[gelöst] RBLs werden seit 2.4.5 nicht mehr aufgelöst

Ruddimaster

Hallo,

seitdem ich auf die 2.4.5. aktualisiert habe, funktioniert die DNS-Abrage der RBL-Server nicht mehr.

z.B. eine DNS-Abfrage von

nslookup 2.0.0.127.b.barracudacentral.org
Server:		127.0.0.1
Address:	127.0.0.1#53

Non-authoritative answer:
*** Can't find 2.0.0.127.b.barracudacentral.org: No answer

Frage ich auf der pfSense den DNS-Server direkt kommt ein Ergebnis.

nslookup 2.0.0.127.b.barracudacentral.org 9.9.9.9
Server:		9.9.9.9
Address:	9.9.9.9#53

Non-authoritative answer:
Name:	2.0.0.127.b.barracudacentral.org
Address: 127.0.0.2

... und das habe ich bei allen, wie Spamhaus, Spamcop, usw.

andere Abfragen funktionieren wie gewohnt.

nslookup google.de

Server:		127.0.0.1
Address:	127.0.0.1#53

Non-authoritative answer:
Name:	google.de
Address: 172.217.22.67
Name:	google.de
Address: 2a00:1450:4001:81c::2003

Muss ich was umstellen?

JeGr

Zu wenig Informationen. Du fragst im ersten Block die pfSense selbst ab via 127.0.0.1? Wie ist der DNS Resolver konfiguriert? Oder ist es der Forwarder? Wer gibt Antwort und wie und was sagen dessen Logs?

Ruddimaster

sorry...

also ich habe den Resolver aktiviert mit "Enable Forwarding Mode"... Somit ist ist doch die localhost-Abfrage aktiviert.
im ersten und dritten Block frage ich die pfSense direkt ab... richtig... Ich habe im Zweiten nur mal google.de genommen, ob die DNS-Abfrage generell ein Problem hat. Alle drei Abfragen habe ich von der Konsole gemacht.

Log:

 May 29 17:49:11 	unbound 	14173:8 	notice: remote address is 1.1.1.1 port 53
May 29 17:49:11 	unbound 	14173:8 	notice: sendto failed: Permission denied
May 29 17:49:11 	unbound 	14173:7 	notice: remote address is 1.1.1.1 port 53
May 29 17:49:11 	unbound 	14173:7 	notice: sendto failed: Permission denied
May 29 17:49:11 	unbound 	14173:7 	notice: remote address is 1.1.1.1 port 53
May 29 17:49:11 	unbound 	14173:7 	notice: sendto failed: Permission denied
May 29 17:49:11 	unbound 	14173:8 	notice: remote address is 1.1.1.1 port 53
May 29 17:49:11 	unbound 	14173:8 	notice: sendto failed: Permission denied
May 29 17:49:11 	unbound 	14173:8 	notice: remote address is 1.1.1.1 port 53

-> Guter Hinweis... Ich schaue mal nach, was mit der Berechtigung ist.... obwohl google.de ja funktioniert...

Ruddimaster

dieses Problem habe ich auf mehreren pfsense (6 von 6)..

die Berechtigungs-Probleme lagen am SNORT.... Proble gelöst. Auf die Abfragen hat das jedoch keinen Einfluss.

Funktionieren die Queries bei Euch?
nslookup 2.0.0.127.zen.spamhaus.org
oder
nslookup 2.0.0.127.b.barracudacentral.org

Es war meine Vermutung war, daß das eher ein Bug wäre...

JeGr

@Ruddimaster said in RBLs werden seit 2.4.5 nicht mehr aufgelöst:

2.0.0.127.b.barracudacentral.org

Tatsächlich nein, die funktionieren nicht. Meine Logs sagen aber auch, dass unbound hier eine nodata answer zurückbekommt, also nichts ausliefern kann. Müsste man mal untersuchen warum er das bekommt ,,,

Ruddimaster

Danke für die Rückinfo...

Ich schätze mal es liegt an einer Beschränkung der maximalen Anzahl von Unterverzeichnissen in einer Zone.

JeGr

Wie kommst du darauf? Das wäre dann seltsames Verhalten von unbound selbst? Aber wie sollte das die Antwort des Servers verändern?

Ruddimaster

Ich kann es mir nur so erklären, da google.de und www.google.de (ein Unterverzeichnis) funktioniert und 2.0.0.127.b.barracudacentral.org mit fünf Verzeichnisebenen geht es halt nicht.

Gerade bei meinem DNS-Server das mal ausprobiert mit 6 Ebene... 1.2.3.4.5.6.dingsbums.de.... geht... OK die o.g. Theorie ist ad absurdum.

Dann weiss ich es auch nicht weiter.... Vielleicht eröffne ich mal einen Fall im Bugtracker...

Ruddimaster

Jim brachte mich zu diesem Artikel...
https://docs.netgate.com/pfsense/en/latest/dns/dns-rebinding-protections.html#dns-resolver-unbound

den hatte ich mal gelesen, aber das habe ich Leben nicht mit meinem Problem verbunden. Im Nachhinein... Ja... macht Sinn...

JeGr

Ah weil der externe DNS eine interne/private IP zurückliefert, stimmt. Der Rebind Schutz bzw. private leakage protection, dass private Antworten für öffentliche DNS Anfragen abgelehnt werden weil es sich um Angriffe oder Cache Poisoning handeln könnte. Stimmt, bin ich auch schonmal drüber gestolpert, hatte ich bei der Problemstellung jetzt aber auch überhaupt nicht auf dem Radar!

Danke für die Rückmeldung, das ruft dann die Sache wieder ins Gedächtnis, wenn es wieder mal irgendwo vorkommen sollte :)