Named - не резолвит некоторые сайты (Без видимых причин DNS-сервер перестал обрабатывать все сайты)

[Temka_Elephant]

Собственно обращаюсь, за помощью, так как курение форумов и мануалов в течении двух дней не привело к видимым результатам. Может дело в косоглазии или природной невнимательностью, надеюсь найти помощь здесь.
Вообщем на FreeBsd поднят DNS сервер

BIND 9.3.5-P2

По необъяснимым причинам часть сайтов перестало резолвиться. Пример сайта собственно speedtest.net

dig @127.0.0.1 speedtest.net

; <<>> DiG 9.3.5-P2 <<>> @127.0.0.1 speedtest.net
; (1 server found)
;; global options: printcmd
;; connection timed out; no servers could be reached

Конфиг named.conf

// $FreeBSD: src/etc/namedb/named.conf,v 1.6.2.5 2002/02/04 18:24:21 ume Exp $
//
// Refer to the named.conf(5) and named(8) man pages for details. If
// you are ever going to setup a primary server, make sure you've
// understood the hairy details of how DNS is working. Even with
// simple mistakes, you can break connectivity for affected parties,
// or cause huge amount of useless Internet traffic.

acl "corpnets" { 185.18.112.0/22; 80.89.155.0/22; 10.0.0.0/8; 81.23.192.0/20; 172.16.0.0/16; 192.168.200.0/24; 127.0.0.1; 10.100.100.0/29; };

key "rndc-key" {
algorithm hmac-md5;
secret "Nw==";
};

controls {
inet 127.0.0.1 port 953
allow { 127.0.0.1; } keys { "rndc-key"; };
};


options {
directory "/etc/namedb";
pid-file "/var/run/named/pid";
// allow-query { "corpnets"; };
allow-recursion { "corpnets"; };
allow-transfer { 195.162.56.217; 195.162.50.38; 81.176.112.66; };

// forward only;

// forwarders {
// 81.23.192.37;
// };
query-source address 81.23.193.250 port 53;


// dump-file "s/named_dump.db";
};

// Note: the following will be supported in a future release.
/*
//host { any; } {
// topology {
// 127.0.0.0/8;
// };
};
*/

include "logging.conf";

// Setting up secondaries is way easier and the rough picture for this
// is explained below.
//
// If you enable a local name server, don't forget to enter 127.0.0.1
// into your /etc/resolv.conf so this server will be queried first.
// Also, make sure to enable it in /etc/rc.conf.

zone "." {
type hint;
file "named.root";
};

zone "local" {
type master;
file "master/local";
};

В логах ничего криминального нет, запускал режим Debug на разных уровнях, отбивается по TimeOut, и пишет мол noresponse и все.... если что то не выложил или не правильно написал не кидайтесь камнями направьте новчика.. я второй день в этом всем кручусь) Спасибо)

[Bluetooth]

Во-первых, поменяйте ключ, засветившийся здесь.

Во-вторых, сделайте с этой машины запрос руками на сервера которые держат зону speedtest.net
Если запросы не идут - значит, проблема не в бинде, а в сети.

[Ism]

Классический вопрос, что с длиной пакета ? Если запрещена фрагментация некоторые сервера могут быть недоступны

[Bluetooth]

Классический вопрос, что с длиной пакета ? Если запрещена фрагментация некоторые сервера могут быть недоступны

Не тот случай, тут проблема-то в резолве днс. Пакеты тут маленькие.

[Temka_Elephant]

Так а можно по подробнее какой именно запрос сделать.... Если имелся ввиду DIG с трассировкой по серверам то вот

dig @127.0.0.1 speedtest.net +trace

; <<>> DiG 9.3.5-P2 <<>> @127.0.0.1 speedtest.net +trace
; (1 server found)
;; global options: printcmd
. 457517 IN NS a.root-servers.net.
. 457517 IN NS b.root-servers.net.
. 457517 IN NS c.root-servers.net.
. 457517 IN NS d.root-servers.net.
. 457517 IN NS e.root-servers.net.
. 457517 IN NS f.root-servers.net.
. 457517 IN NS g.root-servers.net.
. 457517 IN NS h.root-servers.net.
. 457517 IN NS i.root-servers.net.
. 457517 IN NS j.root-servers.net.
. 457517 IN NS k.root-servers.net.
. 457517 IN NS l.root-servers.net.
. 457517 IN NS m.root-servers.net.
;; Received 512 bytes from 127.0.0.1#53(127.0.0.1) in 1 ms

net. 172800 IN NS f.gtld-servers.net.
net. 172800 IN NS l.gtld-servers.net.
net. 172800 IN NS i.gtld-servers.net.
net. 172800 IN NS e.gtld-servers.net.
net. 172800 IN NS c.gtld-servers.net.
net. 172800 IN NS g.gtld-servers.net.
net. 172800 IN NS b.gtld-servers.net.
net. 172800 IN NS d.gtld-servers.net.
net. 172800 IN NS a.gtld-servers.net.
net. 172800 IN NS h.gtld-servers.net.
net. 172800 IN NS j.gtld-servers.net.
net. 172800 IN NS k.gtld-servers.net.
net. 172800 IN NS m.gtld-servers.net.
;; Received 488 bytes from 192.228.79.201#53(b.root-servers.net) in 238 ms

