authoritative, noerror
query: 1 www.ikea.nl
answer: www.ikea.nl 43200 CNAME www.ikea.nl.edgesuite.net

################################################################

Stap 4:

dnsq ns .net b.root-servers.net
2 net:
506 bytes, 1+0+13+15 records, response, noerror
query: 2 net
authority: net 172800 NS e.gtld-servers.net
authority: net 172800 NS j.gtld-servers.net
authority: net 172800 NS d.gtld-servers.net
authority: net 172800 NS a.gtld-servers.net
authority: net 172800 NS k.gtld-servers.net
authority: net 172800 NS l.gtld-servers.net
authority: net 172800 NS m.gtld-servers.net
authority: net 172800 NS c.gtld-servers.net
authority: net 172800 NS h.gtld-servers.net
authority: net 172800 NS b.gtld-servers.net
authority: net 172800 NS g.gtld-servers.net
authority: net 172800 NS i.gtld-servers.net
authority: net 172800 NS f.gtld-servers.net
additional: a.gtld-servers.net 172800 A 192.5.6.30
additional: b.gtld-servers.net 172800 A 192.33.14.30
additional: c.gtld-servers.net 172800 A 192.26.92.30
additional: d.gtld-servers.net 172800 A 192.31.80.30
additional: e.gtld-servers.net 172800 A 192.12.94.30
additional: f.gtld-servers.net 172800 A 192.35.51.30
additional: g.gtld-servers.net 172800 A 192.42.93.30
additional: h.gtld-servers.net 172800 A 192.54.112.30
additional: i.gtld-servers.net 172800 A 192.43.172.30
additional: j.gtld-servers.net 172800 A 192.48.79.30
additional: k.gtld-servers.net 172800 A 192.52.178.30
additional: l.gtld-servers.net 172800 A 192.41.162.30
additional: m.gtld-servers.net 172800 A 192.55.83.30
additional: a.gtld-servers.net 172800 AAAA 2001:503:a83e::2:30
additional: b.gtld-servers.net 172800 AAAA 2001:503:231d::2:30

################################################################

Stap 5:

dnsq ns edgesuite.net e.gtld-servers.net
2 edgesuite.net:
324 bytes, 1+8+0+8 records, response, noerror
query: 2 edgesuite.net
answer: edgesuite.net 172800 NS adns1.akam.net
answer: edgesuite.net 172800 NS adns2.akam.net
answer: edgesuite.net 172800 NS adns3.akam.net
answer: edgesuite.net 172800 NS adns4.akam.net
answer: edgesuite.net 172800 NS ns1-137.akam.net
answer: edgesuite.net 172800 NS ns1-2.akam.net
answer: edgesuite.net 172800 NS use9.akam.net
answer: edgesuite.net 172800 NS usw6.akam.net
additional: adns1.akam.net 172800 A 64.211.42.196
additional: adns2.akam.net 172800 A 217.212.245.68
additional: adns3.akam.net 172800 A 64.211.42.196
additional: adns4.akam.net 172800 A 81.52.250.132
additional: ns1-137.akam.net 172800 A 193.108.91.137
additional: ns1-2.akam.net 172800 A 193.108.91.2
additional: use9.akam.net 172800 A 204.2.178.132
additional: usw6.akam.net 172800 A 96.17.144.195

################################################################

Stap 6:

dnsq a www.ikea.nl.edgesuite.net adns1.akam.net
1 www.ikea.nl.edgesuite.net:
71 bytes, 1+1+0+0 records, response, authoritative, noerror
query: 1 www.ikea.nl.edgesuite.net
answer: www.ikea.nl.edgesuite.net 21600 CNAME a727.g.akamai.net

