* [Sysadmins] непонятная проблема с DNS
@ 2008-09-11 6:58 Timur Batyrshin
2008-09-11 13:14 ` Anton Kvashin
0 siblings, 1 reply; 6+ messages in thread
From: Timur Batyrshin @ 2008-09-11 6:58 UTC (permalink / raw)
To: ALT Linux sysadmin discuss
[-- Attachment #1: Type: text/plain, Size: 1735 bytes --]
Настраиваю связь между внешним и внутренним (находится за NAT)
DNS-серверами и возникла такая странная проблема.
Запросы с внешней сети во внутреннюю проходят нормально, DNS-сервер
отвечает. Однако возвращаются не все -- в зависимости от того, какой
именно адрес запрашивался.
Запросы происходят, скажем, с адреса 111.22.33.44 (mail.domain.ru) к
111.22.33.55, который транслируется маршрутизатором во внутренний адрес
192.168.1.1 (адреса и доменные имена изменены):
$ dig @111.22.33.55 domain.ru
Запрос проходит нормально.
Вывод tcpdump на DNS-сервере:
10:27:31.661794 IP 111.22.33.44.38180 > 192.168.1.1.domain: 28204+
A? domain.ru. (25)
10:27:31.665591 IP 192.168.1.1.domain > 111.22.33.44.38180: 28204*
1/1/1 A 111.22.33.42 (74)
$ dig @111.22.33.55 mail.domain.ru
Запрос не проходит, таймаут.
Вывод tcpdump на DNS-сервере:
10:28:08.166584 IP 111.22.33.44.38478 > 192.168.1.1.domain: 34167+
A? mail.domain.ru. (30)
10:28:08.170754 IP 192.168.1.1.domain > 111.22.33.44.38478: 34167*
1/1/1 A 111.22.33.44 (79)
10:28:08.172725 IP 192.168.9.1 > 192.168.1.1: ICMP host 111.22.33.44
unreachable, length 36
(Здесь 192.168.9.1 -- один из адресов маршрутизатора,)
Почему так может быть? Где вообще искать проблему?
[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 197 bytes --]
^ permalink raw reply [flat|nested] 6+ messages in thread
* Re: [Sysadmins] непонятная проблема с DNS
2008-09-11 6:58 [Sysadmins] непонятная проблема с DNS Timur Batyrshin
@ 2008-09-11 13:14 ` Anton Kvashin
2008-09-11 13:34 ` Timur Batyrshin
0 siblings, 1 reply; 6+ messages in thread
From: Anton Kvashin @ 2008-09-11 13:14 UTC (permalink / raw)
To: ALT Linux sysadmin discuss
Timur Batyrshin пишет:
> Настраиваю связь между внешним и внутренним (находится за NAT)
> DNS-серверами и возникла такая странная проблема.
>
> Запросы происходят, скажем, с адреса 111.22.33.44 (mail.domain.ru) к
> 111.22.33.55, который транслируется маршрутизатором во внутренний адрес
> 192.168.1.1 (адреса и доменные имена изменены):
>
> $ dig @111.22.33.55 domain.ru
> Запрос проходит нормально.
>
> 10:27:31.661794 IP 111.22.33.44.38180 > 192.168.1.1.domain: 28204+
> A? domain.ru. (25)
> 10:27:31.665591 IP 192.168.1.1.domain > 111.22.33.44.38180: 28204*
> 1/1/1 A 111.22.33.42 (74)
>
> $ dig @111.22.33.55 mail.domain.ru
> Запрос не проходит, таймаут.
>
> 10:28:08.166584 IP 111.22.33.44.38478 > 192.168.1.1.domain: 34167+
> A? mail.domain.ru. (30)
> 10:28:08.170754 IP 192.168.1.1.domain > 111.22.33.44.38478: 34167*
> 1/1/1 A 111.22.33.44 (79)
маршрутизатор честно вернул А-запись mail.domain.ru -- 111.22.33.44, на
спрашивающего -- 111.22.33.44
что говорит tcpdump на 111.22.33.44?
> Почему так может быть? Где вообще искать проблему?
DNAT 53 TCP/UDP?
Что будет если выполнить dig @111.22.33.55 mail.domain.ru на шлюзе
192.168.1.1?