speedtest.net. 172800 IN NS ns1.p11.dynect.net.
speedtest.net. 172800 IN NS ns3.p11.dynect.net.
speedtest.net. 172800 IN NS ns2.p11.dynect.net.
speedtest.net. 172800 IN NS ns4.p11.dynect.net.
;; Received 178 bytes from 192.35.51.30#53(f.gtld-servers.net) in 245 ms

speedtest.net. 86400 IN A 74.209.160.12
speedtest.net. 86400 IN NS ns3.p11.dynect.net.
speedtest.net. 86400 IN NS ns1.p11.dynect.net.
speedtest.net. 86400 IN NS ns2.p11.dynect.net.
speedtest.net. 86400 IN NS ns4.p11.dynect.net.
;; Received 130 bytes from 204.13.250.11#53(ns2.p11.dynect.net) in 10120 ms

Ответ даже есть как я понимаю....


Так же еще забыл уточнить, что если подключить Форвардеров. на 8.8.8.8 сервер, или даже на соседний сервер с поднятым BIND то работает исключительно...

[kisil]

// allow-query { "corpnets"; };

Я канешно не знаток, но вот эта строка разве должна быть закоментирована?

[Temka_Elephant]

Оно роли не играет в данной ситуации(

[McSim]

dig @127.0.0.1 speedtest.net +trace

А если попробовать тоже самое, но для имени, которое корректно резолвится? (чисто для сравнения)

[Temka_Elephant]

Тут возникла странность отбивает по таймауту

dig @127.0.0.1 ya.ru +trace

; <<>> DiG 9.3.5-P2 <<>> @127.0.0.1 ya.ru +trace
; (1 server found)
;; global options: printcmd
. 513623 IN NS i.root-servers.net.
. 513623 IN NS j.root-servers.net.
. 513623 IN NS k.root-servers.net.
. 513623 IN NS l.root-servers.net.
. 513623 IN NS m.root-servers.net.
. 513623 IN NS a.root-servers.net.
. 513623 IN NS b.root-servers.net.
. 513623 IN NS c.root-servers.net.
. 513623 IN NS d.root-servers.net.
. 513623 IN NS e.root-servers.net.
. 513623 IN NS f.root-servers.net.
. 513623 IN NS g.root-servers.net.
. 513623 IN NS h.root-servers.net.
;; Received 348 bytes from 127.0.0.1#53(127.0.0.1) in 0 ms

ru. 172800 IN NS d.dns.ripn.net.
ru. 172800 IN NS f.dns.ripn.net.
ru. 172800 IN NS a.dns.ripn.net.
ru. 172800 IN NS e.dns.ripn.net.
ru. 172800 IN NS b.dns.ripn.net.
;; Received 335 bytes from 192.228.79.201#53(b.root-servers.net) in 237 ms

;; connection timed out; no servers could be reached

но при этом после даже чистки кеша а именно "rndc flush"

nslookup ya.ru
Server: 127.0.0.1
Address: 127.0.0.1#53

Non-authoritative answer:
Name: ya.ru
Address: 213.180.193.3
Name: ya.ru
Address: 213.180.204.3
Name: ya.ru
Address: 77.88.21.3
Name: ya.ru
Address: 87.250.250.3
Name: ya.ru
Address: 87.250.250.203
Name: ya.ru
Address: 87.250.251.3
Name: ya.ru
Address: 93.158.134.3
Name: ya.ru
Address: 93.158.134.203

А если говорить о том как должно выглядеть то вот пример трейса правильного

dig @8.8.8.8 ya.ru +trace

; <<>> DiG 9.4.3-P2 <<>> @8.8.8.8 ya.ru +trace
; (1 server found)
;; global options: printcmd
. 10711 IN NS h.root-servers.net.
. 10711 IN NS b.root-servers.net.
. 10711 IN NS j.root-servers.net.
. 10711 IN NS a.root-servers.net.
. 10711 IN NS m.root-servers.net.
. 10711 IN NS g.root-servers.net.
. 10711 IN NS l.root-servers.net.
. 10711 IN NS k.root-servers.net.
. 10711 IN NS e.root-servers.net.
. 10711 IN NS i.root-servers.net.
. 10711 IN NS c.root-servers.net.
. 10711 IN NS f.root-servers.net.
. 10711 IN NS d.root-servers.net.
;; Received 228 bytes from 8.8.8.8#53(8.8.8.8) in 63 ms

ru. 172800 IN NS a.dns.ripn.net.
ru. 172800 IN NS b.dns.ripn.net.
ru. 172800 IN NS d.dns.ripn.net.
ru. 172800 IN NS f.dns.ripn.net.
ru. 172800 IN NS e.dns.ripn.net.
;; Received 335 bytes from 192.112.36.4#53(g.root-servers.net) in 162 ms

ya.ru. 345600 IN NS ns1.yandex.ru.
ya.ru. 345600 IN NS ns2.yandex.ru.
;; Received 98 bytes from 193.232.156.17#53(f.dns.ripn.net) in 166 ms

ya.ru. 7200 IN A 93.158.134.203
ya.ru. 7200 IN A 213.180.193.3
ya.ru. 7200 IN A 213.180.204.3
ya.ru. 7200 IN A 77.88.21.3
ya.ru. 7200 IN A 87.250.250.3
ya.ru. 7200 IN A 87.250.250.203
ya.ru. 7200 IN A 87.250.251.3
ya.ru. 7200 IN A 93.158.134.3
ya.ru. 7200 IN NS ns2.yandex.ru.
ya.ru. 7200 IN NS ns1.yandex.ru.
;; Received 282 bytes from 213.180.193.1#53(ns1.yandex.ru) in 69 ms

это с другого сервера там все отрадно работает.


