Un tuc était pas clair (pour moi) c’est que si on ferme le bind globalement au niveau des requêtes externes, il faut les ouvrir à nouveau pour les domaines qui sont déclarés sur le serveur en question, sinon, ils ne seront plus accessibles. Evidemment en y repensant maintenant, c’est ultra logique.

C’est ce qui m’est bêtement arrivé aujourd’hui. J’ai suivi le conseil sans trop chercher et j’avais mes domaines qui ne répondaient plus. Ça n’a pas l’air de m’avoir causé de tort entre les caches, le DNS secondaire, … mais bon, j’aurai dû réfléchir.

Là avec le “allow-query { any; };” dans chacunes de mes zones master, ça marche bien mieux ;-)

On autorise évidemment les réponses pour certains domaines en définissant une zone. Par exemple :
zone "example.com" {
type master;
file "/etc/bind/db.example.com";
allow-query { any; };
allow-transfer { "myacl1"; };
};

Pour le allow-transfert{}, il est recommandé de le désactiver globalement et de l’activer spécifiquement pour les domaines concernés dans la configuration de zone. Exemple :
allow-transfert{none;};
zone "example.com" {
allow transfer { "acl1"; };
zone "anotherexample.com" {
allow transfer { "acl2"; };
}
Bien sûr, si tu n’as qu’un seul serveur secondaire, ça se discute (pense néanmoins aux évolutions possibles). Enfin, tu as compris : le principal est de ne pas répondre à tout le monde !

Merci pour le conseil, j’avais une machine qui me répondait la liste des serveurs Root. J’ai donc ajouté la directive pour “allow-query”.

Par contre, au niveau du transfert, ne faut-il pas autoriser le serveur DNS secondaire pour qu’il puisse se synchroniser ? Je dis peut-être une connerie sachant mes connaissances limitées au niveau des serveurs de noms.

Un petit détail change aussi pour moi, au lieu du simple “localhost”, j’ai aussi “127.0.0.1″ et mes 2 IP publiques dans les blocs autorisés. Je ne sais plus pourquoi c’est comme ça. Est-ce mal ?

merci pour ce petit filtre iptables ; je cherchais justement une solution de la sorte, mais y était sûrement mal pris ;)