Dotaz: Priorita DNS serverů - static/DHCP/openvpn PUSH

[MilanC]

Ahoj, chtěl bych se zeptat, jestli můžu nějakým způsobem ovlivnit prioritu DNS serverů nebo jak jsou ve výchozím stavu prioritizovány. Raspbian/Ubuntu.

Jde o to, že se mi už párkrát stalo, že mé zařízení někde ve firmě zapojili, ale izolovaně a neuvědomili si, že mi podsouvají své DNS, které současně blokují. Pokud mám pak ve VPNce DNS jméno serveru, nepřeloží se a tunel nejede.

Mám zadány 2x statické

# The primary network interface
allow-hotplug eth0
iface eth0 inet manual
    dns-nameservers 8.8.8.8 8.8.4.4

Současně přijímám i z DHCP (dhcpclient.conf).

request subnet-mask, broadcast-address, time-offset, routers,
        domain-name, domain-name-servers, ...

A pokud se naváže tunel, chtěl bych ideálně na první místo dát mé DNS (PUSH) kuli local doméně.

Při kombinaci statický + přidělený z DHCP mám v resolv.conf na prvním místě z DHCP a na druhém statický (pouze 2 záznamy).

Pokud ještě navážu tunel a pošlu dnska pushem... nic se bohužel nemění (vše projde OK...). PUSH: Received control message: 'PUSH_REPLY,dhcp-option DNS 1.2.3.2,dhcp-option DNS 1.2.3.4,dhcp-option DOMAIN local,route ...

Když odbočím, ještě uvažuji nad použitím if-up/down skriptu, např. openvpn-resolv-conf nebo systemd-resolv-conf, který v případě rozpojení tunelu schopný vrátit původní DNSka (z DHCP?). Celkem by mne zajímal rozdíl mezi oběma řešeními.

Případně see nabízí ještě možnost nechat nastavené static a vyškrnout DNS z DHCP požadavku. Měl by pak fungovat push skrze openvpn?

Díky.

Odpovědi

[NN]

Co pouzit DNS over HTTPS? Vyreserilo by to vsechny problemy naraz. Mohl by jsi vynechat staticke DNS, DNS z DHCP i DNS pushnute z VPN.

[MilanC]

Ahoj, toto mi zatím nic neříká, ale už to googluji.

Nicméně asi bych začal obecnějšími otázkami nejprve.

Mám 2x statické DNS servery, DNS přiděluje 2x DNS. To jsou dohromady 4. Proč resolv.conf obsahuje pouhé 2 řádky? Podle manuálu zde žádné omezení není. :(

Milan

[Max]

Priorita je dána pořadím stejně jako ve Windows. Dokud je první server v pořadí dostupný, používá se ten. Pokud dostupný není, dotazy jsou posílány na další v pořadí. Můžeš tam mít klidně 10 dns serverů a vždy se použije ten první (pokud bude fungovat).
Každopádně nějak nerozumím tomu dotazu. Jak vnutí a jak blokují? To ti dhcp přiřadí nějaké jejich dns a oni na ti na ně nedovolí dotazy?
Můžeš si vynutit v rámci dhcp vždy svoje dns :

/etc/dhcp/dhclient.conf:
...
supersede domain-name-servers 8.8.8.8, 8.8.4.4;
...

Zdar Max

[lertimir]

Můžeš mít blokované porty 53 na odchozí komunikaci kromě vnitřních DNS serverů. A nemusí to být až tak nesmyslné omezení. Už jsem viděl zprávu o konstrukci botnetu, který ovládanému stroji vnutil své DNS, které zdánlivě fungovalo normálně. Uživatel mohl normálně pracovat, ale slave program čas od času poslal DNS dotaz na nějakou nesmyslnou doménovou adresu. Pokud dostal odpověď, že se doménové jméno neexistuje nic se nedělo, pokud server poslal IP adresu, tak to znamenalo cíl útoku a v přídavných informacích bylo info jak. Navíc napadené počítače uvnitř organizace si uspořádaly komunikaci do minimálního stromu a ven komunikoval jen jeden z nich, a to který si měnily.

[MilanC]

Ahoj, a když to vynutím přes supersede, dokážu je pak změnit pomocí PUSH z VPN serveru?

To co nastavuje parametry co přijdou přes VPN je ten stejný DHCP klient nebo si to řeší openvpn nějak interně? Díky. M.

[Max]

Push u OpenVPN posílá dns pomocí dhcp option.
To je ale jedno. Ty si můžeš udělat nastavení na míru pro určitý interface. Tzn. něco jako toto by mohlo fungovat :

dhclient.conf
...

interface "eth0" {
supersede domain-name-servers 8.8.8.8, 8.8.4.4;
}
...

Případně možná naopak mít default "supersede" a pak si specifikovat nastavení pro tun0.
Ale ber to jako hint, nikdy jsem to nezkoušel, můžeš si s tím zkusit pohrát a uvidíš, zda to tak jde, nebo ne.
Zdar Max

[Max]

Jinak tedy ještě man stránka, kde stojí :

The supersede statement
supersede [ option declaration ] ;
If for some option the client should always use a locally-configured value or values rather than whatever is supplied by the server, these values can be defined in the supersede statement.

The prepend statement
prepend [ option declaration ] ;
If for some set of options the client should use a value you supply, and then use the values supplied by the server, if any, these values can be defined in the prepend statement. The prepend statement can only be used for options which allow more than one value to be given. This restriction is not enforced - if you ignore it, the behaviour will be unpredictable.

Zdar Max

[MilanC]

Zkoušel jsem v tom konfiguráku vše možné, ale výsledek je takový, že v podstatě na nic nereaguje. Jakoby se ignoroval. Tohle mi přijde, že mam v systému 2 různé DHCP klienty? Je to výchozí instalace raspbianu. Tak jestli se nepoužívá zrovna ten druhý, který se konfiguruje jinde?

# dpkg -l | grep -i dhcp
ii  dhcpcd5                         1:6.11.5-1+rpt7              armhf        DHCPv4, IPv6RA and DHCPv6 client with IPv4LL support
ii  isc-dhcp-client                 4.3.5-3+deb9u1               armhf        DHCP client for automatically obtaining an IP address
ii  isc-dhcp-common                 4.3.5-3+deb9u1               armhf        common manpages relevant to all of the isc-dhcp packages

[Semo]

Neviem, ci si si vsimol odpoved od Maxa vyssie - OpenVPN nenanastavuje DNS cez dhcp klienta, ale sama. Takze sice mozes nastavit supersede or prepend do dhclient.conf, ale bude to natvrdo. Nedokaze to reagovat podla toho, ci je OpenVPN pripojene alebo nie.

[GeorgeWH]

Můžeš tam mít klidně 10 dns serverů a vždy se použije ten první (pokud bude fungovat).

... ale pouziju sa maximalne prve tri definovane, ostatne sa ignoruju.

[Max]

Je to tak, glibc má v kódu definované natvrdo max 3 dns servery a ostatní ignoruje :

glibc/resolv/bits/types/res_state.h
...
#define MAXNS                   3       /* max # name servers we'll track */
...

Člověk si to tedy může změnit a zkompilovat si vlastní verzi glibc, ale asi s tím nebudou počítat další programy.
Zdar Max