DNS(BIND9) BIND9.x のをまとめたものです と原因 ジオシティーズ容量大幅アップ セキュリティならお任せ! www.microsoft.com マイクロソフト 少ない初期導入コストで クラウド環境を構築! Ads by Yahoo!JAPAN 主にゾーン転送に関するを載せています ( 一部文法的なものもあります ) 原因については書かれていることが全てではありませんが 検証に基づいて書いています general: warning: zone ( ソ ーン名 )/IN: expired 現在保持しているゾーン情報の有効期限が切れました セカンダリ DNS サーバで出力されるです 以前取得していたゾーン情報が 何らかの原因で転送元 DNS サーバとのゾーン転送ができなくなったため refresh できなくなり SOA レコードに登録されている expire 時間を過ぎてしまったことをしています そのため このゾーンに対する問い合わせがあると このサーバは (SERVFAIL) を返すようになります ゾーン転送失敗の原因は 他のも出力されていますのでそちらを参考にしてください xfer in: error: transfer of '( ソ ーン名 )/IN' from (IP アト レス )#53: failed to connect: host unreachable 転送元 DNS サーバとのゾーン転送に失敗しました ( 接続に失敗 ホストに届きません ) セカンダリ DNS サーバで出力されるです 転送元 DNS サーバに ping を打ってみると Destination Host Unreachable になると思います 原因としては以下のことが考えられます 転送元 DNS サーバが存在していません xfer in: error: transfer of '( ゾーン名 )/IN' from (IP アト レス )#53: failed to connect: connection refused 転送元 DNS サーバとのゾーン転送に失敗しました ( 接続に失敗 接続が拒否されました ) セカンダリ DNS サーバで出力されるです プライマリ DNS サーバ側で TCP53 番宛のパケットを REJECT(DROP ではなく ICMP を返す ) している場合に出力されます ゾーン転送ができませんので ほかのも出力されることがあります xfer in: error: transfer of '( ソ ーン名 )/IN' from (IP アト レス )#53: failed to connect: timed out 転送元 DNS サーバとのゾーン転送に失敗しました ( 接続に失敗 時間切れ ) セカンダリ DNS サーバで出力されるです 原因としては以下のことが考えられます 転送元 DNS サーバが存在していません 転送元 DNS サーバ側で接続を許可していません ( たとえばゾーン転送に使う TCP53 番を許可していないなど ) (named.conf でゾーン転送を拒否している場合は REDUSED のになります ) security: error: client (IP アト レス )#xx: zone transfer ' ( ソ ーン名 )/IXFR/IN' denied security: error: client (IP アト レス )#xx: zone transfer ' ( ソ ーン名 )/AXFR/IN' denied ゾーン転送要求がありましたが 拒否しました プライマリ DNS サーバで出力されるですが セカンダリ DNS サーバでもゾーン転送要求があれば出力します そのゾーンに対するゾーン転送を許可していません ゾーン転送要求をした DNS サーバ側では 複数回ゾーン転送を試みた後 failed while receiving responses: REFUSED のを出力します xfer in: error: transfer of ' ( ソ ーン名 )/IN' from (IP アト レス )#53: failed while receiving responses: REFUSED 転送元 DNS サーバとのゾーン転送に失敗しました ( ゾーン転送が拒否されました ) セカンダリ DNS サーバで出力されるです 転送元 DNS サーバ側の named.conf でゾーン転送が拒否されています このをだした DNS サーバは 何度かゾーン転送を試した後でこのを出力します 転送元 DNS サーバ側では client (IP アト レス )#xx: zone transfer ' ( ソ ーン名 )/AXFR/IN' denied のが出力されます general: info: zone ( ソ ーン名 )/IN: refresh: unexpected rcode (REFUSED) from master (IP アト レス )#53 (source 0.0.0.0#0) ゾーン転送をしようとしたところ 転送元 DNS サーバから REDUSED( 問い合わせ拒否 ) という回答が返ってきました セカンダリ DNS サーバで出力されるです 転送元 DNS サーバ側で そのゾーンに対する問い合わせに対して拒否設定をしているため ゾーン転送前に行う SOA 問い合わせに 失敗しています リフレッシュの場合 SOA の問い合わせに失敗するのでシリアル番号が変わったかどうか判断できず ゾーン転送要求はされません しかし プライマリ DNS サーバからの notify を受信した場合 このは出しますが notify でシリアル番号が変わったことは知っているのでゾーン転送要求を出します xfer out: info: client (IP アト レス )#xx: bad zone zone transfer request: ' ( ソ ーン名 )/IN': non authoritative zone (NOTAUTH) ゾーン転送要求がありましたが 権威がありません ( 設定をしていません )
