[connect24h:02111] Re: DNS の応答パケット？

[Hiroshi Tsukamoto <hirobo-24@xxxxxxx>]

◆◇◆◇◆〜楽天ＰＣ市場で、人気の省スペースマシンがあたる！〜◆◇◆◇◆
◇◆◇　　 ┏━┓┏━┓┏━┓┏━┓┏━┓┏━┓┏━┓┏━┓　　　◇◆◇
◆◇　　　 ┃Ｐ┃┃Ｃ┃┃プ┃┃レ┃┃ゼ┃┃ン┃┃ト┃┃！┃  　　　◇◆
◇  　　　 ┗━┛┗━┛┗━┛┗━┛┗━┛┗━┛┗━┛┗━┛　　　　　◆
　　　　　  http://www.rakuten.co.jp/market/pc/?PR103cast 
------------------------------------------------------------------------


塚本です

>  DNSの問い合わせと応答に使われるパケットについて質問があるのですが、基本
> 的にはUDPが使われていて、512Bytesを越えるものにはTCPが使われる。

そうですけど、実際に一般の問い合わせにtcpが使われ
ることはほとんどありません。tcpが使われるのはゾー
ン転送ぐらいです。

>  使用するPortは、
> 問い合わせ側:SourcePort 1024以上、応答側:DistinationPort 53

bind4(あるいは互換設定)起点の問い合わせでは 53 ->
53ってあったと思います

> Zone転送(元):SourcePort 53、転送先:DistinationPort 53

元は1024以上のポートからもきます。53からくるのは古
いbind4(あるいは互換設定)？

>  このような認識であってますでしょうか？

フィルターされてるんでしたら直してみてはいかがでしょ
うか？

> Mar 13 15:03:47 gw PP[LEASED] Rejected at IN(default) filter: UDP
> xxx.xxx.128.113:32773 > MyDomainServer:3691

これなんでしょう？ (^^;)
よくわかりません。

>  BackDoorかなにかと思ったのですが、このパケットが来る前にNamedが以下の
> ログを出していたのを見つけました。

> Mar 13 15:03:51 ns named[357]: Lame server on '113.112.128.xxx.xxx.in-addr.arpa'
> (in '112.128.xxx.xxx.in-addr.arpa'?): [xxx.xxx.75.2].53 'dns02.xxx.xx.jp'

これはCNAMEトリックを使った逆引きの委譲がおかしいっ
てことかなあ？

アドレスをズバリ出したほうがいいかもしれません。

>  このログのDNS(xxx.xxx.75.2)は発信元IPを持っているDomainのSecondary DNS
> らしいのですが、おかしな事にPrimaryらしきDNSは問い合わせ自体に応答せず、
> このSecondaryの方は正引きは返すものの、逆引きでエラー(登録なし)のエラー
> をだします。
> 
> ※発信元IPのDomainですが、Secondary DNSは他の会社のサーバに割り当てられ
>   ています。

112.128.xxx.xxx.in-addr.arpaの問い合わせでしょうか？

クラスレズな逆引きゾーンでprimaryがdjbdns、セカン
ダリがbindであるか、上位ゾーンの権限を持ってる場合
はそういう現象が起こります。

-- 
塚本  弘
<hirobo-24@xxxxxxx>