http://mikrotik.moscow Новое в теме Проблемы с обновлением Dynamic DNS (TSIG) форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Thu, 13 Aug 2026 23:31:02 -0400 Проблемы с обновлением Dynamic DNS (TSIG) RouterOS в форуме RouterOS.
Эта команда (/tool dns-update) нужна для запуска в скриптах? Если да, то какой минимальный скрипт, если я использую один публичный IP? Спасибо!
26.05.2015 13:37:00, littlet.]]> http://mikrotik.moscow/forum/forum57/57601-problemy-s-obnovleniem-dynamic-dns-_tsig/message217127 http://mikrotik.moscow/forum/forum57/57601-problemy-s-obnovleniem-dynamic-dns-_tsig/message217127 Tue, 26 May 2015 13:37:00 -0400 RouterOS Проблемы с обновлением Dynamic DNS (TSIG) RouterOS в форуме RouterOS.
Оригинальный ID входит в состав DNS-запроса – это случайное целое число, чтобы DNS-серверы могли отслеживать свои запросы. Часть TSIG-подписи — это оригинальный ID, и если MT использует для него 0, то подпись не будет вычислена, потому что она не совпадает с тем, что было подписано. Я знаю это, потому что только что закончил писать проект на vb.net, который обновляет BIND с помощью TSIG… и столкнулся с той же проблемой, когда не использовал тот же ID, что и в заголовке пакета. Сэм.
26.06.2005 16:22:00, changeip.]]> http://mikrotik.moscow/forum/forum57/57601-problemy-s-obnovleniem-dynamic-dns-_tsig/message217126 http://mikrotik.moscow/forum/forum57/57601-problemy-s-obnovleniem-dynamic-dns-_tsig/message217126 Sun, 26 Jun 2005 16:22:00 -0400 RouterOS Проблемы с обновлением Dynamic DNS (TSIG) RouterOS в форуме RouterOS.
Ты на правильном пути. Transaction id пакета DNS отличается от того, что указано как Original id в записи TSIG. На самом деле, дальнейшее тестирование показывает, что Original id, кажется, всегда равен ‘0’, в то время как Transaction id динамически меняется между тестами. Что является причиной, а что следствием? Устанавливается ли Original id в ‘0’ из-за неправильного расчета подписи или подпись рассчитывается неправильно из-за того, что Original id равен ‘0’, даже когда он должен быть другим, и Original id участвует в расчете подписи, тем самым всё портя? Я скину эту дискуссию support@mikrotik.com. –Том
26.06.2005 08:26:00, tneumann.]]> http://mikrotik.moscow/forum/forum57/57601-problemy-s-obnovleniem-dynamic-dns-_tsig/message217125 http://mikrotik.moscow/forum/forum57/57601-problemy-s-obnovleniem-dynamic-dns-_tsig/message217125 Sun, 26 Jun 2005 08:26:00 -0400 RouterOS Проблемы с обновлением Dynamic DNS (TSIG) RouterOS в форуме RouterOS.
Посмотри на остальную часть этого пакета обновления DNS… если id не 0, то ты нашел свою проблему. Этот ‘0’ должен быть dns id из заголовка того же пакета. Если они не совпадают, у тебя сломана подпись.

P.S. Это стоит сообщить в support@, чтобы они это исправили. Я писал им много раз, но ответа так и не получил, но хотя бы это добавит задачу в их список дел (надеюсь).

Кстати, раз это rc6, то лучше выложить это в бета-форум, а не сюда… Sam
26.06.2005 02:59:00, changeip.]]> http://mikrotik.moscow/forum/forum57/57601-problemy-s-obnovleniem-dynamic-dns-_tsig/message217124 http://mikrotik.moscow/forum/forum57/57601-problemy-s-obnovleniem-dynamic-dns-_tsig/message217124 Sun, 26 Jun 2005 02:59:00 -0400 RouterOS Проблемы с обновлением Dynamic DNS (TSIG) RouterOS в форуме RouterOS.
Сэм, файл журнала bind содержит следующее, когда я успешно обновляю с помощью nsupdate с UNIX-клиента:
Jun 25 21:24:36.355 update: client 212.23.xx.yy#24036: updating zone 'tmr-vpn.net/IN': deleting an rrset
Jun 25 21:24:36.355 update: client 212.23.xx.yy#24036: updating zone 'tmr-vpn.net/IN': adding an RR и вот ошибка, которая регистрируется, когда я пытаюсь обновить из роутера MikroTik:
Jun 25 21:27:13.577 security: client 212.23.xx.zz#1029: request has invalid signature: tsig verify failure

Я немного покопался с Ethereal, чтобы проверить ошибку с датой 1970-х годов, которую ты упоминал. Дата/время в TSIG, кажется, правильные (смотри поля "Time signed" ниже), но есть другие незначительные различия, как видно из скриншотов ниже. Первая картинка — это пакет, захваченный с UNIX-клиента nsupdate, который работает: обрати внимание, что имя алгоритма: hmac-md5.sig-alg.reg.int написано строчными буквами, а Original id: содержит ненулевое значение. Для сравнения, вот картинка пакета, отправленного роутером MikroTik: обрати внимание, что на этот раз имя алгоритма: HMAC-MD5.SIG-ALG.REG.INT написано прописными буквами, а Original id: содержит нулевое значение.

Я не знаю, насколько это важно, но это единственные вещи, которые явно отличаются.