を出した DNS サーバでは そのゾーンに対する設定がされていません そして その DNS サーバに対して dig の axfr オプションでゾーン転送要求を出すと DNS サーバはこのを出力します ゾーン転送要求を出した DNS サーバ側では non authoritative answer from master~ のを出力します general: info: zone ( ソ ーン名 )/IN: refresh: non authoritative answer from master (IPアト レス)#xx (source 0.0.0.0#0) ゾーン転送前にSOAを問い合わせたところ 転送元 DNSサーバから権威がない ( ゾーン情報を持っていない ) という回答がありました セカンダリDNSサーバで出力されるです リフレッシュの時や設定の再読み込みをした時にSOAの問い合わせをしますが プライマリDNSサーバからそのゾーン情報は持っていないという回答が返ってきました 原因としては以下のことが考えられます プライマリ DNS サーバ側で そのゾーンの設定していない セカンダリ DNS サーバ側で ゾーン名を間違っている 転送元 DNS サーバを誤っている xfer in: error: transfer of ' ( ソ ーン名 )/IN' from (IP アト レス )#53: failed while receiving responses: NOTAUTH 転送元 DNS サーバとのゾーン転送に失敗しました ( 転送元 DNS サーバは そのゾーン情報を持っていません ) セカンダリ DNS サーバで出力されるです 上記の non authoritative answer from master の原因に加えて クエリー (SOA) の問い合わせが拒否されている場合 このが出力されます general: info: zone ( ソ ーン名 )/IN: refresh: unexpected rcode (NXDOMAIN) from master (IPアト レス)#53 (source 0.0.0.0#0) ゾーン転送をしようとしたところ 転送元 DNSサーバから NXDOMAIN( そのようなドメインはありません ) という回答が返ってきました セカンダリDNSサーバで出力されるです 原因は non authoritative answer from master~ と同じですが 例えば プライマリDNSサーバでexample.co.jpとsub1.example.co.jp のゾーンが作られている場合に セカンダリDNS 側で sub2.example.co.jp のゾーンを作った時 sub2.example.co.jpのゾーンに対してこのが出ます プライマリDNSサーバでexample.co.jpのゾーンが作られている場合に セカンダリDNS 側でsub1.example.co.jpと sub2.example.co.jpのゾーンを作った時 sub1.example.co.jpとsub2.example.co.jp のゾーンに対してこのが出ます しかし プライマリDNSサーバでexample.co.jpのゾーンが作られている場合に セカンダリDNS 側でsub2.example.co.jpのゾーンを作った時 このが出力されず sub2.example.co.jpのゾーンに対して non authoritative answer from master~ が出力されます プライマリDNSサーバでexample.co.jpのゾーンが作られてない場合に セカンダリDNS 側でsub1.example.co.jpと sub2.example.co.jpのゾーンを作った時 sub1.example.co.jpとsub2.example.co.jp のゾーンに対して non authoritative answer from master~ が出力されます general: info: zone ( ソ ーン名 )/IN: refresh: unexpected rcode (SERVFAIL) from master (IP アト レス )#53 (source 0.0.0.0#0) ゾーン転送をしようとしたところ 転送元 DNS サーバから SERVFAIL という回答が返ってきました セカンダリ DNS サーバで出力されるです 転送元 DNS サーバのほうでゾーンの設定や状態がきちんとできていません その原因の一つとして 例えば 転送元 DNS サーバもセカンダリ DNS サーバであった場合 何らかの理由でゾーン転送が失敗し続けてゾーン情報が expire( 期限切れ ) となると 問い合わせに対して (SERVFAIL) を返すようになります 転送元 DNS サーバがこのような状況の時にゾーン転送を要求した場合 このが出力されます general: info: zone ( ソ ーン名 )/IN: got transfer quota: skipping zone transfer as master (IP アト レス )#53 (source 0.0.0.0#0) is unreachable (cached) 転送元 DNS サーバに接続できません ( キャッシュ済 ) ので ゾーン転送をスキップしました セカンダリ DNS サーバで出力されるです 転送元 DNS サーバに以前接続できていなかったことをキャッシュしていたのでゾーン転送をスキップしました 原因として 以下のようなことが考えられます 転送元 DNS サーバが存在していません 転送元 DNS サーバ側で接続を許可していません general: info: zone ( ソ ーン名 )/IN: refresh: retry limit for master (IP アト レス )#53 exceeded (source 0.0.0.0#0) ゾーン情報の refresh ができないため retry を繰り返しましたが その上限回数を超えました セカンダリ DNS サーバで出力されるです 転送元 DNS サーバへ接続ができないために ゾーン情報の refresh ができていません 検証したところ 転送元ネームサーバに対して SOA 問い合わせを EDNS0 あり (UDPsize=2048) 3 EDNS0 なし 3 を 15 秒ごとに 実施した後にこのを出力しています ( 検証時では refresh 30, retry 20, expire 60 に設定 ) 出力後 Transfer started の出力と同時に. 