Zielport beim DNS Zonentransfer ändern - Nixu?

[FiNe 10]

Hallo,

 

ich hätt da mal ein Problem:

 

Ich möchte auf meinen W2k3 Server eine Slave-Zone eines Bind DNS Servers anlegen.

 

Das Problem: der Bind läuft NICHT auf Port 53 sondern auf Port z.Bsp: 8013

 

Ich muss also meinem W2k3 Server begreiflich machen, dass er sich die Zone vom Port 8013 des Zielrechners holt.

 

Bei einem Linux Rechner würde ich jetzt einfach in der named.conf den entsprechenden Port im Master Eintrag hinzufügen.

 

Wie mache ich das auf einem W2k3 Server ?

 

Googlen hat als einziges artverwandtes nur den MS-Text 247681 ausgeworfen, aber da geht es um den ausgehenden Port und um NT 4.0

 

Grüße

 

FiNe

[IThome 10]

Mir wäre nicht bekannt, dass man den Port ändern könnte und im folgenden Artikel steht, dass der Port TCP 53 sein muss.

A DNS zone transfer between a BIND DNS server and a Windows Server 2003-based DNS server does not work when the BIND DNS server acts as a primary server

"The BIND DNS server must use the default port 53 to receive the query from the secondary Windows DNS server."

Den einzigen relevanten Regkey für den DNS-Dienst, den ich kenne, ist "SendPort", der sich aber auf rekursive UDP-Querys bezieht ...

[Velius 10]

Wer bitte schön wechselt denn den DNS Port? Jeder DNS Client fragt nach dem Port 53...

Security by obscurity?

[FiNe 10]

Wer bitte schön wechselt denn den DNS Port? Jeder DNS Client fragt nach dem Port 53...

Security by obscurity?

 

Ein Hersteller eine DNS Sicherheitslösung der auf einem und dem selben Rechner mehrere Bind implementationen betreibt. Einen "öffentlichen" Bind und einen "hidden" Bind.

 

Wie gesagt, mit Linux und Bind Secondary Servern ist das kein Problem, anscheinend nur mit Microsoft Secondaries.

 

Und bevor du fragst, mit dessen Support drehe ich mich schon seit Stunden im Kreis.

[Velius 10]

 

Wie gesagt, mit Linux und Bind Secondary Servern ist das kein Problem, anscheinend nur mit Microsoft Secondaries.

 

Das mag schön und gut sein (bevor es hier mit einem MS Gebashe losgeht), schon mal überlegt, dass so ziemlich jedes OS standardmäsig DNS Anfragen auf den Port 53 richtet?

DNS wurde in unzälligen RFCs nieder geschrieben ist standard. Ms hält sich daran nur ihr tut es scheinbar nicht.

 

Und besides: DNS Sicherheit löst man anders:wink2:.

 

 

Back to Topic: Mit MS mitteln kommst du wohl nicht weit.

[LukasB 10]

Wie gesagt, mit Linux und Bind Secondary Servern ist das kein Problem, anscheinend nur mit Microsoft Secondaries.

 

Nur weil etwas möglich ist muss man es trotzdem nicht machen ;)

 

Auf die schnelle fallen mir zwei Lösungswege ein - beide sind extrem hässlich:

 

a) Du konfigurierst auf einer Firewall/Paketfilter ein passendes NAT, d.h. du NATest Port 53 der Firewall/Paketfilter auf den 8053 Port des BIND-DNS Servers

 

b) Du installierst BIND auf der Maschine (URL siehe unten), bindest diesen z.B. an 127.0.53.1, und bindest den Microsoft DNS-Server an die LAN IP. Dann lässt du den BIND die Zone von extern holen, und den Microsoft-DNS-Server von 127.0.53.1.

 

ISC BIND Download

 

Aber wie gesagt: Beide Varianten sind absolute Notnägel.

[AmericanJesus 10]

Ich denke nicht, das man den Port ändern kann ... Schließlich gehört ja Port 53 TCP nicht umsonst zu den Reserved Ports für DNS ....

[FiNe 10]

Es geht mir dabei nicht um eine Bastellösung die ich mir mit mehr oder eher weniger "Fachwissen" ( <= bezieht sich auf die von mir ursprünglich beschriebene Lösung !! )selber ausgedacht habe, sondern um die Einbindung von:

 

Nixu Software

[Velius 10]

Dann frag doch den Hersteller der Software wie man sowas macht....

[FiNe 10]

Ich sagte bereits:

 

Und bevor du fragst, mit dessen Support drehe ich mich schon seit Stunden im Kreis.

[blub 115]

 

Und bevor du fragst, mit dessen Support drehe ich mich schon seit Stunden im Kreis.

 

Wenn der Anbieter selber nicht weiss, wie er seine angebotene Lösung implementieren kann, dann seit ihr noch in der "Bastelphase".

[FiNe 10]

Wenn der Anbieter selber nicht weiss, wie er seine angebotene Lösung implementieren kann, dann seit ihr noch in der "Bastelphase".

 

Er regelt das über einen auf der Appliance vorhandenen 2. Bind auf Port 53.

 

Ich wollte hier lediglich in Erfahrung bringen, ob Microsoft es hergibt, sich mit dem "hidden" Bind auf einem anderen Port auszutauschen.

 

Anscheinen nicht.

[Velius 10]

Ich sagte bereits:

 

Wesen support konnte ich nicht wissen - dachte da eher an MS.

–

Ich wollte hier lediglich in Erfahrung bringen, ob Microsoft es hergibt, sich mit dem "hidden" Bind auf einem anderen Port auszutauschen.

 

 

Bin da Blubs meinung: Wenn der Hersteller das nicht weiss, weiso soll dann MS eine Lösung bereit haben.

[FiNe 10]

Bin da Blubs meinung: Wenn der Hersteller das nicht weiss, weiso soll dann MS eine Lösung bereit haben.

 

Weil Microsoft den Microsoft DNS Server programmiert hat. :D

 

Die könnten mir vielleicht den Registry Key/ die Einstellung mitteilen, um dem Microsoft DNS Server beim senden eines DNS requests einen andern Zielport mitzuteilen !

 

Da der Hersteller den Microsoft DNS Server nicht programmiert hat, kann er mir diese Information natürlich nicht liefern.

 

unter Bind würde das ganze so aussehen:

 

Eintrag in der named.conf:

 

zone "name.der.Zone" {

type slave;

file "name.des.files";

masters port Portnummer {IP.des.Primary.Servers;};

};

 

Fertig aus die Maus.

 

Und weil das ein Microsoft-Problem ist, habe ich in einem Microsoft Forum angefragt.

[Lian 2.338]

RFC Konformität ist kein Problem ;)