Непонятная работа DNS (не резолвит имена)

[Serega86]

Добрый день. Появилась проблема после обновления с OpenSUSE 15 на Tumbleweed.
Обновился по методу "Сетевое обновление" по этой инструкцииhttps://ru.opensuse.org/openSUSE:%D0%A3%D1%81%D1%82%D0%B0%D0%BD%D0%BE%D0%B2%D0%BA%D0%B0_Tumbleweed.
После обновления не могу отпинговать по имени например

Код: Выделить всё

 ping ya.ru
ping: ya.ru: Неизвестное имя или служба

также не работает поиск пакетов и нет интернета в браузере
хотя ping 8.8.8.8 пингуется. Вроде понятно что не работает dns
Но

Код: Выделить всё

 dig ya.ru 

Spoiler

; <<>> DiG 9.11.2 <<>> ya.ru
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 2124
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 2, ADDITIONAL: 2

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; MBZ: 0x0005, udp: 4096
;; QUESTION SECTION:
;ya.ru. IN A

;; ANSWER SECTION:
ya.ru. 5 IN A 87.250.250.242

;; AUTHORITY SECTION:
ya.ru. 5 IN NS ns1.yandex.ru.
ya.ru. 5 IN NS ns2.yandex.ru.

;; ADDITIONAL SECTION:
ns2.yandex.ru. 5 IN A 93.158.134.1

;; Query time: 1 msec
;; SERVER: 192.168.244.2#53(192.168.244.2)
;; WHEN: Wed Mar 06 11:31:22 MSK 2019
;; MSG SIZE rcvd: 109

Код: Выделить всё

nslookup ya.ru

Spoiler

Server: 192.168.244.2
Address: 192.168.244.2#53

Non-authoritative answer:
Name: ya.ru
Address: 87.250.250.242
Name: ya.ru
Address: 2a02:6b8::2:242

Код: Выделить всё

 cat /var/run/netconfig/resolv.conf

Spoiler

### /etc/resolv.conf is a symlink to /var/run/netconfig/resolv.conf
### autogenerated by netconfig!
#
# Before you change this file manually, consider to define the
# static DNS configuration using the following variables in the
# /etc/sysconfig/network/config file:
# NETCONFIG_DNS_STATIC_SEARCHLIST
# NETCONFIG_DNS_STATIC_SERVERS
# NETCONFIG_DNS_FORWARDER
# or disable DNS configuration updates via netconfig by setting:
# NETCONFIG_DNS_POLICY=''
#
# See also the netconfig(8) manual page and other documentation.
#
### Call "netconfig update -f" to force adjusting of /etc/resolv.conf.
search localdomain
nameserver 192.168.244.2

Код: Выделить всё

В /etc/sysconfig/network/config в строке 

NETCONFIG_DNS_STATIC_SERVERS="8.8.8.8 8.8.4.4"
Может кто сталкивался с подобным? Где собака порылась? Чего то видимо не хватает в конфигах или глобальные изменеия в работе сети при переходе с 15 на Tumbleweed.

[Lazy_Kent]

Мне кажется, какая-то нестыковка в адресах: "nameserver 192.168.244.2" и "NETCONFIG_DNS_STATIC_SERVERS="8.8.8.8 8.8.4.4"".

У меня так выглядят эти параметры:

Код: Выделить всё

search home
nameserver 192.168.0.1
nameserver 8.8.8.8

Код: Выделить всё

NETCONFIG_DNS_STATIC_SERVERS="192.168.0.1 192.168.0.1 8.8.8.8"

(почему-то дублируется 192.168.0.1, рассмотрю теперь)

Через YaST настройте.

