DNS не разрешает сайты Яндекса

Sega

Здравствуйте. Попробовать DNS Forwarder смогу только на выходных, а в эти выходные не получалось по времени. Выкладываю настройки DNS Resolver.
@atyltin:

А выложите или опишите схему днс. И настройку DNS резолвера. Какие порты входящие, какие исходящие. ACL. Ну и команду nslookup

atyltin, где можно это посмотреть? Что означает "схема днс"? Сначала должен сработать DNS Resolver, чтобы определить локальный IP нашего сайта, все остальные запросы должны уйти DNS серверам провайдера Зеленая точка с вкладки General Setup Порты нужно смотреть в фаерволе? В фаерволе у локальной сети в порте звездочка. ACL в прокси squid? Он выключен. Команды nslookup нет в командной строке, прикрепил результат Diag DNS Lookup.

![DNS Resolver 1 General settings.jpg](/public/imported_attachments/1/DNS Resolver 1 General settings.jpg)
![DNS Resolver 1 General settings.jpg_thumb](/public/imported_attachments/1/DNS Resolver 1 General settings.jpg_thumb)
![DNS Resolver 2 General settings.jpg](/public/imported_attachments/1/DNS Resolver 2 General settings.jpg)
![DNS Resolver 2 General settings.jpg_thumb](/public/imported_attachments/1/DNS Resolver 2 General settings.jpg_thumb)
![DNS Resolver 3 General settings.jpg](/public/imported_attachments/1/DNS Resolver 3 General settings.jpg)
![DNS Resolver 3 General settings.jpg_thumb](/public/imported_attachments/1/DNS Resolver 3 General settings.jpg_thumb)
![DNS Resolver 4 General settings.jpg](/public/imported_attachments/1/DNS Resolver 4 General settings.jpg)
![DNS Resolver 4 General settings.jpg_thumb](/public/imported_attachments/1/DNS Resolver 4 General settings.jpg_thumb)
![DNS Resolver 5 Advanced settings.jpg](/public/imported_attachments/1/DNS Resolver 5 Advanced settings.jpg)
![DNS Resolver 5 Advanced settings.jpg_thumb](/public/imported_attachments/1/DNS Resolver 5 Advanced settings.jpg_thumb)
![DNS Resolver 6 Advanced settings.jpg](/public/imported_attachments/1/DNS Resolver 6 Advanced settings.jpg)
![DNS Resolver 6 Advanced settings.jpg_thumb](/public/imported_attachments/1/DNS Resolver 6 Advanced settings.jpg_thumb)
![DNS Resolver 7 Access Lists.jpg](/public/imported_attachments/1/DNS Resolver 7 Access Lists.jpg)
![DNS Resolver 7 Access Lists.jpg_thumb](/public/imported_attachments/1/DNS Resolver 7 Access Lists.jpg_thumb)
![Diag DNS Lookup yandex.ru.jpg](/public/imported_attachments/1/Diag DNS Lookup yandex.ru.jpg)
![Diag DNS Lookup yandex.ru.jpg_thumb](/public/imported_attachments/1/Diag DNS Lookup yandex.ru.jpg_thumb)

atyltin

atyltin, где можно это посмотреть? Что означает "схема днс"? Сначала должен сработать DNS Resolver, чтобы определить локальный IP нашего сайта, все остальные запросы должны уйти DNS серверам провайдера Зеленая точка с вкладки General Setup Порты нужно смотреть в фаерволе? В фаерволе у локальной сети в порте звездочка. ACL в прокси squid? Он выключен. Команды nslookup нет в командной строке, прикрепил результат Diag DNS Lookup.

Почему вы решили что должны?
Схема это топология DNS запросов реализованная вами в вашей сети. Например у меня так.
ПК->DNS (AD)->DNS (proxy) -> DNS Провайдер.
Шаг 1. Я открываю браузер и ввожу адрес Yandex.ru. ПК смотрит в своем кеше есть ли IP адрес. Если есть любой адрес он отправляет запрос на этот адрес. Если адрес неверный он отправит на неверный адрес.
шаг 2. Если в кеше нет Ip соответствующего yandex.ru. Он смотрит файл host, если есть шлет запрос на тот ip что там указан.
Шаг 3. Если в host нет Ip соответствующего yandex.ru. идет запрос на доменный DNS сервер. И DNS смотрит в своем Кеше.
Шаг 4. Если в кеше DNS нет Ip соответствующего yandex.ru. DNS сервер. шлет запрос на кеширующий DNS прокси
Шаг 5. Если в DNS Proxy в кеше нет Ip соответствующего yandex.ru. DNS сервер шлет запрос на DNS сервер провайдера.
Шаг 6. Если ответ не пришел, ПК шлет запрос на второй сервер DNS прописанный в настройках сетевой карты

Если прокси разрешает имя, то сперва смотрит в своей базе а потом шлет запрос на днс указанный соответствующему домену.

