❗️Toto je původní verze internetového fóra ISPforum.cz do února 2020 bez možnosti registrace nových uživatelů. Aktivní verzi fóra naleznete na adrese https://telekomunikace.cz

Zase ta DNS :(

Návody a problémy s konfigurací.
FRIDOLIN
Příspěvky: 98
Registrován: 15 years ago
antispam: Ano

Zase ta DNS :(

Příspěvekod FRIDOLIN » 11 years ago

Ahoj
Chci se jen zeptat, je to asi 10 dní, co mě začala haprovat dns v mikrotiku, bez toho, abych si byl vědom, že bych něco porýpal nebo se někde uklikl.
Mám jako hlavní PC se spojením se světem nějakej krám s i5 procákem, kde je mikrotik verze 5.22.
Tento stroj mám na vnitřní síti nastaven jako ip 192.168.0.1 a klientům jako dns dávám zrovna tuto adresu. Nastavení v DNS jsem nechal default, i jsem zkoušel zvětšit casch i udp packet, ale problém je pořád stejný a to, že stránky se načítají velmi pomalu, někdy se načtou bez fotek, někdy napíšou že server není k dispozici.
Když si v pc změním dns třeba na googlovský 8.8.8.8 tak to frčí jak blesk. Nahrál jsem ted verzi 6.10, ale výsledek je stejný, tak nevím, kde nechal tesař díru :(
Nejprve mě napadlo, že dodavetel konektivity zrušil svůj dns server(nebo se nějak vykousl) a nedal mě o tom vědět, ale ať nastavím v mikrotiku jakákoliv dns, která jsou funkční, tak to dělá to samé :(
Samozřejmě se mě nechce obíhat klienty a všem měnit v pc a wifi routerech jejich dns :(

Zkoušel jsem i nějaký nastavení z fora, že u klientů nemusím dns vůbec nastavovat, ale toto nefakčilo taky :(
Díky za nápady
0 x

query
Příspěvky: 264
Registrován: 14 years ago

Příspěvekod query » 11 years ago

nemáš to na veřejce a otevřený z netu?
měl jsem teď jeden MK takhle nastavenej asi 14 dní (úmyslně z testovacích důvodů :-) ) a měl jsem na tom nonstop DOS útoky.
0 x

ef
Příspěvky: 615
Registrován: 19 years ago

Příspěvekod ef » 11 years ago

A co tak udělat NAT dvše co jde na 192.168.0.1 port 53 přesměruj na 8.8.8.8 ?
0 x

FRIDOLIN
Příspěvky: 98
Registrován: 15 years ago
antispam: Ano

Příspěvekod FRIDOLIN » 11 years ago

ef píše:A co tak udělat NAT dvše co jde na 192.168.0.1 port 53 přesměruj na 8.8.8.8 ?



Jo tak jsem to udělal, ale stejně mě vrtá hlavou proč to po 5ti letech přestalo fachčit.

Díky za odpovědi
0 x

TomK
Příspěvky: 2
Registrován: 13 years ago

Příspěvekod TomK » 11 years ago

Posledních zhruba 14 dní až měsíc probíhají poměrně masivní útoky na všechno co má zvenčí otevřenej port 53 udp. Podle toho co jsem vysledoval jsou nejčastěji útoky vedený z Ruska. Je potřeba takový provoz zvenčí odfiltrovat a vše bude zas fungovat jak dřív.
0 x

chalan
Příspěvky: 322
Registrován: 19 years ago
Bydliště: Bratislava
Kontaktovat uživatele:

Příspěvekod chalan » 11 years ago

ja mam rovnaky problem a dns requesty z vonku som na hlavnu branu mk 5.26 ktora robi dns forwarder zakazal a nepomohlo to nicomu... urobil som teda presmerovanie 53 udp aj tcp na linux bind a fici to... dns mikrotiku je divny... napr. na lokalnych routeroch mk tiez pouzivam dns cache a tam problem nemam, problem je len na hlavnej brane, nechapem to...
0 x

pitigl
Příspěvky: 16
Registrován: 19 years ago

Příspěvekod pitigl » 11 years ago

chalan píše:ja mam rovnaky problem a dns requesty z vonku som na hlavnu branu mk 5.26 ktora robi dns forwarder zakazal a nepomohlo to nicomu... urobil som teda presmerovanie 53 udp aj tcp na linux bind a fici to... dns mikrotiku je divny... napr. na lokalnych routeroch mk tiez pouzivam dns cache a tam problem nemam, problem je len na hlavnej brane, nechapem to...