[s.xbatob]

dig с nslookup дружно утверждают, что dns исправен. Только, похоже, что resolver его не использует.
Посмотрите, что прописано в /etc/nsswitch.conf в директиве hosts

[Serega86]

cat /etc/nsswitch.conf | grep hosts
## hosts: files mdns_minimal [NOTFOUND=return] dns
host: file dns

После обновления было hosts: files mdns_minimal [NOTFOUND=return] dns имена не резолвились. закомментировал эту строчку добавив

Код: Выделить всё

host:          file dns/code] после перезагрузки изменений нет, по имени так же не работает
Исправив в /etc/nsswitch.conf [code]host:          file dns

на

Код: Выделить всё

hosts:          file dns

. Имена вообще резолвиться перестали через dig и nslookup.
Пробовал и через yast настроить результат тот же.
по итогу вернул
/etc/nsswitch.conf | grep hosts
hosts: files mdns_minimal [NOTFOUND=return] dns
пингов по имени нет dig и nslookup работают

[Serega86]

Дальше становиться вообще не понятно.
ls -la /var/run/netconfig/
итого 8
drwxr-xr-x 4 root root 140 мар 11 09:19 .
drwxr-xr-x 39 root root 1040 мар 11 09:19 ..
-rw-r--r-- 1 root root 0 мар 11 09:19 chrony.servers
drwxr-xr-x 2 root root 60 мар 11 09:19 ens33
drwxr-xr-x 2 root root 60 мар 11 09:19 lo
-rw-r--r-- 1 root root 649 мар 11 09:19 resolv.conf
-rw-r--r-- 1 root root 581 мар 11 09:19 yp.conf

/var/run/netconfig # cat resolv.conf

Spoiler

### /etc/resolv.conf is a symlink to /var/run/netconfig/resolv.conf
### autogenerated by netconfig!
#
# Before you change this file manually, consider to define the
# static DNS configuration using the following variables in the
# /etc/sysconfig/network/config file:
# NETCONFIG_DNS_STATIC_SEARCHLIST
# NETCONFIG_DNS_STATIC_SERVERS
# NETCONFIG_DNS_FORWARDER
# or disable DNS configuration updates via netconfig by setting:
# NETCONFIG_DNS_POLICY=''
#
# See also the netconfig(8) manual page and other documentation.
#
### Call "netconfig update -f" to force adjusting of /etc/resolv.conf.
search localdomain
nameserver 192.168.244.2

откуда то еще появился в/var/run/netconfig # cat yp.conf

Spoiler

### /etc/yp.conf is a symlink to /var/run/netconfig/yp.conf
### autogenerated by netconfig!
#
# Before you change this file manually, consider to define the
# static NIS configuration using the following variables in the
# /etc/sysconfig/network/config file:
# NETCONFIG_NIS_STATIC_DOMAIN[_<number>]
# NETCONFIG_NIS_STATIC_SERVERS[_<number>]
# or disable NIS configuration updates via netconfig by setting:
# NETCONFIG_NIS_POLICY=''
#
# See also the netconfig(8) manual page and other documentation.
#
### Call "netconfig update -f" to force adjusting of /etc/yp.conf.

ls -la /etc/resolv.conf
lrwxrwxrwx 1 root root 30 мар 6 09:31 /etc/resolv.conf -> /var/run/netconfig/resolv.conf
ls -la /etc/yp.conf
lrwxrwxrwx 1 root root 26 мар 5 15:05 /etc/yp.conf -> /var/run/netconfig/yp.conf
yp.conf это созданый yast аналог resolv.conf ?
пинг 8.8.8.8 есть

Spoiler

ping 8.8.8.8
PING 8.8.8.8 (8.8.8.8) 56(84) bytes of data.
64 bytes from 8.8.8.8: icmp_seq=1 ttl=128 time=43.7 ms
64 bytes from 8.8.8.8: icmp_seq=2 ttl=128 time=43.6 ms
^C
--- 8.8.8.8 ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 12ms
rtt min/avg/max/mdev = 43.621/43.683/43.745/0.062 ms

ping: ya.ru: Неизвестное имя или служба.
dig и nslookup работают

Spoiler

nslookup ya.ru
Server: 192.168.244.2
Address: 192.168.244.2#53

Non-authoritative answer:
Name: ya.ru
Address: 87.250.250.242
Name: ya.ru
Address: 2a02:6b8::2:242



dig ya.ru

; <<>> DiG 9.11.2 <<>> ya.ru
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 32521
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 2, ADDITIONAL: 2

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; MBZ: 0x0005, udp: 4096
;; QUESTION SECTION:
;ya.ru. IN A

;; ANSWER SECTION:
ya.ru. 5 IN A 87.250.250.242

;; AUTHORITY SECTION:
ya.ru. 5 IN NS ns1.yandex.ru.
ya.ru. 5 IN NS ns2.yandex.ru.

;; ADDITIONAL SECTION:
ns1.yandex.ru. 5 IN A 213.180.193.1

;; Query time: 1 msec
;; SERVER: 192.168.244.2#53(192.168.244.2)
;; WHEN: Mon Mar 11 10:58:57 MSK 2019
;; MSG SIZE rcvd: 109

[s.xbatob]

В /etc/nsswitch.conf изначально была работающая конфигурация, искать надо в другом месте. Только непонятно где. Реализация разбросана между libc и libresolv. А ещё nss динамически подгружает модули (не библиотеки) для каждого требуемого источника, так что найти концы непросто.

А что /etc/resolv.conf symlink, это роли не играет. Вероятно, разработчики дистрибутива не хотят динамически писать в /etc/ (надеюсь, клиент dhcp про это тоже знает)

yp.conf ‒ это для NIS. Он у вас не используется, иначе бы вы об этом знали

[Serega86]

В /etc/nsswitch.conf изначально была работающая конфигурация, искать надо в другом месте. Только непонятно где. Реализация разбросана между libc и libresolv. А ещё nss динамически подгружает модули (не библиотеки) для каждого требуемого источника, так что найти концы непросто.

А что /etc/resolv.conf symlink, это роли не играет. Вероятно, разработчики дистрибутива не хотят динамически писать в /etc/ (надеюсь, клиент dhcp про это тоже знает)

yp.conf ‒ это для NIS. Он у вас не используется, иначе бы вы об этом знали

Попробую переставить сразу чистую tumbleweed. Без переходов.

[Serega86]

Попробую переставить сразу чистую tumbleweed. Без переходов.

Поставил с нуля tumbleweed проблема с днс ушла. Благодарю всех кто принимал участие в данной теме.

[JP73]

Компьютер достался по случаю, не использовался два года, а тут неделю назад появилось время, решил заняться.
После апгрейда Tumbleweed с версии 2018 года на 2020 через сетевое обновление появилась такая же проблема.
Обновление прошло без замечаний, но у значка Networkmanager-a появился восклицательный знак, интернет не работал, при этом nslookup четко показывал IP-адреса доменов, ping по IP проходил, по доменному имени нет. Тоже самое при переходе на wicked.
Виновника нашел, но причину не установил - замешан в этом черном деле AppArmor.
Выключаешь AppArmor через YaST, перезагружаешься - с выключенным сеть ОК.
Включаешь - после перезагрузки проблема возвращается.
Может быть у кого-то есть мысли на эту тему?

[Hephaestus]

Может быть у кого-то есть мысли на эту тему?

Вероятно, AppArmor просто делает свою работу, а именно: предоставляет/ограничивает доступ к системным ресурсам в соотвествии с политикой безопасности.
Я с этим зверем дела никогда не имел, но рискну предположить, что у него есть настройки.
Хотя кто-то предочтет не настраивать, а отключить (как поступали с брандмауэром Windows в своё время).

[JP73]

Вероятно, AppArmor просто делает свою работу, а именно: предоставляет/ограничивает доступ к системным ресурсам в соотвествии с политикой безопасности.
Я с этим зверем дела никогда не имел, но рискну предположить, что у него есть настройки.
Хотя кто-то предочтет не настраивать, а отключить (как поступали с брандмауэром Windows в своё время).

Спасибо за ответ и правильный ход мысли. Да, он делал работу, но работу, о которой я его не просил.
В YaST есть настройки AppArmor:

• Настройки

• Сканировать журналы аудита

• Добавить профиль вручную

Если открыть пункт 1, то там можно включить/отключить AppArmor и настроить режимы профилей.
В настройке режимов профилей было два, один из которых связан с DNS - это nscd. Настройка заключается в изменении их режима. Как их настраивать я не стал интересоваться, а поступил проще, по-дилетантски.
Не вникая, как работает AppArmor, просто попробовал проанализировать.
До обновления проблем не было.
Посмотрел в snapshot-е, созданном во время обновления, содержимое директорий /etc/apparmor/ и /etc/apparmor.d - они были пусты.
Вполне вероятно, до обновления AppArmor был отключен.
После обновления во вновь созданных директориях содержатся файлы, по виду cache, но видимо это и есть настройки.