--
Anton Kvashin
^ permalink raw reply [flat|nested] 6+ messages in thread
* Re: [Sysadmins] непонятная проблема с DNS
2008-09-11 13:14 ` Anton Kvashin
@ 2008-09-11 13:34 ` Timur Batyrshin
2008-09-11 14:27 ` Anton Kvashin
0 siblings, 1 reply; 6+ messages in thread
From: Timur Batyrshin @ 2008-09-11 13:34 UTC (permalink / raw)
To: sysadmins
[-- Attachment #1: Type: text/plain, Size: 2152 bytes --]
On Thu, 11 Sep 2008 19:14:12 +0600
Anton Kvashin wrote:
> > Запросы происходят, скажем, с адреса 111.22.33.44 (mail.domain.ru) к
> > 111.22.33.55, который транслируется маршрутизатором во внутренний
> > адрес 192.168.1.1 (адреса и доменные имена изменены):
> >
> > $ dig @111.22.33.55 domain.ru
> > Запрос проходит нормально.
> >
> > 10:27:31.661794 IP 111.22.33.44.38180 > 192.168.1.1.domain: 28204+
> > A? domain.ru. (25)
> > 10:27:31.665591 IP 192.168.1.1.domain > 111.22.33.44.38180: 28204*
> > 1/1/1 A 111.22.33.42 (74)
> >
> > $ dig @111.22.33.55 mail.domain.ru
> > Запрос не проходит, таймаут.
> >
> > 10:28:08.166584 IP 111.22.33.44.38478 > 192.168.1.1.domain: 34167+
> > A? mail.domain.ru. (30)
> > 10:28:08.170754 IP 192.168.1.1.domain > 111.22.33.44.38478: 34167*
> > 1/1/1 A 111.22.33.44 (79)
> маршрутизатор честно вернул А-запись mail.domain.ru -- 111.22.33.44,
> на спрашивающего -- 111.22.33.44
192.168.1.1 -- это DNS-сервер, не маршрутизатор. Запись то он вернул,
но маршрутизатор 192.168.9.1 ему вернул отлуп "Host unreacheable"
> что говорит tcpdump на 111.22.33.44?
Пакеты уходят и все. Ответов нет.
> > Почему так может быть? Где вообще искать проблему?
> DNAT 53 TCP/UDP?
Здесь, по-моему, все-таки не совсем DNAT, а просто трансляция адресов 1
в 1 (не знаю как называется).
> Что будет если выполнить dig @111.22.33.55 mail.domain.ru на шлюзе
> 192.168.1.1?
192.168.9.1 имеется в виду? К сожалению, проверить этого не могу, т.к.
это циска и доступа на нее нет. Попробую у цисководов наших этот момент
уточнить.
[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 197 bytes --]
^ permalink raw reply [flat|nested] 6+ messages in thread
* Re: [Sysadmins] непонятная проблема с DNS
2008-09-11 13:34 ` Timur Batyrshin
@ 2008-09-11 14:27 ` Anton Kvashin
2008-09-11 15:25 ` Timur Batyrshin
0 siblings, 1 reply; 6+ messages in thread
From: Anton Kvashin @ 2008-09-11 14:27 UTC (permalink / raw)
To: ALT Linux sysadmin discuss
Timur Batyrshin пишет:
> On Thu, 11 Sep 2008 19:14:12 +0600
> Anton Kvashin wrote:
>> маршрутизатор честно вернул А-запись mail.domain.ru -- 111.22.33.44,
>> на спрашивающего -- 111.22.33.44
>
> 192.168.1.1 -- это DNS-сервер, не маршрутизатор. Запись то он вернул,
> но маршрутизатор 192.168.9.1 ему вернул отлуп "Host unreacheable"
Всегда проходит запрос domain.ru (без имен третьего уровня)? 192.168.9.1
получает ответ от серого адреса 192.168.1.1, который он должен
транслировать в свой внешний адрес, и отдать его 111.22.33.44 (если
правильно понял схему). В таблице трансляции должен быть порт,
спрашивающего, т.е. 111.22.33.44.
получается для 192.168.1.1 у 192.168.9.1 нет маршрута до 111.22.33.44
>>> Почему так может быть? Где вообще искать проблему?
>> DNAT 53 TCP/UDP?
>
> Здесь, по-моему, все-таки не совсем DNAT, а просто трансляция адресов 1
> в 1 (не знаю как называется).
