Dotaz: DHL

[dns]

Mám u zákazníka problém s přístupem na www server DHL - (dhl.cz). Zjistil jsem, že DHL přesměrovává www na svoji top doménu dhl. A já nemám přístup na dns servery této domény. Od dalších asi 3-4 providerů se na ty servery prostě normálně dostanu, odtamtud ani ťuk. Je to ADSL, resp. VDSL od O2. problém je prý od včerejška.

Nezaznamenal někdo něco podobného?

---

---

Odpovědi

[Pavel 'TIGER' Růžička]

O2 mívá často problémy s DNS, většinou stačí přenastavit na jiné.

[dns]

Já neforwarduji dotazy k ISP. Já se dotazuji sám a s těmi dns servery nemohu navázat spojení. Ani ping. U jiných ISP problémy nemám.

[dns]

# dig @a.root-servers.net. dhl. ns

; <<>> DiG 9.10.3-P4-Debian <<>> @a.root-servers.net. dhl. ns
; (2 servers found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 59466
;; flags: qr rd; QUERY: 1, ANSWER: 0, AUTHORITY: 4, ADDITIONAL: 9
;; WARNING: recursion requested but not available

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1472
;; QUESTION SECTION:
;dhl.                           IN      NS

;; AUTHORITY SECTION:
dhl.                    172800  IN      NS      a.nic.dhl.
dhl.                    172800  IN      NS      b.nic.dhl.
dhl.                    172800  IN      NS      c.nic.dhl.
dhl.                    172800  IN      NS      d.nic.dhl.

;; ADDITIONAL SECTION:
a.nic.dhl.              172800  IN      A       194.169.218.82
b.nic.dhl.              172800  IN      A       185.24.64.82
c.nic.dhl.              172800  IN      A       212.18.248.82
d.nic.dhl.              172800  IN      A       212.18.249.82
a.nic.dhl.              172800  IN      AAAA    2001:67c:13cc::1:82
b.nic.dhl.              172800  IN      AAAA    2a04:2b00:13cc::1:82
c.nic.dhl.              172800  IN      AAAA    2a04:2b00:13ee::82
d.nic.dhl.              172800  IN      AAAA    2a04:2b00:13ff::82

;; Query time: 36 msec
;; SERVER: 198.41.0.4#53(198.41.0.4)
;; WHEN: Fri Feb 08 16:05:30 CET 2019
;; MSG SIZE  rcvd: 276

# ping -c10 194.169.218.82
PING 194.169.218.82 (194.169.218.82) 56(84) bytes of data.

--- 194.169.218.82 ping statistics ---
10 packets transmitted, 0 received, 100% packet loss, time 9198ms

# ping -c10 185.24.64.82
PING 185.24.64.82 (185.24.64.82) 56(84) bytes of data.

--- 185.24.64.82 ping statistics ---
10 packets transmitted, 0 received, 100% packet loss, time 9206ms

# ping -c10 212.18.248.82
PING 212.18.248.82 (212.18.248.82) 56(84) bytes of data.

--- 212.18.248.82 ping statistics ---
10 packets transmitted, 0 received, 100% packet loss, time 9222ms

# ping -c10 212.18.249.82
PING 212.18.249.82 (212.18.249.82) 56(84) bytes of data.

--- 212.18.249.82 ping statistics ---
10 packets transmitted, 0 received, 100% packet loss, time 9206ms

[Petr Šobáň]

Připojení přes O2 vše funguje.

petr@NT-Olomouc:~$ dig @a.root-servers.net. dhl. ns

; <<>> DiG 9.11.3-1ubuntu1.3-Ubuntu <<>> @a.root-servers.net. dhl. ns
; (2 servers found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 26888
;; flags: qr rd; QUERY: 1, ANSWER: 0, AUTHORITY: 4, ADDITIONAL: 9
;; WARNING: recursion requested but not available

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
;; QUESTION SECTION:
;dhl.				IN	NS

;; AUTHORITY SECTION:
dhl.			172800	IN	NS	a.nic.dhl.
dhl.			172800	IN	NS	b.nic.dhl.
dhl.			172800	IN	NS	c.nic.dhl.
dhl.			172800	IN	NS	d.nic.dhl.

