Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    DNS Resolver problem (2.7)

    Scheduled Pinned Locked Moved Russian
    38 Posts 5 Posters 1.8k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • T
      tty1 @Konstanti
      last edited by tty1

      @Konstanti said in DNS Resolver problem (2.7):

      @tty1

      а с вышестоящим DNS сервером как происходит общение ?
      без DNSSEC ? или ... ?

      Вообще когда начались проблемы, я по советам с форума выключил DNSSEC, но проблема осталась. Вчера снова включил (раз нет разницы).
      Вышестоящими серверами у меня указаны 8.8.8.8 и 1.1.1.1 (изначально стояли провайдерские, я из заменил быстро - грешил на них потому что).

      K 1 Reply Last reply Reply Quote 0
      • K
        Konstanti @tty1
        last edited by

        @tty1

        Мое мнение . надо смотреть и изучать трафик с вышестоящим сервером
        Почему появляется ошибка 2

        T 1 Reply Last reply Reply Quote 0
        • T
          tty1 @Konstanti
          last edited by tty1

          @Konstanti собираю пакеты с фильтром udp/tcp 53 на WAN.
          Так же увеличил размер логов и включил расширенное логирование в DNS Resolver (Query level information).

          UPD: во вчерашнем дампе трафика с WAN вообще не вижу обращений ни к 8.8.8.8 ни к 1.1.1.1.

          1 Reply Last reply Reply Quote 0
          • T
            tty1
            last edited by

            Мельком решил посмотреть что там насобиралось в WAN трафике, увидел в самых свежих пакетах снова такое:
            home_arpa.png

            Снова добавляет суффикс home.arpa! Причем выше всё нормально, запрашивает google.com и прочие домены без него... Что за фантастика, почему он так делает??? :)
            Так как пакеты свежие, решил проверить, доступен ли сейчас этот домен (hihonor.com).
            Залез на одну из машин, запустил пинг:

            ping hihonor.com
ping: hihonor.com: Временный сбой в разрешении имен

            запустил с домашнего:

            ping hihonor.com
PING hihonor.com (43.134.158.9) 56(84) bytes of data.
64 bytes from 43.134.158.9 (43.134.158.9): icmp_seq=2 ttl=40 time=279 ms

            Самое главное, что теперь у меня есть точное время, когда возникла проблема с резолвом! Вечером буду смотреть трафик (ожидаю в это время там увидеть DNS Query hihonor.com.home.arpa) и смотреть расширенные логи unbound в это же время (информации там конечно очень много и к сожалению во многом малопонятной для меня).
            Дополню обязательно!

            K 1 Reply Last reply Reply Quote 0
            • K
              Konstanti @tty1
              last edited by

              @tty1

              Насколько я вижу выше , добавляет суффикс добавляет сам хост
              120.21
              как только получает ответ server failure
              возможно , что home.arpa - это ваша внутренняя зона

              T 1 Reply Last reply Reply Quote 0
              • T
                tty1 @Konstanti
                last edited by tty1

                @Konstanti, совершенно верно, это дефолтная локальная зона.
                То есть это уже следствие failure, понял.

                Разобрал трафик с логами, очень интересно. В общем когда hihonor.com не резолвился из внутренней сети, я во внешнем трафике не обнаружил ничего совершенно! Ни одного запроса по данному хосту. Но в логах unbound вот такая песня (пришлось грузить на pastebin, форум не пропускает):
                https://pastebin.com/raw/CHmL72sT

                Затем в 14:22 хост стал пинговаться из сети, в логах unbound следующее:
                https://pastebin.com/raw/NGYTLTgZ

                Помогите интерпретировать? Опыта не хватает :(
                Что вижу своим дилетантским взглядом, в первом случае запросы (sending to target: <com.>) отправлялись на IPv6 адрес, во втором, когда адрес успешно возвращался - IPv4. Тут может быть какая-то связь?
                Есть еще один домен (контрольный), по которому есть точное время, когда он не резолвился и когда он же начал находиться. Чуть позже аналогично проанализирую логи по нему.

                K 1 Reply Last reply Reply Quote 0
                • K
                  Konstanti @tty1
                  last edited by

                  @tty1
                  я правильно понимаю , что у Вас в качестве вышестоящего DNS настроены

                  192.52.178.30
                  192.35.51.30

                  и когда все ок , вы видите трафик к этим ДНС серверам

                  но когда все плохо , по непонятной причине , у вас начинают отправляться запросы к

                  2001:503:d414::30
                  2001:500:856e::30
                  2001:502:8cc::30
                  и тд и тп
                  по сути это тоже самое , только ipv6

                  ADDITIONAL SECTION:
                  a.gtld-servers.net. 172800 IN A 192.5.6.30
                  b.gtld-servers.net. 172800 IN A 192.33.14.30
                  c.gtld-servers.net. 172800 IN A 192.26.92.30
                  d.gtld-servers.net. 172800 IN A 192.31.80.30
                  e.gtld-servers.net. 172800 IN A 192.12.94.30
                  f.gtld-servers.net. 172800 IN A 192.35.51.30
                  g.gtld-servers.net. 172800 IN A 192.42.93.30
                  h.gtld-servers.net. 172800 IN A 192.54.112.30
                  i.gtld-servers.net. 172800 IN A 192.43.172.30
                  j.gtld-servers.net. 172800 IN A 192.48.79.30
                  k.gtld-servers.net. 172800 IN A 192.52.178.30
                  l.gtld-servers.net. 172800 IN A 192.41.162.30
                  m.gtld-servers.net. 172800 IN A 192.55.83.30
                  a.gtld-servers.net. 172800 IN AAAA 2001:503:a83e::2:30
                  b.gtld-servers.net. 172800 IN AAAA 2001:503:231d::2:30
                  c.gtld-servers.net. 172800 IN AAAA 2001:503:83eb::30
                  d.gtld-servers.net. 172800 IN AAAA 2001:500:856e::30
                  e.gtld-servers.net. 172800 IN AAAA 2001:502:1ca1::30
                  f.gtld-servers.net. 172800 IN AAAA 2001:503:d414::30
                  g.gtld-servers.net. 172800 IN AAAA 2001:503:eea3::30
                  h.gtld-servers.net. 172800 IN AAAA 2001:502:8cc::30
                  i.gtld-servers.net. 172800 IN AAAA 2001:503:39c1::30
                  j.gtld-servers.net. 172800 IN AAAA 2001:502:7094::30
                  k.gtld-servers.net. 172800 IN AAAA 2001:503:d2d::30
                  l.gtld-servers.net. 172800 IN AAAA 2001:500:d937::30
                  m.gtld-servers.net. 172800 IN AAAA 2001:501:b1f9::30