今度はゾーン転送 (TCP) を試みます 他のを出している場合もありますので 原因はそちらのも参照にしてください notify: info: client ( 自分自身のIPアドレス )#xx: received notify for zone '( ソ ーン名 )' 自分自身から送信された ゾーンに対するnotifyメッセージを受信しました 再検証できなかったため 情報不足として一時的に内容を取り消します ( バージョンの違いかもしれません ) notify: notice: client (IP アト レス )#xx: received notify for zone '( ソ ーン名 )': not authoritative (IP アドレス ) から そのゾーンの更新の通知メッセージを受信しましたが こちら側では権威がありません ( 設定していません ) ( マスターサーバは ゾーンファイルの NS レコードで指定しているサーバに対して notify メッセージを送信します )
プライマリ DNS サーバでは そのゾーンファイルの NS レコードにこのを受けた DNS サーバを登録しているので ゾーン情報を更新したりすると notify メッセージが送られてきます しかし このを受けた DNS サーバはセカンダリ設定をしていませんので このを出します セカンダリ設定が必要かどうか そのゾーンの管理者に確認をしてください general: info: zone ( ソ ーン名 )/IN: refused notify from non master: (IP アト レス )#xx 転送元 DNS サーバに指定しているサーバ以外からゾーン更新の通知メッセージを受信しましたが それを拒否しました ( マスターサーバは ゾーンファイルの NS レコードで指定しているサーバに対してゾーン更新の通知メッセージを送信します ) セカンダリ DNS サーバで出力されるです このを受けた DNS サーバではセカンダリ設定をしていますが 転送元 DNS サーバに指定しているところ以外から notify が送信されてきましたのでこれを拒否します 原因としては以下のことが考えられます このを出した DNS サーバのセカンダリ設定で 転送元 DNS サーバのアドレスを間違っている notify を送信した DNS サーバ側で 誤ってこの DNS サーバを NS レコードに登録している general: error: zone: zone ( ゾーン名 )/IN: zone serial has gone backwards ゾーン情報のシリアル番号を変更前よりも小さくしています プライマリ DNS サーバのほうで出ます ゾーン情報を更新した場合はシリアル番号を大きくする必要がありますが 誤って以前よりも小さくしています ただし このを出しても変更後のゾーン情報を読み込みます このは最初の設定の再読み込みのときだけ出力され その後は出力されません セカンダリ DNS サーバのほうでは ゾーン転送を試みる度に 下のを出します general: info: zone ( ソ ーン名 )/IN: serial number ( ) received from master (IP アト レス )#xx < ours ( ) 転送元 DNS サーバが持つゾーン情報のシリアル番号 が 自身が持つゾーン情報のシリアル番号 よりも小さいです セカンダリ DNS サーバで出力されるです 転送元 DNS サーバのほうで ゾーン情報のシリアル番号を小さくしたなどが原因でゾーン転送に失敗しています このは refresh によりゾーン転送を試みようとする度に出力されます 転送元 DNS サーバでは 最初の設定読み込みのときだけ error: zone ( ゾーン名 )/IN: zone serial has gone backwards のを出します general: warning: ( ソ ーンファイル名 ):( 行番号 ): no TTL specified; using SOA MINTTL instead $TTL が設定されていません そのため 代わりに SOA レコード内のネガティブ TTL の値を使用します プライマリ DNS サーバで出力されるです BIND9 では ゾーンファイル内の先頭 ( コメント行や $ORIGIN は除く ) に $TTL を記述する決まりになっていますが 設定されていません その場合 BIND9 は SOA レコードのネガティブ TTL の値を $TTL として利用するようになっています general: error: zone ( ソ ーン名 )/IN: zone serial unchanged. zone may fail to transfer to slaves. ゾーンファイルのシリアル番号が変更されていませんので スレーブサーバがあればゾーン転送に失敗します プライマリ DNS サーバで出力されるです ゾーンファイルにある SOA レコードのシリアル番号の数値を上げるのを忘れています このを出した DNS サーバ側では変更後のゾーン情報を読み込みますが スレーブサーバ側ではゾーン転送をしようとしても シリアル番号が同じなのでゾーン情報を更新しません もし ( ゾーン名 ) が empty zone であれば 下を参照してください general: error: zone (empty zone で作られた逆引きゾーン名 )/IN: zone serial unchanged. zone may fail to transfer to slaves. ゾーンファイルのシリアル番号が変更されていませんので