–Том
25.06.2005 20:26:00, tneumann.]]> http://mikrotik.moscow/forum/forum57/57601-problemy-s-obnovleniem-dynamic-dns-_tsig/message217123 http://mikrotik.moscow/forum/forum57/57601-problemy-s-obnovleniem-dynamic-dns-_tsig/message217123 Sat, 25 Jun 2005 20:26:00 -0400 RouterOS Проблемы с обновлением Dynamic DNS (TSIG) RouterOS в форуме RouterOS.
Но сервер BIND постоянно отклоняет обновление с ошибкой, что ключ недействителен. Цитата выше взята из файла named.log BIND или откуда-то ещё? Проверь сам файл named.log, чтобы увидеть конкретные ошибки. Если нужно увеличить логирование, можно использовать RNDC для повышения уровня отладки. Похоже, у тебя та же проблема, что и у меня, с перехватом пакетов. Время на роутере синхронизировано и показывает правильное время, но оно игнорируется, и вместо этого для временных меток используется дата 1970-х годов. Сэм.
25.06.2005 17:13:00, changeip.]]> http://mikrotik.moscow/forum/forum57/57601-problemy-s-obnovleniem-dynamic-dns-_tsig/message217122 http://mikrotik.moscow/forum/forum57/57601-problemy-s-obnovleniem-dynamic-dns-_tsig/message217122 Sat, 25 Jun 2005 17:13:00 -0400 RouterOS Проблемы с обновлением Dynamic DNS (TSIG) RouterOS в форуме RouterOS.
Сэм, спасибо за предложение. Я знаю, что время на обоих устройствах должно быть верным. У меня маршрутизатор MikroTik и DNS-сервер синхронизированы по NTP, кстати, DNS-сервер также выступает в качестве NTP-сервера, от которого MikroTik и получает время. Я проверил время на обоих устройствах, включая часовой пояс. –Том
25.06.2005 16:26:00, tneumann.]]> http://mikrotik.moscow/forum/forum57/57601-problemy-s-obnovleniem-dynamic-dns-_tsig/message217121 http://mikrotik.moscow/forum/forum57/57601-problemy-s-obnovleniem-dynamic-dns-_tsig/message217121 Sat, 25 Jun 2005 16:26:00 -0400 RouterOS Проблемы с обновлением Dynamic DNS (TSIG) RouterOS в форуме RouterOS.
Проверь метки времени на обоих машинах. HMAC-подпись должна быть в пределах нескольких минут друг от друга… Сэм
25.06.2005 15:14:00, changeip.]]> http://mikrotik.moscow/forum/forum57/57601-problemy-s-obnovleniem-dynamic-dns-_tsig/message217120 http://mikrotik.moscow/forum/forum57/57601-problemy-s-obnovleniem-dynamic-dns-_tsig/message217120 Sat, 25 Jun 2005 15:14:00 -0400 RouterOS Проблемы с обновлением Dynamic DNS (TSIG) RouterOS в форуме RouterOS.
Пытаюсь настроить MikroTik роутер с 2.9rc6 на отправку динамического DNS-обновления к одному из наших собственных именных серверов (работает bind 9.2). Анализ трафика между роутером и именным сервером показывает, что роутер отправляет TSIG-подписанный UPDATE-запрос, подписанный HMAC-MD5. Это нормально, потому что именно это ожидает наш bind-сервер, но у меня проблемы с тем, чтобы наш bind-сервер принял TSIG-ключ от устройства MikroTik. Отправка обновления с помощью программы nsupdate, которая идет в комплекте с bind, работает отлично. Вот что я делаю с nsupdate: nsupdate -k Ktest.tmr-vpn.net.+157+21943.private -v update.txt, где файл ключа выглядит так: Private-key-format: v1.2
Algorithm: 157 (HMAC_MD5)
Key: MXiaoTeY6RvdycbeINzm4Wj2qW7Ikamn2iI80+vhIxHD6D8DUWu7JsOmEG6o­1nR/DHjrOGeUq5/Hqz9cA6Io5g==, а файл команд nsupdate выглядит так: server xx.yy.tmr.net
zone tmr-vpn.net
update delete test.tmr-vpn.net. A
update add test.tmr-vpn.net. 86400 A 1.2.3.4
show
send и это работает отлично. Теперь я пытаюсь сделать точно такое же обновление с роутера MikroTik, поэтому сделал так: /tool dns-update zone=tmr-vpn.net dns-server=x.y.z.z \
… name=test address=1.2.3.4 \
… key-name=test.tmr-vpn.net \
… key="MXiaoTeY6RvdycbeINzm4Wj2qW7Ikamn2iI80+vhIxHD6D8DUWu7JsO­mEG6o1nR/DHjrOGeUq5/Hqz9cA6Io5g==" но bind-сервер всегда отклоняет обновление с ошибкой, сообщающей, что ключ недействителен. Что я делаю не так? Нужно ли мне указывать ключ в каком-то другом формате или что-то в этом роде? Кроме того, я заметил, что обновление, которое отправляется с роутера MikroTik на DNS-сервер, не удаляет A-запись до отправки (возможно) новой. Это не проблема, пока адрес остается прежним (но тогда какой смысл обновления), но как только адрес в обновлении отличается от того, который уже хранится в зоне bind для клиента, то это будет добавлять дополнительную A-запись для того же клиента, и так далее… Так как это должно работать? –Tom
25.06.2005 12:06:00, tneumann.]]> http://mikrotik.moscow/forum/forum57/57601-problemy-s-obnovleniem-dynamic-dns-_tsig/message217119 http://mikrotik.moscow/forum/forum57/57601-problemy-s-obnovleniem-dynamic-dns-_tsig/message217119 Sat, 25 Jun 2005 12:06:00 -0400 RouterOS