~ubuntu-branches/ubuntu/raring/bind9/raring

<!-- $Id: Bv9ARM.ch06.html,v 1.275.8.10 2011-08-03 02:35:13 tbox Exp $ -->

<dt><span class="sect2"><a href="Bv9ARM.ch06.html#id2574283">Comment Syntax</a></span></dt>

<dt><span class="sect2"><a href="Bv9ARM.ch06.html#id2574937"><span><strong class="command">acl</strong></span> Statement Grammar</a></span></dt>

<dt><span class="sect2"><a href="Bv9ARM.ch06.html#id2575127"><span><strong class="command">controls</strong></span> Statement Grammar</a></span></dt>

<dt><span class="sect2"><a href="Bv9ARM.ch06.html#id2575418"><span><strong class="command">include</strong></span> Statement Grammar</a></span></dt>

<dt><span class="sect2"><a href="Bv9ARM.ch06.html#id2575504"><span><strong class="command">include</strong></span> Statement Definition and

          Usage</a></span></dt>

<dt><span class="sect2"><a href="Bv9ARM.ch06.html#id2575527"><span><strong class="command">key</strong></span> Statement Grammar</a></span></dt>

<dt><span class="sect2"><a href="Bv9ARM.ch06.html#id2575550"><span><strong class="command">key</strong></span> Statement Definition and Usage</a></span></dt>

<dt><span class="sect2"><a href="Bv9ARM.ch06.html#id2575709"><span><strong class="command">logging</strong></span> Statement Grammar</a></span></dt>

<dt><span class="sect2"><a href="Bv9ARM.ch06.html#id2575835"><span><strong class="command">logging</strong></span> Statement Definition and

          Usage</a></span></dt>

<dt><span class="sect2"><a href="Bv9ARM.ch06.html#id2577834"><span><strong class="command">lwres</strong></span> Statement Grammar</a></span></dt>

<dt><span class="sect2"><a href="Bv9ARM.ch06.html#id2577908"><span><strong class="command">lwres</strong></span> Statement Definition and Usage</a></span></dt>

<dt><span class="sect2"><a href="Bv9ARM.ch06.html#id2578040"><span><strong class="command">masters</strong></span> Statement Grammar</a></span></dt>

<dt><span class="sect2"><a href="Bv9ARM.ch06.html#id2578084"><span><strong class="command">masters</strong></span> Statement Definition and

          Usage</a></span></dt>

<dt><span class="sect2"><a href="Bv9ARM.ch06.html#id2578099"><span><strong class="command">options</strong></span> Statement Grammar</a></span></dt>

<dt><span class="sect2"><a href="Bv9ARM.ch06.html#id2589395"><span><strong class="command">statistics-channels</strong></span> Statement Definition and

<dt><span class="sect2"><a href="Bv9ARM.ch06.html#id2589534"><span><strong class="command">trusted-keys</strong></span> Statement Definition

<dt><span class="sect2"><a href="Bv9ARM.ch06.html#id2589581"><span><strong class="command">managed-keys</strong></span> Statement Grammar</a></span></dt>

<dt><span class="sect2"><a href="Bv9ARM.ch06.html#id2590007"><span><strong class="command">view</strong></span> Statement Definition and Usage</a></span></dt>

<dt><span class="sect2"><a href="Bv9ARM.ch06.html#id2591558"><span><strong class="command">zone</strong></span> Statement Definition and Usage</a></span></dt>

<dt><span class="sect1"><a href="Bv9ARM.ch06.html#id2595030">Zone File</a></span></dt>

<dt><span class="sect2"><a href="Bv9ARM.ch06.html#id2597260">Discussion of MX Records</a></span></dt>

<dt><span class="sect2"><a href="Bv9ARM.ch06.html#id2597876">Inverse Mapping in IPv4</a></span></dt>

<dt><span class="sect2"><a href="Bv9ARM.ch06.html#id2598003">Other Zone File Directives</a></span></dt>

<dt><span class="sect2"><a href="Bv9ARM.ch06.html#id2598276"><acronym class="acronym">BIND</acronym> Master File Extension: the  <span><strong class="command">$GENERATE</strong></span> Directive</a></span></dt>

<a name="id2574050"></a>Syntax</h4></div></div></div>

<a name="id2574077"></a>Definition and Usage</h4></div></div></div>

<a name="id2574283"></a>Comment Syntax</h3></div></div></div>

<a name="id2574298"></a>Syntax</h4></div></div></div>

<a name="id2574328"></a>Definition and Usage</h4></div></div></div>

<a name="id2574937"></a><span><strong class="command">acl</strong></span> Statement Grammar</h3></div></div></div>

<a name="id2575127"></a><span><strong class="command">controls</strong></span> Statement Grammar</h3></div></div></div>

<a name="id2575418"></a><span><strong class="command">include</strong></span> Statement Grammar</h3></div></div></div>

<a name="id2575504"></a><span><strong class="command">include</strong></span> Statement Definition and

<a name="id2575527"></a><span><strong class="command">key</strong></span> Statement Grammar</h3></div></div></div>

<a name="id2575550"></a><span><strong class="command">key</strong></span> Statement Definition and Usage</h3></div></div></div>

<a name="id2575709"></a><span><strong class="command">logging</strong></span> Statement Grammar</h3></div></div></div>

<a name="id2575835"></a><span><strong class="command">logging</strong></span> Statement Definition and

<a name="id2575888"></a>The <span><strong class="command">channel</strong></span> Phrase</h4></div></div></div>

<a name="id2577315"></a>The <span><strong class="command">query-errors</strong></span> Category</h4></div></div></div>

<a name="id2577834"></a><span><strong class="command">lwres</strong></span> Statement Grammar</h3></div></div></div>

<a name="id2577908"></a><span><strong class="command">lwres</strong></span> Statement Definition and Usage</h3></div></div></div>

<a name="id2578040"></a><span><strong class="command">masters</strong></span> Statement Grammar</h3></div></div></div>

<a name="id2578084"></a><span><strong class="command">masters</strong></span> Statement Definition and

<a name="id2578099"></a><span><strong class="command">options</strong></span> Statement Grammar</h3></div></div></div>

    [<span class="optional"> tkey-gssapi-keytab <em class="replaceable"><code>path_name</code></em>; </span>]

    [<span class="optional"> dnssec-validation (<em class="replaceable"><code>yes_or_no</code></em> | <code class="constant">auto</code>); </span>]

    [<span class="optional"> dns64 <em class="replaceable"><code>IPv6-prefix</code></em> {

        [<span class="optional"> clients { <em class="replaceable"><code>address_match_list</code></em> }; </span>]

        [<span class="optional"> mapped { <em class="replaceable"><code>address_match_list</code></em> }; </span>]

        [<span class="optional"> exclude { <em class="replaceable"><code>address_match_list</code></em> }; </span>]

        [<span class="optional"> suffix IPv6-address; </span>]

        [<span class="optional"> recursive-only <em class="replaceable"><code>yes_or_no</code></em>; </span>]

        [<span class="optional"> break-dnssec <em class="replaceable"><code>yes_or_no</code></em>; </span>]

    }; </span>];

    [<span class="optional"> dns64-server <em class="replaceable"><code>name</code></em> </span>]

    [<span class="optional"> dns64-contact <em class="replaceable"><code>name</code></em> </span>]

    [<span class="optional"> resolver-query-timeout <em class="replaceable"><code>number</code></em> ; </span>]

    [<span class="optional"> response-policy { <em class="replaceable"><code>zone_name</code></em> [<span class="optional"> policy <em class="replaceable"><code>given</code></em> | <em class="replaceable"><code>no-op</code></em> | <em class="replaceable"><code>nxdomain</code></em> | <em class="replaceable"><code>nodata</code></em> | <em class="replaceable"><code>cname domain</code></em> </span>] ; } ; </span>]

<dt><span class="term"><span><strong class="command">tkey-gssapi-keytab</strong></span></span></dt>

<dd><p>

                The KRB5 keytab file to use for GSS-TSIG updates. If

                this option is set and tkey-gssapi-credential is not

                set, then updates will be allowed with any key

                matching a principal in the specified keytab.

              </p></dd>

                and the credential is a Kerberos principal which the

                server can acquire through the default system key

                file, normally <code class="filename">/etc/krb5.keytab</code>.

                The location keytab file can be overridden using the

                tkey-gssapi-keytab option. Normally this principal is

                of the form "<strong class="userinput"><code>DNS/</code></strong><code class="varname">server.domain</code>".

                To use GSS-TSIG, <span><strong class="command">tkey-domain</strong></span> must

                also be set if a specific keytab is not set with

                tkey-gssapi-keytab.

                using GSS-TSIG, this variable must be defined, unless

                you specify a specific keytab using tkey-gssapi-keytab.

                and <span><strong class="command">dnssec-validation</strong></span> for details. 

                If not specified, the default is

                <code class="filename">bind.keys</code>;

                <span><strong class="command">named</strong></span> will load that key at

                startup if <span><strong class="command">dnssec-lookaside</strong></span> is set to

                <code class="constant">auto</code>.  A copy of the file is

                NOTE: <span><strong class="command">named</strong></span> only loads certain specific

                keys from <code class="filename">bind.keys</code>:  those for the

                DLV zone and for the DNS root zone.  The file cannot be

                used to store keys for other zones.

<dt><span class="term"><span><strong class="command">dns64</strong></span></span></dt>

<dd>

<p>

                This directive instructs <span><strong class="command">named</strong></span> to

                return mapped IPv4 addresses to AAAA queries when

                there are no AAAA records.  It is intended to be

                used in conjunction with a NAT64.  Each

                <span><strong class="command">dns64</strong></span> defines one DNS64 prefix.

                Multiple DNS64 prefixes can be defined.

              </p>

<p>

                Compatible IPv6 prefixes have lengths of 32, 40, 48, 56,

                64 and 96 as per RFC 6052.

              </p>

<p>

                Additionally a reverse IP6.ARPA zone will be created for

                the prefix to provide a mapping from the IP6.ARPA names

                to the corresponding IN-ADDR.ARPA names using synthesized

                CNAMEs.  <span><strong class="command">dns64-server</strong></span> and

                <span><strong class="command">dns64-contact</strong></span> can be used to specify

                the name of the server and contact for the zones. These

                are settable at the view / options level.  These are

                not settable on a per-prefix basis.

              </p>

<p>

                Each <span><strong class="command">dns64</strong></span> supports an optional

                <span><strong class="command">clients</strong></span> ACL that determines which

                clients are affected by this directive.  If not defined,

                it defaults to <strong class="userinput"><code>any;</code></strong>.

              </p>

<p>

                Each <span><strong class="command">dns64</strong></span> supports an optional

                <span><strong class="command">mapped</strong></span> ACL that selects which

                IPv4 addresses are to be mapped in the corresponding    

                A RRset.  If not defined it defaults to

                <strong class="userinput"><code>any;</code></strong>.

              </p>

<p>

                Normally, DNS64 won't apply to a domain name that

                owns one or more AAAA records; these records will

                simply be returned.  The optional

                <span><strong class="command">exclude</strong></span> ACL allows specification

                of a list of IPv6 addresses that will be ignored

                if they appear in a domain name's AAAA records, and

                DNS64 will be applied to any A records the domain

                name owns.  If not defined, <span><strong class="command">exclude</strong></span>

                defaults to none.

              </p>

<p>

                A optional <span><strong class="command">suffix</strong></span> can also

                be defined to set the bits trailing the mapped

                IPv4 address bits.  By default these bits are

                set to <strong class="userinput"><code>::</code></strong>.  The bits

                matching the prefix and mapped IPv4 address

                must be zero.

              </p>

<p>

                If <span><strong class="command">recursive-only</strong></span> is set to

                <span><strong class="command">yes</strong></span> the DNS64 synthesis will

                only happen for recursive queries.  The default

                is <span><strong class="command">no</strong></span>.

              </p>

<p>

                If <span><strong class="command">break-dnssec</strong></span> is set to

                <span><strong class="command">yes</strong></span> the DNS64 synthesis will

                happen even if the result, if validated, would

                cause a DNSSEC validation failure.  If this option

                is set to <span><strong class="command">no</strong></span> (the default), the DO

                is set on the incoming query, and there are RRSIGs on

                the applicable records, then synthesis will not happen.

              </p>

<pre class="programlisting">

        acl rfc1918 { 10/8; 192.168/16; 172.16/12; };

 

        dns64 64:FF9B::/96 {

                clients { any; };

                mapped { !rfc1918; any; };

                exclude { 64:FF9B::/96; ::ffff:0000:0000/96; };

                suffix ::;

        };

</pre>

</dd>

                  If set to <strong class="userinput"><code>no</code></strong>, DNSSEC validation

                  is disabled.  If set to <strong class="userinput"><code>auto</code></strong>,

                  DNSSEC validation is enabled, and a default

                  trust-anchor for the DNS root zone is used.  If set to

                  <strong class="userinput"><code>yes</code></strong>, DNSSEC validation is enabled,

                  but a trust anchor must be manually configured using

                  a <span><strong class="command">trusted-keys</strong></span> or

                  <span><strong class="command">managed-keys</strong></span> statement.  The default

                  is <strong class="userinput"><code>yes</code></strong>.

<a name="id2583636"></a>Forwarding</h4></div></div></div>

<a name="id2583763"></a>Dual-stack Servers</h4></div></div></div>

<dt><span class="term"><span><strong class="command">resolver-query-timeout</strong></span></span></dt>

<dd><p>

                  The amount of time the resolver will spend attempting

                  to resolve a recursive query before failing.  The

                  default is <code class="literal">10</code> and the maximum is

                  <code class="literal">30</code>.  Setting it to <code class="literal">0</code>

                  will result in the default being used.

                </p></dd>

<a name="id2584382"></a>Interfaces</h4></div></div></div>

<dd>

<p>

                  Slave servers will periodically query master

                  servers to find out if zone serial numbers have

                  changed. Each such query uses a minute amount of

                  the slave server's network bandwidth.  To limit

                  the amount of bandwidth used, BIND 9 limits the

                  rate at which queries are sent.  The value of the

                  <span><strong class="command">serial-query-rate</strong></span> option, an

                  integer, is the maximum number of queries sent

                  per second.  The default is 20.

                </p>

<p>

                  In addition to controlling the rate SOA refresh

                  queries are issued at

                  <span><strong class="command">serial-query-rate</strong></span> also controls

                  the rate at which NOTIFY messages are sent from

                  both master and slave zones.

                </p>

</dd>

<a name="id2585456"></a>UDP Port Lists</h4></div></div></div>

<a name="id2585584"></a>Operating System Resource Limits</h4></div></div></div>

<a name="id2585869"></a>Periodic Task Intervals</h4></div></div></div>

                  Valid values are 512 to 4096 (values outside this range

<dd>

<p>

                </p>

<p>

                  The overall rate that NOTIFY messages are sent for all

                  zones is controlled by <span><strong class="command">serial-query-rate</strong></span>.

                </p>

</dd>

<li>10.IN-ADDR.ARPA</li>

<li>16.172.IN-ADDR.ARPA</li>

<li>17.172.IN-ADDR.ARPA</li>

<li>18.172.IN-ADDR.ARPA</li>

<li>19.172.IN-ADDR.ARPA</li>

<li>20.172.IN-ADDR.ARPA</li>

<li>21.172.IN-ADDR.ARPA</li>

<li>22.172.IN-ADDR.ARPA</li>

<li>23.172.IN-ADDR.ARPA</li>

<li>24.172.IN-ADDR.ARPA</li>

<li>25.172.IN-ADDR.ARPA</li>

<li>26.172.IN-ADDR.ARPA</li>

<li>27.172.IN-ADDR.ARPA</li>

<li>28.172.IN-ADDR.ARPA</li>

<li>29.172.IN-ADDR.ARPA</li>

<li>30.172.IN-ADDR.ARPA</li>

<li>31.172.IN-ADDR.ARPA</li>

<li>168.192.IN-ADDR.ARPA</li>

<a name="id2588113"></a>Content Filtering</h4></div></div></div>

<div class="sect3" lang="en">

<div class="titlepage"><div><div><h4 class="title">

<a name="id2588372"></a>Response Policy Zone (RPZ) Rewriting</h4></div></div></div>

<p>

            <acronym class="acronym">BIND</acronym> 9 includes an intentionally limited

            mechanism to modify DNS responses for recursive requests

            similar to email anti-spam DNS blacklists.

            All response policy zones are named in the

            <span><strong class="command">response-policy</strong></span> option for the view or among the

            global options if there is no response-policy option for the view.

          </p>

<p>

            The rules encoded in a response policy zone (RPZ) are applied

            only to responses to queries that ask for recursion (RD=1).

            RPZs are normal DNS zones containing RRsets

            that can be queried normally if allowed.

            It is usually best to restrict those queries with something like

            <span><strong class="command">allow-query {none; };</strong></span> or

            <span><strong class="command">allow-query { 127.0.0.1; };</strong></span>.

          </p>

<p>

            There are four kinds of RPZ rewrite rules.  QNAME rules are

            applied to query names in requests and to targets of CNAME

            records resolved in the process of generating the response.

            The owner name of a QNAME rule is the query name relativized

            to the RPZ.

            The records in a rewrite rule are usually A, AAAA, or special

            CNAMEs, but can be any type except DNAME.

          </p>

<p>

            IP rules are triggered by addresses in A and AAAA records.

            All IP addresses in A or AAAA RRsets are tested and the rule

            longest prefix is applied.  Ties between rules with equal prefixes

            are broken in favor of the first RPZ mentioned in the

            response-policy option.

            The rule matching the smallest IP address is chosen among equal

            prefix rules from a single RPZ.

            IP rules are expressed in RRsets with owner names that are

            subdomains of rpz-ip and encoding an IP address block, reversed

            as in IN-ARPA.

            prefix.B.B.B.B with prefix between 1 and 32 and B between 1 and 255

            encodes an IPv4 address.

            IPv6 addresses are encoded by with prefix.W.W.W.W.W.W.W.W or

            prefix.WORDS.zz.WORDS.  The words in the standard IPv6 text

            representation are reversed, "::" is replaced with ".zz.",

            and ":" becomes ".".

          </p>

<p>

            NSDNAME rules match names in NS RRsets for the response or a

            parent.  They are encoded as subdomains of rpz-nsdomain relativized

            to the RPZ origin name.

          </p>

<p>

            NSIP rules match IP addresses in A and AAAA RRsets for names of

            responsible servers or the names that can be matched by NSDNAME

            rules.  The are encoded like IP rules except as subdomains of

            rpz-nsip.

          </p>

<p>

            Authority verification issues and variations in authority data in

            the current version of <acronym class="acronym">BIND</acronym> 9 can cause

            inconsistent results from NSIP and NSDNAME.  So they are available

            only when <acronym class="acronym">BIND</acronym> is built with the

            <strong class="userinput"><code>--enable-rpz-nsip</code></strong> or

            <strong class="userinput"><code>--enable-rpz-nsdname</code></strong> options

            on the "configure" command line.

          </p>

<p>

            Four policies can be expressed.

            The <span><strong class="command">NXDOMAIN</strong></span> policy causes a NXDOMAIN response

            and is expressed with an RRset consisting of a single CNAME

            whose target is the root domain (.).

            <span><strong class="command">NODATA</strong></span> generates NODATA or ANCOUNT=1 regardless

            of query type.

            It is expressed with a CNAME whose target is the wildcard

            top-level domain (*.).

            The <span><strong class="command">NO-OP</strong></span> policy does not change the response

            and is used to "poke holes" in policies for larger CIDR blocks or in

            zones named later in the <span><strong class="command">response-policy</strong></span> option.

            The NO-OP policy is expressed by a CNAME with a target consisting

            of the variable part of the owner name, such as "example.com." for

            a QNAME rule or "128.1.0.0.127." for an IP rule.

            The <span><strong class="command">CNAME</strong></span> policy is used to replace the RRsets

            of response.

            A and AAAA RRsets are most common and useful to capture

            an evil domain in a walled garden, but any valid set of RRsets

            is possible.

          </p>

<p>

            All of the policies in an RPZ can be overridden with a

            <span><strong class="command">policy</strong></span> clause.

            <span><strong class="command">given</strong></span> says "do not override."

            <span><strong class="command">no-op</strong></span> says "do nothing" regardless of the policy

            in RPZ records.

            <span><strong class="command">nxdomain</strong></span> causes all RPZ rules to generate

            NXDOMAIN results.

            <span><strong class="command">nodata</strong></span> gives nodata.

            <span><strong class="command">cname domain</strong></span> causes all RPZ rules to act as if

            the consisted of a "cname domain" record.

          </p>

<p>

            For example, you might use this option statement

          </p>

<pre class="programlisting">response-policy { zone "bl"; };</pre>

<p>

            and this zone statement

          </p>

<pre class="programlisting">zone "bl" {type master; file "example/bl"; allow-query {none;}; };</pre>

<p>

            with this zone file

          </p>

<pre class="programlisting">$TTL 1H

@                   SOA LOCALHOST. named-mgr.example.com (1 1h 15m 30d 2h)

 

; QNAME rules

nxdomain.domain.com         CNAME   .

nodata.domain.com           CNAME   *.

bad.domain.com              A       10.0.0.1

                            AAAA    2001:2::1

ok.domain.com               CNAME   ok.domain.com.

*.badzone.domain.com        CNAME   garden.example.com.

 

; IP rules rewriting all answers for 127/8 except 127.0.0.1

8.0.0.0.127.ip              CNAME   .

32.1.0.0.127.ip             CNAME   32.1.0.0.127.

 

; NSDNAME and NSIP rules

ns.domain.com.rpz-nsdname   CNAME   .

48.zz.2.2001.rpz-nsip       CNAME   .