Dotaz: DNS problem - Microtik + Ubiquiti + VLANY

[googler]

Caute mam taky podla mna kuriozny problem. Pouzivam Mikrotik router a wifi AP Ubiquiti, mam viacero VLAN a dva DNS servery. Teraz potrebujem jeden z tych DNS serverov vypnut, ale ked k nemu zakazem pristup cez mikrotik firewall, tak mi vypadne DNS len na jednej Wifi vlane pre hosti, ale ostatne (wifi) Vlany funguju bez problemov. Vyzera to akoby niekde v nastaveniach unifi bol ten "vypnuty" DNS server viazany na to konkretne SSID pre hosti, ale ziadne take nastavenie som tam nenasiel. v Unifi mam DNS servery nastavene v detaile (devices - Settings) pre kazde AP. "Vypnuty" DNS server je nastaveny ako sekundarny v Unifi aj v Mikrotiku v nastaveniach DHCP.

Mikrotik - ip - firewall - filter (pravidla pre DNS su 13 a 14)

Flags: X - disabled, I - invalid, D - dynamic 0 chain=input action=accept connection-state=established,related

1 chain=input action=accept in-interface=fix_vlan log=no log-prefix=""

2 chain=input action=drop connection-state=invalid

3 chain=input action=jump jump-target=WAN>INPUT in-interface-list=WAN log=no log-prefix=""

4 chain=input action=drop log=yes

5 chain=forward action=accept connection-state=established,related

6 chain=forward action=accept in-interface=base_vlan out-interface-list=WAN log=no log-prefix=""

7 chain=forward action=accept in-interface=fix_vlan out-interface-list=WAN log=no log-prefix=""

8 chain=forward action=accept in-interface=tv_vlan out-interface-list=WAN log=no log-prefix=""

9 chain=forward action=accept in-interface=host_vlan out-interface-list=WAN log=no log-prefix=""

10 chain=forward action=accept in-interface=fix_vlan out-interface=all-vlan log=no log-prefix=""

11 chain=forward action=accept in-interface=base_vlan out-interface=all-vlan log=no log-prefix=""

12 ;;; DSTNAT chain=forward action=accept connection-nat-state=dstnat log=no log-prefix=""

13 ;;; DNS_Host_UDP chain=forward action=accept protocol=udp dst-address-list=NAS in-interface=all-vlan dst-port=53 log=no log-prefix=""

14 ;;; DNS_Host_UDP chain=forward action=accept protocol=udp dst-address-list=pihole in-interface=all-vlan dst-port=53 log=no log-prefix=""

15 ;;; WEB_Host chain=forward action=accept protocol=tcp dst-address-list=pihole in-interface=all-vlan dst-port=80 log=no log-prefix=""

16 ;;; SWEB_Host chain=forward action=accept protocol=tcp dst-address-list=pihole in-interface=all-vlan dst-port=443 log=no log-prefix=""

17 ;;; Tlac_Host chain=forward action=accept dst-address-list=tlaciaren1 in-interface=host_vlan log=no log-prefix=""

18 chain=forward action=drop connection-state=invalid

19 chain=forward action=drop src-address-list=!base_ip in-interface=base_vlan log=no log-prefix=""

20 chain=forward action=drop src-address-list=!fix_ip in-interface=fix_vlan log=no log-prefix=""

21 chain=forward action=drop src-address-list=!tv_ip in-interface=tv_vlan log=no log-prefix=""

22 chain=forward action=drop src-address-list=!host_ip in-interface=host_vlan log=no log-prefix=""

23 chain=forward action=drop in-interface=host_vlan out-interface=fix_vlan log=no log-prefix=""

24 chain=forward action=drop in-interface=host_vlan out-interface=base_vlan log=no log-prefix=""

25 chain=forward action=drop dst-address-list=bogon log=yes log-prefix="bogon"

26 chain=forward action=drop log=no log-prefix=""

27 chain=WAN>INPUT action=drop log=no log-prefix=""

Vie niekto v com moze byt chyba?

Odpovědi

[panika]

tak se podivej wiresharkem co dostavas od dhcp v kazdy vlane. imho v tom unifi nema zadnej vliv, dela jen L2. nastavujes mu max dns pro kontroler, pripadne apcka ve smyslu os, ne pro klienty. tipuju ze mas blbe /ip/dhcp-server/networks v mikrotiku. nedava smysl nabizet v dhcp neco co pak chces zakazovat v fw....

[X]

Jaky smysl maji pravidla 18-25, kdyz mas nastaveno zahazovani jako default(26)?

[googler]

uprimne, asi ziadny, ale podla niektorych tutorialov je vraj lepsie v niektorych pripadoch mat nastaveny este separatny drop. Mozno to teda nicomu nepomaha, ale predpokladam, ze to nicomu neskodi.

[Vantomas]

Mívá to smysl v tom, že se počítají countery a je hned vidět, zda se nějaký konkrétní druh provozu dropuje a je snadné zapnout logování, aby se dalo dohledat co a proč a jestli to nestojí za to to povolit.

[Vantomas]

Pracujeś s connection-state a nejspíš tam pojede NAT, takže bude aktivní conntrack tabulka a je vysoká pravděpodobnost, že to spojení na druhý DNS se acceptuje pravidlem 5. Po vypnutí pravidla 13/14 jdi do IP->Firewall->Connections, přes CTRL+A vše označ a smaž.

Jinak pokud chceš ten DNS server vypnout jen dočasně, ale nechceš, aby to poznali klienti, je ještě možnost udělat DNAT na dst-ip starého DNS + dstport 53/udp směrem na nový DNS server. Avšak pak znovu pozor, že po odstranění takového pravidla bude potřeba znovu vymazat conntrack tabulku, jinak se to z některých strojů na ten nový DNS server nedovolá

[X]

Je tam povoleno vsechno ven(6-9 + 5), takze zarizeni muzou pouzivat libovolne DNS a problem muze uplne jinde.

[googler]

Nemam skusenosti s Wireshark a neviem nikde najst zmysluplny navod ako spravit to co navrhujes. Moze mi niekto poradit s postupom?

[X]

Diagnostika je v celku jednoducha. Zarizni DNS podle planu a pripoj se do hostovske VLAN sam. Podivej se co jsi dostal za DNS od DHCP. Pokud si dosta jako DNS IP zariznuteho serveru oprav to v nastaveni DHCP. Pokud si dostal spravne DNS bude problem jinde.

[googler]

aha, tak na to nepotrebujem wireshark, to uz som kontroloval v OS koncovych zariadeni a DNS dostavaju spravny, nie ten vypnuty.

[X]

ked k nemu zakazem pristup cez mikrotik firewall, tak mi vypadne DNS len na jednej Wifi vlane pre hosti,

Tak vypadne, nebo nevypadne?

[googler]

sorry napisal som to nejasne. Ked vypnem ten povodny DNS server, tak DHCP koncovym zariadeniam prideli ten "novy" DNS server, ale requesty z koncovych zariadeni realne nefunguju.

[X]

Pouzij na DNS prikaz:

tcpdump -n udp port 53 and net TVOJE_VLAN/24

Kde se ukaze zda ten DNS pozadavek vubec dorazi.

[googler]

Po vymazani connections je stav rovnaky

[Max]

Tak běžné je, že si člověk u firewall pravidel zapne logování a hned vidí, jaký provoz se dropuje a co se děje. Nebo si vytvoříš accept pravidlo jako první a u něj zapneš logování a koukáš, jak jde komunikace atd.
Zdar Max