大家一起来探讨bind9.2.2一个怪问题(SERVFAIL)

rayharris

我有个DNS server，版本是9.2.2。一直运行很好，解析也正常，但是昨天有个用户反映说不能解析mkt.app.com.cn这个域名，在win2k的客户端及DNS server上运行nslookup均报“can't find mkt.app.com.cn: Server failed”错误。用dig也一样报这个错，但是用dig +trace可以得到正确结果。这个app.com.cn的DNS SERVER是ns1.app.com.cn，IP地址是61.129.62.92。重起我的DNS主机上的named进程该域名就能被查询到，但过会就解析不了了。在app.com.cn上用NSLOOKUP的ls命令可以看到结果如下：
>; server 61.129.62.92
Default Server:  [61.129.62.92]
Address:  61.129.62.92

>; ls app.com.cn
[[61.129.62.92]]
app.com.cn.                    NS     server = dns
bet                            A      61.129.62.101
bw                             A      61.129.62.77
bwdb                           A      61.129.62.78
dns                            A      61.129.62.92
doc                            A      61.129.62.74
fund                           A      61.129.62.76
hainan                         A      202.100.230.151
hub                            A      61.129.62.69
it                             A      61.129.62.103
mail                           A      61.129.62.68
mkt                            A      61.129.62.68
ns1                            A      61.129.62.92
prctr                          A      61.129.62.68
sap                            A      61.129.62.102
smtest                         A      61.129.62.80
st                             A      61.129.62.73
warroom                        A      61.129.62.103
webmail                        A      61.129.62.93
www                            A      61.129.62.102
>;
我发现大多数的DNS可以解析这个域名，但也有些DNS和我是一样的情况，比如202.98.192.68（贵州电信）。
另外，在我的DNS上用nslookup查询它的NS记录，我发现是：
>; app.com.cn
Server:  [xx.xx.xx.xx]
Address:  xx.xx.xx.x

app.com.cn      nameserver = dns
在ns1.app.com.cn上查询它自己的NS记录也是和我一样的结果
而在那些解析正常的DNS上查询，得到的结果是：
>; app.com.cn
Server:  [202.96.199.133]
Address:  202.96.199.133

Non-authoritative answer:
app.com.cn      nameserver = ns1.app.com.cn

ns1.app.com.cn  internet address = 61.129.62.92
我想是不是由于它自己zone文件中的NS记录写错了，造成这个现象，希望大家来探讨一下。另外我还没搞清楚为什么大部分DNS都可以，只有很少的DNS和我有类似现象，是不是由于bind9.2.2的原因（难道工作机理上有了变化？）。

阿骁

建议你可以试试看做两件事，第一重新启动你的 named 进程，然后查询 mkt.app.com.cn. 这时候应该可以查询得到。你再用 rndc dumpdb 命令将 bind 的缓存记录下来。第二，等待一段时间，当 mkt.app.com.cn 不能解析的时候再次用 rndc dumpdb 命令记录缓存。最后把两份缓存记录中的 app.com.cn 部分的内容对比一下，看看是否能查出错在哪里。

rayharris

我做了dumpdb，第一次做的时候，能查询mkt.app.com.cn域名，这时dump文件中的相关信息是：
; glue
app.com.cn.             86391   NS      ns1.app.com.cn.
; authanswer
mkt.app.com.cn.         3593    A       61.129.62.68
; glue
ns1.app.com.cn.         86391   A       61.129.62.92
在解析失败后，再做了次dumpdb，相关信息是：
; authanswer
app.com.cn.             3571    NS      dns.
; authanswer
mkt.app.com.cn.         3563    A       61.129.62.68
; glue
ns1.app.com.cn.         86363   A       61.129.62.92

从这里看，我觉得还是app.com.cn.他的DNS server设置上的问题吧，是它主机上的NS记录设置不正确，他那里设成dns.而不是.com.cn.那里的DNS server上所写的ns1.app.com.cn.
大家觉得我的看法对吗？
另外谢谢版主的指点

aclacl

我觉得你的分析队，是它的soa写得有问题。我遇到过legend.com.cn也是同样的问题。nslookup的结果是：
〉set q=soa
>;app.com.cn
Non-authoritative answer:
app.com.cn
        origin = dns
        mail addr = administrator
        serial = 109
        refresh = 3600 (1H)
        retry   = 600 (10M)
        expire  = 86400 (1D)
        minimum ttl = 3600 (1H)

Authoritative answers can be found from:
app.com.cn      nameserver = dns

>;legend.com.cn
Non-authoritative answer:
legend.com.cn
        origin = dns
        mail addr = admin
        serial = 42
        refresh = 900 (15M)
        retry   = 600 (10M)
        expire  = 86400 (1D)
        minimum ttl = 3600 (1H)

Authoritative answers can be found from:
legend.com.cn   nameserver = ns.legend.com.cn
legend.com.cn   nameserver = ns1.legend.com.cn

从server上dump出来的结果是：
$ORIGIN legend.com.cn.
www     3217    IN      A       211.157.220.11  ;Cr=auth [211.100.14.16]
;ns     3221    IN      SOA     dns. admin. (
;               42 900 600 86400 3600 );legend.com.cn.;NXDOMAIN ;-$     ;Cr=auth [211.100.14.15]
;ns1    3213    IN      SOA     dns. admin. (
;               42 900 600 86400 3600 );legend.com.cn.;NXDOMAIN ;-$     ;Cr=auth [211.100.14.15]
可见配置有问题，找不到他对应的ns的地址。

至于为什么有的域名服务器能解析得出来，可能跟BIND版本有关系。

rayharris

谢谢aclacl 来讨论，不过我觉得SOA里随便怎么写应该都没关系的，我觉得还是它那里的NS记录写错了（在这里它soa中的primary name server写成dns和NS记录中的dns一样了）。我理解中SOA里的primary name server和responsible mail addr基本没什么用处的，只是给人看看的，在DNS的解析过程是没什么用处的，不知道对不对。

wangrujun

请问这个soa有什么问题呀

阿骁

建议你可以给这个域名的 DNS 管理员联系一下，看看如何解决。以下是联系地址，有邮箱和电话。

http://ewhois.cnnic.net.cn/whois?value=app.com.cn&entity=domain