记录一次dns故障（bind 拒绝客户端连接）

记录一次wifi不能访问域名的解决过程：

今天断电了一次，发现有部分使用wifi的电脑不能访问所有外部域名.
把该电脑换一个wifi源，发现访问外部域名是可以的。
由于wifi使用的是一套ap+ac的无线wifi方案（ http://www.sundray.com.cn）
暂时不能找出这套wifi系统出了啥故障。

所以尝试从我们的内部dns服务查原因：

在有故障的电脑上使用nslookup检查公司内部的dns服务：

hello-1:~ $ nslookup 
> server 192.168.0.2
Default server: 192.168.0.2
Address: 192.168.0.2#53
> www.baidu.com
Server:		192.168.0.2
Address:	192.168.0.2#53


** server can't find www.baidu.com: REFUSED
> www.baidu.com
Server:		192.168.0.2
Address:	192.168.0.2#53

在named服务器上监听客户端的请求：

[root@named ~]# tcpdump -i enp0s25 host 192.168.10.56 and port 53
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on enp0s25, link-type EN10MB (Ethernet), capture size 262144 bytes
10:31:10.218528 IP master.domain > 192.168.10.56.17742: 5804 Refused- 0/0/0 (31)
10:31:10.220072 IP 192.168.5.56.57871 > master.domain: 24464+ A? www.baidu.com. (31)
10:31:10.220406 IP master.domain > 192.168.10.56.57871: 24464 Refused- 0/0/0 (31)

发现客户端的dns查询都被Refused了。

在named的配置文件(/etc/named.conf)增加 ：allow-query { any; };选项。
如下：

options{
  directory "/var/named";
  dump-file  "/var/named/data/cache_dump.db";
  statistics-file "/var/named/data/named_stats.txt";
  allow-transfer{ none; };
  allow-query { any; };
  ...
};

重启 named

systemctl status named

再次在有故障的电脑上测试：

hello-1:~ zyh$ nslookup 
> server 192.168.0.2
Default server: 192.168.0.2
Address: 192.168.0.2#53
> www.baidu.com
Server:		192.168.0.2
Address:	192.168.0.2#53


Non-authoritative answer:
www.baidu.com	canonical name = www.a.shifen.com.
Name:	www.a.shifen.com
Address: 115.239.211.112
Name:	www.a.shifen.com
Address: 115.239.210.27
> 

发现问题已经解决。

附：

allow-query ？

设定哪个主机可以进行普通的查询。allow-query也能在zone语句中设定，这样全局options中的allow-query选项在这里就不起作用了。默认的是允许所有主机进行查询。

参考：https://serverfault.com/questions/122081/dig-returns-status-refused-for-external-queries