Dotaz: vlastny verejny dns

[jany2]

Mam verejnu IPV4 a ako hlavny router (GW) pouzivam mikrotik. Na mikrotiku mam zapnuty DNS + mam tam ulozene staticke zaznamy, ktore v LAN funguju bez problemov. V MK vo firewalle mam udp/tcp port 53 blokovany na wan rozhrani (kvoli utokom z vonka).
Chcel by som vyskusat ako funguje dns, ale prave ze mi to nefunguje. Znamy mi povedal, ze pokial nemam DNS vo firewalle blokovany, tak v MK DNS pocuva na porte 53 na vsetkych LAN, ale aj WAN rozhraniach (nerozlisuje rozhrania). Proste funguje a ked mi nefunguje, tak mam nieco blbo nastavene.
Mozno to skusam nejak blbo ja, ale robim to takto (najprv pois a potom co chcem dosiahnut):
V LAN je PC server s LAMP a na nom VirtualHosty. Samozrejme, ze na Vhosty sa z vonka nedostanem, tak ma napadlo v MK zrusit pravidlo, ktore blokuje DNS na wan rozhrani a na stroji, ktory chce pristupit na whost z wan strany, nastavit DNS (moju verejnu IP adresu). Dufam, ze som si to dobre vysvetlil. Z nejakeho dovodu mi to ale nefunguje.

Nekamenujte ma, je to test ... ano viem do par minut budem mat na porte 53 taky bordel, ze sa z toho nespamatam (to by som si poriesil, ze si port 53 otvorim, len pre moju IP). Ano viem aj o VPN, ale nechcem to riesit takto (mam to otestovane, funguje to).
Cisto ma zaujma, ako ma fungovat dns a preco mi to nejde a bude sa jednat len o test.
Co sa tyka MK, tak viem, ze tam neni plnohodnotny DNS, ale len akysi resolver a cache, ale malo by to fungovat tak ako popisujem vyssie, alebo som to poplietol ? :)

---

---

Odpovědi

[NN]

Jany, jany.. Dve veci, nejprve bych se podival kde lze nastavit aby si Mikrotik nehral na DNS a konecne kdyz chces porovozovat DNS uvnitr budes muse prislusne porty(53) pronatovat z venku dovnitr na server.

[jany2]

V MK som firewall na chvilu komplet vypol aby bolo jasne, ze nic to nemoze blokovat a prenatoval som udp port 53 na masinu kde mam vhosty.

 chain=dstnat action=dst-nat to-addresses=192.168.1.3 to-ports=53 protocol=udp in-interface=pppoe-out1 dst-port=53 log=no log-prefix=""

Pripojil som sa mobilom z WAN (v mobile mam apku dns changer) zmenil som si DNS na IP mikrotiku. Vidim v NAT ako mobil komunikuje s MK na porte 53 prichadzaju pakety, ale web na 192.168.1.3 nedokazem otvorit. Niekde bude este pes zakopany
DNS na mikrotiku mam nastavene

                servers: 8.8.8.8,8.8.4.4
        dynamic-servers: 
  allow-remote-requests: yes
    max-udp-packet-size: 512
   query-server-timeout: 2s
    query-total-timeout: 10s
             cache-size: 2048KiB
          cache-max-ttl: 1w
             cache-used: 401KiB

+ staticke zaznamy

[Filip Jirsák]

Na web na IP adrese 192.168.1.3 se můžete dostat jen z LAN, ta IP adresa je z privátního rozsahu a v internetu není routovatelná. Z internetu byste se mohl připojit jedině přes veřejnou IP adresu.

A s DNS tohle nijak nesouvisí, když zadáte 192.168.1.3, je to IP adresa a přes DNS se nijak nepřekládá.