                  T 1 Reply Last reply Reply Quote 0
                  • T
                    tty1 @Konstanti
                    last edited by

                    @Konstanti вообще говоря нет.
                    Даже предположить не могу, откуда взялись сервера 192.52.178.30 и 192.35.51.30.

                    Вот настройки относительно DNS (если мы об одном):
                    DNS.png

                    И собственно очень редко к ним действительно шлюз обращается, возвращает имена. Но крайне редко
                    from_google.png

                    S K 2 Replies Last reply Reply Quote 0
                    • S
                      stiff @tty1
                      last edited by

                      @tty1
                      А что если дернуть этот пункт:
                      0ce01b86-c36d-4a92-8770-d18024bff357-image.png
                      в использование только внешних DNS?

                      1 Reply Last reply Reply Quote 0
                      • K
                        Konstanti @tty1
                        last edited by Konstanti

                        @tty1

                        В режиме "Default" unbound лезет на корневые сервера ( Ваш случай)
                        В режиме "Forwarding" он лезет на сервера из Ваших настроек 8.8.8.8 или 1.1.1.1

                        попробуйте

                        33e18cb4-631a-4c8f-9233-3386c5e0ea24-image.png

                        If this option is set, DNS queries will be forwarded to the upstream DNS servers defined under System > General Setup or those obtained via DHCP/PPP on WAN (if DNS Server Override is enabled there).

                        T 1 Reply Last reply Reply Quote 0
                        • T
                          tty1 @Konstanti
                          last edited by

                          @Konstanti включил, в трафике побежали запросы на 1.1.1.1 и 8.8.8.8
                          DNSBL вроде не отвалился, зеленый (из за него не хотел переходить полностью на DNS Forwarder).
                          Наблюдаю!)
                          Но вообще посмотрел на других pf (у меня полно их, все правда версии 2.6) без Enable Forwarding Mode работает, таких приколов нет. Понять бы в чем причина :(

                          werterW 1 Reply Last reply Reply Quote 0
                          • werterW
                            werter @tty1
                            last edited by werter

                            Добрый
                            @tty1

                            В режиме "Forwarding" он лезет на сервера из Ваших настроек 8.8.8.8 или 1.1.1.1

                            Поставить галку на Форвард в настройках unbound забывают 99.9% настраивающих (

                            T 1 Reply Last reply Reply Quote 0
                            • T
                              tty1 @werter
                              last edited by tty1

                              @werter а почему "забывают"?
                              У меня более 10 pfSense в разных местах работают без этой галки, с подобным поведением первый случай.
                              Можете объяснить причину такого поведения, опираясь на трафик и детальные логи unbound?

                              K werterW 2 Replies Last reply Reply Quote 0
                              • K
                                Konstanti @tty1
                                last edited by

                                @tty1
                                Мое мнение - не надо "лезть" напрямую на корневые сервера ДНС за информацией, они служат несколько для другого
                                Используйте галку , чтобы получать информацию от общеизвестных DNS серверов

                                ТОй информации , что Вы предоставили , недостаточно , чтобы попробовать понять , почему Вам вдруг перестают отвечать на запросы сервера ...... нужен трафик с WAN интерфейса
                                и лучше не виде картинок , а в виде pcap файла .....
                                (но надо ли это ? )

                                T 1 Reply Last reply Reply Quote 1
                                • T
                                  tty1 @Konstanti
                                  last edited by

                                  @Konstanti понял, благодарю за участие!)

                                  Трафик то есть с WAN полный в формате pcap, но не хотелось выкладывать целиком))

                                  K 1 Reply Last reply Reply Quote 0
                                  • K
                                    Konstanti @tty1
                                    last edited by

                                    @tty1
                                    Тогда придется самому анализировать запрос и ответ , если очень хочется разобраться

                                    1 Reply Last reply Reply Quote 0
                                    • R
                                      rotor
                                      last edited by

                                      Странно...
                                      у нас проблема ушла сама собой, уже неделю мониторю, нет проблемы.
                                      в журнале Unbound стало чише и всё что я заметил...

                                      1 Reply Last reply Reply Quote 0
                                      • werterW
                                        werter @tty1
                                        last edited by werter

                                        @tty1

                                        У меня более 10 pfSense в разных местах работают без этой галки, с подобным поведением первый случай.
                                        Можете объяснить причину такого поведения, опираясь на трафик и детальные логи unbound?

                                        1 Потому что БЕЗ этой галки ваш пф будет пользовать КОРНЕВЫЕ днс, а не те, что вы указали в настройках.

                                        2 НЕ ИСПОЛЬЗОВАТЬ гуглоднс - к ним завтра доступ прикроют и останетесь без инета. Для конторы хватит и я-днс.

                                        1 Reply Last reply Reply Quote 0
                                        • First post
                                          Last post
                                        Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.