On Thu, 11 Sep 2008 19:14:12 +0600
Anton Kvashin wrote:

> > Запросы происходят, скажем, с адреса 111.22.33.44 (mail.domain.ru) к
> > 111.22.33.55, который транслируется маршрутизатором во внутренний
> > адрес 192.168.1.1 (адреса и доменные имена изменены):
> > 
> > $ dig @111.22.33.55 domain.ru
> > Запрос проходит нормально.
> > 
> > 10:27:31.661794 IP 111.22.33.44.38180 > 192.168.1.1.domain: 28204+
> > A? domain.ru. (25)
> > 10:27:31.665591 IP 192.168.1.1.domain > 111.22.33.44.38180: 28204*
> > 1/1/1 A 111.22.33.42 (74)
> > 
> > $ dig @111.22.33.55 mail.domain.ru
> > Запрос не проходит, таймаут.
> > 
> > 10:28:08.166584 IP 111.22.33.44.38478 > 192.168.1.1.domain: 34167+
> > A? mail.domain.ru. (30)
> > 10:28:08.170754 IP 192.168.1.1.domain > 111.22.33.44.38478: 34167*
> > 1/1/1 A 111.22.33.44 (79)
> маршрутизатор честно вернул А-запись mail.domain.ru -- 111.22.33.44,
> на спрашивающего -- 111.22.33.44

192.168.1.1 -- это DNS-сервер, не маршрутизатор. Запись то он вернул,
но маршрутизатор 192.168.9.1 ему вернул отлуп "Host unreacheable"

> что говорит tcpdump на 111.22.33.44?

Пакеты уходят и все. Ответов нет.
 
> > Почему так может быть? Где вообще искать проблему?
> DNAT 53 TCP/UDP?

Здесь, по-моему, все-таки не совсем DNAT, а просто трансляция адресов 1
в 1 (не знаю как называется).

> Что будет если выполнить dig @111.22.33.55 mail.domain.ru на шлюзе 
> 192.168.1.1?

192.168.9.1 имеется в виду? К сожалению, проверить этого не могу, т.к.
это циска и доступа на нее нет. Попробую у цисководов наших этот момент
уточнить.