１つのドメインで複数のサブネットが存在する場合のDNSサーバの構築

複数のサブネットが存在するが、ドメインは１つという場合のDNSサーバ（bind）の設定方法について教えてください。現在、Bクラス（172.31）に8ビットマスクをかけてサブネットワークを構築しています。それをあるサブネットに存在するDNSサーバで、ネットワーク全体をカバーしたいと思っています。ですがDNSサーバと同じサブネットにあるマシンからはDNSが利用できますが、違うサブネットにあるマシンからは「拒絶（refused)」されてしまいます。企業や大学ではよくあるパターンだと思うので、市販本やネットなどいろいろ調べましたが、例として提示してあるのは、1サブネットとドメインというパターン（192.168.0のネットで１つのドメイン）のみで、前述のようなパターンが見つかりません。named.confなどの各ファイルの設定例があれば、紹介していただけませんか？　
　ちなみに間にあるルータはLinuxで構築していますが、これが邪魔してるということはあるのでしょうか？（DNSクライアント側でWiresharkでみたところ、DNSサーバまで届いてるようなのですが・・・）
　よろしくお願いします。

No.2 回答者： Toshi0230 回答日時： 2009/09/06 17:00

> 　確かにそれが疑わしいのかなとは考えています。

いろいろ試しているのですが、上手くいっていないのが現状です。

「いろいろ試す」って……設定ファイルなんですから、見て意味を読み取るようにしないと時間がいくらあっても足らないですよ？
よほど複雑な設定なら解りませんが、クライアントからの名前解決依頼を許可する／しないは基本的には"allow-query" で設定しますので、その設定がどうなっているかを見ていけばよいと思います。

英語がわかるのであれば、iscの"Administrator Reference Manual"を参照しながら設定ファイルを読み進めていった方が良いでしょう。
http://ftp.isc.org/www/bind/arm95/Bv9ARM.html

allow-query周りの説明は以下になります：
http://ftp.isc.org/www/bind/arm95/Bv9ARM.ch06.ht …

No.1 回答者： Toshi0230 回答日時： 2009/09/05 12:37

本題とはちと違いますが、ちょっとまずいだろうと思ったので先に指摘します：

> Bクラス（172.31）に8ビットマスクをかけてサブネットワークを構築しています。

これまずいんじゃないですか？ 172系でプライベートIPとして使用できるのは、172.16.0.0～172.31.255.255 、つまり 172.16.0.0/12 のネットワークです。172.0.0.0/8 はグローバルIPアドレスを含んでしまいますが？（というかすでに日本語が破綻しているし）
それとも、172.31.x.0/24 で運用していると言いたいのでしょうか？　であれば「クラスBのネットワークを24ビットマスクのネットワークで分割して構築している」と書くべき。

本題に戻って、

> 違うサブネットにあるマシンからは「拒絶（refused)」されてしまいます。

named.confでアクセス制限かけてませんか？
bindのゾーン情報設定ではネットワークを意識するところはほとんどありません。

> ちなみに間にあるルータはLinuxで構築していますが、これが邪魔してるということはあるのでしょうか？

「DNSのクエリーがサーバに届いていない」というなら可能性はあります。
(普通はDNSをブロックするなんてことしませんけど）

> （DNSクライアント側でWiresharkでみたところ、DNSサーバまで届いてるようなのですが・・・）

"refused" と応答があるのであればわざわざwiresharkで調べるまでもないですよね。応答がないのであれば、サーバからの回答パケットが検出されていない限り、「サーバまで届いている」なんてことはいえませんけど。

応答が届いているのに名前解決ができない、ということであればそれはDNSサーバ側の設定の問題で、ルータは関係ないですね（ひょっとしたらテスト方法が悪くて、クライアント側の設定を直す必要があるのかもしれんけど）。

この回答へのお礼

回答ありがとうございます。

「クラス（172.31）に8ビットマスクをかけてサブネットワークを構築しています。」は、少し言葉足らずでしたが、プライベートのBクラスアドレスに、さらに8ビットのサブネットマスクをかけて、24ビットマスクとして使用しているという意味です。

>>named.confでアクセス制限かけてませんか？

　確かにそれが疑わしいのかなとは考えています。いろいろ試しているのですが、上手くいっていないのが現状です。

お礼日時：2009/09/05 21:38