• Отключил AppArmor через YaST;

• Удалил содержимое /etc/apparmor и /apparmor.d;

• Включил AppArmor в YaST;

• Перезагрузил компьютер.

Результат - проблем с сетью нет. В данный момент восклицательный знак на значке NetworkManager-a отсутствует, страницы в браузерах открываются, ping на домен работает.
Зашел через YaST в настройки AppArmor: в окне настройки режимов профилей чисто.
Предположу, что AppArmor, хотя и включен, но без профилей в данный момент ничего не делает.
Как я понял, AppArmor с помощью профиля nscd блокировал работу DNS resolv.
Профиль создался системой во время сетевого обновления.
Проверил в своей openSUSE Leap 15.2 (она сейчас еще наверно Beta или RC) - там те же профили есть avahi-daemon и nscd, оба в режиме enforce, но у меня все с сетью в порядке. В планах перекинуть файлы профилей со своего компьютера на этот.
Сейчас уже поздно. Завтра, если будет возможность, или позднее поэкспериментирую.
...
Вероятно, у автора темы было тоже самое.

[Hephaestus]

До обновления проблем не было.

Вполне вероятно, до обновления AppArmor был отключен.

Или его не было вообще. Там всё-таки обновление между релизами, как я понял.
С версии 2018 на версию 2020 - это уже другая система, можно сказать.

он делал работу, но работу, о которой я его не просил

Ну, тут ведь как: оно установлено, значит зачем-то нужно, должно работать.
Вот и работает. А то, что гайки по умолчанию оказались закручены... ну, бывает.
Гораздо интереснее, откуда он взялся. То есть, почему он вообще установлен.

Предположу, что AppArmor, хотя и включен, но без профилей в данный момент ничего не делает.

А он Вам такой зачем? Если Вы в нём не нуждаетесь и даже не знаете толком, что он делает,
удалите его совсем. Если зависимости позволяют, конечно.
У меня, например, ни в одном из линуксов этой штуки не было вот просто никогда.

[Bizdelnick]

Или его не было вообще.

Нет, он там с незапамятных времён.

JP73, а может быть, с какого-то момента Thumbleweed перевели на использование systemd-resolved и переписали профили под него, а у Вас остались старые настройки (без resolved), но обновились профили? Или наоборот, стал использоваться resolved, но профили остались старые.

[JP73]

А он Вам такой зачем? Если Вы в нём не нуждаетесь и даже не знаете толком, что он делает

В данном случае просто интересно установить причину неработоспособности сети из-за AppArmor.

...а может быть, с какого-то момента Thumbleweed перевели на использование systemd-resolved и переписали профили под него, а у Вас остались старые настройки (без resolved), но обновились профили? Или наоборот, стал использоваться resolved, но профили остались старые.

Не исключено. Tumbleweed не пользовал и не в курсе, когда и что там меняли, да и стабильном релизе не отслеживаю. Работает и ОК.
Вот только на моей машине с openSUSE 15.2 (вроде она еще Beta), такого нет, хотя обновляю систему здесь как минимум с 13.х версии, если не с 12.х., не трогая раздел с /home. Так же сделал на этом компьютере.
Что сегодня наэкспериментировал:

• Перекинул профили AppArmor с моей openSUSE 15.2, где AppArmor включен, и сеть в порядке.
  После перезагрузки AppArmor подхватил профили, и сеть отвалилась в исходное нерабочее состояние.

• Переключил режим профиля nscd c "enforce" в "complain" - после перезагрузки сеть заработала.

Может быть AppArmor видит что-то не то, типа не те права на файл/директорию или еще что-нибудь, и блокирует.
Надо смотреть логи, вот только какие, и где они? Больше ничего не делал.

[Hephaestus]

В данном случае просто интересно установить причину неработоспособности сети из-за AppArmor.

Надо смотреть логи, вот только какие, и где они?

