+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

(Глупый) вопрос: как пересылается DNS-запрос / настройки DNS в DHCP?

(Глупый) вопрос: как пересылается DNS-запрос / настройки DNS в DHCP?, RouterOS

PackElend

Guest

06.06.2021 02:21:00

Привет! Так как я наткнулся на несколько базовых конфигураций RouterOS и VLAN, у меня возникла некоторая путаница насчёт правильной настройки DNS-сервера. Хотя ответ кажется очевидным, я хочу записать свои мысли и буду очень признателен, если кто-то подтвердит их или объяснит, что всё ещё непонятно (или исправит ошибки).

У меня есть несколько MT Switch и один MT Router. IP-адрес роутера провайдера (upstream Router). Роутер либо подключён напрямую к интернету, либо за роутером, который предоставляет провайдер, поэтому:

Динамические серверы назначаются либо с помощью DHCP провайдера, либо через роутер, предоставленный провайдером. Если это второй вариант, то, скорее всего, шлюз — это IP-адрес роутера провайдера.

Если в /ip dhcp-server network dns-server ничего не указано, то настройки из /ip dns servers и /ip dns dynamic-server могут передаваться клиентам DHCP, но какие именно сервера? Если только статические — тогда всегда будут передаваться статические, независимо от /ip dhcp-server network dns-none, как указано в Manual:IP/DHCP Server - MikroTik Wiki? Если только динамические — тогда зависит от /ip dhcp-server network dns-none? Если оба варианта, то передаются либо оба, либо только статические, опять же в зависимости от /ip dhcp-server network dns-none? Если же в /ip dhcp-server network dns-server указаны конкретные сервера, то передаются только они.

Мне дали конфигурацию, в которой /ip dhcp-server network dns-server совпадает с шлюзом /ip dhcp-server network gateway. Что здесь происходит? Настройки из /ip dns servers и /ip dns dynamic-server остаются доступными для DHCP клиентов, но что реально происходит, зависит от ответа на второй вопрос.

DNS-запросы от DHCP клиентов (ниже по цепочке DHCP сервера) просто «умирают», так как нет перенаправления на шлюз. Запросы DNS проверяются только согласно статическим записям в /ip dns static? Если в них ничего нет, соответствующего запросу, то запрос тоже «умирает».

Было бы здорово, если бы эту головоломку удалось полностью разгадать, потому что в мануале на мои вопросы ответа я не нашёл (или просто слишком туп, чтобы их найти).

Спасибо,
Стефан

PackElend

Guest

07.07.2021 11:17:00

Поскольку вы так терпеливо отвечаете мне, значит, легко разберётесь с вопросами по теории относительности. Извиняюсь за поздний ответ, но у меня было очень мало времени, и оно ушло на разбор VLAN на MT. Теперь я понимаю, что это на самом деле довольно просто, меня просто раздражало формулировка. Планирую создать тему, сопоставимую с вашей по фаерволу. Пока что это не случилось, но хотя бы конфигурации уже отправлены на GitHub: GitHub - PackElend/MikroTik.

Возвращаясь к теме: я прочитал про DNS Query Message Format (firewall.cx), и теперь мне стало чуть понятнее. Если RouterOS назначает клиенту через DHCP 8.8.8.8, DNS-запросы будут идти на 8.8.8.8, если клиент не найдёт ответ в своём кэше. Пока всё ясно. Теперь я назначаю шлюз подсети или любой другой IP, назначенный интерфейсу моего роутера. Конечно, этот IP должен быть доступен клиенту (правила фаервола и так далее), но в итоге смысла нет никакой разницы, правда? Назначенный интерфейс (с его IP, указанным в качестве DNS-сервера) — это ворота в RouterOS. Это и вызывает то, что вы описали: я провёл некоторые тесты и заметил, что даже если не указывать DNS-сервер клиенту, DNS-запросы всё равно пересылаются через мой роутер (я делал очистку DNS кэша в системе и браузере). Это странно, проверю ещё раз. Либо RouterOS не прозрачен в пересылке DNS-запросов, либо что-то всё ещё не так, так как я делал трассировку DNS через OpenDNS, но OpenDNS не отображается:

Тест согласно How to test for successful OpenDNS configuration? – OpenDNS прошёл, но взрослые сайты всё равно открываются.