[jany2]

Ale vsimli ste si pravidlo NATu z mikrotiku ?? Ktore hovory, ze presmeruj IP adresu 192.168.1.3 na porte 53 na WAN interface pppoe-out1 kde je verejna IP adresa ??
Ved predsa nie som az taky blby, aby som naivne cakal, ze ked budem voci svojej LAN vonka (WAN) a zadam IP 192.168.1.3, ze mi nabehne moj ziadany web?
Ako som uz spominal vyssie, mam na servery niekolko virtualhostov a na niektore mam zaregistrovane bezplatne DNS mena a to mi funguje super ako z LAN, tak z WAN. Mam rozbehane aj openvpn, kde tiez ide vsetko bez problemov.
Ja mam vsak v LAN jednu domenu (napr. www.janko-hrasko.sk) ak som v LAN a zadam www.janko-hrasko.sk, tak to samozrejme normalne funguje, vdaka statickemu DNS zaznamu v mikrotiku. Ja vsak potrebujem, aby mi www.janko-hrasko.sk fungovalo aj z vonka (ak som mimo LAN) a preto potrebujem ten vlastny DNS aby mi to prekladalo tie zaznamy, ktore mam ulozene v MK.
Mozno sme sa nerozumeli, alebo som to pred tym zle popisal, ale teraz je to uz dufam jasne.
Nepiste mi odpovede typu, pouzi vpn (toto uz pouzivam) alebo zaregistruj si normalnu domenu a hostovat mozes u seba a pod ....

[Filip Jirsák]

Ja mam vsak v LAN jednu domenu (napr. www.janko-hrasko.sk) ak som v LAN a zadam www.janko-hrasko.sk, tak to samozrejme normalne funguje, vdaka statickemu DNS zaznamu v mikrotiku. Ja vsak potrebujem, aby mi www.janko-hrasko.sk fungovalo aj z vonka (ak som mimo LAN) a preto potrebujem ten vlastny DNS aby mi to prekladalo tie zaznamy, ktore mam ulozene v MK.

Tak jsme se konečně dostali k tomu, co chcete. Tu doménu janko-hrasko.sk si musíte zaregistrovat u registrátora pro doménu .sk. Registrátor vám zároveň poskytne své DNS servery (je to podstatně lepší, než mít DNS server na svém routeru). Na tom DNS serveru registrátora si pak nastavíte A záznam pro jméno www.janko-hrasko.sk, který bude směřovat na veřejnou IP adresu toho vašeho routeru.

Nepiste mi odpovede typu, pouzi vpn (toto uz pouzivam) alebo zaregistruj si normalnu domenu a hostovat mozes u seba a pod ....

Ale vždyť to chcete, zaregistrovat si normální doménu. Na to, abyste kdekoli z venku překládala ta vaše doména, vůbec nepotřebujete svůj vlastní DNS server, ale potřebujete k tomu registrovat si tu doménu. Protože když někdo zadá tu vaši adresu, musí vědět, kterého serveru se na ní má zeptat – a to se zařídí právě tou registrací domény.

[jany2]

Vy ma stale nerozumiete (resp. rozumiete, ale stale si pisete to svoje).
Viac krat som spominal, ze mam na apache niekolko virtualhostov (dajme tomu 6x vhost). Na 5 Vhostov mam zaregistrovane 5 domen tretieho radu (cize, kedze je to tretieho rdau, konkretne na http://www.changeip.com/ tak je to zadara).
Vy mi radite aby som si zaregistroval svoju domenu druheho radu a aby som za nu zaplatil a hostoval to u seba a u registratora pouzil A zaznam s mojou verejnou IP. Toto uz robim s tymi piatimi domenami, ktore mam zaregistrovane u changeip.com a funguje to dobre.
Ja vsak chcem uplne nieco ine. Uz sa mi to nechce popisovat, lebo by som to uz treti krat opakoval. Ale skusim trocha iny popis.
Ked si na mikrotiku nastavim staticky zaznam abclinuxu.cz a nasmerujem ho na 192.168.1.3 (kde mam apache z vhostami) tak v ramci LAN ma to nepresmeruje na normalny web abclinuxu.cz, ale ma to presmeruje na moj vhost ktory je na 192.168.1.3.
Ja nechcem nic viac a nic menej. Napr. domena janko-hrasko.sk oficialne neexistuje (nikde nie je registrovana), ale v mojej LAN existuje a ak by som pouzil moj vlastny DNS (ten na mikrotiku) teda verejnu IP adresu routeru, tak ocakavam, ze ak budem vonka (WAN) a nastavim si v PC DNS adresu mojho routeru, ze mi ju prelozi a ja konecne uvidim obsah janko-hrasko.sk.
Samozrejme fungovat by to malo tym ktori pouziju ako DNS, verejnu IP adresu mojho routeru na ktorom bezi mikrotik (s kvazi DNS).
Moju verejnu IP nikto nepozna a dokonca je to dynamicka dsl.
Ja nie som admin v nejakej firme, nebudem to pouzivat, ale chcem to len otestovat ako to bude fungovat, prip. ak sa budem chciet pripojit z vonka na web tak to tak budem moct urobit.