Очень важно. Что в любом случае начиная с 3 шага если пришел ответ что такого адреса не существует - поиск адреса прекращается.

Теперь по существу.
Ваш DNS lookup разрешает в неверный IP. Соответственно проверяйте цепочку кто дает неправильный IP.
лучше из командной строки что бы видеть какой сервер дает вам неправильный IP/

Sega

Тогда я представляю, что запрос к DNS серверу провайдера должен добираться так:

На компьютерах DNS сервер - локальный IP pfSense.
На pfSense срабатывает DNS Resolver. Я думаю, DNS Resolver ничего не находит, переходим дальше.
Запрос уходит к DNS серверам из General Setup.

Перед тем как проверять в командной строке, нужно выключать DNS Resolver? У него в Host Overrides я позаносил адреса яндекса.

werter

Доброе.
Какой тип подкл. у вас на ВАН ? По умолч. пф пользует адреса днс-серверов полученные от провайдера. Чтобы это изменить - необходимо снять галку в настр.
Вкл. dns forwarder и указать явно gw вместо none (скрин DNS Servers.jpg).

Sega

Здравствуйте. Этот тип - я :). Указал шлюз для DNS серверов. DNS Forwarder уже выключен, а если я выключу еще и DNS Resolver, то тогда у пользователей ни одно DNS имя не разрешается.
Команду nslookup нужно в pfSense выполнить или в windows?

![DNS Servers Use gateway.jpg](/public/imported_attachments/1/DNS Servers Use gateway.jpg)
![DNS Servers Use gateway.jpg_thumb](/public/imported_attachments/1/DNS Servers Use gateway.jpg_thumb)

Sega

Выполнил в windows. Кажется, адрес взялся из DNS Resolver Host overrides. После работы попробую сделать бэкап, удалить Host overrides и повторить команду.

![nslookup windows.jpg](/public/imported_attachments/1/nslookup windows.jpg)
![nslookup windows.jpg_thumb](/public/imported_attachments/1/nslookup windows.jpg_thumb)

Sega

@werter:

… Какой тип подкл. у вас на ВАН ? ...

Я подумал, что ругаетесь.

WAN.jpg_thumb

NegoroX

///1.На компьютерах DNS сервер - локальный IP pfSense.///
впиши на компах пользователей DNS которые тебе пров дал 81. и 91.
шлюз у пользователей "локальный ip Pf" ?

Sega

Да, для локальных пользователей pfSense - это и шлюз, и DNS сервер.
@NegoroX:

///1.На компьютерах DNS сервер - локальный IP pfSense.///
впиши на компах пользователей DNS которые тебе пров дал 81. и 91.
шлюз у пользователей "локальный ip Pf" ?

Тогда DNS Resolver Host Overrides будет игнорироваться?

werter

Тогда DNS Resolver Host Overrides будет игнорироваться?

А зачем он вам вообще нужен ? Если все будет верно настроено, то адреса узлов будут разрешаться и без оного.

P.s. С провайдером своим не пробовали пообщаться ? Если работало-работало (и вы нечего не меняли, да ?) и вдруг перестало - спросите провайдера.
Дело в том, что соблюдение закона о блокировке нек-ых ресурсов реализуется в том числе и с пом. ДНС (перехват и принудит. заворачивание днс-запросов клиентов на свои серверы имен с заглушками для заблок. ресурсов). Если же в процессе настройки этого дела провайдер что-то неверно настроил - вполне может быть ваша ситуация.

PbIXTOP

@Sega:

Выполнил в windows. Кажется, адрес взялся из DNS Resolver Host overrides. После работы попробую сделать бэкап, удалить Host overrides и повторить команду.

Открою вам секрет — не обязательно менять DNS, чтобы посмотреть ответы от разных DNS-серверов

nslookup /?
Usage:
   nslookup [-opt ...]             # interactive mode using default server
   nslookup [-opt ...] - server    # interactive mode using 'server'
   nslookup [-opt ...] host        # just look up 'host' using default server
   nslookup [-opt ...] host server # just look up 'host' using 'server'

atyltin

Именно. Посмотрите какие сервера какие адреса дают. Собственно там и поймете кто из них выдает ошибочный адрес.
Цепочку проверки я писал выше.