Установлен How to use BIND’s Domain Information Groper (dig) Tool | Dyn Help Center, чтобы выполнить dig +trace:

C:\Program Files\ISC BIND 9>dig internetende.de +trace +noall +answer

. 515702 IN NS i.root-servers.net
. 515702 IN NS j.root-servers.net
. 515702 IN NS k.root-servers.net
. 515702 IN NS l.root-servers.net
. 515702 IN NS m.root-servers.net
. 515702 IN NS a.root-servers.net
. 515702 IN NS b.root-servers.net
. 515702 IN NS c.root-servers.net
. 515702 IN NS d.root-servers.net
. 515702 IN NS e.root-servers.net
. 515702 IN NS f.root-servers.net
. 515702 IN NS g.root-servers.net
. 515702 IN NS h.root-servers.net
;; Получено 813 байт от 10.99.99.1#53(10.99.99.1) за 28 мс
;; Получено 779 байт от 192.36.148.17#53(i.root-servers.net) за 23 мс
;; Получено 616 байт от 81.91.164.5#53(f.nic.de) за 10 мс
internetende.de. 10800 IN A 109.237.138.8
;; Получено 60 байт от 148.251.254.105#53(cns2.alfahosting.info) за 22 мс

C:\Program Files\ISC BIND 9>dig pornhub.com +trace +noall +answer

. 515172 IN NS f.root-servers.net
. 515172 IN NS g.root-servers.net
. 515172 IN NS h.root-servers.net
. 515172 IN NS i.root-servers.net
. 515172 IN NS j.root-servers.net
. 515172 IN NS k.root-servers.net
. 515172 IN NS l.root-servers.net
. 515172 IN NS m.root-servers.net
. 515172 IN NS a.root-servers.net
. 515172 IN NS b.root-servers.net
. 515172 IN NS c.root-servers.net
. 515172 IN NS d.root-servers.net
. 515172 IN NS e.root-servers.net
;; Получено 813 байт от 10.99.99.1#53(10.99.99.1) за 12 мс
;; Получено 1171 байт от 199.7.83.42#53(l.root-servers.net) за 7 мс
;; Получено 844 байт от 192.43.172.30#53(i.gtld-servers.net) за 9 мс
pornhub.com. 3600 IN A 66.254.114.41
;; Получено 56 байт от 198.51.45.3#53(dns2.p03.nsone.net) за 11 мс

C:\Program Files\ISC BIND 9>C:\Program Files\ISC BIND 9>tracert pornhub.com

Определение маршрута до pornhub.com [66.254.114.41] с максимумом 30 прыжков:
1 21 мс 7 мс 1 мс 10.99.99.1
2 1 мс 3 мс 3 мс fritzbox.kuerberg.ch [192.168.66.1]
3 26 мс 3 мс 2 мс 217.22.136.2
4 10 мс 20 мс 16 мс 212.25.27.122
5 78 мс 4 мс 2 мс grace.glb.as8758.net [212.25.28.238]
6 11 мс 3 мс 1 мс te0-3-1-3.rcr51.b021037-0.zrh02.atlas.cogentco.com [149.6.177.45]
7 3 мс 2 мс 3 мс be2395.ccr52.zrh02.atlas.cogentco.com [130.117.50.25]
8 292 мс 42 мс 82 мс be3073.ccr22.muc03.atlas.cogentco.com [130.117.0.62]
9 14 мс 21 мс 13 мс be2960.ccr42.fra03.atlas.cogentco.com [154.54.36.253]
10 43 мс 47 мс 15 мс haproxy.demarc.cogentco.com [149.29.8.2]
11 12 мс 11 мс 10 мс cust-reflected-svc11802.ip.reflected.net [66.254.122.141]
12 12 мс 18 мс 15 мс reflectededge.reflected.net [66.254.114.41]

Маршрут определён.

НАСТРОЙКИ КЛИЕНТА (VLAN99 для теста):

Локальный IPv6 адрес ссылки: fe80::997f:70f6:408e:ac18%18
IPv4 адрес: 10.99.99.243
DNS серверы IPv4: 10.99.99.1

/ip dhcp-server> print where name=VLAN_099_DHCP
Flags: D - динамический, X - отключен, I - неверный
NAME INTERFACE RELAY ADDRESS-POOL LEASE-TIME ADD-ARP
0 VLAN_099_DHCP VLAN_099 VLAN_099 10m

print where comment~“^BASE”
Flags: D - динамический
ADDRESS GATEWAY DNS-SERVER WINS-SERVER DOMAIN
0 ;;; BASE (MGMT) VLAN 10.99.99.0/24 10.99.99.1 10.99.99.1

2. DNS SERVER:
/ip dns> print
servers: 208.67.222.222,208.67.220.220
dynamic-servers:
use-doh-server:
verify-doh-cert: no
allow-remote-requests: yes
max-udp-packet-size: 4096
query-server-timeout: 2s
query-total-timeout: 10s
max-concurrent-queries: 100
max-concurrent-tcp-sessions: 20
cache-size: 2048KiB
cache-max-ttl: 1w
cache-used: 332KiB

mkx

Guest

07.07.2021 11:30:00

Выделенная информация с вашего LAN-компьютера показывает, что он получает IP-адрес маршрутизатора в качестве DNS-сервера. Эта настройка задана в /ip dhcp-server network, в свойстве dns-server. Конфигурация вашего основного маршрутизатора показывает, что вы явно указываете IP-адрес маршрутизатора как DNS-сервер для DHCP-клиентов во всех VLAN, тогда как, вероятно, вы хотите хотя бы для некоторых VLAN установить 8.8.8.8.

