Dotaz: power DNS a mojebanka.cz

[entony]

Dobry den, nesetkal jste se nekdo s timto problemem? Po instalaci powerdns na localhostu (v konfiguraci jsem nic nemenil, krom bindu na sitovku a /etc/resolv.conf na localhost) mi vse perfektne funguje krom stranky: mojebanka.cz (kb) zjistil jsem, ze pokud zadam dig mojebanka.cz nekolikrat za sebou, tak mi vrati ipadresu az tak na 5tej - 7mej pokus. Jedna se o Debian etch a tento problem mam i na jinych strojich. Bind to mimojine nedela. Kolega zjistil, ze mojebanka.cz ma malej "Time To Live" (asi kvuli zabezpeceni - ze po par minutach vyprcha a stranky jsou zas nedostupne).

Zkuste to nekdo protuknout nebo jenom testnou, jestli se vam to jevi tak jako me.

Dikec

Odpovědi

[artec]

PDNS s domenou mojebanka.cz nema nic spolecneho, teda pokud ho nemate nastaveny tak, ze je pro tuto domenu autoritativni :)

Mate namysli zrejme Recursor. TTL 1200 u mojebanka.cz je bezna hodnota a i kdyby byla jina, tak v tom nemuze byt problem. Zalezi to na dalsich nastavenich, zda se recursor dotazuje primo root DNS serveru nebo serveru ISP, co presne mate v /etc/resolv.conf apod..

[Darek]

Meli jsme uplne stejny problem. Jen nevim jak jsme to resily, ale tusim ze upravou nejakeho timeoutu ve zdrojaku a pomohlo to, lec to neni nejsystemovejsi reseni. BTW: ttl mojebanka.cz a www.mojebanka.cz jsou jine, www ma TTL 0, bez www ma 1200.

[Darek]

Jenom dodam, ze mojebanka.cz PDNS vetsinou resolvnul, narozdil od www.mojebanka.cz

[Bůh Entony]

Dobry den, omlouvam se ze pisu az ted (moc prace:o(
(je to opradu recursor - sorry)
dig www.mojebanka.cz ne, ale mojebanka.cz jede - chova se to stejne tak jako Vam

---
/etc/resolf.conf search xxx.yyy.net
nameserver 127.0.0.1

/etc/powerdns/recursor.conf
aaaa-additional-processing=on
daemon=yes
delegation-only=com,net,cz
local-address=127.0.0.1
local-port=53
quiet=no
---

odstranil jsem z vypisu radky zacinajici "#"
zmenil jsem jen aaaa-additional-processing na hodnotu on (doufaje ze to pomuze:(
a k delegation-only jsem pripsal cz
moc informaci o DNS nemam (prubezne se ucim), ale zakladni info snad mam.

Je chyba tedy u nas nebo na u Komercky? :)
Da se to nejakym parametrem do konfiguraku osetrit?
Myslite ze pomuze stahnuti a kompilace nejnovejsiho pdns-recursoru ?

Kazda rada se hodi, takze predem dekuju :)

[artec]

Je to jasne, spatne resolfujete a nemate vubec konfigurak :)

Tak jste me donutil, abych se na to DNSko mojebanka.cz podival :)

Takze jsem zkousel prelozit "mojebanka.cz" a "www.mojebanka.cz" - a "www.mojebanka.cz" se neresolvla.

mojebanka.cz ma uvedeny jako dns servery:

nsv.mojebanka.cz

nsn.mojebanka.cz

a oba jsou autoritativni a oba vraceji pro "mojebanka.cz" ackovy zaznamy na IP: 194.228.113.5, 195.47.102.5

www.mojebanka.cz se mi vubec neresolvla ani na jednom s DNS serveru... Kdyz se dal dotaz opakovane nekolikrat (asi 3x), tak obe DNS zacaly vracet, ze je pro www.mojebanka.cz autoritativni DNS server:

dd.mojebanka.cz s IP 194.228.113.6, 195.47.102.6

Tento DNS server (na obou IP) vraci 2 ackove zaznamy na www.mojebanka.cz.

Vsimnul jsem si na DNS serveru dd.mojebanka.cz 2 zvlastnosti:

1) Na 2 IP adresach vraci rozdilne SOA zaznamy. U obou IP se deje navic to, ze serial v SOA zaznamu se kazdou 1s zvetsuje o +1.

2) Nektere zaznamy na IP adresy maji TTL 10 nebo dokonce 0.

[Ash]

Ten dd.mojebanka.cz tam nebýval:

lookup www.mojebanka.cz vs lookup www.mojebanka.cz (Google cache)

[Ash]

Tak ten druhý odkaz je špatně, ten je na mojebanka.cz, nicméně i tak bych přísahal že před refreshnutím informací na robtex.cz tam dd.mojebanka.cz nebyl (byl tam starý výsledek lookupu, cca něco přes 100 dní). Nemůže být problém také v tom, že u dd.mojebanka.cz chybí reverse?

[Ash]

Nemůže, to je vlastně následek, ne příčina :) Tak nic.

[Bůh Entony]

trochu to chapu, ale co s tim muzu udelat? co vsechno musim doplnit do konfiguraku aby to behalo?

[artec]

Neni co opravovat. To, ze dns servery KB vraceji nesmyslne odpovedi, je chyba brigadniku, co tyto DNS servery nastavovali.

Jedine, co muzete udelat, aby vam to spravne fungovalo, je to, ze si do hosts pridate ackovy zaznamy na mojebanka.cz a www.mojebanka.cz. Neni to sice idealni, ale takto obejdete spatne nastavene DNS servery KB.

[Bůh Entony]

Psal jsem email do KB, snad se na to kouknou, treba s ti neco udelaj nebo mi poradej.

[Bůh Entony]

--- KB ---
zasíláme Vám vyjádření k Vašemu dotazu:

1) Za dobu veřejných DNS služeb nezaznamenala Komerční banka nikdy žádné nestandardní situace se svými poskytovanými DNS službami ať z pohledu dostupnosti nebo RFC standardů.
2) Design a implementace DNS soustavy odpovídá dokumentu RFC 1035 a jeho aktualizace v RFC dokumentech 1101, 1183, 1348, 1876, 1982, 1995, 1996, 2065, 2136, 2137, 2181, 2308, 2535, 2845, 3425, 3658.
3) Dovolujeme si poukázat na aktuální verzi PoweDNS, která řeší některé nekorektní stavy: http://downloads.powerdns.com/documentation/html/changelog.html
V případě dalších dotazů nás prosím kontaktujte na bezplatné informační lince pro aplikaci mojebanka a profibanka 800 152 152 nebo prostřednictvím této emailové adresy. Číslo Vašeho požadavku je TC103088.
--- end ---

Prej to maj podle standartu, tak asi bude problem v zastaralosti powerdns recursoru v debianu - zkusim stahnout posledni verzi a nainstalovat...br> Dam vedet, jestli neco zjistim...

[artec]

Ad 1) KB nikdy nezaznamenala problem diky nejpouzivanejsimu Bindu, ktery dokaze
www.mojebanka.cz resolvnout pokazde, ale az za 3-4 vteriny.

To, ze se mojebanka.cz resolvne v radu desitek ms a www.mojebanka.cz v radu
tisicu ms je asi v KB normalni stav...:)

Ad 2) v KB maji zrejme i zamestnance specializovaneho na vypisovani RFC. Kdyby
svoji praci delal opravdu peclive, tak by tam urcite vypsal vsechny :)


Kdyz tedy tolik dodrzuji standardy, tak by se jich nebylo od veci zeptat,
v jakem doporuceni RFC je napsano, ze se ma:

1) Pro 1 zaznam vracet 2 rozdilne SOA zaznamy.
2) V SOA zaznamu kazdou vterinu zvetsovat serial o +1.
3) Nastavovat TTL na 0.

Ad 3) Toto neni vubec spatne vyzkouset, treba Recursor pokazde zacne
taky vracet zazracne odpovedi stejne jako Bind po 3-4 vterinach. Tim by bylo
hned po pricinach problemu :)

[Bůh Entony]

:(
no asi bych to videl na dalsi mail :)
i386 debian etch ma pdns-recursor verze 3.1.4,
ze stranek sem stahnul v3.1.5, ale stejnej problem,
je tam i v3.1.6, ale ta potrebuje novejs libc6:(
asi to bude chtit dalsi mail na : mojebanka (zavinac) kb.cz
Ma nekdo chut ho napsat ? :D

[Entony]

Mohl bych poprosit, zda je mozny zaslat ten upraveny zdrojak, nebo celej balik na email (antonin.holub (zavinac) altnet.cz) , nebo danou cast kodu opsat sem?

[mm]

"1.3.1. Recursor version 3.1.6

Released on the 1st of May 2008.

This version fixes two important problems, each on its own important enough to justify a quick upgrade.

Version 3.1.5 had problems resolving several slightly misconfigured domains, including for a time 'juniper.net'. Nameserver timeouts were not being processed correctly, leading PowerDNS to not update the internal clock, which in turn meant that any queries immediately following an error would time out as well. Because of retries, this would usually not be a problem except on very busy servers, for domains with different nameservers at different levels of the DNS-hierarchy, like 'juniper.net'."

FYI

[B.E.]

Vypada to ze nepomuze ani posledni verze pdns-recursor. Kus dnesniho dopoledne jsem stravil kompilaci pdns v. 3.1.6 ze sourcu stazenejch z ofiko stranek. Chce to prej nejakej boost C++ ze stranek boost.org, ale podle manualu pry debian nejakou verzi boostu obsahuje (myslim 1.3.3, nastrankach 1.3.5 ke stazeni). Takze staci apt-get install boost-* (puvodne sem myslel ze postaci libboost*, ale e-e), zkompiloval, nainstaloval, rozbehnul, ale zase neresolfuje spravne. Pockam si na 3.1.7, uvidim.

[A. H.]

Napada nekoho, jak to vyresit?

[artec]

Neni co resit... priciny problemu jsem popsal vyse. Vyse jsem i psal, ze se to da na localu obejit (neciste) pomoci hosts.

Kdyz NS banky vraceji nekorektni udaje, tak je blbost z toho vinit nejakej program, ktery si s nimi nedokaze poradit.