Mikrotik.moscow [тема: Проблема с DNS-прокси]

Проблема с DNS-прокси

Tue, 18 Mar 2014 21:55:00 -0400

Проблема с DNS-прокси RouterOS в форуме RouterOS.
У меня та же самая проблема. Разрешение DNS невероятно медленное с прошлой пятницы (14.03.2014). Когда я использую кэш DNS на Mikrotik, всё работает медленно, но если сменить DNS на ПК на IP моего провайдера, всё нормально.
18.03.2014 21:55:00, und3ath.

Проблема с DNS-прокси

Mon, 17 Mar 2014 09:29:00 -0400

Проблема с DNS-прокси RouterOS в форуме RouterOS.
Если вы в VLAN, интерфейс фаервола должен быть интерфейсом VLAN, а не физическим интерфейсом. Это можно изменить в каждом правиле в разделе IP>Firewall>Filter.
17.03.2014 09:29:00, sguox.

Проблема с DNS-прокси

Mon, 17 Mar 2014 09:08:00 -0400

Проблема с DNS-прокси RouterOS в форуме RouterOS.
Ой, ты, может, хочешь сказать, что мой кабель к модему оптики воткнут не в тот порт? Хммм. Если я правильно понимаю, моё интернет-соединение сбрасывается на ether1-gateway, который выглядит так же, как vlan1.
17.03.2014 09:08:00, hendry.

Проблема с DNS-прокси

Mon, 17 Mar 2014 09:03:00 -0400

Проблема с DNS-прокси RouterOS в форуме RouterOS.
По умолчанию файрвол блокирует любые новые подключения с WAN (по умолчанию WAN — это ether1).
17.03.2014 09:03:00, sguox.

Проблема с DNS-прокси

Mon, 17 Mar 2014 08:57:00 -0400

Проблема с DNS-прокси RouterOS в форуме RouterOS.
Ага... теперь понятно. Нужно срочно заблокировать эти порты через файрвол. x220:~$ sudo nmap 121.7.219.77
Запуск Nmap 6.40 (http://nmap.org) 17.03.2014 16:54 SGT
Отчет сканирования для bb121-7-219-77.singnet.com.sg (121.7.219.77)
Хост доступен (задержка 0.015 с).
Не показано: 996 закрытых портов
ПОРТ СОСТОЯНИЕ СЕРВИС
22/tcp открыт ssh
53/tcp открыт domain
80/tcp открыт http
2000/tcp открыт cisco-sccp
Сканирование Nmap завершено: проверен 1 IP-адрес (1 хост доступен) за 4.25 секунды

Интересно, есть ли инструкция, как это сделать в WebFIG? Удивлен, что по умолчанию не блокируют все входящие порты.
17.03.2014 08:57:00, hendry.

Проблема с DNS-прокси

Sun, 16 Mar 2014 14:33:00 -0400

Проблема с DNS-прокси RouterOS в форуме RouterOS.
Только что столкнулся с той же проблемой, после некоторого расследования выяснилось, что RouterOS работала нормально, но подверглась DNS-атаке, описанной здесь http://dnsamplificationattacks.blogspot.ru/2014/03/domain-ahuyehueinfo.html. Маршрутизатор был под мощным DDoS — в кэше было тысячи записей ahuyehue.info, которые постоянно обновлялись на скоростях около 3 Мбит/с! Проблема была в том, что после переключения на PPPoE я не настроил правило файрвола для блокировки входящего трафика с интерфейса ppp… По умолчанию mikrotik блокирует только трафик с eth/sfp интерфейсов провайдера, а не с ppp.
16.03.2014 14:33:00, synclpz.

Проблема с DNS-прокси

Wed, 19 Feb 2014 15:56:00 -0500

Проблема с DNS-прокси RouterOS в форуме RouterOS.
У нас возникает точно такая же проблема.
19.02.2014 15:56:00, LouisVisagie.

Проблема с DNS-прокси

Wed, 29 Jan 2014 06:39:00 -0500

Проблема с DNS-прокси RouterOS в форуме RouterOS.
Мне кажется, что RouterBoard не может связаться с указанным DNS-сервером. Странно, учитывая, что ПК за ним с этим справляется.
29.01.2014 06:39:00, Rudios.

Проблема с DNS-прокси

Tue, 28 Jan 2014 02:26:00 -0500

Проблема с DNS-прокси RouterOS в форуме RouterOS.
Я пытался сообщить об этой проблеме с DNS в багтрекер, но капча не работает: http://s.natalian.org/2014-01-28/1390875761_1364x748.png
[admin@MikroTik] /ip dns> print
servers: 8.8.4.4,8.8.8.8
dynamic-servers: 165.21.83.88,165.21.100.88
allow-remote-requests: yes
max-udp-packet-size: 4096
query-server-timeout: 2s
query-total-timeout: 10s
cache-size: 2048KiB
cache-max-ttl: 1w
cache-used: 187KiB

Когда я проверяю любой из серверов 8.8.4.4, 8.8.8.8, 165.21.83.88 или 165.21.100.88 через dig, например dig foobar4.dabase.com @8.8.8.8, всё отлично и быстро. Но DNS-прокси MikroTik сломан. http://ix.io/a9O Начальные ответы неверные и медленные. Просто полный провал.
28.01.2014 02:26:00, hendry.

Проблема с DNS-прокси

Tue, 12 Nov 2013 10:37:00 -0500

Проблема с DNS-прокси RouterOS в форуме RouterOS.
Проблема с ROS 6.6, но началась ещё в 6.5 с DNS — в основном проявлялась в медленной загрузке и случайных таймаутах страниц. Мы стали получать таймауты на некоторых сайтах и вообще интернет стал тормозить. Казалось, что ситуация постепенно ухудшается. Перезагружаем основной роутер — и всё нормально, но недолго: то день, то час. Мы сузили круг проблем — похоже, виноват DNS-прокси Mikrotik, но я не углублялся, так как сеть была медленной или совсем не работала, поэтому сделали некоторые изменения как временное решение. У меня всё ещё есть кейс, который ведёт себя не так, как ожидалось, если только я что-то не упускаю.

DNS-прокси, используемый здесь (10.1.1.100), был Mikrotik, но потом заменён на Linux Named/Bind сервер — однако результат одинаковый. Домен, который запрашивается, — это split-horizon домен, настроенный на сервере.

SXT:
[admin@] /ip dns> pr
servers: 10.1.1.100
dynamic-servers:
allow-remote-requests: yes
max-udp-packet-size: 512
query-server-timeout: 2s
query-total-timeout: 10s
cache-size: 2048KiB
cache-max-ttl: 1w
cache-used: 266KiB

ПК: Ethernet-адаптер Локальное соединение:
IPv4-адрес ..........: 192.168.0.2 (Предпочитаемый)
Маска подсети ........: 255.255.255.0
Шлюз по умолчанию ....: 192.168.0.1
DNS-серверы ..........: 192.168.0.1 <- SXT

Если с ПК делать запрос напрямую к Named-серверу по домену — всё работает, но через прокси SXT — нет. При этом большинство других доменов и хостов работают, почему-то некоторые запросы игнорируются.

Напрямую с ПК к серверу:
C:\Users\User>nslookup www.true.co.za 10.1.1.100
Server: UnKnown
Address: 10.1.1.100

Name: true.co.za
Address: 72.9.231.106
Aliases: www.true.co.za

С ПК через SXT, указывая сервер:
C:\Users\User>nslookup > www.true.co.za > 192.168.0.1
Server: UnKnown
Address: 192.168.0.1

*** UnKnown не может найти > www.true.co.za > : Non-existent domain

Также пробовал пинговать hostname на SXT:
[admin@Ekkas] > /ping www.true.co.za
invalid value for argument address:
invalid value of mac-address, mac address required
invalid value for argument ipv6-address
while resolving ip-address: name does not exist

Странно, что эта проблема как бы подтянулась и ухудшилась до того, что примерно 50% клиентов стали испытывать проблемы с просмотром страниц. Кто-нибудь сталкивался с похожим или может подсказать, куда копать?

На SXT нет ни фильтров, ни mangle, ни nat, кроме masquerade. Между SXT и 10.1.1.100 (DNS-сервер) никаких других правил.

С уважением.
12.11.2013 10:37:00, ekkas.