[Sysadmins] непонятная проблема с DNS

[Sysadmins] непонятная проблема с DNS

[Timur Batyrshin]

[-- Attachment #1: Type: text/plain, Size: 1735 bytes --]

Настраиваю связь между внешним и внутренним (находится за NAT)
DNS-серверами и возникла такая странная проблема.

Запросы с внешней сети во внутреннюю проходят нормально, DNS-сервер
отвечает. Однако возвращаются не все -- в зависимости от того, какой
именно адрес запрашивался.

Запросы происходят, скажем, с адреса 111.22.33.44 (mail.domain.ru) к
111.22.33.55, который транслируется маршрутизатором во внутренний адрес
192.168.1.1 (адреса и доменные имена изменены):


$ dig @111.22.33.55 domain.ru
Запрос проходит нормально.

Вывод tcpdump на DNS-сервере:

10:27:31.661794 IP 111.22.33.44.38180 > 192.168.1.1.domain: 28204+
A? domain.ru. (25)
10:27:31.665591 IP 192.168.1.1.domain > 111.22.33.44.38180: 28204*
1/1/1 A 111.22.33.42 (74)


$ dig @111.22.33.55 mail.domain.ru
Запрос не проходит, таймаут.

Вывод tcpdump на DNS-сервере:

10:28:08.166584 IP 111.22.33.44.38478 > 192.168.1.1.domain: 34167+
A? mail.domain.ru. (30)
10:28:08.170754 IP 192.168.1.1.domain > 111.22.33.44.38478: 34167*
1/1/1 A 111.22.33.44 (79)
10:28:08.172725 IP 192.168.9.1 > 192.168.1.1: ICMP host 111.22.33.44
unreachable, length 36
(Здесь 192.168.9.1 -- один из адресов маршрутизатора,)


Почему так может быть? Где вообще искать проблему?

[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 197 bytes --]

Re: [Sysadmins] непонятная проблема с DNS

[Anton Kvashin]

Timur Batyrshin пишет:
> Настраиваю связь между внешним и внутренним (находится за NAT)
> DNS-серверами и возникла такая странная проблема.
> 
> Запросы происходят, скажем, с адреса 111.22.33.44 (mail.domain.ru) к
> 111.22.33.55, который транслируется маршрутизатором во внутренний адрес
> 192.168.1.1 (адреса и доменные имена изменены):
> 
> $ dig @111.22.33.55 domain.ru
> Запрос проходит нормально.
> 
> 10:27:31.661794 IP 111.22.33.44.38180 > 192.168.1.1.domain: 28204+
> A? domain.ru. (25)
> 10:27:31.665591 IP 192.168.1.1.domain > 111.22.33.44.38180: 28204*
> 1/1/1 A 111.22.33.42 (74)
> 
> $ dig @111.22.33.55 mail.domain.ru
> Запрос не проходит, таймаут.
> 
> 10:28:08.166584 IP 111.22.33.44.38478 > 192.168.1.1.domain: 34167+
> A? mail.domain.ru. (30)
> 10:28:08.170754 IP 192.168.1.1.domain > 111.22.33.44.38478: 34167*
> 1/1/1 A 111.22.33.44 (79)

маршрутизатор честно вернул А-запись mail.domain.ru -- 111.22.33.44, на 
  спрашивающего -- 111.22.33.44
что говорит tcpdump на 111.22.33.44?

> Почему так может быть? Где вообще искать проблему?

DNAT 53 TCP/UDP?

Что будет если выполнить dig @111.22.33.55 mail.domain.ru на шлюзе 
192.168.1.1?

-- 
Anton Kvashin

Re: [Sysadmins] непонятная проблема с DNS

[Timur Batyrshin]

[-- Attachment #1: Type: text/plain, Size: 2152 bytes --]

On Thu, 11 Sep 2008 19:14:12 +0600
Anton Kvashin wrote:

> > Запросы происходят, скажем, с адреса 111.22.33.44 (mail.domain.ru) к
> > 111.22.33.55, который транслируется маршрутизатором во внутренний
> > адрес 192.168.1.1 (адреса и доменные имена изменены):
> > 
> > $ dig @111.22.33.55 domain.ru
> > Запрос проходит нормально.
> > 
> > 10:27:31.661794 IP 111.22.33.44.38180 > 192.168.1.1.domain: 28204+
> > A? domain.ru. (25)
> > 10:27:31.665591 IP 192.168.1.1.domain > 111.22.33.44.38180: 28204*
> > 1/1/1 A 111.22.33.42 (74)
> > 
> > $ dig @111.22.33.55 mail.domain.ru
> > Запрос не проходит, таймаут.
> > 
> > 10:28:08.166584 IP 111.22.33.44.38478 > 192.168.1.1.domain: 34167+
> > A? mail.domain.ru. (30)
> > 10:28:08.170754 IP 192.168.1.1.domain > 111.22.33.44.38478: 34167*
> > 1/1/1 A 111.22.33.44 (79)
> маршрутизатор честно вернул А-запись mail.domain.ru -- 111.22.33.44,
> на спрашивающего -- 111.22.33.44

192.168.1.1 -- это DNS-сервер, не маршрутизатор. Запись то он вернул,
но маршрутизатор 192.168.9.1 ему вернул отлуп "Host unreacheable"

> что говорит tcpdump на 111.22.33.44?

