Bind9 + dig AXFR

[oln]

Hallo Forum,
meine DNS(Bind9) möchte nicht das ich die Abfrage mit AXFR bekomme.
Die Ausgabe ist dann wie folgt:

Code: Alles auswählen

# dig @localhost mydomain.com AXFR

; <<>> DiG 9.16.33-Debian <<>> @localhost mydomain.com AXFR
; (1 server found)
;; global options: +cmd
; Transfer failed.

Im syslog kommt folgender Eintrag:

Code: Alles auswählen

client @0x7f5574014720 127.0.0.1#56959 (mydomain.com): zone transfer 'mydomain.com/IN' denied

Dem Bind ist es aber eigentlich erlaubt. Hier die named.conf.options:

Code: Alles auswählen

acl internals { localhost;127.0.0.0/8;192.168.0/24;192.168.1/24;192.168.100/24; };

options {
        directory "/var/cache/bind";
        notify no;
        empty-zones-enable no;
        auth-nxdomain yes;
        forwarders {9.9.9.9;149.112.112.112;}; //quad9
        allow-transfer { internals; };
        dnssec-validation no;
        listen-on-v6 { none; };
        minimal-responses yes;
        allow-query { "internals"; };
        allow-query-cache { "internals"; };
        recursion yes;
        allow-recursion { "internals"; };
        tkey-gssapi-keytab "/var/lib/samba/bind-dns/dns.keytab";
};

Was habe ich übersehen?
Danke.

[heisenberg]

Mir fällt auf, dass bei allow-transfer das internals ohne Anführungszeichen eingetragen sind, bei den übrigen Verwendungen aber mit.

[oln]

Mir fällt auf, dass bei allow-transfer das internals ohne Anführungszeichen eingetragen sind, bei den übrigen Verwendungen aber mit.

Das ist mir auch noch aufgefallen. Macht aber keinen Unterschied.

[oln]

Merkwürdig ist auch, dass es bei Buster geht und bei Bullseye nicht mit der selben Konfiguration.

[MSfree]

Merkwürdig ist auch, dass es bei Buster geht und bei Bullseye nicht mit der selben Konfiguration.

Zwischen Buster und Bullseye hat sich einiges bezüglich apparmor in Kombination mit bind9 geändert. Konfigurationen, die unter Buster gingen, müssen also nicht zwangsläufig unter Bullseye funktionineren. Ich würde mal das Log nach "apparmor"-Meldungen durchsuchen.

[oln]

In den Logs finde ich nichts was appamor und bind9 betrifft.

[MSfree]

In den Logs finde ich nichts was appamor und bind9 betrifft.

Ich hoffe, du hast mit grep -i gesucht. Ich weiß nämlich gerade nicht, wie die Schreibweise von AppArmor im journal aussieht.

[oln]

Ich hoffe, du hast mit grep -i gesucht. Ich weiß nämlich gerade nicht, wie die Schreibweise von AppArmor im journal aussieht.

Da hoffst du richtig.