/var/log/messages

ruslandh · Конфигурация компьютера

host sylistron.org
sylistron.org has address 204.221.75.14
Что-то не так ip высчитал.

Belansky · Отправлено: **22:19, 16-02-2004** | #3

Patrick
Это сообщение значит, что относительно хоста sylistron.org был получен ответ от неавторитетного DNS-сервера.

Patrick · Отправлено: **10:40, 17-02-2004** | #4

Т.е., проще говоря, данному хосту соответствует на самом деле другой ай-пи. Ну и что из этого может из этого вытечь? Кстати, у меня щас получилось то же самое:

Цитата:

host sylistron.org
sylistron.org has address 204.221.75.14

Belansky · Отправлено: **21:02, 17-02-2004** | #5

Patrick
Ну, может быть сервер выдал неверную информацию, так как до него не дошли изменения зоны. Но, не исключен и тот вариант, что данный DNS-сервер ломанули и таким образом пытаются заманить на другой web-сайт.

Patrick · Отправлено: **17:18, 18-02-2004** | #6

Мож есть смысл со стороны инета закрыть файволом порты, через которые бинд слушает сеть? Какие это порты? Судя по тому, что показывает socklist это 53 и 1025, причем через 53 бинд слушает как udp, так и tcp. Это правильно? И вообще, как увидеть, что бинд был сломан (или была попытка взлома) с целью заманить на другой хост (или еще с какой)?

Спасибо

Belansky · Отправлено: **23:38, 18-02-2004** | #7

Patrick
По умолчанию named слушает 53 порт, если не указанно иное. Обнаружить взлом DNS-сервера довольно таки сложно. Если Вы не используете собственный DNS-сервер, то проще отключить запуски демона named. Если же Вам он нужен, то полностью закрывать 53 порт не стоит. Возможно использовать встроенные в BIND средства защиты, как-то проведение транзакций только с доверенными серверами и т.д.

Patrick · Отправлено: **15:01, 19-02-2004** | #8

Да, раньше использовался ДНС прова, но в последнее время он у них постоянно падает

Вот и пришлось поднимать бинд у себя на шлюзе

Раньше я никогда этого не делал, поэтому и вопросы

Короче, я проверил, чтобы службы в локалке могли использовать ДНС на шлюзе, достаточно с о стороны инета оставить открытым порт 1025, а 53 можно закрыть. Со стороны ЛВС, видимо, и 53 порт надо оставить открытым. Вот только зачем бинд слушает tcp? Запросы на порт 53 по этому протоколу, похоже, не приходят.

Belansky · Отправлено: **23:58, 19-02-2004** | #9

Patrick
В новых версиях BIND, в которых зонные транзакции, если так настроено специально, происходят с авторизацией и с применением шифрования, в случае, если транзакция не может быть осуществлена с помощью UDP, применяется TCP.

Patrick · Отправлено: **16:05, 23-02-2004** | #10

Спасибо за советы

.

После того как 53 *порт был со стороны инета закрыт, такая строка больше не появляется

Еще вопрос по тому же логу - появилась строчка:

Feb 23 01:55:44 hostname -- MARK --

Это че такое?!