domain-name-system – bind9“发送响应错误：主机无法访问”

我有许多DNS服务器,都在fedora下运行bind9(9.5.1,具体).其中4个是奴隶,由我们公共DNS的共同主人提供.这些都位于我们各个办事处的公共门户.
其中一个在其日志文件中有大量消息,类似于：

Jul 21 17:26:18 gateway named[3487]: client 10.171.3.8#52500: view internal: error sending response: host unreachable

我想知道它来自哪里.防火墙在两台计算机之间的端口53上打开(10.171.3.8是位于Windows域控制器上的内部DNS服务器).内部域不会将网关列为名称服务器(因此不应该尝试复制域),并且网关不处理任何内部DNS.这些消息中的客户端在内部网络上的两个域控制器和第三个内部名称服务器(在网络的不同段上的debian上运行bind9)之间有所不同.
任何指针都非常受欢迎.

在回复第一个答复时：

这个问题确实是tcpdump没有出现任何问题.这是“tcpdump -i any port 53”的摘录

09:13:38.283308 IP valine.aminocom.com.61815 > ns-pri.ripe.net.domain: 14075 PTR? 166.225.58.95.in-addr.arpa. (44)
09:13:42.007410 IP gateway-eng.aminocom.com.37047 > alanine.aminocom.com.domain: 35410+ PTR? 12.3.172.10.in-addr.arpa. (42)

同时,DNS日志显示：

Jul 22 09:13:38 gateway named[3487]: client 10.171.3.6#61300: view internal: error sending response: host unreachable
Jul 22 09:13:40 gateway named[3487]: client 10.172.3.12#56230: view internal: error sending response: host unreachable
Jul 22 09:13:40 gateway named[3487]: client 10.171.3.8#55221: view internal: error sending response: host unreachable
Jul 22 09:13:49 gateway named[3487]: client 10.171.3.8#51342: view internal: error sending response: host unreachable

很明显在09:13:40有两次连接到内部机器的尝试失败(10.172.3.12和10.171.3.8,都是DNS服务器),但tcpdump输出中没有任何内容.

解决方法

我猜这是由于当BIND尝试将响应发送到该IP时发送ICMP主机无法访问的方式.如果我是你,我会做一个tcpdump,看你是否能抓住谁发送它.也许防火墙未配置为允许UDP从防火墙返回(客户端可能不使用端口53).