Dotaz: Špatná funkce DNS serveru?

[Pavel]

Zdravím, mám na serveru rozjet dns server, překlad na místí adresy funguje, ale co jsem zjistil tak jen za předpokladu, že má server konektivitu na internet. Pokod konektivita vypadne, trvá načtení stránky i více jak 20 vteřin. V čem by mohl být zakopán pes?

---

---

Odpovědi

[Jendа]

Neuvedl jsi, co je to za server(!), relevantní úseky konfigurace ani odsniffovaný provoz, který nameserver do Internetu zkouší generovat během překladu lokální domény.

[Filip Jirsák]

Ten váš DNS server je autoritativní pro nějakou doménu nebo je to DNS resolver pro vaši síť? Pokud resolver, pak je logické, že když nemá přístup na internet, nemůže adresy překládat. Pak je spíš divné to, jak je možné, že se po těch dvaceti sekundách vůbec něco přeloží.

[Pavel]

Omlouvám se za neúplnost dotazu. Jedná se o Bind server primárně použitý jako resolver pro vlastní síť. Avšak zanesl jsem do něj i několik doménových záznamů na adresy ve své síti 192.168.60.0/24. Provider taktéž směruje všechna příchozí data na adresu 192.168.60.2. Ping odeslaný z vlastní sítě na IP veřejnou je samozřejmě nefunkční. Nastavení serveru mám takové:

options {
  directory "/var/cache/bind";
  forwarders {
    192.168.255.38;  // DNS providera
  };
  dnssec-validation auto;
  auth-nxdomain no;   
  listen-on-v6 { any; };
};

[Chulda]

No a načem se snažíte načíst stránku - na tom serveru? Takhle se mi to chová, když klient má nastavené i veřejné DNS a ty jsou jako první v pořadí. Pak chvíli trvá, než se klient dotáže lokálního DNS.

[Filip Jirsák]

Pokod konektivita vypadne, trvá načtení stránky i více jak 20 vteřin.

To znamená, že pokud konektivita vypadne pro celou síť, trvá načítání stránky ze serveru umístěného ve vnitřní síti i více jak 20 vteřin? Pak můžete mít na klientském počítači nastavený i jiný DNS resolver, než ten váš. Pokud je chyba v DNS. Zkuste z toho počítače nejdřív ping na zvolenou adresu. Pokud tam bude stejná prodleva, je problém v DNS. Pokud nebude problém může být v tom webu - například se povinně načítá nějaký externí skript a těch 20 sekund trvá, než prohlížeč zjistí, že skript nestáhne. Také je možné že je něco špatně v konfiguraci DNS serveru, bylo by dobré ji přiložit celou.

[Pavel]

Klientské DNS jsou nastaveny správně. Vyzkoušeno několik počítačů. Pokud pingnu server, odpoví okamžitě, i když vymažu cache paměť. Komplet celou konfiguraci DNS mám:

options {
  directory "/var/cache/bind";
  forwarders {
    192.168.255.38;  // DNS providera
  };
  dnssec-validation auto;
  auth-nxdomain no;   
  listen-on-v6 { any; };
};
zone "mojeadresa.cz" {
	type master;
	file "/var/lib/bind/mojeadresa.cz.hosts";
	};
zone "." {
	type hint;
	file "/etc/bind/db.root";
};
zone "localhost" {
	type master;
	file "/etc/bind/db.local";
};

zone "127.in-addr.arpa" {
	type master;
	file "/etc/bind/db.127";
};

zone "0.in-addr.arpa" {
	type master;
	file "/etc/bind/db.0";
};

zone "255.in-addr.arpa" {
	type master;
	file "/etc/bind/db.255";
};

A v souboru mojeadresa.cz.hosts mám :

$ttl 38400
mojeadresa.cz.	IN	SOA	mujserver. none (
			1405975992
			10800
			3600
			604800
			38400 )
mojeadresa.cz.	IN	NS	mujserver.
*.mojeadresa.cz.	IN	A	192.168.60.2
mojeadresa.cz.	IN	A	192.168.60.2

Jako webserver používám apache, a mám tam jednoduchou stránku čistě v html.

[Filip Jirsák]

Když používáte doménu v TLD .cz, nemáte v prohlížeči nějaký doplněk, který by validoval DNSSEC? Nepoužíváte HTTPS a nepokouší se prohlížeč stáhnout CRL? Nepokouší se Apache přeložit IP adresu klienta na název? Podívejte se na ten provoz v souvislosti s webem přes tcpdump - jak na klientovi, tak na serveru. Jaké a kdy se posílají DNS dotazy, kdy se pošle HTTP požadavek, kdy odpověď a kdy je odpověď poslaná celá.

[Filip Jirsák]

Ještě mne napadlo, zda to nedělá v prohlížeči Safe Browsing, který by se snažil o dané adrese zjistit, zda není nebezpečná. Normálně mi to u lokálních domén bez připojení k internetu určitě nezdržuje, ale pokud vaše lokální doména je v TLD, nemá prohlížeč jak poznat, že se k téhle doméně má chovat nějak speciálně.

[alkoholik]

Pridej si k obema zonam forwarders {};.

[Filip Jirsák]

Pokud ping přeloží jméno hned, problém asi nebude souviset s DNS. Určitě to nebude tak jednoduché, že by se ta základní webová adresa nepřekládala.

[Pavel]

Nedelas nahodou revers lookup pri logovani webserveru?

[Pavel]

Tak jsem přišel na chybu. Způsobovala ji direktiva HostnameLookups On v apachi.