转发后DNS bind9服务器故障

Question

我正在为学校设置一个带有Ubuntu18.06的vm中的dns服务器，在转发请求时遇到一些奇怪的行为，而我的服务器并不具有权威性。我的服务器在named.conf.options中forwarders中请求dns服务器。即使它收到正确的响应解析查询，我的服务器回复服务器故障给我的客户端。

我的服务器能够解析有关区域的查询，这些区域是它权威的，但不是外部域。

named.conf.options的内容：

options {                                                                                                                       
    directory "/var/cache/bind";                                                                                                                                                                                                                    
    forwarders {                                                                                                                    
        8.8.8.8;                                                                                                        
    };
    dnssec-validation auto;                                                                                                                                                                                                                         
    auth-nxdomain no;    # conform to RFC1035                                                                               
    listen-on-v6 { any; };
};

我试过添加

allow-recursion { any; };
allow-query { any; };
allow-query-cache { any; };

但它并没有改变这种行为。

我也试过：

• 重新安装bind9
• 重新安装整个操作系统
• 切换到Ubuntu 16.04
• 移除区配置
• 以上内容的不同组合

我也读过一些可能是由于我的路由器的安全配置，但我不知道如何或是否应该触摸它。

有人能帮我解决这个问题吗？

编辑日志文件内容：

29-May-2021 15:47:35.187 resolver: notice: DNS format error from 192.112.36.4#53 resolving ./NS: non-improving referral

这条线和不同的IP有很多次。我猜他们是根服务器。

Answer 1

该错误通常是由转发区域后面的委托引起的。

您可以使用这个简单的设置来再现错误。

• forwards是将domain.com转发给A的DNS服务器。
• A-Server是domain.com的权威
• A-服务器具有指向B的sub.domain.com委托
• B-服务器是sub.domain.com的权威

所发生的是

• 用于abcd.sub.domain.com的客户端查询F-服务器
• -服务器将查询转发给A-服务器
• 服务器使用引用sub.domain.com委托的NS记录进行响应。
• F-server接收NS记录，但由于不改进推荐而不跟踪它们。

经验法则是要么设置委托设置，要么转发设置。不是两者都是。尤其是没有后续的代表团。

此方案中最快的修复方法是为子区域创建另一个转发区域。在Windows术语中，这是另一个条件转发器。在Bind中，它只是另一个转发区域语句。