################################################################

Stap 7:

dnsq ns akamai.net e.gtld-servers.net
2 akamai.net:
373 bytes, 1+10+0+10 records, response, noerror
query: 2 akamai.net
answer: akamai.net 172800 NS za.akamaitech.net
answer: akamai.net 172800 NS zb.akamaitech.net
answer: akamai.net 172800 NS zc.akamaitech.net
answer: akamai.net 172800 NS zd.akamaitech.net
answer: akamai.net 172800 NS ze.akamaitech.net
answer: akamai.net 172800 NS zf.akamaitech.net
answer: akamai.net 172800 NS zg.akamaitech.net
answer: akamai.net 172800 NS zh.akamaitech.net
answer: akamai.net 172800 NS zm-1.akamaitech.net
answer: akamai.net 172800 NS zm-2.akamaitech.net
additional: za.akamaitech.net 172800 A 81.52.250.135
additional: zb.akamaitech.net 172800 A 208.44.108.138
additional: zc.akamaitech.net 172800 A 96.17.144.197
additional: zd.akamaitech.net 172800 A 203.105.65.195
additional: ze.akamaitech.net 172800 A 64.211.42.193
additional: zf.akamaitech.net 172800 A 62.41.78.201
additional: zg.akamaitech.net 172800 A 204.2.178.136
additional: zh.akamaitech.net 172800 A 195.59.44.135
additional: zm-1.akamaitech.net 172800 A 193.108.88.1
additional: zm-2.akamaitech.net 172800 A 193.108.88.2

################################################################

Stap 8:

dnsq a a727.g.akamai.net za.akamaitech.net
1 a727.g.akamai.net:
341 bytes, 1+0+9+9 records, response, noerror
query: 1 a727.g.akamai.net
authority: g.akamai.net 1800 NS n6g.akamai.net
authority: g.akamai.net 1800 NS n3g.akamai.net
authority: g.akamai.net 3600 NS n2g.akamai.net
authority: g.akamai.net 1800 NS n0g.akamai.net
authority: g.akamai.net 3600 NS n8g.akamai.net
authority: g.akamai.net 2700 NS n4g.akamai.net
authority: g.akamai.net 2700 NS n7g.akamai.net
authority: g.akamai.net 3600 NS n5g.akamai.net
authority: g.akamai.net 2700 NS n1g.akamai.net
additional: n6g.akamai.net 1800 A 62.41.85.133
additional: n3g.akamai.net 1800 A 62.41.85.137
additional: n2g.akamai.net 3600 A 62.41.85.131
additional: n0g.akamai.net 1800 A 77.67.4.55
additional: n8g.akamai.net 3600 A 77.67.4.55
additional: n4g.akamai.net 2700 A 62.41.85.130
additional: n7g.akamai.net 2700 A 62.41.85.134
additional: n5g.akamai.net 3600 A 62.41.85.136
additional: n1g.akamai.net 2700 A 62.153.251.220

################################################################

Stap 9:

dnsq a a727.g.akamai.net n5g.akamai.net
1 a727.g.akamai.net:
67 bytes, 1+2+0+0 records, response, authoritative, noerror
query: 1 a727.g.akamai.net
answer: a727.g.akamai.net 20 A 92.123.64.152
answer: a727.g.akamai.net 20 A 92.123.64.169


JOEPIE!!!!

################################################################

Zo, nu www.xaq.nl:

Stap 1:

dnsq ns .nl b.root-servers.net
2 nl:
403 bytes, 1+0+7+11 records, response, noerror
query: 2 nl
authority: nl 172800 NS sns-pb.isc.org
authority: nl 172800 NS ns2.nic.nl
authority: nl 172800 NS ns1.nic.nl
authority: nl 172800 NS nl1.dnsnode.net
authority: nl 172800 NS ns3.nic.nl
authority: nl 172800 NS ns4.nic.nl
authority: nl 172800 NS ns-nl.nic.fr
additional: nl1.dnsnode.net 172800 A 194.146.106.42
additional: ns1.nic.nl 172800 A 193.176.144.2
additional: ns2.nic.nl 172800 A 213.154.241.28
additional: ns3.nic.nl 172800 A 194.171.17.2
additional: ns4.nic.nl 172800 A 62.4.86.232
additional: ns-nl.nic.fr 172800 A 192.93.0.4
additional: sns-pb.isc.org 172800 A 192.5.4.1
additional: ns2.nic.nl 172800 AAAA 2001:7b8:606::28
additional: ns3.nic.nl 172800 AAAA 2001:610::800d:0:0:0:2
additional: ns-nl.nic.fr 172800 AAAA 2001:660:3005:1::1:2
additional: sns-pb.isc.org 172800 AAAA 2001:500:2e::1

################################################################

Stap 2:

dnsq ns xaq.nl ns2.nic.nl
2 xaq.nl:
228 bytes, 1+0+6+6 records, response, noerror
query: 2 xaq.nl
authority: xaq.nl 7200 NS ns3.xaq.nl
authority: xaq.nl 7200 NS ns6.xaq.nl
authority: xaq.nl 7200 NS ns5.xaq.nl
authority: xaq.nl 7200 NS ns4.xaq.nl
authority: xaq.nl 7200 NS ns1.xaq.nl
authority: xaq.nl 7200 NS ns2.xaq.nl
additional: ns1.xaq.nl 7200 A 192.87.113.6
additional: ns2.xaq.nl 7200 A 192.87.113.7
additional: ns3.xaq.nl 7200 A 193.173.155.136
additional: ns4.xaq.nl 7200 A 80.127.213.136
additional: ns5.xaq.nl 7200 A 213.136.31.168
additional: ns6.xaq.nl 7200 A 213.136.31.170

################################################################

Stap 3:

dnsq a www.xaq.nl ns3.xaq.nl
1 www.xaq.nl:
248 bytes, 1+1+6+6 records, response, authoritative, noerror
query: 1 www.xaq.nl
answer: www.xaq.nl 7200 A 192.87.112.250
authority: xaq.nl 43200 NS ns1.xaq.nl
authority: xaq.nl 43200 NS ns2.xaq.nl
authority: xaq.nl 43200 NS ns3.xaq.nl
authority: xaq.nl 43200 NS ns4.xaq.nl
authority: xaq.nl 43200 NS ns5.xaq.nl
authority: xaq.nl 43200 NS ns6.xaq.nl
additional: ns1.xaq.nl 43200 A 192.87.113.6
additional: ns2.xaq.nl 43200 A 192.87.113.7
additional: ns3.xaq.nl 43200 A 193.173.155.136
additional: ns4.xaq.nl 43200 A 80.127.213.136
additional: ns5.xaq.nl 43200 A 213.136.31.168
additional: ns6.xaq.nl 43200 A 213.136.31.170

3 (drie) stappen. Deze laatste met glue records, zoals het hoort. Nu
staat www.ikea.nl op een iets groter netwerk dan die bak van mij en zul
je niet onder CNAME's uitkomen, maar je kunt ook overdrijven.

R.
--
___________________________________________________________________
It is better to remain silent and be thought a fool, than to speak
aloud and remove all doubt.

+------------------------------------------------------------------+
| Richard Lucassen, Utrecht |
| Public key and email address: |
| http://www.lucassen.org/mail-pubkey.html |
+------------------------------------------------------------------+

[Paul van der Vlis]

Post by richard lucassen
Vuistregel: gebruik alleen een CNAME als je verwijst naar een domein dat
niet onder jouw beheer valt (...)

Ik wil het juist andersom gebruiken: om een naam te beheren waarvan het
domein niet onder mijn beheer valt. Ik laat de naam verwijzen naar een
naam die wel onder mijn beheer valt, dan kan ik TTL en IP veranderen.

Met vriendelijke groet,
Paul van der Vlis.

[richard lucassen]

On Mon, 21 Dec 2009 17:10:34 +0100

Post by Paul van der Vlis

Post by richard lucassen
Vuistregel: gebruik alleen een CNAME als je verwijst naar een domein
dat niet onder jouw beheer valt (...)

Ik wil het juist andersom gebruiken: om een naam te beheren waarvan
het domein niet onder mijn beheer valt. Ik laat de naam verwijzen naar
een naam die wel onder mijn beheer valt, dan kan ik TTL en IP
veranderen.

Daar is IMHO een CNAME ook voor ;-)

R.
--
___________________________________________________________________
It is better to remain silent and be thought a fool, than to speak
aloud and remove all doubt.

+------------------------------------------------------------------+
| Richard Lucassen, Utrecht |
| Public key and email address: |
| http://www.lucassen.org/mail-pubkey.html |
+------------------------------------------------------------------+

[Philip Paeps]

Post by richard lucassen
On Mon, 21 Dec 2009 17:10:34 +0100

Post by Paul van der Vlis

Post by richard lucassen
Vuistregel: gebruik alleen een CNAME als je verwijst naar een domein
dat niet onder jouw beheer valt (...)