;; ADDITIONAL SECTION:
a.nic.dhl.		172800	IN	A	194.169.218.82
b.nic.dhl.		172800	IN	A	185.24.64.82
c.nic.dhl.		172800	IN	A	212.18.248.82
d.nic.dhl.		172800	IN	A	212.18.249.82
a.nic.dhl.		172800	IN	AAAA	2001:67c:13cc::1:82
b.nic.dhl.		172800	IN	AAAA	2a04:2b00:13cc::1:82
c.nic.dhl.		172800	IN	AAAA	2a04:2b00:13ee::82
d.nic.dhl.		172800	IN	AAAA	2a04:2b00:13ff::82

;; Query time: 35 msec
;; SERVER: 2001:503:ba3e::2:30#53(2001:503:ba3e::2:30)
;; WHEN: Fri Feb 08 17:47:09 CET 2019
;; MSG SIZE  rcvd: 276

petr@NT-Olomouc:~$ ping -c10 194.169.218.82
PING 194.169.218.82 (194.169.218.82) 56(84) bytes of data.
64 bytes from 194.169.218.82: icmp_seq=1 ttl=56 time=23.8 ms
64 bytes from 194.169.218.82: icmp_seq=2 ttl=56 time=23.4 ms
64 bytes from 194.169.218.82: icmp_seq=3 ttl=56 time=22.9 ms
64 bytes from 194.169.218.82: icmp_seq=4 ttl=56 time=22.7 ms
64 bytes from 194.169.218.82: icmp_seq=5 ttl=56 time=24.3 ms
64 bytes from 194.169.218.82: icmp_seq=6 ttl=56 time=20.5 ms
64 bytes from 194.169.218.82: icmp_seq=7 ttl=56 time=20.9 ms
64 bytes from 194.169.218.82: icmp_seq=8 ttl=56 time=19.9 ms
64 bytes from 194.169.218.82: icmp_seq=9 ttl=56 time=19.8 ms
64 bytes from 194.169.218.82: icmp_seq=10 ttl=56 time=18.5 ms

--- 194.169.218.82 ping statistics ---
10 packets transmitted, 10 received, 0% packet loss, time 9012ms
rtt min/avg/max/mdev = 18.553/21.709/24.318/1.886 ms

petr@NT-Olomouc:~$ ping -c10 2001:67c:13cc::1:82
PING 2001:67c:13cc::1:82(2001:67c:13cc::1:82) 56 data bytes
64 bytes from 2001:67c:13cc::1:82: icmp_seq=1 ttl=58 time=21.6 ms
64 bytes from 2001:67c:13cc::1:82: icmp_seq=2 ttl=58 time=19.0 ms
64 bytes from 2001:67c:13cc::1:82: icmp_seq=3 ttl=58 time=18.5 ms
64 bytes from 2001:67c:13cc::1:82: icmp_seq=4 ttl=58 time=18.8 ms
64 bytes from 2001:67c:13cc::1:82: icmp_seq=5 ttl=58 time=18.8 ms
64 bytes from 2001:67c:13cc::1:82: icmp_seq=6 ttl=58 time=18.7 ms
64 bytes from 2001:67c:13cc::1:82: icmp_seq=7 ttl=58 time=17.7 ms
64 bytes from 2001:67c:13cc::1:82: icmp_seq=8 ttl=58 time=18.3 ms
64 bytes from 2001:67c:13cc::1:82: icmp_seq=9 ttl=58 time=18.3 ms
64 bytes from 2001:67c:13cc::1:82: icmp_seq=10 ttl=58 time=18.7 ms

--- 2001:67c:13cc::1:82 ping statistics ---
10 packets transmitted, 10 received, 0% packet loss, time 9015ms
rtt min/avg/max/mdev = 17.775/18.886/21.634/0.986 ms


petr@NT-Olomouc:~$ 

Takže bych skusil restartnout modem od O2, pak skusit nastavit jiné DNS servery. Potom skusit nahlásit poruchu na lince.

Překontrolovat zda na lince nemáš u O2 aktivovaný firewall. (Vím že takovou službu měly a filtrovaly připojení.)

Vyzkoušet připojení z jiného OS - jiného PC.

[dns]

Máme tam pevnou ip adresu a připojenou síť. To, o čem píšu, se děje na serveru. Nevím, proč bych měl zkoušet jiný dns server, když si to resolvuji sám. Prostě to nechodí. Restartovat modem sice můžu, ale az přijdu z hospody a je to tak asi na úrovni toho, že otřu hadrem monitor.

[Pavel 'TIGER' Růžička]

Nevím, proč bych měl zkoušet jiný dns server, když si to resolvuji sám. Prostě to nechodí.

A jakým způsobem to resolvuješ? Vezmeš dotaz, jdeš s ním do hospody a tam ho položíš? Nebo máš jiný způsob?

[dns]

Mám tam normálně nastavený unbound. Všude jinde to funguje, tady to nefunguje.

A jestli jsi dosud nepochopil, že nejde ani ping, natož pak dns dotaz, tak se celkem nemáme o čem bavit.

[Jendа]

OMG vždyť to ukazuje v #3, resolvuje to prostě sám ručně digem.

OP: zkus traceroute na ty servery jestli to hnije někde u O2, u jejich upstreamu nebo kde.

[dns]

Díky. Na to jsem zapomněl. S traceroute končím někde v O2.

[Pavel 'TIGER' Růžička]

Tak já končím někde v anglii.

17  p222-harc2-guildford3.tch.dtn.ntl.com (194.168.243.117)  54.915 ms  55.151 m

[Pavel 'TIGER' Růžička]

Tak a. končí v anglii b.-d. u O2.

[dns]

Problém nahlášen, uvidíme.

[dns]

Spolupráce s O2 je špatně popisuje slušnými výrazy...

Zatím O2 tvrdí, že oni nic, všechno je v pořádku a já jim posílám podklady, že všechno v pořádku není.

Ale v tuto chvíli vlastně ani nevím, jestli případ ještě řeší nebo ho už z jejich strany ukončili. Fakt výborná spolupráce.

[lertimir]

Moje zkušenost z asi roku 2004-5 kdy jsem následně od Telecomu odešel byla, že filtruje dns pakety. Nějak a v zásadě nevím podle jakých pravidel. Tehdy jsem potřeboval stáhnout soft pro tehdy vytáčený modem. A pokud jsem použil jejich DNS servery tak nedaly resoluci. A pokud jsem použival vlastní dotazování tak prošly dotazy na top level doménu a domenu první úrovně, ale dotaz na nameservery druhé úrovně už ne. zkusil jsem maily přímo na hostmaster@telecom.cz (což byla adresa v jejich DNS pro správce a také katastrofa) přiznali že to filtrují ale nic se nezměnilo. Resoluce v práci fungovaly správně. Díky té katastrofální komunikaci jsem se rozhodl změnit poskytovatele. Nemyslím že by se chování po změně Telecomu na O2 moc změnilo.

[Luboš Doležel (Doli)]

O2 dodnes filtruje příchozí DNS a tuším i SNMP traffic směrem k zákazníkovi, takže bez nějakých výjimek si za DSL linkou veřejný DNS server nezprovozníte. Tehdy mi říkali, že to je kvůli nějakým děravým modemům.

Kvůli mizernosti jejich zahraniční konektivity (před 2 lety) jsem pak odešel k T-Mobile.

[Pavel 'TIGER' Růžička]

Nevím, jestli se to nějak nezměnilo, ale když jsem s nimi naposledy jednal o něčem podobném, tak call centrum v Praze si nevědělo rady, tak to hodili na Brno. Brněnská podpora musí být prima banda zhulenců, protože to měli těžce na háku. Pak jsem se nějakou oklikou dostal na podporu do Ostravy a tam už nějací schopní lidé jsou, protož e problém v poměrně krátké době vyřešili. Ano je to děs, protože v rámci restrukturalizace firmy byly vyhozeni lidé, kteří problematice rozuměli, ale muselo by se jim platit 30t./měs. A tak se nabrali zobáci, kterým se nedává ani polovina. Ty se neučí pár frází, obsluhovat telefon a pak vítejte v přepínacím kolečku, tedy pokud se pře automat k živému člověku vůbec dovoláš. Dlouho jsem si myslel, že horší jednání nemohu zažít. Ale někteří lokální poskytovatelé se chovají ještě mnohem hůř. Po takovém zjištění jsem potom pohled na O2 přehodnotil.