No aj mne to zacalo robit z nicoho nic pred par dnami. Myslel som si ze to je novou verziou mikrotiku (6.11) tak som dal naspet 6.7 ale nepomohlo. Vsetko islo v pohode a narazbez mojho zasahu to sa rozladilo a stranky niekedy vobec nenabehnu inokedy cakame jak na dial-upe :)
Ma niekto neaky postup co vyskusat?

Problem je v tom ze ja stroj s linuxom nemam a presmerovat to vonku nemozem lebo mam vo vnutornej sieti staticke zaznamy. Takze musi to ist len cez tento RB.

Diik.
0 x

pitigl
Příspěvky: 16
Registrován: 19 years ago

Příspěvekod pitigl » 11 years ago

pitigl píše:
chalan píše:ja mam rovnaky problem a dns requesty z vonku som na hlavnu branu mk 5.26 ktora robi dns forwarder zakazal a nepomohlo to nicomu... urobil som teda presmerovanie 53 udp aj tcp na linux bind a fici to... dns mikrotiku je divny... napr. na lokalnych routeroch mk tiez pouzivam dns cache a tam problem nemam, problem je len na hlavnej brane, nechapem to...


No aj mne to zacalo robit z nicoho nic pred par dnami. Myslel som si ze to je novou verziou mikrotiku (6.11) tak som dal naspet 6.7 ale nepomohlo. Vsetko islo v pohode a narazbez mojho zasahu to sa rozladilo a stranky niekedy vobec nenabehnu inokedy cakame jak na dial-upe :)
Ma niekto neaky postup co vyskusat?

Problem je v tom ze ja stroj s linuxom nemam a presmerovat to vonku nemozem lebo mam vo vnutornej sieti staticke zaznamy. Takze musi to ist len cez tento RB.

Diik.


--------------------------------------DOPLNENE--------------------------------------------

No po 10hod testovania môžem potvrdiť že pomohlo zastavenie nových udp spojení na porte 53 z WAN (internetu). A je ich dosť okolo 100MB za 10hod :D . DNSko na mikrotiku sa rozbehalo a všetko zatiaľ funguje na jednotku.

chain=input action=drop connection-state=new protocol=udp in-interface=sfp1

:D :D :D :D :D :D :D :D :D
0 x

Uživatelský avatar
goblajz
Příspěvky: 820
Registrován: 17 years ago
antispam: Ano

Příspěvekod goblajz » 11 years ago

A kde tam máš ten port?
0 x

Uživatelský avatar
reset
Příspěvky: 2902
Registrován: 17 years ago
Bydliště: intERnet

Příspěvekod reset » 11 years ago

pitigl píše:


--------------------------------------DOPLNENE--------------------------------------------

No po 10hod testovania môžem potvrdiť že pomohlo zastavenie nových udp spojení na porte 53 z WAN (internetu). A je ich dosť okolo 100MB za 10hod :D . DNSko na mikrotiku sa rozbehalo a všetko zatiaľ funguje na jednotku.

chain=input action=drop connection-state=new protocol=udp in-interface=sfp1

:D :D :D :D :D :D :D :D :D



na nas kdyz zacali utocit cinani , tak nam na dns server teklo 30Mbps a to to limitoval tusim jen nas shaper ,
to tvych 100MB za 10h je oproti tomu prd ,
server lehnul po 5ti minutach
0 x
ERnet tady, ERnet tam, ERnet vsude kam se podivam

Uživatelský avatar
lwq
Příspěvky: 1659
Registrován: 19 years ago
antispam: Ano
Bydliště: MistyMountain
Kontaktovat uživatele:

Příspěvekod lwq » 11 years ago

TomK píše:Posledních zhruba 14 dní až měsíc probíhají poměrně masivní útoky na všechno co má zvenčí otevřenej port 53 udp. Podle toho co jsem vysledoval jsou nejčastěji útoky vedený z Ruska. Je potřeba takový provoz zvenčí odfiltrovat a vše bude zas fungovat jak dřív.



Me tedy dle statistiky nejcasteji na DNS utoci IP adresy z Ciny ci USA (7.0.0.0/8 napriklad) ... Vse co neni komunikace se "spravnym" DNS je treba zahazovat - mam to tak i na klientech ... :idea:

EDIT: Jen 100M za 10hod, tedy 10M za hodinu ? U me to aktualne je asi 35MB/hod ...
0 x
LWQ ... Vice na www.lwq.cz (treba GIOM 3000 atp.) ...

dzejty
Příspěvky: 37
Registrován: 19 years ago

Příspěvekod dzejty » 11 years ago

Asi by stačilo to udělat takto a vyhnout se zakazování UDP se state "new"

Kód: Vybrat vše

chain=input connection-state=established
chain=input connection-state=related
chain=input src-address=admin_list
chain=input protocol=icmp
chain=input action=drop
0 x

Uživatelský avatar
petr
Příspěvky: 133
Registrován: 19 years ago

Příspěvekod petr » 11 years ago

DNS cache se nám jevila jako elegantní řešení a také nám po hodně let na mnoha místech spolehlivě fungovala a stejně jako ostatním, bezproblémově fungovat přestala.

Nepomůže, zakážete-li dotazy z internetu (ty jsme ostatně nikdy povolené neměli). Útoky totiž, asi v naprosté většině případů, pochází ze zavirovaných počítačů uvnitř sítě. DNS dotazy z těchto počítačů mají veřejnou zdrojovou IP adresu. Zkoušeli jsme kdejaké filtry, ale nic nefungovalo na 100%. Vždycky s tím byl nějaký problém.

Zaznělo tu, že standardní DNS server na Linuxu s útoky problémy nemá. Jenže dávat další stroj s Linuxem na místa, která jsou napájena z akumulátorů, nebo mají omezený prostor pro montáž dalších zařízení, není vhodné.

Jako rozumné řešení se ukázal MetaRouter, kde jako virtuální stroj běží OpenWRT s nainstalovaným balíkem bind. Dnsmasq nedoporučuji, budou s ním asi stejné problémy jako s DNS chache na Mikrotiku.

Bohužel je výběr použitelných RB omezený. MetaRouter chodí jen na mipsbe a ppc (z těch jen na jednoprocesorových). Na ppc pouze s verzí ROS 5.x, nejlépe 5.26.

Na sekundární DNS server pro síť s 1000 klienty jsme vybrali RB1100, který slouží jako router v jednom segmentu sítě se spolehlivým spojením a který byl vytížený ve špičkách na zruba 40-60%. Po spuštění DNS serveru (navíc i User manageru - spuštěno ve stejné době, podíl na zatížení CPU nedokážu odlišit) se zvedlo vytížení CPU ve špičkách na cca 60-95%.

Použili jsme image http://openwrt.wk.cz/trunk/mr-ppc/openwrt-mr-ppc-rootfs-31206.tar.gz, bind a související balíky z http://openwrt.wk.cz/trunk/mr-ppc/packages/.

Upozorňuji na to, že tlačítka Shut down a Restart v okně MetaRouter fungují podivně a je lepší použít halt a reboot z příkazové řádky konzole.

Instalace viruálního stroje a nastavení DNS je otázkou několika minut a lze ji dělat za plného provozu.
0 x
Petr Kraus
Přimda
kraus@primda.cz

Uživatelský avatar
petr
Příspěvky: 133
Registrován: 19 years ago

Příspěvekod petr » 11 years ago

ef píše:A co tak udělat NAT dvše co jde na 192.168.0.1 port 53 přesměruj na 8.8.8.8 ?


To funguje jen u TCP dotazů. UDP DNS dotazy a odpovědi, kterých je naprostá většina, používají stejný port (53) :D
0 x
Petr Kraus
Přimda
kraus@primda.cz

Uživatelský avatar
petr
Příspěvky: 133
Registrován: 19 years ago

Příspěvekod petr » 10 years ago

Jako DNS server jsme zkoušeli už kde co. DNS cache na Mikrotiku se neosvědčila (snad jen pro lokální síť), Metarouter zatím funguje spolehlivě, ale jen do verze RoterOS 5.26. Na 6.x jsou problémy: občas vytuhnou síťová rozhraní a router přestane přenášet data. Potíž je trochu se zálohováním. Linux se musí zálohovat zvlášť, jako kdyby běžel na samostatném stroji. Je sice pravda, že se konfigurace moc často nemění a zálohování lze zautomatizovat, ale ...

Zdá se, že jsme našli ideální řešení za zanedbatelnou cenu, s téměř miniaturními rozměry, dostatečným výkonem, minimální spotřebou a možností napájení po datovém kabelu (8-63V):
Raspberry PI s malým DC/DC zdrojem.

Síť s cca 1000 klientů s primárním DNS serverem na Rasbberry PI vytíží stroj max. na 30%, takže se nabízí možnost využít ho ještě na další úkoly (např. NTP server).

Obrázek
Naposledy upravil(a) petr dne 28 Sep 2014 17:40, celkem upraveno 5 x.
0 x
Petr Kraus
Přimda
kraus@primda.cz