В таком случае лучше всего просто посмотреть документацию к AppArmor: что и как настраивается и на что влияет. Сэкономите кучу времени. Это ж не чёрный ящик, в конце концов.

[JP73]

В таком случае лучше всего просто посмотреть документацию к AppArmor: что и как настраивается и на что влияет. Сэкономите кучу времени. Это ж не чёрный ящик, в конце концов.

Посмотрел документацию, проделал кое-какие манипуляции, проверил состав пакетов, просмотрел конфиги, проверил командой статус и др. параметры - нормально, затем обнаружил, что файл лога профиля nscd отсутствует. Открыл конфиг профиля, файл лога с указанием места его расположения закомментирован -- раскомментировал, сохранил файл, перезапустил профиль командой из терминала, само собой переведя профиль в режим enforce - лог появился на положенном месте. Перезагрузил компьютер - профили активны, сеть работает. Сделал два ребута - все ОК. Пошел спать.

[Serega86]

Вполне вероятно, до обновления AppArmor был отключен.
После обновления во вновь созданных директориях содержатся файлы, по виду cache, но видимо это и есть настройки.

• Отключил AppArmor через YaST;

• Удалил содержимое /etc/apparmor и /apparmor.d;

• Включил AppArmor в YaST;

• Перезагрузил компьютер.

Результат - проблем с сетью нет. В данный момент восклицательный знак на значке NetworkManager-a отсутствует, страницы в браузерах открываются, ping на домен работает.
Зашел через YaST в настройки AppArmor: в окне настройки режимов профилей чисто.
Предположу, что AppArmor, хотя и включен, но без профилей в данный момент ничего не делает.
Как я понял, AppArmor с помощью профиля nscd блокировал работу DNS resolv.
Профиль создался системой во время сетевого обновления.
Проверил в своей openSUSE Leap 15.2 (она сейчас еще наверно Beta или RC) - там те же профили есть avahi-daemon и nscd, оба в режиме enforce, но у меня все с сетью в порядке. В планах перекинуть файлы профилей со своего компьютера на этот.
Сейчас уже поздно. Завтра, если будет возможность, или позднее поэкспериментирую.
...
Вероятно, у автора темы было тоже самое.

Скорей всего было тоже самое. Я отключаю всегда AppArmor за не надобностью. Но времени не было искать что там поломалось после обновления, поэтому пошел по пути наименьшего сопротивления и переустановил систему с нуля и проблема ушла. Но за информацию спасибо.

[JP73]

Скорей всего было тоже самое. ... Но за информацию спасибо.

Не стОит благодарности. Если информация когда-нибудь пригодится, буду рад. Всего доброго!

***
Сегодня включил комп, сеть работает. Проверил AppArmor - включен, профиль nscd используется в режиме "enforce".
Видимо проблема решена. Всех благодарю за помощь.

[JP73]

Видимо проблема решена. Всех благодарю за помощь.

Conclusion:
После активного использования компьютера окончательно подтверждаю, что обсуждаемая проблема больше не наблюдалась.
The End.

[Minton]

Т.е. проблема была в отсутствии лог-файла или я что-то не так понял?

[JP73]

Т.е. проблема была в отсутствии лог-файла или я что-то не так понял?

Верно. Работа сети восстановилась после следующих действий (см.выше):

...обнаружил, что файл лога профиля nscd отсутствует...
Открыл конфиг профиля, файл лога с указанием места его расположения закомментирован -- раскомментировал, сохранил файл, перезапустил профиль командой из терминала, само собой переведя профиль в режим enforce - лог появился на положенном месте. Перезагрузил компьютер - профили активны, сеть работает.

Предположу, что ситуацию можно легко смоделировать, но в настоящий момент не располагаю временем на это.

[JP73]

Вскоре нашел время смоделировать на openSUSE Leap 15.2, проблема подтвердилось.
Без упомянутого выше лог-файла сеть не работала, при создании лог-файла вновь работа сети восстановилась.
Забыл сразу сообщенить об этом, сейчас наткнулся на тему и счел должным добавить информацию.
После последовательных обновлений вплоть до openSUSE Leap 15.5 подобная проблема больше не возникала.