Ik wil het juist andersom gebruiken: om een naam te beheren waarvan
het domein niet onder mijn beheer valt. Ik laat de naam verwijzen naar
een naam die wel onder mijn beheer valt, dan kan ik TTL en IP
veranderen.

Daar is IMHO een CNAME ook voor ;-)

Enkel op een node.

Ok (in de .nl. zonefile):

example.nl. IN CNAME other-example.nl.

Niet Ok (in de .nl. zonefile):

ns1.example.nl. IN A 127.0.0.1
ns2.example.nl. IN A 127.0.0.2

example.nl. IN NS ns1.example.nl.
example.nl. IN NS ns2.example.nl.
example.nl. IN CNAME other-example.nl.

Ook niet Ok (in ns{1,2}.example.nl):

example.nl. IN SOA ( )
example.nl. IN CNAME other-example.nl.

Ook niet als je het spelt:

$ORIGIN example.nl.

@ IN SOA ( )
@ IN CNAME other-example.nl.

of als:

$ORIGIN example.nl.

IN SOA ( )
IN VNAME other-example.nl.

Herhaling: een CNAME kan nooit samen met andere RRs voorkomen.

- Philip

[richard lucassen]

On 21 Dec 2009 19:13:51 GMT

Post by Philip Paeps

Post by richard lucassen
Daar is IMHO een CNAME ook voor ;-)

Enkel op een node.

Uiteraard. Ik gebruik zeer weinig CNAME's, alleen om, zoals ik al eerder
postte, de ip-toewijzing van een server (node dus) te laten beheren door
een ander. Het komt niet eens in me op om een domein te CNAME'n. Domein
beheren == domein verhuizen. Punt. De domeineigenaar die dat niet wil
zoekt het verder maar uit.

[knip cname]

Maar nu je toch hier bent, je weet dat misschien vast wel: ik heb
ergens een Nagios3 draaien en die vraagt voor iedere entry iedere keer
quad-A records op. Ook al laad ik de ipv6 module niet, Nagios3 blijft
ermee doorgaan. Zit die slimmigheid niet in een libresolv om te zien of
ipv6 niet enabled is of is zit zoiets in Nagios zelf?

R.
--
___________________________________________________________________
It is better to remain silent and be thought a fool, than to speak
aloud and remove all doubt.

+------------------------------------------------------------------+
| Richard Lucassen, Utrecht |
| Public key and email address: |
| http://www.lucassen.org/mail-pubkey.html |
+------------------------------------------------------------------+

[Philip Paeps]

Post by richard lucassen

Post by Philip Paeps

Post by richard lucassen
Daar is IMHO een CNAME ook voor ;-)

Enkel op een node.

Uiteraard. Ik gebruik zeer weinig CNAME's, alleen om, zoals ik al eerder
postte, de ip-toewijzing van een server (node dus) te laten beheren door een
ander. Het komt niet eens in me op om een domein te CNAME'n. Domein beheren
== domein verhuizen. Punt. De domeineigenaar die dat niet wil zoekt het
verder maar uit.
[knip cname]
Maar nu je toch hier bent, je weet dat misschien vast wel: ik heb ergens een
Nagios3 draaien en die vraagt voor iedere entry iedere keer quad-A records
op. Ook al laad ik de ipv6 module niet, Nagios3 blijft ermee doorgaan. Zit
die slimmigheid niet in een libresolv om te zien of ipv6 niet enabled is of
is zit zoiets in Nagios zelf?

De resolver is slim genoeg om te weten dat IPv6 de toekomst is, en gaat eerst
AAAA proberen voor hij A probeert. Waarschijnlijk gethostbyname() ofzo. En
als Nagios (om welke reden dan ook?) geen IPv6 support heeft, gebruikt die
enkel de AF_INET entry in de address list (c.q. de enige entry, als de host
die je resolvt geen AAAA record heeft).

- Philip

[richard lucassen]

On 22 Dec 2009 08:01:07 GMT

Post by Philip Paeps

Post by richard lucassen
Maar nu je toch hier bent, je weet dat misschien vast wel: ik heb
ergens een Nagios3 draaien en die vraagt voor iedere entry iedere
keer quad-A records op. Ook al laad ik de ipv6 module niet, Nagios3
blijft ermee doorgaan. Zit die slimmigheid niet in een libresolv om
te zien of ipv6 niet enabled is of is zit zoiets in Nagios zelf?

De resolver is slim genoeg om te weten dat IPv6 de toekomst is, en
gaat eerst AAAA proberen voor hij A probeert. Waarschijnlijk
gethostbyname() ofzo. En als Nagios (om welke reden dan ook?) geen
IPv6 support heeft, gebruikt die enkel de AF_INET entry in de address
list (c.q. de enige entry, als de host die je resolvt geen AAAA record
heeft).

Ok, het is is wel ipv6 voorbereid, sterker nog: het IS ipv6, maar die
Nagios controleert alleen maar ipv4 entries. Nu dacht ik dat die lib wel
zo slim zou zijn dat-ie draait op een niet enabled ipv6 station (ik had
ipv6 even op off gezet), dat-ie dan de AAAA queries wel achterwege zou
laten (want toch geen ipv6 transport)

Het "probleem" (nou ja, het is een cosmetisch probleem) is dat hij geen
negative caching pleegt op niet bestaande AAAA records en dat-ie de
caching resolver constant lastig valt met AAAA queries die niet aanwezig
zijn.

Ik kan natuurlijk ook de hele hut naar ipv6 tillen natuurlijk maar dat
is wel een klauw werk.

R.
--
___________________________________________________________________
It is better to remain silent and be thought a fool, than to speak
aloud and remove all doubt.

+------------------------------------------------------------------+
| Richard Lucassen, Utrecht |
| Public key and email address: |
| http://www.lucassen.org/mail-pubkey.html |
+------------------------------------------------------------------+

[Philip Paeps]

Post by Paul van der Vlis

Post by richard lucassen
Vuistregel: gebruik alleen een CNAME als je verwijst naar een domein dat
niet onder jouw beheer valt (...)

Ik wil het juist andersom gebruiken: om een naam te beheren waarvan het
domein niet onder mijn beheer valt. Ik laat de naam verwijzen naar een
naam die wel onder mijn beheer valt, dan kan ik TTL en IP veranderen.

Daar dient NS voor.

CNAME is voor leafnodes, niet voor hele zones.

Je zet NS records voor de zone die je wil beheren naar nameservers onder jouw
beheer. Daar heb je dan volledige controle over de zonefile voor die zone.

Als de bovenliggende zone door knoeiers beheerd wordt die geen NS records
kunnen instellen, heb je jammer genoeg pech. Daar rond werken door CNAME op
verschrikkelijke manieren te (proberen te) verkrachten is geen oplossing.

Je kan een zone niet CNAMEn op nameservers die als NS zijn aangegeven. CNAME
kan *nooit* samen met andere RRs voorkomen in een geldige zone.

De RR voor delegatie heet NS en een NS record lust enkel een A of een AAAA
record. Een NS lust (net als een MX) géén CNAME (een vaak voorkomend, doch
volstrekt verboden, fenomeen).

- Philip

[richard lucassen]

On 21 Dec 2009 19:08:58 GMT

Post by Philip Paeps

Post by Paul van der Vlis
Ik wil het juist andersom gebruiken: om een naam te beheren waarvan
het domein niet onder mijn beheer valt. Ik laat de naam verwijzen
naar een naam die wel onder mijn beheer valt, dan kan ik TTL en IP
veranderen.

Daar dient NS voor.
CNAME is voor leafnodes, niet voor hele zones.

Ik neem aan dat Paul maar 1 enkele naam wil CNAME'n. Met een heel domein
gaat dat inderdaad niet. Nou ja, gaat wel, maar op straffe van een berg
ellende.

R.
--
___________________________________________________________________
It is better to remain silent and be thought a fool, than to speak
aloud and remove all doubt.

+------------------------------------------------------------------+
| Richard Lucassen, Utrecht |
| Public key and email address: |
| http://www.lucassen.org/mail-pubkey.html |
+------------------------------------------------------------------+

[Paul van der Vlis]

Post by Philip Paeps

Post by Paul van der Vlis

Post by richard lucassen
Vuistregel: gebruik alleen een CNAME als je verwijst naar een domein dat
niet onder jouw beheer valt (...)

