Re: Problème pour résoudre un nom avec Bind
François TOURDE a écrit :
>Le 13027ième jour après Epoch,
>Stephane Bortzmeyer écrivait:
>
>
>
>>Avec les types NS ou SOA, oui, ça n'a de sens que pour une zone (j'ai
>>bien dit zone et pas domaine, tous les domaines ne sont pas des zones,
>>par exemple asso.re n'est pas une zone alors que asso.fr l'est).
>>
>>
>
>Dis moi si je me trompe (notion pas forcément claire dans mon cas),
>mais une *zone* c'est un (sous-)domaine pris en charge et déclaré dans
>un DNS, c'est bien ça?
>
>
C'est bien ca. Un petit exemple pour mieux comprendre. Si tu as un
domaine domaine.fr et que tu veux créer un sous domaine sous.domaine.fr,
tu as 2 possibilités, soit tu l'integre a ta zone domaine.fr avec des
entrées comme :
...
www.sous IN A 1.2.3.4
...
dans ce cas, sous.domaine.fr est un sous domaine mais pas une zone.
Soit tu declare la zone sous.domaine dans le named.conf de ton bind avec
une conf du genre :
zone "sous.domaine.fr" {
...
options
...
}
puis dans la zone, tu declare tes entrées:
...
www IN A 1.2.3.4
...
dans ce cas, sous.domaine.fr est une zone.
C'est pour cette raison que seul les zones peuvent avoir un SOA et des
NS, les sous-domaines qui ne sont pas des zones ont les SOA et NS de la
zone a laquelle ils appartiennent.
>
>
>>Beaucoup d'administrateurs DNS ne maintiennent pas cette information,
>>puisqu'elle ne sert qu'à la documentation, contrairement aux NS qui
>>ont un rôle concret.
>>
>>Exemple ? Le domaine "sn", par exemple.
>>
>>
>
>Arf :( ... Du coup, comment fait-on pour avoir le DNS primaire d'une
>zone? On les interroge tous jusqu'à ce que l'un d'eux réponde qu'il
>est autoritaire sur la zone?
>
>
Il ne faut pas confondre primaire et autoritaire. Un serveur dns declaré
avec une entrée NS pour une zone est autoritaire pour cette zone. Le
serveur primaire est normalement celui qui possede la map qui est
repliquée sur l'ensemble des autres dns. Un serveur dns peut avoir la
map d'une zone sans etre autoritaire, il suffit pour cela qu'il soit
dans les allow-transfert d'un serveur qui possede deja la map.
Les SOA mal configurés le sont parfois volontairement, certains experts
securités le conseillent pour rendre les attaques plus difficiles (le
pirate doit d'abord trouver le SOA et souvent dans ce cas le SOA n'est
pas accessible depuis Internet).
Autre detail, certain systeme dns peuvent avoir plusieurs SOA, c'est le
cas des DNS windows qui utilise l'annuaire AD en multi-maitre.
>/F - Qui a trop tendance à penser que les admins sont 'propres' dans
>ce qu'ils font ;)
>
>
>
Reply to: