bind9：禁用递归查询的错误日志记录

Question

不经意间，我运行的 bind9 服务器是一个开放式解析器。哎呀。

现在已经几个月了，递归查询isc.org仍在传入。如果我的/var/log/syslog看起来不像这样，我不介意：

Jul  6 01:10:23 servername last message repeated 6 times
Jul  6 01:10:23 servername named[2580]: client YYY.YY.YYY.YYY#25345: query (cache) 'isc.org/ANY/IN' denied
Jul  6 01:10:23 servername named[2580]: client ZZZ.ZZ.ZZZ.ZZ#25345: query (cache) 'isc.org/ANY/IN' denied
Jul  6 01:10:23 servername last message repeated 7 times
Jul  6 01:10:23 servername named[2580]: client AAA.AAA.A.AAA#25345: query (cache) 'isc.org/ANY/IN' denied
Jul  6 01:10:23 servername named[2580]: client BBB.BB.BB.BBB#25345: query (cache) 'isc.org/ANY/IN' denied
Jul  6 01:10:23 servername last message repeated 6 times

（人们可能会觉得有趣的是，上述消息都在一秒钟内出现......我不再这样做了。）

这真的，真的很难捕捉到系统上的另一个服务可能报告的任何真正的错误。

我想让 bind9 不再记录这些消息。我交叉手指，可以使日志中仅这些消息消失。

我可以通过什么方式禁用不允许递归出现在系统日志（或其他日志）中的消息？

servername:/etc/bind9# named -V
BIND 9.8.4-rpz2+rl005.12-P1 built with '--prefix=/usr' '--mandir=/usr/share/man' '--infodir=/usr/share/info' '--sysconfdir=/etc/bind' '--localstatedir=/var' '--enable-threads' '--enable-largefile' '--with-libtool' '--enable-shared' '--enable-static' '--with-openssl=/usr' '--with-gssapi=/usr' '--with-gnu-ld' '--with-geoip=/usr' '--enable-ipv6' 'CFLAGS=-fno-strict-aliasing -DDIG_SIGCHASE -O2'
using OpenSSL version: OpenSSL 1.0.1c 10 May 2012
using libxml2 version: 2.8.0

servernane:/etc/bind9# uname -a
Linux servername 3.2.0-4-686-pae #1 SMP Debian 3.2.35-2 i686 GNU/Linux

---

澄清：

我对有关如何使“递归拒绝”类型消息静音的更详细示例感兴趣。

Answer 1

关于禁用递归查询的所有绑定错误日志记录，例如“查询（缓存）'theswat.net/ANY/IN'被拒绝”

/etc/named.conf 中的以下内容将这些重定向到 /var/named/data/named.security，滚动日志的总大小限制为 15 兆字节。请注意，类别安全只是“批准和拒绝请求”。

logging {
        channel default_debug {
                    file "data/named.run";
                severity dynamic;
        };
        // Redirect all of those 'denied' logs for non-existing domains or external ones (we are 'recursion no;')
        //   logs to /var/named/data/named.security, up to 3 files of 5mbytes each
        //   independent hack_detect processes can then scan for flooders and known abusers and block their IPs
        channel hd_security {
                file "data/named.security" versions 3 size 5m;
                print-time yes;
                print-severity yes;
                print-category yes;
        };
        category security { hd_security; };
};