Пакеты уходят и все. Ответов нет.
 
> > Почему так может быть? Где вообще искать проблему?
> DNAT 53 TCP/UDP?

Здесь, по-моему, все-таки не совсем DNAT, а просто трансляция адресов 1
в 1 (не знаю как называется).

> Что будет если выполнить dig @111.22.33.55 mail.domain.ru на шлюзе 
> 192.168.1.1?

192.168.9.1 имеется в виду? К сожалению, проверить этого не могу, т.к.
это циска и доступа на нее нет. Попробую у цисководов наших этот момент
уточнить.

[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 197 bytes --]

Re: [Sysadmins] непонятная проблема с DNS

[Anton Kvashin]

Timur Batyrshin пишет:
> On Thu, 11 Sep 2008 19:14:12 +0600
> Anton Kvashin wrote:
>> маршрутизатор честно вернул А-запись mail.domain.ru -- 111.22.33.44,
>> на спрашивающего -- 111.22.33.44
> 
> 192.168.1.1 -- это DNS-сервер, не маршрутизатор. Запись то он вернул,
> но маршрутизатор 192.168.9.1 ему вернул отлуп "Host unreacheable"

Всегда проходит запрос domain.ru (без имен третьего уровня)? 192.168.9.1 
получает ответ от серого адреса 192.168.1.1, который он должен 
транслировать в свой внешний адрес, и отдать его 111.22.33.44 (если 
правильно понял схему). В таблице трансляции должен быть порт, 
спрашивающего, т.е. 111.22.33.44.

получается для 192.168.1.1 у 192.168.9.1 нет маршрута до 111.22.33.44

>>> Почему так может быть? Где вообще искать проблему?
>> DNAT 53 TCP/UDP?
> 
> Здесь, по-моему, все-таки не совсем DNAT, а просто трансляция адресов 1
> в 1 (не знаю как называется).

Запрос приходит на реальный IP:53 машрутизатора 192.168.9.1, который 
делает проброс на внутренний 192.168.1.1:53?

-- 
Anton Kvashin

Re: [Sysadmins] непонятная проблема с DNS

[Timur Batyrshin]

[-- Attachment #1: Type: text/plain, Size: 1576 bytes --]

On Thu, 11 Sep 2008 20:27:09 +0600
Anton Kvashin wrote:

> >> маршрутизатор честно вернул А-запись mail.domain.ru --
> >> 111.22.33.44, на спрашивающего -- 111.22.33.44
> > 
> > 192.168.1.1 -- это DNS-сервер, не маршрутизатор. Запись то он
> > вернул, но маршрутизатор 192.168.9.1 ему вернул отлуп "Host
> > unreacheable"
> Всегда проходит запрос domain.ru (без имен третьего уровня)?

Сейчас поэкспериментировал еще - не проходят запросы только
возвращающие 111.22.33.44


Ох, блин, решил еще проверить такой вариант и началось совсем уже
что-то невразумительное:

Завел запись:

z1	A 192.168.1.1

Проверяю с самого DNS-сервера -- возвращает как положено, этот самый
адрес.
Проверяю с 111.22.33.44 -- возвращает вместо этого 111.22.33.55 !!

Здесь у меня мысль останавливается.
Это что, получается, маршрутизатор осуществляет подстановки адресов не
только в заголовках, но и внутри пакетов?....


На остальную часть сообщения пока не отвечаю, пошел пинать цысководов.

[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 197 bytes --]

Re: [Sysadmins] непонятная проблема с DNS

[Timur Batyrshin]

[-- Attachment #1: Type: text/plain, Size: 827 bytes --]

On Thu, 11 Sep 2008 19:25:19 +0400
Timur Batyrshin wrote:

> Это что, получается, маршрутизатор осуществляет подстановки адресов не
> только в заголовках, но и внутри пакетов?....
> На остальную часть сообщения пока не отвечаю, пошел пинать цысководов.

Так и оказалось. Слишком умная циска заменяла адреса не только в
заголовках пакетов, но и внутри пакетов известных ей протоколов и эта
фича на ней включена по умолчанию. После того как ее отключили, все
заработало нормально.

[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 197 bytes --]