<div dir="ltr">I have a group of servers serving out multiple addresses via anycast.  I've been made aware that an IP outside of our network is hitting the boxes with queries, and we're returning data to the client.<div><br></div><div>With allow-query and allow-recursion locked to our subnets, this outside host is still getting responses, and I'm trying to figure out why.</div><div><br></div><div>named.conf snippet:<br></div><div><br></div><div><div><font face="monospace, monospace">allow-query { mynets; };</font></div><div><font face="monospace, monospace">allow-recursion { mynets; };</font></div></div><div><font face="monospace, monospace"><br></font></div><div><font face="monospace, monospace">Yet in response to a host not from one of the subnets allowed, we're getting requests and returning some kind of response:</font></div><div><font face="monospace, monospace"><br></font></div><div><font face="monospace, monospace"><div># tcpdump -i any -nvv src $myhost and dst 156.154.100.3</div><div>tcpdump: listening on any, link-type LINUX_SLL (Linux cooked), capture size 65535 bytes</div><div>13:37:30.578020 IP (tos 0x0, ttl 64, id 5059, offset 0, flags [none], proto UDP (17), length 81)</div><div>    $myhost.33941 > 156.154.100.3.domain: [bad udp cksum f39c!] 54976 [1au] A? <a href="http://www.sparknewspaper.co.uk">www.sparknewspaper.co.uk</a>. ar: . OPT UDPsize=4096 OK (53)</div><div>13:37:30.578025 IP (tos 0x0, ttl 64, id 5059, offset 0, flags [none], proto UDP (17), length 81)</div><div>    $myhost.33941 > 156.154.100.3.domain: [bad udp cksum f39c!] 54976 [1au] A? <a href="http://www.sparknewspaper.co.uk">www.sparknewspaper.co.uk</a>. ar: . OPT UDPsize=4096 OK (53)</div><div>13:37:30.644502 IP (tos 0x0, ttl 64, id 5060, offset 0, flags [none], proto UDP (17), length 79)</div><div>    $myhost.61737 > 156.154.100.3.domain: [bad udp cksum fef9!] 7832 [1au] A? <a href="http://silverstonepaint.co.uk">silverstonepaint.co.uk</a>. ar: . OPT UDPsize=4096 OK (51)</div><div>13:37:30.644505 IP (tos 0x0, ttl 64, id 5060, offset 0, flags [none], proto UDP (17), length 79)</div><div>    $myhost.61737 > 156.154.100.3.domain: [bad udp cksum fef9!] 7832 [1au] A? <a href="http://silverstonepaint.co.uk">silverstonepaint.co.uk</a>. ar: . OPT UDPsize=4096 OK (51)</div><div>13:37:30.722628 IP (tos 0x0, ttl 64, id 5061, offset 0, flags [none], proto UDP (17), length 68)</div><div><br></div><div><br></div><div>If an IP is not allowed as part of an "allow-query" statement, should the name server still be returning any responses?</div><div><br></div><div>BIND version - BIND 9.8.2rc1-RedHat-9.8.2-0.47.rc1.el6</div></font></div></div>