スレーブサーバがあればゾーン転送に失敗します BIND9では プライベートIPアドレスやブロードキャストアドレス 未使用アドレスなど インターネット上のDNSへ問い合わせる必要のないアドレスの逆引きについて empty zoneとして自動的に生成してこれを防ぐようになっています ( 自動生成を無効にすることもできます ) errorとなっていますが実際のところではなく いくつかのバージョンで調べてみましたが BIND9.6 ESV R5 だけこのを出すようです rndc reloadをする度にこのを出力します./configure オプションで disable ipv6 を指定しても インターフェースで IPv6 を無効にしてもこのはでます named.conf の option で empty zone を無効にすれば このはでません general: warning: zone ( ソ ーン名 )/IN: ( ソ ーン名 )/MX ' ( ホスト名 )' is a CNAME (illegal) general: error: zone ( ソ ーン名 )/IN: ( ソ ーン名 )/NS ' ( ホスト名 )' is a CNAME (illegal) NS レコードや MX レコードで指定したホスト名は CNAME です (RFC に違反しています ) プライマリ DNS サーバで出力されるです MX CNAME PTR NS 等の右辺で指定しているホスト名については CNAME でつけた別名を使うことはできません メールソフトによっては これをと処理して名前解決ができず メールの送受信ができない可能性があります NS レコードの右辺で指定しているホスト名が CNAME にしている場合 設定の再読み込み時や再起動時の挙動がバージョンによって異なります BIND9.7.3 の場合 rndc reload をすると 設定の再読み込み失敗のを出し 変更前の情報で回答します service named restart をすると named の再起動に失敗し named が起動しません セカンダリ DNS サーバでは は出しますが再読み込みや再起動は可能です BIND 9.6 ESV R1 の場合 rndc reload をすると 設定の再読み込み失敗のを出し 変更後の情報で回答します
service named restart をすると は出しますが named は起動します セカンダリ DNS サーバでは は出しますが再読み込みや再起動は可能です general: error: zone ( ソ ーン名 )/IN: has no NS records general: error: zone ( ソ ーン名 )/IN: not loaded due to errors. NSレコードが登録されていません ゾーンファイルの読み込みができません プライマリDNSサーバで出力されるです ゾーンファイル内で NS レコードが設定されていません 設定の再読み込みの場合は 最初の 1 回だけこのを出して 変更前の情報で回答します notify メッセージを送信しませんので セカンダリ DNS へゾーン転送されません named の再起動をする場合は を出して named の起動に失敗します general: error: zone ( ソ ーン名 )/IN: NS ' ( ホスト名 )' has no address records (A or AAAA) general: error: zone ( ソ ーン名 )/IN: ( ソ ーン名 )/MX '( ホスト名 )' has no address records (A or AAAA) NS レコードに登録したホスト名に対する A( または AAAA) レコードがありません プライマリ DNS サーバで出力されるです ゾーンファイル内で NS レコードに登録したホスト名に対する A( または AAAA) レコードが登録されていません 設定の再読み込みの場合は 最初の 1 回だけこのを出して 変更後の情報で回答します notify メッセージを送信しませんのですぐにセカンダリ DNS へゾーン転送されませんが refresh のタイミングでゾーン転送されます named の再起動は可能ですが は出しません general: warning: zone ( ソ ーン名 )/IN: NS ' ( ホスト名 )' has no address records (A or AAAA) NS レコードに登録したホスト名に対する A( または AAAA) レコードがありません 上記とは同じですが こちらはセカンダリ DNS サーバ側で出る警告のです セカンダリ DNS サーバでは ゾーン転送時や設定の再読み込み時にはこのを出しません named の再起動時にこのを出しますが ゾーン情報は読み込んで named の起動はします general: error: zone ( ソ ーン名 )/IN: ( サフ ソ ーン名 )/NS '(DNS サーハ 名 )' has no REQUIRED GLUE address records (A or AAAA) サブドメインに対する DNS サーバホスト名について 必要なグルーレコードがありません プライマリ DNS サーバで出力されるです 例えば example.co.jp ゾーン内で サブドメイン sub.example.co.jp を ns1.sub.example.co.jp サーバに委譲する場合 example.co.jp ゾーン内で sub.example.co.jp IN NS ns1.sub.example.co.jp だけ記述すると ns1.sub.example.co.jp の名前解決ができないので sub1.example.co.jp の問い合わせは失敗します ns1.sub.example.co.jp IN A 192.168.24.1 このため と ns1.sub.example.co.jp の A( または AAAA) レコードも記述する必要があります ( これをグルーレコードといいます ) これを設定した DNS