Ik wil het juist andersom gebruiken: om een naam te beheren waarvan het
domein niet onder mijn beheer valt. Ik laat de naam verwijzen naar een
naam die wel onder mijn beheer valt, dan kan ik TTL en IP veranderen.

Daar dient NS voor.
CNAME is voor leafnodes, niet voor hele zones.

Ik wil geen hele zone's doen, maar er was 1 club die het had draaien op
iets als "domeinnaam.nl", en dat kan dus geen CNAME zijn.
Geen problemen bij de anderen.

Post by Philip Paeps
Je zet NS records voor de zone die je wil beheren naar nameservers onder jouw
beheer. Daar heb je dan volledige controle over de zonefile voor die zone.
Als de bovenliggende zone door knoeiers beheerd wordt die geen NS records
kunnen instellen, heb je jammer genoeg pech. Daar rond werken door CNAME op
verschrikkelijke manieren te (proberen te) verkrachten is geen oplossing.

Het zijn geen knoeiers, maar IP's wijzigen is gewoon een tijdkritische
zaak als er een database achter hangt, en het is handig als je dan alles
zelf in de hand hebt.

Met vriendelijke groet,
Paul van der Vlis.

[richard lucassen]

On Tue, 22 Dec 2009 14:42:41 +0100

Post by Paul van der Vlis
Het zijn geen knoeiers, maar IP's wijzigen is gewoon een tijdkritische
zaak als er een database achter hangt, en het is handig als je dan
alles zelf in de hand hebt.

Je kunt ook een subdomein van dat domein delegeren naar jouw
nameservers. Is dat niet handiger?
--
___________________________________________________________________
It is better to remain silent and be thought a fool, than to speak
aloud and remove all doubt.

+------------------------------------------------------------------+
| Richard Lucassen, Utrecht |
| Public key and email address: |
| http://www.lucassen.org/mail-pubkey.html |
+------------------------------------------------------------------+

[Philip Paeps]

Post by Philip Paeps

Post by Paul van der Vlis

Post by richard lucassen
Vuistregel: gebruik alleen een CNAME als je verwijst naar een domein dat
niet onder jouw beheer valt (...)

Ik wil het juist andersom gebruiken: om een naam te beheren waarvan het
domein niet onder mijn beheer valt. Ik laat de naam verwijzen naar een
naam die wel onder mijn beheer valt, dan kan ik TTL en IP veranderen.

Daar dient NS voor.
CNAME is voor leafnodes, niet voor hele zones.

Ik wil geen hele zone's doen, maar er was 1 club die het had draaien op iets
als "domeinnaam.nl", en dat kan dus geen CNAME zijn. Geen problemen bij de
anderen.

Post by Philip Paeps
Je zet NS records voor de zone die je wil beheren naar nameservers onder jouw
beheer. Daar heb je dan volledige controle over de zonefile voor die zone.
Als de bovenliggende zone door knoeiers beheerd wordt die geen NS records
kunnen instellen, heb je jammer genoeg pech. Daar rond werken door CNAME op
verschrikkelijke manieren te (proberen te) verkrachten is geen oplossing.

Het zijn geen knoeiers, maar IP's wijzigen is gewoon een tijdkritische
zaak als er een database achter hangt, en het is handig als je dan alles
zelf in de hand hebt.

Tijdskritische dingen plan je best. Een paar dagen voor de renumbering, zet
je de TTL van de records die moeten veranderen op een uur, of op een half uur.
De ochtend zelf, zet je de TTL op een halve minuut. Bij het renumberen, zet
je de TTL gelijk weer waar hij moet staan.

Voor het renumberen in de DNS, zorg je ervoor dat er op het oude adres niets
meer luistert.

- Philip

[Philip Paeps]

Ik ben aan het experimenteren met CNAME's. Dit gaat allemaal goed, maar niet
als ik van een domeinnaam zelf een CNAME maak.