rextended

Guest

07.07.2021 11:50:00

Не важно, какой IP ты используешь (как обычно, кроме IP фаервола). Но лучше использовать IP основного шлюза для этого. Пример: у тебя есть сети 10.1.x и 10.2.x. На обеих сетях можно использовать любой из двух IP шлюзов. Но если по какой-то причине в будущем захочешь заблокировать любую связь между этими подсетями или просто сменить IP подсетей, все устройства, настроенные с неправильным, но работающим IP, перестанут работать.

rextended

Guest

07.07.2021 11:58:00

Если вы явно не установите флаг «No DNS» внутри DHCP-сетей, RouterOS предоставит один DNS на основе следующих условий (проверять нужно именно в таком порядке): 1) сначала IP-адрес, используемый как шлюз, если включена опция «Allow remote requests» в настройках DNS; 2) первый динамический DNS из настроек DNS, если он есть; 3) второй динамический DNS из настроек DNS, если он есть; 4) первый фиксированный DNS из настроек DNS, если он есть; 5) второй фиксированный DNS из настроек DNS, если он есть.

PackElend

Guest

07.07.2021 11:59:00

Спасибо за такой быстрый ответ. Все клиенты настроены использовать DNS-сервер, указанный в /ip DNS. Какие DNS-серверы у OpenDNS? Судя по вашим ответам, осмелюсь сказать, что мои настройки верны. По какой-то причине блокировка/фильтрация OpenDNS не работает так, как надо, сделаю ещё пару проверок (очистка кеша, перезагрузка и т.д.). Согласен, это всё больше в учебных целях.

PackElend Guest	#7 0 07.07.2021 12:02:00 Статические/фиксированные настройки обычно не имеют приоритета над динамическими, верно?

rextended

Guest

07.07.2021 12:04:00

Динамические имеют приоритет. Ещё один пример: у универсальных точек доступа внутри прописан один DNS, но если провайдер захочет поменять DNS, не нужно обновлять все точки доступа, достаточно просто выдать новый DNS через DHCP-сервер или PPPoE-сервер.

PackElend Guest	#9 0 07.07.2021 12:07:00 Итак, если у меня есть динамические и статические настройки, как мне сделать так, чтобы сначала не использовались динамические настройки? Правила фаервола?

rextended Guest	#10 0 07.07.2021 12:44:00 Нет, просто укажите IP-адрес DNS в разделе DHCP Networks.

PackElend Guest	#11 0 07.07.2021 12:51:00 Надеюсь найти решение, чтобы сделать это в одном месте, а не настраивать каждую сеть DHCP индивидуально.

rextended Guest	#12 0 07.07.2021 13:27:00 Если у вас уже настроено несколько DHCP, обновите их с помощью скрипта… /ip dhcp-server network set [find] dns-server=1.1.1.1,8.8.8.8

PackElend Guest	#13 0 07.07.2021 13:30:00 ты меня поймал

rextended

Guest

#14

07.07.2021 15:59:00

Сейчас у меня слишком много работы, но сначала для MikroTik нужно разработать что-то вроде автоконфигурации. Моя идея — сделать универсального мастера, который будет генерировать скрипт для автоматической настройки, примерно так:

Выбрать уровень пользователя (для новичков меньше вопросов и т.п.) → выбрать модель → выбрать, используется ли устройство как коммутатор, маршрутизатор, файрвол, точка доступа и т.д. → указать, на каком порту идет Интернет (WAN, на каком ether? как Wi-Fi клиент?) → сколько разных источников WAN? → выбрать LAN-порты → задать настройки Wi-Fi → указать детали для первого WAN (DHCP? PPPoE? VLAN? Прозрачный режим с xDSL/ONT/LTE? и т.п.) → детали для второго WAN → и так далее → выбрать, будет ли WAN на резервировании, балансировке нагрузки или и то, и другое → указать количество нужных VLAN (+управляющий) → выбрать, как используются отдельные LAN (транк, VLAN, без тегов и т.д.) → выбрать стандартные правила файрвола (по умолчанию, расширенные, без правил, если это просто коммутатор или точка доступа) → выбрать нужные функции маршрутизатора (IP Forward, Router Cache и т.д.) → настроить новых пользователей и параметры безопасности → задать SSID и пароль Wi-Fi и так далее.

В итоге генерируется единый файл для импорта, сброса настроек и применения — и готово.

PackElend

Guest

#15

07.07.2021 16:46:00

Что делать? Я бы сказал, что в этой теме уже сказано всё, и работы предстоит немало. Надеюсь, мои скрипты помогут тебе, там я постарался всё объяснить, но пока что покрыта только настройка VLAN. Сейчас пытаюсь разобраться в деталях CAPsMAN (базовая WLAN уже работает).

rextended Guest	#16 0 07.07.2021 16:58:00 Я говорю о «Project Wizard». Я забыл про CAPsMAN, но с ним нужно разобраться в конце, когда основной мастер будет завершён, не забыв при этом подготовиться к CAPsMAN…

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры