Jump to content

проблемы с dns

ichthyandr
 Share

Recommended Posts

ichthyandr

ichthyandr

Posted
Posted

Народ, кто сталкивался м.б. Последние два дня через нас поломались как минимум два сайта dns-shop.ru и petrovich.ru. Как оказалось их css файлы лежат

на алиасах xxxxx.gcdn.co  Т.е. ни bind ни unbound не резолвят эти имена. Если сделать форвард на 8.8.8.8 все начинает работать, xxxxx.gcdn.co без подписей.

 

Куда смотреть? спасибо

Ivan_83

Ivan_83

Posted
Posted

Ну и нахер вам эти подписи сдались?

У меня сейчас всё прекрасно открывается, через unbound - он подписи не валидирует, функционал выпилен.

Может они там чего починили/перенесли, сами владельцы.

ichthyandr

ichthyandr

Posted
  • Author
Posted (edited)
7 минут назад, vlad11 сказал:

Смена ключа подписания ключей DNSSEC пройдет 11 октября

 

С этим связано.

Хз хз, подписи там нет, для этого днс имени.

  

[root@bill log]#  dig gcdn.co @8.8.8.8

; <<>> DiG 9.8.2rc1-RedHat-9.8.2-0.62.rc1.el6_9.4 <<>> gcdn.co @8.8.8.8
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 47358
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;gcdn.co.                       IN      A

;; ANSWER SECTION:
gcdn.co.                3403    IN      A       92.223.97.97

;; Query time: 19 msec
;; SERVER: 8.8.8.8#53(8.8.8.8)
;; WHEN: Mon Oct 15 17:22:29 2018
;; MSG SIZE  rcvd: 41

 

 

2 часа назад, st_re сказал:

Если 2 дня назад, то таки начать с посмотреть на dnssec у себя...

 

dig NS co 

отдается ?

а

dig kjlhkjghjkhkhjkhkhj

? второе должно отдать NXDOMAIN а не фейл... 

[root@bill log]# dig NS co

; <<>> DiG 9.8.2rc1-RedHat-9.8.2-0.62.rc1.el6_9.4 <<>> NS co
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 29869
;; flags: qr rd ra; QUERY: 1, ANSWER: 6, AUTHORITY: 0, ADDITIONAL: 12

;; QUESTION SECTION:
;co.                            IN      NS

;; ANSWER SECTION:
co.                     900     IN      NS      ns4.cctld.co.
co.                     900     IN      NS      ns3.cctld.co.
co.                     900     IN      NS      ns2.cctld.co.
co.                     900     IN      NS      ns1.cctld.co.
co.                     900     IN      NS      ns5.cctld.co.
co.                     900     IN      NS      ns6.cctld.co.

;; ADDITIONAL SECTION:
ns1.cctld.co.           164775  IN      A       156.154.100.25
ns1.cctld.co.           164775  IN      AAAA    2001:502:2eda::21
ns2.cctld.co.           164775  IN      A       156.154.101.25
ns2.cctld.co.           164775  IN      AAAA    2001:502:ad09::21
ns5.cctld.co.           164775  IN      A       156.154.104.25
ns5.cctld.co.           164775  IN      AAAA    2610:a1:1011::21
ns3.cctld.co.           164775  IN      A       156.154.102.25
ns3.cctld.co.           164775  IN      AAAA    2610:a1:1009::21
ns4.cctld.co.           164775  IN      A       156.154.103.25
ns4.cctld.co.           164775  IN      AAAA    2610:a1:1010::21
ns6.cctld.co.           164775  IN      A       156.154.105.25
ns6.cctld.co.           164775  IN      AAAA    2610:a1:1012::21

;; Query time: 33 msec
;; SERVER: 127.0.0.1#53(127.0.0.1)
;; WHEN: Mon Oct 15 16:55:40 2018
;; MSG SIZE  rcvd: 398

[root@bill log]# dig kjlhkjghjkhkhjkhkhj

; <<>> DiG 9.8.2rc1-RedHat-9.8.2-0.62.rc1.el6_9.4 <<>> kjlhkjghjkhkhjkhkhj
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN, id: 65521
;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 0

;; QUESTION SECTION:
;kjlhkjghjkhkhjkhkhj.           IN      A

;; AUTHORITY SECTION:
.                       10800   IN      SOA     a.root-servers.net. nstld.verisign-grs.com. 2018101500 1800 900 604800 86400

;; Query time: 5 msec
;; SERVER: 127.0.0.1#53(127.0.0.1)
;; WHEN: Mon Oct 15 16:56:16 2018
;; MSG SIZE  rcvd: 112

[root@bill log]# dig gcdn.co

; <<>> DiG 9.8.2rc1-RedHat-9.8.2-0.62.rc1.el6_9.4 <<>> gcdn.co
;; global options: +cmd
;; connection timed out; no servers could be reached

 

Edited by ichthyandr
st_re

st_re

Posted
Posted

dig ns  gcdn.co @92.223.100.100

c NSа ?