[Filip Jirsák]

Vy ma stale nerozumiete (resp. rozumiete, ale stale si pisete to svoje).

Ne, nerozumím vám. V dotazu jste vůbec nenapsal, co chcete, teprve teď to z vás pomalu leze.

Ja nechcem nic viac a nic menej. Napr. domena janko-hrasko.sk oficialne neexistuje (nikde nie je registrovana), ale v mojej LAN existuje a ak by som pouzil moj vlastny DNS (ten na mikrotiku) teda verejnu IP adresu routeru, tak ocakavam, ze ak budem vonka (WAN) a nastavim si v PC DNS adresu mojho routeru, ze mi ju prelozi a ja konecne uvidim obsah janko-hrasko.sk.

To fungovat bude, pokud někdo mezi vámi ve WAN a vaším routerem neunáší DNS dotazy – někteří ISP to dělají. A taky je potřeba, abyste měl ten váš DNS resolver dobře zabezpečený, protože ho máte vystaven do internetu a překládat (a útočit na jiné) přes něj může kdokoli. A bude to fungovat jedině v případě, kdy doménu překládá opravdu váš počítač – jakmile ji překládá třeba proxy server, použije veřejnou hierarchii DNS a vašeho serveru se vůbec ptát nebude.

Ovšem mnohem jednodušší je, když si na svém počítači ve WAN nastavíte do /etc/hosts tu vaši pokusnou adresu a IP adresu routeru. Nemusíte pak řešit DNS server nebo únosy DNS dotazů a bude vám to fungovat. Samozřejmě stále za předpokladu, že DNS překládá váš počítač – proxy server takhle neovlivníte.

[jany2]

Zase sme sa posunuli trochu dalej :) uviedol som nastavenie mojho dns v MK

                servers: 8.8.8.8,8.8.4.4
        dynamic-servers: 
  allow-remote-requests: yes
    max-udp-packet-size: 512
   query-server-timeout: 2s
    query-total-timeout: 10s
             cache-size: 2048KiB
          cache-max-ttl: 1w
             cache-used: 401KiB

Viac o dns v mk je tu Chapem to tak, ze ak klient zada do url nazov webu, tak poziadavka smeruje na dns, najprv sa pozre do cache a ak nic nanajde, tak ide na staticke zaznamy a ak tam nieco najde, tak to presmeruje podla statickeho zaznamu a ak tam nic nenajde tak to ide dalej na 8.8.8.8 resp 8.8.4.4
Problem je vsak ze mi to nefunguje a neviem co to blokuje, neviem to zistit

[Filip Jirsák]

Zjistíte to tak, že si na vnějším rozhraní toho routeru spustíte tcpdump s filtrem na port 53/udp. Když tam dotaz přijde, je problém na straně vašeho routeru. Když dotaz nepřijde, blokuje to někdo po cestě a máte smůlu. Jak už jsem psal, než to takhle krkolomně řešit DNS serverem, máte lepší nastavit si to v /etc/hosts. Tím obejdete případné únosy DNS dotazů.

[jany2]

V MK mam vytvoreny NAT na IP adresu PC kde mam virtualhosty. Ak sa konektnem z vonka, tak vidim, ze pakety tam prichadzaju, takze poskytovatel to neblokuje, ale dalej to nejde
Na PC kde mam vhosty som si tiez pre istotu vypol cely FW, ale ani to nepomohlo .... asi si musim dat trocha oddych :)

[Filip Jirsák]

Jaký NAT, jaké PC s virtualhosty? Řešil jste DNS, DNS resolver má podle vás běžet na tom Mikrotiku, ne? Takže otázka je, zda paket s UDP dotazem dorazí na to vnější rozhraní Mikrotiku. Žádný NAT nebo zařízení ve vnitřní síti v tom nefiguruje, na ty DNS dotazy má odpovídat přímo ten Mikrotik, respektive DNS resolver naslouchající na jeho veřejné IP adrese. Alespoň tak jste to původně popisoval.

[j]

Tvle, ze te bavi se dohadovat s jirsakem ... to kdyz pudes na neblizsi lamparnu, dopadnes lip ...

kdyz chces pouzivat svoje DNS mimo svoji sit, tak musis

1) mit to DNS pristupny (= musi ti na portu 53 odpovedet, a to jak na UDP tak na TCP) 2) musis to a prave JEN to DNS mit nastaveny jako DNS server (= tu verejnou adresu) a to fixne na danym zarizeni

ad 1) to otestujes takhle dig @tvojeip www.janko-hrasko.sk (ve widlich nslookup www.janko-hrasko.sk tvojeip)

ad 2) v tuxovi se podivas v zavislosti na tom jestli mas normalni (non systemd) distro do /etc/resolv.conf a musi tam bejt prave a jen ta tvojeip. Ve widlich ipconfig /all.

A samozrejme, pokud chces aby to ZAROVEN fungovalo zvenku i zevnitr, tak potrebujes jeste na tom mikrotikovi zaridit krome dnatu i snat.

[Petr Šobáň]

Máš to blbě.....

Aby to tak chodilo jak si představuješ tak musíš na mikrotiku mít dva DNS servery....

Jeden bude poslouchat na wan a do internetu bude na dotazy posílat tvoji veřejnou IP toho mikrotiku (na všechny dotazy tu jednu veřejnou IP - předpokládám že víc veřejných IP nemáš.)

A na vnitřním rozhraní bude posílat jednotlivé lokální IP pro přístup z vnitřní sítě.

Ale provozovat dva DNS je blbost.....

Prostě si koupíš doménu a na veřejném DNS zadáš A záznamy s veřejnou IP mikrotiku.

A na mikrotiku budeš mit cache DNS server kam zadáš lokální IP (zvenku nedostupný).

Pak to funguje jak požaduješ z internetu dostaneš na dotaz veřejnou IP tvého routeru a ten mikrotik pak pomocí port forward přepošle na příslušnou lokální IP.

Z vnitřní sítě budeš mít DNS ten na mikrotiku a ten ti pošle lokální IP a na tu se dostaneš přímo.

Prostě z internetu DNS server musí posílat veřejné IP tvého routeru z vnitřní sítě musí posílat DNS lokální místní IP.

U IPv6 ti stačí jeden DNS (jedno kde) kde zadáš AAAA záznamy a na routeru ve firewalu povolíš průchod tvých IPv6 do vnitřní sítě....

[jany2]

Takto to mam nastavene teraz :) lez ja sa potrebujem dostat z vonku na janko-hrasko.sk, ktora nie je na ziadnom verejnom dns registrovana (len na mojom, ktory potrebujem do netu otvorit) a toto chcem vyriesit (resp. otestovat). Ak sa mi to nepodari, tak sa na to vykaslem. Ja nie som ziadny sietar, ale zaujmam sa o tuto problematiku.

[Petr Šobáň]

No tak jednoduše dovolíš aby DNS server poslouchal na wan rozhraní.....

A v strojích zvenku si zadáš jako DNS tu veřejnou IP mikrotiku.

Jenže ti to bude k ničemu protože ti ten DNS vrátí lokální neveřejnou IP přes kterou se z internetu nikam nedostaneš!

Takže aby to takto fungovalo tak musíš na routeru mít dva DNS servery jeden bude poslouchat na WAN a bude vracet veřejnou IP a druhý bude poslouchat na LAN a vracet neveřejné lokální IP.

Ale pro takovou blbost je lepší tu jednu janko-hrasko.sk vložit do souboru hosts

veřejná_ip janko-hrasko.sk

[Filip Jirsák]

To ale popisujete to, co Jany2 nechce – tedy klasickou registraci veřejné domény. Dotaz byl na to, jak používat svůj vlastní resolver i v internetu. Na to už jsme odpovídal, je spousta důvodů, proč to nemusí fungovat, a pro jednu testovací adresu je lepší editovat /etc/hosts, to má větší šanci na úspěch.

