DNS Failover

Привет, удалось ли у тебя с этим разобраться?

Тебе нужен хороший скрипт, чтобы сделать то, что ты хочешь.

Настройте Mikrotik так, чтобы он использовал DNS, отличный от piehole… Например, 8.8.8.8 или 1.1.1.1. Затем в вашем DHCP-сервере установите значение DNS в разделе сети на piehole или Mikrotik. Если piehole не сработает… Клиент будет спрашивать у Mikrotik.

Все, что начинается с my_*, нужно настроить под вашу среду. Я использую роутер в качестве DNS-сервера, чтобы сохранить контроль и централизованно перенаправлять через правило NAT. Чтобы это работало максимально эффективно, я также рекомендую прописать роутер как вторичный DNS-сервер на всех клиентах. Это работает достаточно быстро, и я получаю все уведомления по почте.

ПРИМЕЧАНИЕ: я понял, что если устройство не падает, Netwatch всегда будет запускать скрипт «Up» при любом изменении (потому что устройство всё ещё «в сети»). Мне не хочется, чтобы это происходило, если pihole не падал, поэтому я добавил проверку, что роутер действительно работает как DNS-сервер, прежде чем что-то делать.

ПРИМЕЧАНИЕ 2: оказалось, что нельзя скриптовать изменение правил файрвола, если сначала не перебрать все правила с помощью print, или не узнать их внутренние ID и использовать их (подробнее здесь: http://forum.mikrotik.com/t/ask-modify-firewall-order-or-add-firewall-with-script/15392/6). Я обошёл это просто сделав print, но позже, когда будет время, сделаю по-честному.

Скрипт Netwatch при падении pihole:

# скрипт для включения backupDNS, если pihole не отвечает на пинг  
# этот скрипт ничего не делает, если core switch тоже не в сети  

# задаём переменные  
:local myhost ([/system identity get name])
:local recv my_alerts@email.com  
:local target my_pihole;

# запрашиваем интерфейс core switch  
:local inetinterface "ether1"  
:if ([/interface get [find name="$inetinterface"] running]=true) do={

:log info "BackupDNS: Pihole упал, включаю резервный DNS"  
# замените на ваши адреса резолверов  
/ip dns set servers=your_resolver_IP1,your_resolver_IP2  
:delay 2  
:log info "BackupDNS: резолверы сменены"

# включаем DNS-сервер  
/ip dns set allow-remote-requests=yes  
:delay 2  
:log info "BackupDNS: сервер запущен"

# предполагается, что у вас есть одно NAT-правило перенаправления и это первое в списке, меняем to-address на IP роутера  
/ip firewall nat print; /ip firewall nat set to-addresses=your_router_IP numbers=1  
:delay 1  
:log info "BackupDNS: правило NAT перенаправлено"

# уведомление по почте  
/tool e-mail send to=$recv subject="$myhost started BackupDNS" body="В $mydate в $mytime $myhost включил BackupDNS, потому что $target не отвечает."

} else={ :log info "BackupDNS: интерфейс core switch $inetinterface не работает, скрипт остановлен" }

Скрипт Netwatch при восстановлении pihole:

# скрипт для отключения резервного DNS, когда pihole снова доступен  
 
# задаём переменные  
:local myhost ([/system identity get name])
:local recv my_alerts@email.com  
:local target my_pihole;

:if ([/ip dns get allow-remote-requests]=true) do={

# уведомление по почте  
/tool e-mail send to=$recv subject="$myhost stopping BackupDNS" body="В $mydate в $mytime $myhost выключает BackupDNS, так как $target снова доступен."  
:delay 10  
:log info "BackupDNS: Pihole в сети, выключаем резервный DNS"

# меняем резолвер обратно на my_pihole  
/ip dns set servers=my_pihole_IP  
:delay 1  
:log info "BackupDNS: pihole снова установлен как резолвер"

# меняем NAT-правило обратно на pihole (первое в списке)  
/ip firewall print; /ip firewall nat set to-addresses=my_pihole_IP numbers=1  
:delay 1  
:log info "BackupDNS: правило NAT возвращено обратно на pihole"

# отключаем DNS-сервер и чистим кэш  
/ip dns set allow-remote-requests=no  
:delay 1  
/ip dns cache flush  
:log info "BackupDNS: DNS-сервер выключен, кэш очищен"

} else={ :log info "BackupDNS: Pihole в сети, но роутер не выступал как DNS-сервер, скрипт остановлен" }

Я так и не смог заставить netwatch срабатывать корректно из-за всех этих ограничений с разрешениями. Для моего домашнего применения проще запускать маленький скрипт раз в минуту через планировщик — работает отлично. У меня в DHCP Server > Networks > DNS Servers стоит адрес шлюза моего роутера MikroTik, чтобы клиентам не пришлось ничего подстраивать. Вот мой скрипт, может, пригодится. Можно настроить адреса fallbackDNS, ip Pi-Hole и resolve url под свои нужды.

# задаём переменные  
:local fallbackDNS 1.1.1.1,1.0.0.1  
:local pihole 192.XXX.XX.XXX;  
:local currentDNS  
:set $currentDNS [/ip dns get servers];

:do {  
 :put [resolve google.com server=$pihole];
 if ($currentDNS != pihole) do={  
   :log info "DNS Failover: переключение на Pi-Hole";  
   ip dns set servers $pihole  
 } else={}  
} on-error={  
 :set $currentDNS [/ip dns get servers];
 if ($currentDNS != $fallbackDNS) do={  
   :log info "DNS Failover: переключение на FallbackDNS";  
   ip dns set servers $fallbackDNS;  
 } else={:log info "DNS Failover: Pi-Hole недоступен"}  
}  

# пытаемся достучаться до google через Pi-Hole  
# если получилось и у нас сейчас другой DNS — переключаемся на Pi-Hole  
# если получилось и мы уже на Pi-Hole — ничего не делаем  
# если не получилось достучаться до google и мы не на FallbackDNS — переключаемся на fallback  
# если не получилось достучаться через Pi-Hole и мы уже на fallback — логируем, что Pi-Hole недоступен

Проблема с netwatch в том, что он просто пингует сервер. Сервер может быть в сети, а Pi-hole — нет. Я написал следующий скрипт и запускаю его каждую минуту. Если Pi-hole не отвечает, запрос не проходит, и выполняется код в блоке on-error. Как только Pi-hole снова работает, он устанавливается как DNS-сервер.

:local servers [/ip dns get servers];
:do {
   /tool fetch url="http://192.168.1.26:8082/admin/api.php?status";
   if ($servers != "192.168.1.26") do={
       /ip dns set servers=192.168.1.26;
   }
} on-error {
   if ($servers != "208.67.220.123;208.67.222.123") do={
       /ip dns set servers=208.67.220.123,208.67.222.123;
       :log error "Pi-hole не работает, переключаюсь на OpenDNS";
   }
}

Можешь сказать, где возникает проблема? Это из-за того, что песочник появляется наверху? Или что-то другое?

Когда я останавливаю Pi-hole (DHCP сервер и DNS), переключения на DNS-серверы, указанные в /ip dns, не происходит, и ничего не разрешается.

Пожалуйста, используйте «Post replay» вместо того, чтобы цитировать все предыдущие сообщения целиком. Мы и так умеем следить за темой, нет необходимости постоянно всё цитировать.