[Petr Šobáň]

Ještě mě napadlo jaké IP používáš?

IPv4 nebo IPv6? Už jsem narazil že pod IPv4 to třeba nechodí a pod IPv6 bez problémů nebo opačně.

Jinak restart modemu bych taky nepodceňoval a skouknutí jeho nastavení, zdánlivě vše nastavené OK a nemusí se to chovat jak člověk předpokládá, v jejich FW je dost chyb a pak se to někdy chová nepředvídatelně.

[dns]

Používá se tam pouze IPv4. Modem sice dostane i IPv6 adresu, ale dál se s ní nepracuje.

Restart modemu jsem, samozřejmě, provedl. Nic se nezměnilo. Ten problém je stejný i přímo na tom modemu, nejenom v síti za ním. Ale je pravda, že s IPv6 by to fungovalo, to jsem si ověřil.

Hoši od O2 na tom dřou. Dneska mi o tom poslali zprávu. A včera jsem mluvil se zkušeným operátorem, který věděl, co dělá a dokázal se mnou pohovořit tak, že jsem pokládal telefon uklidněn a smířen se světem. Z rozhovoru také vyplynulo, že zprocesované to tam u O2 mají velmi dobře. Pouze vyřešeno to ještě není.

Jinak jsem to zatím upravil tak, že pro zmiňovanou top doménu dhl forwarduji dns dotazy jinam. Vlastní web, zdá se, chodí. Ono to DHL používá pro svoje weby systém akamai, takže se tam asi případná drobná nedostupnost ip bloků ztratí.

[Petr Šobáň]

Tak nebylo by lepší využívat i IPv6?

Já si myslím že IPv4 filtrují a jak tam mají nějakou chybičku tak to neprojde.

[dns]

Já nemám na starosti celou síť a nemohu o tom rozhodovat. A ani bych se v tom nechtěl vrtat. Kromě toho vím, že tam mají spoustu prehistorických zařízení, se kterými by byly jenom problémy.

[Petr Šobáň]

Tak co skusit na tom modemu tu IPv6 podporu vypnout?

Zda se to nějak nehádá?

[Pavel 'TIGER' Růžička]

Kdyby to bylo jen u něj, tak bych nemohl psát toto. Jedu čistě IPv4.

[Petr Šobáň]

Jsem myslel že se to může hádat někde v O2 když usoudí že používáš IPv6.

[dns]

Nevím, co to může dělat v O2. Ale jinde, kde mám dual-stack, tak když pingnu na výše uvedené ipv4 adresy dns serverů, tak mi odpoví, zatímco tady mi neodpoví. O vlastních dns dotazech ani nemluvě. V O2 (nebo u jejich navazujících partnerů, co já vím) to mají prostě nějak poblbané.

Hoši z O2 na tom asi pořád dřou, ale dneska se zatím neozvali.

[Filip Jirsák]

Tak už to opravili. Chyba byla prý v routingu, což se dalo tak nějak předpokládat.

[Pavel 'TIGER' Růžička]

Potvrzuji, už to odpovídá i u mne.

[d.c.]

Meli jste stesti. Mam za sebou nekolikrat rozhovor typu: "Mate problem s routingem."

"Vy mate problem s routovanim?"

"Ne, ja ne, ale nechodi spravne routing od paterniho routeru ...160, takze *vy* mate problem s routingem a ja se pak nedostanu, kam potrebuju."

"Kdyby byl problem s routingem, uz by nekdo telefonoval."

"...vsak ja telefonuji."

etc.

[Pavel 'TIGER' Růžička]

Jo, to mi připomíná to Brno.