BIND: включение ведения журнала отклоненных запросов

Вопрос или проблема

dig @ns.mydomain.com www.disney.com
Неавторитарный ответ:
*** Не удается найти www.disney.com: Нет ответа

logging {
        channel "my_queries" {
                file "/var/log/named.queries" versions 600 size 20m;
                print-time yes;
                print-category yes;
                print-severity yes;
                severity dynamic;
        };
        channel "security_file" {
                file "/var/log/named.security";
                severity dynamic;
                print-time yes;
        };
        category "queries" { "my_queries"; };
        category client { "security_file"; };
        category security { "security_file"; };
        category lame-servers { null; };
};

27-Авг-2020 13:33:17.170 безопасность: информация: клиент @0x7f88b57bdf90 192.168.10.165#18237 (www.google.com): представление 192.168.10.0/24: запрос (кэш) 'www.google.com/AAAA/IN' запрещен
27-Авг-2020 13:33:17.170 ошибки-запроса: информация: клиент @0x7f88b57bdf90 192.168.10.165#18237 (www.google.com): представление 192.168.10.0/24: запрос не удался (ОТКАЗАНО) для www.google.com/IN/AAAA в ../../../bin/named/query.c:7144

logging {
  channel replace_syslog {
    file "/var/log/bind/named.log" versions 5 size 2m;
    severity info;
    print-time yes;
    print-category yes;
    print-severity yes;
    };
  category default { replace_syslog; default_debug; default_syslog ; };
  category lame-servers { null; };
  channel query.log {
    file "/var/log/bind/query.log" versions 2 size 2M;
    severity debug 3;
    print-time yes;
  };
  category queries { query.log; };
};

Ответ или решение

Для того чтобы включить логирование отклонённых запросов в BIND 9.11 на CentOS 8 и перенаправить эти данные в fail2ban для блокировки нежелательных запросов, необходимо внести изменения в конфигурацию BIND. Пожалуйста, следуйте следующим шагам:

1. Изменение конфигурации логирования BIND:
   Вам необходимо настроить уровень логирования и категории, чтобы отслеживать отказанные запросы. Предлагаю следующую конфигурацию. Откройте файл конфигурации BIND, обычно это /etc/named.conf, или, если у вас есть отдельный файл конфигурации, например /etc/bind/named.conf.options, откройте его для редактирования.

   Добавьте или измените существующий раздел logging следующим образом:

   logging {
      channel "default_syslog" {
          file "/var/log/named/default.log";
          severity info;
          print-time yes;
          print-category yes;
          print-severity yes;
      };
      channel "security_file" {
          file "/var/log/named/security.log";
          severity dynamic;
          print-time yes;
      };
      channel "query_log" {
          file "/var/log/named/query.log";  // Лог для всех запросов
          severity debug 3;                  // Уровень отладки, можно настроить
          print-time yes;
      };
   
      category default { default_syslog; };
      category security { security_file; };
      category queries { query_log; };
      category query-errors { query_log; };  // Логирование ошибок запросов
      category lame-servers { null; };        // Отключаем логирование уязвимых серверов
   };

   В этом конфигурационном блоке добавлена категория query-errors, која будет записывать ошибки в попытках запросов, упоминая, что клиент не был авторизован. Логи будут записываться в файл /var/log/named/query.log.

2. Настройка BIND для отклонения некорректных запросов:
   Проверьте, чтобы ваши ACL (Access Control Lists) правильно регулировали, кто имеет право запрашивать данные. Убедитесь, что ваш разрешающий блок настроен так, чтобы отклонять запросы от нежелательных IP-адресов. Например:

   acl "trusted" {
      192.168.0.0/24;  // ваш локальный диапазон
   };
   
   options {
      ...
      allow-query { trusted; };  // Разрешаем только доверенным клиентам
      ...
   };

3. Перезагрузка BIND:
   После внесения изменений в конфигурацию, убедитесь, что вы перезапустили службу BIND для применения настроек:

   systemctl restart named

4. Настройка fail2ban:
   Теперь вы можете настроить fail2ban для отслеживания и блокировки IP-адресов с неразрешёнными запросами. Создайте файл конфигурации для нового фильтра, например /etc/fail2ban/filter.d/bind.conf:

   [Definition]
   failregex = .*query-errors: .*query failed \(REFUSED\) for <HOST>.*$
   ignoreregex =

   Затем создайте новую секцию в файле jail.local, например /etc/fail2ban/jail.local:

   [bind]
   enabled  = true
   filter   = bind
   action   = iptables[name=bind, port=53, protocol=all]
   logpath  = /var/log/named/query.log
   maxretry = 3
   bantime  = 3600

5. Перезапуск fail2ban:
   После окончания конфигурации, перезапустите fail2ban:

   systemctl restart fail2ban

Теперь ваш сервер будет логировать отклонённые запросы, и failed запросы от нежелательных клиентов будут блокироваться через fail2ban. Вы сможете мониторить логи и проверять эффективность настроек на протяжении работы вашего DNS-сервера.