[Petr Šobáň]

Jasně .......

Nějak nechápu proč mu vadí si koupit jednu doménu, když to stojí pár piv za rok.......

[jany2]

Vysvetloval som to viac krat, tak si to precitaj

[Filip Jirsák]

DNS resolver pomáhá s překladem adres klientům v síti – když chcete přeložit třeba www.google.com, nemusí to celé provádět klientský počítač, ale všechny adresy přeloží DNS resolver, nakešuje je a vrátí klientovi už přeloženou adresu.

To, co chcete vy, by řešil DNS server – musel byste si zaregistrovat nějakou doménu a jako DNS server pak uvést ten váš router. Ale doménu můžete mít hostovanou přímo u registrátora, což by bylo určitě lepší, než to hostovat na domácím routeru.

[Bedňa]

Mal by si si naštudovať čo je sieť triedy C, čo je verejná IP, kde si sa pripojil a čo vlastne DNS je.

[rastos]

Skratkou "GW" označujem tvoj router/gateway/DNS server; slovom "mobil" označujem sieťového klienta (browser), ktorý sa chce dostať na tvoj web server:

a) musíš overiť, že paket s DNS query "akú IP má www.janko-hrasko.sk?", ktorá vznikne na tvojom mobile dorazí na tvoj DNS server bežiaci na GW/MK. Na to je potrebné, aby tvoj mobil používal tvoj GW ako DNS server, aby nikto po ceste medzi tvojím mobilom a tvojím GW neblokoval DNS query a aby ich neblokoval ani ten samotný GW.

b) musíš overiť, že GW odpovie na tú DNS query IP adresou WAN rozhrania toho GW

c) TCP spojenie iniciované z tvojho mobilu musí doraziť na tvoj GW (nesmie ho zablokovať nikto po ceste ani ten samotný GW)

d) to TCP spojenie musí GW preložiť cez DNAT na IP adresu stroja s web serverom v tvojej LAN.

e) web server musí to spojenie prijať a odpovedať naň.

Nemal som tú česť s Mikrotikom, takže neviem presne povedať, čo sa tam dá. Osobne by som to skôr než z mobilu skúšal z nejakého PC, kde si môžem odsledovať DNS query, DNS odpoveď a odchádzajúce http spojenie. To vlastne platí všeobecne. Tcpdump/wireshark by mali dať jasnú odpoveď na to, kade to chodí a prípadne prečo to nechodí.

[jany2]

Ano takto tomu rozumiem, ale zacal som bojavat s mikrotikom a wiresharkom, cize chce to nejaky cas aby som sa do toho dostal a nieco zachytil

[NN]

Velký průvodce protokoly TCP/IP a systémem DNS. Sezen si to, treba v antikvariatu..

[jany2]

Tuto knihu mam (pdf) ale druhe vidanie .... skor sa snazim studovat z roznych clankov na nete napr. clanky a serialy na linuxexpresse aj na abclinuxu atd ...

[jany2]

Tak sa mi podarilo cez wireshark nieco zachytit na mikrotik (wan porte). Postup bol taky, ze na MK som si nastavil tool > packet sniffer, kde streaming-server: 192.168.1.2 je adresa PC s wiresharkom a filter port som nastvil na protokol DNS

                     only-headers: no
                     memory-limit: 30KiB
                    memory-scroll: no
                        file-name: 
                       file-limit: 30KiB
                streaming-enabled: yes
                 streaming-server: 192.168.1.2
                    filter-stream: yes
                 filter-interface: pppoe-out1
               filter-mac-address: 
              filter-mac-protocol: 
                filter-ip-address: 
              filter-ipv6-address: 
               filter-ip-protocol: 
                      filter-port: dns
                       filter-cpu: 
                 filter-direction: any
  filter-operator-between-entries: or
                          running: yes

Potom som si v mobile (xiaomi miui) nastavil cez app DNS changer ako DNS adresu, verejnu IP mikrotiku a v mobile som v browsery napisal do url janko-hrasko.sk.
Vtedy som uz mal v MK zapnuty packet sniffer a bezal mi aj wireshark.
Kedze zatial moc wireshark nepoznam, tak som si nechal zobrazit len statistiku podla protokolu DNS a nasiel som tam take nieco.
Na tomto obrazku som vyznacil IP adresu 84.245.121.64 - to je IP adresa mobilu z ktoreho som sa pripajal na janko-hrasko.sk (odpoved ale neprisla (stranku nezobrazilo)).
Ta zaciernena IP adresa 90.64.xx.xx je verejna IP mikrotiku.
Vo wiresharku je vdiet, ze nejake odpovede tam su, ale zatial nejak neviem ten wireshark citat, takze neviem ci je to OK, alebo nie. Podla toho to vyzera, ze z mobilu na mikrotik DNS poziadavka pride, ale to je tak asi vsetko. Na mobile, neviem ako otestovat, ci z mikrotiku prisla nejaka odpoved

[Filip Jirsák]

V tom výpisu nikde není vidět dotaz na janko-hrasko.sk, jsou tam dotazy a odpovědi na jiné názvy. To, že se stránka nezobrazila, vůbec nemusí znamenat, že odpověď na DNS dotaz nepřišla (zvlášť když ani nevíme, zda na Mikrotik dorazil dotaz).

Testovat to zrovna na mobilu mi nepřipadá jako dobrý nápad, asi tam nebudete mít moc nástrojů pro testování sítě. Ideální je na to nějaký počítač s Linuxem, nebo alespoň s Windows, kde můžete třeba pomocí nástroje nslookup testovat přímo DNS.

[jany2]

bohuzial ak som doma a chcem to testovat, tak sa viem pripojit z wan len s mobilom. Este to mozem skusit ze si z mobilu spravim hotspot a pripojim sa na neho s ntb (linuxom).
Co sa tyka wiresharku, tak nejaka konektivita medzi mobilom a MK na protokole DNS bola. Je to vidiet na 4 riadku, kde IP source 84.245.121.64 (mobil) sa dotazoval na dest. IP 90.64.xx.xx (mikrotik). Ale wireshark som vcera spustil prvy krat, takze nie som v tom nejako doma a analyzovat vysledok je pre mna zatial nemozne.

[Josef Kufner]

Doma to mám udělané tak, že na routeru/domácím serveru běží bind a na dotazy z LAN vrací lokální odpovědi a na dotazy ze světa vrací veřejné odpovědi. Bind to umí pomocí views a k nim přiřazených acl.

Ve skutečnosti je však veřejné view zbytečné, neboť používám DNS u registrátora domény. Ale můžeš u registrátora nastavit glue a NS záznamy na sebe a v klidu používat jen svůj DNS, ale to dělej jen pokud máš dobrý důvod (např. zařízení potulující se po světě s veřejnýma IP adresama a i tak to dělej až pro domény 4. řádu, nikoliv třetího, aby ti třeba chodily maily (počkaly ve frontě) i když vypadne doma připojení).

Udělej to takto: Zablokuj (nech zablokovaný) veřejný port 53 na routeru. Registruj si doménu a nastav wildcard záznam domů. Lokální DNS na routeru nechť vrací, co chceš v LAN v rámci domén 3. řádu.

Příklad: Řekněme, že mám registrovanou doménu example.com a doma mám veřejnou IP adresu 1.2.3.4. U registrátora na veřejných DNS serverech mám A záznam example.com → 1.2.3.4 a CNAME záznam *.example.com.

• Pokud se tedy někdo venku zeptá na raspberry.example.com, dostane odpověď 1.2.3.4 a domácí server je nastaven tak, aby například poštu pro takovou doménu přijal, web server má virtualhosta s proxy a tak podobně – podle toho, co se mi hodí.
• Pokud se někdo zeptá doma na LAN, tak dostane odpověď 192.168.1.2 a připojí se tak rovnou na raspberry.
• Pokud vypadne připojení k internetu, tak na LAN vše bude fungovat, neboť se používají lokální IP adresy. Ze světa se nepřipojíš, ale chyba bude, že spojení není, nikoliv že server neexistuje.