Запрос приходит на реальный IP:53 машрутизатора 192.168.9.1, который
делает проброс на внутренний 192.168.1.1:53?
--
Anton Kvashin
^ permalink raw reply [flat|nested] 6+ messages in thread
* Re: [Sysadmins] непонятная проблема с DNS
2008-09-11 14:27 ` Anton Kvashin
@ 2008-09-11 15:25 ` Timur Batyrshin
2008-09-12 7:00 ` Timur Batyrshin
0 siblings, 1 reply; 6+ messages in thread
From: Timur Batyrshin @ 2008-09-11 15:25 UTC (permalink / raw)
To: sysadmins
[-- Attachment #1: Type: text/plain, Size: 1576 bytes --]
On Thu, 11 Sep 2008 20:27:09 +0600
Anton Kvashin wrote:
> >> маршрутизатор честно вернул А-запись mail.domain.ru --
> >> 111.22.33.44, на спрашивающего -- 111.22.33.44
> >
> > 192.168.1.1 -- это DNS-сервер, не маршрутизатор. Запись то он
> > вернул, но маршрутизатор 192.168.9.1 ему вернул отлуп "Host
> > unreacheable"
> Всегда проходит запрос domain.ru (без имен третьего уровня)?
Сейчас поэкспериментировал еще - не проходят запросы только
возвращающие 111.22.33.44
Ох, блин, решил еще проверить такой вариант и началось совсем уже
что-то невразумительное:
Завел запись:
z1 A 192.168.1.1
Проверяю с самого DNS-сервера -- возвращает как положено, этот самый
адрес.
Проверяю с 111.22.33.44 -- возвращает вместо этого 111.22.33.55 !!
Здесь у меня мысль останавливается.
Это что, получается, маршрутизатор осуществляет подстановки адресов не
только в заголовках, но и внутри пакетов?....
На остальную часть сообщения пока не отвечаю, пошел пинать цысководов.
[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 197 bytes --]
^ permalink raw reply [flat|nested] 6+ messages in thread
* Re: [Sysadmins] непонятная проблема с DNS
2008-09-11 15:25 ` Timur Batyrshin
@ 2008-09-12 7:00 ` Timur Batyrshin
0 siblings, 0 replies; 6+ messages in thread
From: Timur Batyrshin @ 2008-09-12 7:00 UTC (permalink / raw)
To: sysadmins
[-- Attachment #1: Type: text/plain, Size: 827 bytes --]
On Thu, 11 Sep 2008 19:25:19 +0400
Timur Batyrshin wrote:
> Это что, получается, маршрутизатор осуществляет подстановки адресов не
> только в заголовках, но и внутри пакетов?....
> На остальную часть сообщения пока не отвечаю, пошел пинать цысководов.
Так и оказалось. Слишком умная циска заменяла адреса не только в
заголовках пакетов, но и внутри пакетов известных ей протоколов и эта
фича на ней включена по умолчанию. После того как ее отключили, все
заработало нормально.
[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 197 bytes --]
^ permalink raw reply [flat|nested] 6+ messages in thread
end of thread, other threads:[~2008-09-12 7:00 UTC | newest]
Thread overview: 6+ messages (download: mbox.gz / follow: Atom feed)
-- links below jump to the message on this page --
2008-09-11 6:58 [Sysadmins] непонятная проблема с DNS Timur Batyrshin
2008-09-11 13:14 ` Anton Kvashin
2008-09-11 13:34 ` Timur Batyrshin
2008-09-11 14:27 ` Anton Kvashin
2008-09-11 15:25 ` Timur Batyrshin
2008-09-12 7:00 ` Timur Batyrshin
ALT Linux sysadmins discussion
This inbox may be cloned and mirrored by anyone:
git clone --mirror http://lore.altlinux.org/sysadmins/0 sysadmins/git/0.git
# If you have public-inbox 1.1+ installed, you may
# initialize and index your mirror using the following commands:
public-inbox-init -V2 sysadmins sysadmins/ http://lore.altlinux.org/sysadmins \
sysadmins@lists.altlinux.org sysadmins@lists.altlinux.ru sysadmins@lists.altlinux.com
public-inbox-index sysadmins
Example config snippet for mirrors.
Newsgroup available over NNTP:
nntp://lore.altlinux.org/org.altlinux.lists.sysadmins
AGPL code for this site: git clone https://public-inbox.org/public-inbox.git