Примусити DNS-передавачі запити в режим TCP

Я встановив DNS-сервер на SLES10 (в даний час пов'язує 9,6) на багатодомному сервері. Цей сервер можна запитувати з усіх внутрішніх мереж і надає відповіді для всіх внутрішніх мереж. У нас є дві окремі "майстерні" зони DNS. Кожну з цих зон обслуговує ряд авторитетних Windows-DNS-серверів.

Тепер мій linux-сервер є вторинним DNS-сервером для однієї з цих зон (приватна внутрішня зона) і виступає переадресатором для іншої зони (публічна внутрішня зона).

Ще недавно ця установка працювала без проблем. Тепер я отримую - при запиті в публічну внутрішню зону (наприклад, за допомогою hostкоманди на клієнті Linux) повідомлення про помилку

;; Обрізаний, повторний досвід у режимі TCP

a wireshark-dump виявив причину цього: Перший запит вимикається в режимі UDP, відповідь не вкладається в UDP (через тривалий список авторитетних NS), потім він повторюється в режимі TCP, надаючи правильну відповідь.

Тепер питання: Чи можу я налаштувати свою прив'язку для запиту експедиторів у режимі TCP, не намагаючись спочатку UDP?

Оновлення: Пробую руку на ASCII-art ...

+--------------+   +--------------+   +-----------------+
| W2K8R2 DNS   |   | SLES 10 DNS  |   | W2K8R2 DNS      |
| Zone private +---+ All internal +---+ Zone public     |
| internal 2x  |   |   Zones      |   | internal 30+ x  |
+--------------+   +-+----------+-+   +-----------------+
                     |          |
                  +--+---+   +--+---+
                  |Client|   |Client|
                  +------+   +------+

По-перше, я б не назвав це помилкою, а лише інформаційним повідомленням.

По-друге, сервери DNS завжди відповідатимуть на запити UDP (принаймні, BIND, я не можу знайти варіанти відключення UDP), і клієнти завжди (?) Спробують спочатку надіслати запит UDP (наприклад, у resoluv.conf немає варіантів, щоб змінити це ні в JVM) - якщо вони вміщуються в пакет UDP (запити зазвичай роблять)

Якщо у вас є конкретний випадок використання, ви можете вказати на використання TCP, наприклад, у скрипті оболонки використовувати 'dig + tcp' або 'host -T' для вирішення, і ви можете використовувати системні виклики 'sethostent / gethostbyname / endhostent' (див. Man сторінки) змусити TCP в інших випадках.

Якщо ви дійсно хочете спробувати заблокувати UDP, єдиний варіант, який я бачу, - це правило iptable, але я не впевнений, що ця настройка спрацює. Я очікую, що дозвіл DNS просто не вдасться.

Ваш BIND-сервер повинен використовувати EDNS (див. RFC 2671), щоб дозволити пакети UDP довше 512 байт.

options {
    edns-udp-size 4096;
    max-udp-size 4096;
};

Це повинно дозволити отримання великого набору NS через UDP, не вимагаючи накладних витрат на з'єднання TCP для інших менших запитів.

Зауважте, що це фактично значення за замовчуванням. Якщо EDNS не використовується, або щось блокує його, або сервери, що отримують параметри EDNS, не підтримують його.

Також зверніть увагу, що hostEDNS не підтримує. Цілком можливо, що ваш запит на сервер -> вже використовує EDNS, і ви просто не можете його бачити при спробі з місцевим клієнтом.

Спробуйте dig +bufsize=4096 @server hostname Aзамість використання host.