 

у них все 4 NSа в одной /24

 

gns1.gcdn.co.        3600    IN    A    92.223.100.100
gns2.gcdn.co.        3600    IN    A    92.223.100.200
gns11.gcdn.co.        3600    IN    A    92.223.100.101
gns22.gcdn.co.        3600    IN    A    92.223.100.201
 

Может что со связностью..

 

зы, подпись самой зоны gcdn.co тут врядли, меняли именно рутовые ключи. Если они не обновлены на вашем NSе, то после прокисания в кеше NSов для co Ваш ресолвер не сможет получить новые записи, а до прокисания вам руто не интересен, вы берете ответы из кеша. Поэтому стрельнет не в 16.00 UTC 11 числа, а похже.

 

Но судя по ответам, не это проблема... в таком случае dig <RANDOM> будет не NXDOMAIN а фейл

vlad11

vlad11

Posted
Posted

Из канала https://t.me/usher2

 

Цитата

Что произойдет на самом деле

Произойдет первая в истории ротация корневых ключей DNSSEC. Можно посмотреть например мой доклад опубликованный мною несколько минут назад на канале для общего понимания, что это. Это затронет ресолверы, которые делают проверку DNSSEC. При том, что проникновение DNSSEC в мире меньше 1%, понятно, что плохо натроенные ресолверы мало на что повлияют даже в случае огромного процента таких ресолверов.

Я системный администратор. Как проверить, что мой ресолвер всё делает правильно?

Волшебной командой: 


dig @127.0.0.1 dnssec-failed.org a +dnssec


Если результат SERVFAIL, то всё ок, если домен NOERROR и отдал записи, то начинайте беспокоиться и искать, как это исправить.


 

st_re

st_re

Posted
Posted

Это  как раз плохой совет.. Проверив это  вы начнете включать DNSSEC если он выключен.. А и фейл он вернет и в случае если у вас ключи верные и если у вас ключи не верные... т.е. проблему что вы забыли обновить колючи, но у вас включен DNSSEC вы не продетектиите этой командой..  Мало того, если вы ключи не обновили, но сделаете чтобы у вас для того чтобы эта команда возвращала фейл, вы включите DNSSEC вы просто себе сломаете все. там, в оригинал откуда украдена команда была еще вторая, неё почему то в цитате нет...

 

 

Как раз если эта команда не вернула фейл, то в общем можно расслабиться, на смену ключей вашему серверу пофиг.. DNSSEC у вас выключен.

 

ichthyandr

ichthyandr

Posted
  • Author
Posted
14 часов назад, vlad11 сказал:

Из канала https://t.me/usher2

 


 

на unbound dnssec выключен и gcdn.co не резолвится

 

15 часов назад, st_re сказал:

dig ns  gcdn.co @92.223.100.100

c NSа ?

 

у них все 4 NSа в одной /24

 

gns1.gcdn.co.        3600    IN    A    92.223.100.100
gns2.gcdn.co.        3600    IN    A    92.223.100.200
gns11.gcdn.co.        3600    IN    A    92.223.100.101
gns22.gcdn.co.        3600    IN    A    92.223.100.201
 

Может что со связностью..

 

зы, подпись самой зоны gcdn.co тут врядли, меняли именно рутовые ключи. Если они не обновлены на вашем NSе, то после прокисания в кеше NSов для co Ваш ресолвер не сможет получить новые записи, а до прокисания вам руто не интересен, вы берете ответы из кеша. Поэтому стрельнет не в 16.00 UTC 11 числа, а похже.

 

Но судя по ответам, не это проблема... в таком случае dig <RANDOM> будет не NXDOMAIN а фейл

спасибо, проверю

Ivan_83

Ivan_83

Posted
Posted
3 часа назад, SyJet сказал:

Поделитесь хорошим :)

http://www.netlab.linkpc.net/download/software/unbound/unbound.conf

Инклюды снизу или похерить или создать пустые файлы.

С этим конфигом у меня уже давно никаких проблем не возникало, при домашнем использовании.

Последнее что было - это из за qname minimisation пара доменов не резолвилось.

Join the conversation

You can post now and register later. If you have an account, sign in now to post with your account.

Guest
Reply to this topic...

×   Pasted as rich text.   Paste as plain text instead

  Only 75 emoji are allowed.

×   Your link has been automatically embedded.   Display as a link instead

×   Your previous content has been restored.   Clear editor

×   You cannot paste images directly. Upload or insert images from URL.

×
 Share
Go to topic listing
×
×
  • Create New...
На сайте используются файлы cookie и сервисы аналитики для корректной работы форума и улучшения качества обслуживания. Продолжая использовать сайт, вы соглашаетесь с использованием файлов cookie и с Политикой конфиденциальности.