DNS Firewallを作ってみる（その2）

DNS Firewallを作ってみる（その1）から随分と時間が経った。
これはspaamhausからメールが届かない、と言う多分、こちらの設定ミスからだろう。
と言うことで、Gmailでの登録とした。
あっさり通った。（今までの苦労は何だったの……）

と、言うことでメールが届いた。
早速、赤丸をクリックしてlogin画面へ飛ぶ。

login画面は、パスワードの設定画面だった。

コントロールパネルへ移動。
ip addressを入力すると、すぐに許可が出た。

現在の状況。
良く判らないが、dbx.drop.ip.dtqはダウンロードできている。
これの確認が難しい。

組み込み方はDNS FirewallにPowerDNSとBINDと分けて詳しく書かれています。が、ここに罠があります。
記述自体が古いんですよ。
なので設定も古いまま取り残されています。
BINDしか読んでいませんが、master/slaveとbind9.21から廃止される名称。
ixfr-from-difference yes;という既に廃止されたものも載っています。
ここから、「確かに解り易いけれど全て信じてはダメ」という結論になります。
AIさんやGeminiさんに協力して貰ってバグ出しすることを推奨します。

これがDNS Firewallの設定です。
34.194.195.25と35.156.219.71は無料で使えるDNS Firewall用に設定されています。
ipinfoで確認したらAWSのサーバーでした。
optionsにmin-refresh-time 86400;とmax-refresh-time 86400;が書いてあるのは、spamhausのFAQに「一日一回で十分よ」と記されていたから。
他のところも一日一回になってしまうのだけれど、これは特に問題無いです。（secondaryもlocal onlyだし殆ど変更が無いし）

これはSafariによる日本語訳。（このお蔭で知った）

実際、drop.ip.dtqの更新時間は1時間だったから、上記の変更を入れた。
別に1時間に一回でもAWS serverなら問題無いんだと思う。けど、まぁそこまで頻繁でなくても良いでしょう。
こちらはsecundayというか並列実行のprimary serverなんだけれど、もう一方が生きていればdnsとして問題無い構成になっている。
だから遊べた。

もう一方側は、こいつの更にsecundaryとして動かしている。

にしているだけだ。
local.rpz関しては、向こうがprimaryなので、そこの設定だけ載せる。

動作確認をしたいが、dbx.drop.ip.dtqはバイナリなので、そのままでは読めない。
ではどうするか、Geminiさんに聞くのである。
「dbx.drop.ip.dtqはバイナリだから読めない、テキストに起こす方法教えて？」ってな具合に。
で、教わったのが、これ。（実は加工済み）

これでtextに変換後の確認ができる。
が、大抵のipは逆引きできないので、正しく動いている（とするとアドレスが無いと返ってくる）のか、単なる逆引き失敗なのか判別できないのだわ。
一応、見つけたら書き加える予定。

その前に、spamhausから届いたメールのヘッダーを眺めていた。
何故うちのサーバーに届かないのか、原因究明である。
先ず、spamhaus.orgでなく、spamhaus.comが送信元だった。
accessにはspamhaus.orgのみ入っていてspamhaus.comが無かった。
そしてspamhausもHubSpotを使っていた。

以前、幾つもの売り込み広告メールがHubSpot経由で届いたので弾いたのだった。

これ（access側）が引っ掛かっていた模様。
自爆である。