Een "domeinnaam" is een node die gedelegeerd is door een hogere autoriteit, in
jouw geval door .nl. Jij kan die niet CNAMEn, tenzij je toegang hebt tot de
.nl zone. Ik neem aan dat dat niet het geval is.

Als ik dat doe dan gaat het wel goed op de master, maar het wordt niet goed
doorgestuurd naar de slave.

Het verbaast me dat named dit lust. Een CNAME kan nooit gelijk met SOA en/of
NS records voorkomen.

Mag dat überhaupt, een domeinnaam die CNAME is?

Zeker. Maar dan is het niet echt een "domein" meer. In plaats van NS
records, moet er dan een CNAME record voor het "domein" in de hogerliggende
zone.

Komt het wel vaker voor dat als je een fout maakt in een DNS record, dat
zo'n record dan niet correct wordt doorgestuurd naar een slave?

In dit geval had je geen 'slaves' meer, want je CNAME 'overschaduwde' de NS
records.

Wie weet een testprogramma om te controleren of een DNS record correct is?
Misschien wel handig om zoiets standaard te gaan draaien.

nslint.

- Philip

[blacklistme]

Post by Paul van der Vlis
Hallo,
Ik ben aan het experimenteren met CNAME's. Dit gaat allemaal goed, maar
niet als ik van een domeinnaam zelf een CNAME maak.
Als ik dat doe dan gaat het wel goed op de master, maar het wordt niet
goed doorgestuurd naar de slave.
----------
sigmund:/etc/bind/domeinen# nslookup hallo24.nl ns1.vandervlis.nl
Server: ns1.vandervlis.nl
Address: 91.198.178.50#53
Name: hallo24.nl.vandervlis.nl
Address: 91.198.178.50
sigmund:/etc/bind/domeinen# nslookup hallo24.nl ns2.vandervlis.nl
Server: ns2.vandervlis.nl
Address: 91.198.178.25#53
Name: hallo24.nl
Address: 91.198.178.50
-----------
Mag dat überhaupt, een domeinnaam die CNAME is?
Komt het wel vaker voor dat als je een fout maakt in een DNS record, dat
zo'n record dan niet correct wordt doorgestuurd naar een slave?
Wie weet een testprogramma om te controleren of een DNS record correct
is? Misschien wel handig om zoiets standaard te gaan draaien.

Hoewel andere al je vraag hebben beantwoord, maar RFC 973 en 974 zijn
een aardig startpunt om te begrijpen waarom.

RFC 2672 beschrijft DNAME wat eigenlijk een alias op zone-niveau is.
Maar bedenkt goed als er veel nadelen zijn, want je kan er niet vanuit
gaan dat de resolvers begrijpen wat DNAME RR is. De enige code waarvan
zeker is waarbij het werkt is BIND9-code.

B.

[Mendel Mobach]

De wet op behoud van ellende noopte

Post by blacklistme
RFC 2672 beschrijft DNAME wat eigenlijk een alias op zone-niveau is.
Maar bedenkt goed als er veel nadelen zijn, want je kan er niet vanuit
gaan dat de resolvers begrijpen wat DNAME RR is. De enige code waarvan
zeker is waarbij het werkt is BIND9-code.

A6 en DNAME zijn praktisch dood.

[blacklistme]

Post by Mendel Mobach
De wet op behoud van ellende noopte

Post by blacklistme
RFC 2672 beschrijft DNAME wat eigenlijk een alias op zone-niveau is.
Maar bedenkt goed als er veel nadelen zijn, want je kan er niet vanuit
gaan dat de resolvers begrijpen wat DNAME RR is. De enige code waarvan
zeker is waarbij het werkt is BIND9-code.

A6 en DNAME zijn praktisch dood.

Je vergeet SPF en SRV. SRV is wel jammer, want er zit veel potentie in.
Misschien moet iemand maar eens een RFC in elkaar gaan zetten om bv je
e-mailclient automatisch te configureren op basis van SRV-records bij je
maildomein. Kan me herinneren dat sommige Jabber-developers hier ook al
over klaagde.

B.

[Joost de Heer]

Post by blacklistme

Post by Mendel Mobach
A6 en DNAME zijn praktisch dood.

Je vergeet SPF en SRV.

Active Directory hangt van SRV records aan elkaar.

Joost