サーバでは 最初の設定の再読み込みの時と named の再起動の時にこのを出しますが 設定は読み込みます セカンダリ DNS サーバでは 設定の再読み込みや named の再起動をしてもは出しません zone ( ソ ーン名 )/IN: refresh: failure trying master (IP アト レス )#53 (source 0.0.0.0#0): operation canceled refresh のため 転送元 DNS サーバへの接続をしようとしましたが失敗しました 作業をキャンセルしました セカンダリ DNS サーバで出力されるです refresh のため転送元 DNS サーバへ接続しようとしている最中に rndc reload や service named restart などを行った場合 ゾーン転送が中止されることがあります ゾーン転送で取得したファイルが更新されていれば タイミングが悪かっただけで問題ありません zone ( ソ ーン名 )/IN: notify from (IP アト レス )#xx: refresh in progress, refresh check queued notify メッセージを受信しましたがすでにリフレッシュの最中なので そのリフレッシュチェックをキューに入れました セカンダリ DNS サーバで出力されるです notify メッセージを受信したことによってリフレッシュチェックが行われますが すでにリフレッシュチェックをしていたのでキューに入れられました たまたまこのがでることもありますが よく出るようでしたら DNS サーバの処理能力に問題があるかもしれません また プライマリ DNS サーバ側で TCP53 番を許可していない場合リフレッシュ動作に時間がかかりますので プライマリ DNS サーバ側で 連続してゾーンの更新 (=notify の送信 ) があるとこのがでやすくなります general: error: zone ( ソ ーン名 )/IN: refresh: could not set file modification time of '( ファイル名 )': permission denied general: error: dumping master file: (tmp ファイル名 ): open: permission denied xfer in: error: transfer of '( ソ ーン名 )/IN' from (IP アト レス )#53: failed while receiving responses: permission denied ゾーンのリフレッシュをしましたが ファイルの修正時間を設定することができませんでした マスターファイルをダンプしようとしましたがファイルの作成が許可されていません ゾーン転送に失敗しました ( 許可されていません ) 許可されていません セカンダリ DNS サーバで出力されるです セカンダリ DNS サーバは ゾーンのリフレッシュをするとゾーンファイルの更新を行います ( これによって最終更新時間が変わります ) しかし named サービスを起動しているユーザがそのゾーンファイルの更新を許可されていないためにゾーン転送に失敗してしまいます ゾーンファイルのあるディレクトリやゾーンファイルのパーミッションを named サービスを起動しているユーザが書き込めるように変更してください update unsuccessful: (FQDN ホスト名 )/CNAME: 'rrset does not exist' prerequisite not satisfied (YXRRSET) クライアントから DynamicDNS の UPDATE の要求がありましたが成功しませんでした ( 更新しませんでした )
YXRRSET は FQDN ホスト名に対応するレコードが DNS サーバ側に登録されていない場合は更新しますが DNS サーバ側ですでにそのレコードが登録されている場合は更新をしません WindowsPC の設定で この接続のアドレスを DNS に登録する にチェックがあると UPDATE 要求を出します DNS サーバ側で DynamicDNS の設定をしている場合は UPDATE の処理ができていないので設定の見直しが必要です DNS サーバ側で DynamicDNS の設定をしていない 許可をしていない場合は 問題ありません security: warning: zone '( ゾーン名 )' allows updates by IP address, which is insecure DynamicDNS において IP アドレスによるアップデート許可だけでは安全ではありません 設定の再読み込みや再起動のたびに出力されます ではなく セキュリティ上の注意です named.conf 内で allow update でゾーン情報の更新を許可する相手を IP アドレスで指定している場合にこのが出力されます このを出したくない方法としては TSIG によるゾーン情報の更新許可に変更する方法があります security: warning: client (IP アト レス )#xx: RFC 1918 response from Internet for xx.xx.xx.xx.in addr.arpa RFC1918 で予約されているプライベート IPv4 アドレスの問い合わせに対して インターネットから応答がありました RFC1918 で予約されているプライベート IPv4 アドレスとは 10.0.0.0/8 172.16.0.0/12 192.168.0.0/16 です これらはインターネット上では使われませんので 通常はルーティングしませんし 逆引き問い合わせをする必要もありません そのため これらのアドレスに対する逆引き問い合わせがインターネットに向けてされた場合 その警告としてこのようなが出力されます プライベート IP アドレスの問い合わせをインターネット上に出さないためには 不要なプライベートアドレスに対する逆引き設定を行うことです