P.S. Выяснился еще один симптом команда dig @host не работает ни для кого кроме speedtest.net что удивительно даже если ставить DNS 8.8.8.8 магия какаято (

[Bluetooth]

Так а можно по подробнее какой именно запрос сделать.... Если имелся ввиду DIG с трассировкой по серверам то вот

Я имел ввиду:
dig @ns1.p11.dynect.net speedtest.net

Если не резолвит, то перестаньте мучать бинд, он в порядке, а проблема в том, что до днс серверов не достучаться.
В общем-то, можно прописать форвардера и забить на это.

[Temka_Elephant]

такой костыль реализован, но политика компании говорит "Нужен свой днс" поэтому и бьюсь... какие могут быть причины что не достучаться?

dig @ns1.p11.dynect.net speedtest.net

; <<>> DiG 9.3.5-P2 <<>> @ns1.p11.dynect.net speedtest.net
; (2 servers found)
;; global options: printcmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 43506
;; flags: qr aa rd; QUERY: 1, ANSWER: 1, AUTHORITY: 4, ADDITIONAL: 0

;; QUESTION SECTION:
;speedtest.net. IN A

;; ANSWER SECTION:
speedtest.net. 86400 IN A 74.209.160.12

;; AUTHORITY SECTION:
speedtest.net. 86400 IN NS ns2.p11.dynect.net.
speedtest.net. 86400 IN NS ns4.p11.dynect.net.
speedtest.net. 86400 IN NS ns3.p11.dynect.net.
speedtest.net. 86400 IN NS ns1.p11.dynect.net.

;; Query time: 87 msec
;; SERVER: 208.78.70.11#53(208.78.70.11)
;; WHEN: Thu Apr 25 14:58:53 2013
;; MSG SIZE rcvd: 130

Ответил кстати...

[alogic]

Dyn "блокирует" запросы с 53 порта, бросая на заглушки вместо актуальных DNS серверов. Борятся с DDoS атакой.

Вот эту строчку изменить по желанию:
query-source address 81.23.193.250 port 53;

[Temka_Elephant]

Например на что изменить ее? я так понимаю она отвечает за то что будет показываться ДНС-серверам?

[sgfault]

Например на что изменить ее? я так понимаю она отвечает за то что будет показываться ДНС-серверам?

Например, убрать порт? Говорят, указывать порт - это плохо zytrax.com/DNS BIND Query Statements:

Код: Выделить всё

[..]
    query-source[-v6]

    [..] The BIND default is any server interface IP address and a random
    unprivileged port (1024 to 65535).

    Health Warning: Use of this option to define a fixed port number is
    extremely dangerous and can quickly lead to cache poisoning when used with
    any caching DNS server definition. An attacker normally has to guess both
    the transaction ID and the port number (both 16 bit values). If the port
    is fixed the bad guys have only to quess the transaction ID. You just made
    their job a lot easier. Don't do it.

[Temka_Elephant]

На данный момент закомментил эту строку.... и правда было дело в этом, видимо забаннили... спасибо всем за помощь)))

будем искать альтернативу)

[McSim]

На данный момент закомментил эту строку.... и правда было дело в этом, видимо забаннили... спасибо всем за помощь)))

будем искать альтернативу)

Зачем искать альтернативу-то? Ведь и без строки работает.
ИМХО, эта строка применима только там, где у тебя несколько интерфейсов/IP смотрят в интернет и ты желаешь указать с какого именно отправлять запросы... Но не уверен я....

[McSim]

Либо, если файервол используется и хочется все же указать фиксированный порт для запросов, то укажите в виде

Код: Выделить всё

query-source address * port nnnn;

где nnnn из диапазона 1024 to 65535.

[alogic]

Немного деталей. Если делать условный nslookup ns1.p11.dynect.net ns1.dynamicnetworkservices.net с 53 порта, получается следующее:

Name: ns1.p11.dynect.net
Address: 94.19.113.221

Если же делать запрос с любого другого порта:

Name: ns1.p11.dynect.net
Address: 208.78.70.11

В первом случае отдаются местные заглушки, на которых ничего не висит.

Я бы сказал, что это дикое свинство со стороны Dyn делать такое втихую и посылать всех лесом в поддержке.

[Temka_Elephant]

Альтернативный вариант был связаться с ними и уладить вопрос, но я так понимаю...это не прдставляется возможным, в любом случае это оффтоп)