DNS Problem - superkomisch

[mjm]

Hallo da draussen,

ich habe gaanz frisch Sarge (10.7.2004) installiert, auf zwei Maschinen. EIne hängt am Netz im Büro (Linux 2.4 Router) und funktiniert hervorragend, die andere zu Hause an einem DSL Router. Die zu Hause hat ein sehr seltsames DNS Problem: DNS Lookups gehen nur für bestimmte Hostnamen. http://www.spiegel.de geht, adserv.quality-channel.de geht nicht. http://www.debianforum.de geht, aful.org geht nicht. Die Liste liesse sich ziemlich lang fortsetzen.
Immer, wenn es nicht klappt, gibt er 51.179.58.192 als Adresse zurück, ohne zu zögern. Wohlgemerkt für alle Hosts, die nicht gehen, immer diese IP Adresse.

Der gleiche Router funktioniert unter Windoze bestens, unter RedHat 6 hat er auch gefunzt. interfaces sieht so aus:

Code: Alles auswählen

iface eth0 inet static
        address 192.168.1.11
        netmask 255.255.255.0
        gateway 192.168.1.1

        dns-nameservers 192.168.1.1

192.168,1,1 ist der DSL Router (logo).

Wer kann mir helfen - bin am Ende mit meinem Latein.

Dankeschön!
Markus[/code]

[labor78]

Hallo Markus,

hast Du schonmal andere DNS ausprobiert und in Deine /etc/resolv.conf geschrieben? Hatte die Tage auch ein komisches DNS-Problem, was sich durch einen Serverwechsel löste.

Gruß

Björn

[mjm]

Hi,

anderer DNS Server hilft nix (hab ich probiert), und mit Redhat ging's ja auch.

Noch eine Idee?

Danke
Markus

[TooniX]

was steht in /etc/resolv.conf?

was sagt tcpdump, wenn Du in einer anderen Konsole
- "ping http://www.debianforum.de"
- "ping http://www.aful.org"
eingibst?

Wieso benutzt Du eigentlich unbedingt den DNS-Server des Routers und nicht den des Providers?

es grüßt

TooniX

[storm]

...
192.168,1,1 ist der DSL Router (logo).

Wo kriegt denn der Router seine Anfragen beantwortet? Ist das ein *normaler* Rechner oder so'ne fertige Box? Macht der nur forwarding oder hat der auch einen eigenen Cache?

@TooniX:
typische Vorgehensweise ist: frag zuerst beim Router, wenn der den request nicht beantworten kann dann soll dieser den request forwarden zum Server des Providers und dann zu nem Root-Server. Das hält bei grossen Netzen den Verkehr in Grenzen, spielt aber hier auch nicht die Rolle.
persöhnlich denk ich: Wenn man ein oder zwei hops einsparen kann, dann router-DNS. *performance-hechel*

ciao, frank

[mjm]

So, tcpdump mit Host, der nicht geht (in diesem Fall nicht aful.org, weil das plötzlich ging...):

listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes
21:16:52.536651 IP 192.168.1.10.netbios-dgm > 192.168.1.255.netbios-dgm: NBT UDP PACKET(138)
21:16:52.537343 IP markus.32770 > router.domain: 57406+ PTR? 255.1.168.192.in-addr.arpa. (44)
21:16:52.567824 IP router.domain > markus.32770: 57406 NXDomain 0/1/0 (121)
21:16:52.567989 IP markus.32770 > router.domain: 57407+ PTR? 10.1.168.192.in-addr.arpa. (43)
21:16:52.600338 IP router.domain > markus.32770: 57407 NXDomain 0/1/0 (120)
21:16:53.844396 IP markus.32770 > router.domain: 12617+ A? http://www.mz-baghira.de. (35)
21:16:53.848990 IP router.domain > markus.32770: 12617- 1/0/0 A 51.179.58.192 (51)
21:16:53.858519 IP markus.32771 > router.domain: 57408+ PTR? 192.58.179.51.in-addr.arpa. (44)
21:16:53.871354 IP markus > 51.179.58.192: icmp 64: echo request seq 1
21:16:53.888745 IP router.domain > markus.32771: 57408 NXDomain 0/1/0 (108)
21:16:54.871128 IP markus > 51.179.58.192: icmp 64: echo request seq 2
21:16:55.870975 IP markus > 51.179.58.192: icmp 64: echo request seq 3
...

Hier mit aful.org (wo's heute geht):

tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes
21:20:45.584052 IP markus.32772 > router.domain: 14190+ A? aful.org. (26)
21:20:45.588429 IP router.domain > markus.32772: 14190- 1/0/0 A aful.org (42)
21:20:45.604430 IP markus.32772 > router.domain: 58187+ PTR? 131.192.51.193.in-addr.arpa. (45)
21:20:45.604544 IP markus > aful.org: icmp 64: echo request seq 1
21:20:45.611053 IP router.domain > markus.32772: 58187- 1/0/0 (67)
21:20:45.642515 IP aful.org > markus: icmp 64: echo reply seq 1
21:20:45.645377 IP markus.32772 > router.domain: 14191+ PTR? 131.192.51.193.in-addr.arpa. (45)
21:20:45.649944 IP router.domain > markus.32772: 14191- 1/0/0 (67)
21:20:46.606075 IP markus > aful.org: icmp 64: echo request seq 2
21:20:46.644605 IP aful.org > markus: icmp 64: echo reply seq 2
2


Die Namen 'router' und 'markus' stammen aus der hosts Dazei (markus ist der Rechner, router die kleine Router-Kiste):
cat /etc/hosts
127.0.0.1 localhost
192.168.1.1 router
192.168.1.11 markus

Der Router ist also so'ne fertige Box und kein Rechner. Meines Wissens hat er keinen Cache. Funktioniert mit alter Linux-Kiste (Kernel 2.4) aber wunderbar. Ach ja, die Problemkiste hat Kernel 2.6.5 (2.4 macht andere Probleme...)

Als DNS-Server hab ich immer den Router benutzt - weils immer ging und weil mir der Router gar nicht sagt, wen er über PPPoE als DNS Server gekriegt hat.

Seid Ihr jeztt schlauer??

Danke schon mal.

Markus

[TooniX]

hmm nö, sieht erstmal total echt aus. Da behauptet die Sau doch tatsächlich Stein und Bein, 51.179.58.192 sei die richtige Adresse!

was passiert, wenn Du in /etc/resolv.conf als ersten DNS mal einträgst:

Code: Alles auswählen

nameserver    141.20.1.3

Gruß

TooniX

[mjm]

Probier ich gleich heut abend.

Was ist das für ein Rechner, eine Art public DNS?

Danke
Markus

[TooniX]

der DNS der HU Berlin. Der geht fast immer. Du kannst auch den von t-online nehmen oder sonsteinen.
Das soll aber auch nur als Test gedacht sein. Du willst schließlich primär über den DNS Deines Routers auflösen, damit Traffic und Latenzzeiten gering bleiben. Ich habe zwar keine Erklärung für das Problem, aber der Test kann möglicherweise Fehler in Deinem Client ausschließen. Bitte lass tcpdump nebenbei laufen. Was sagt tcpdump eigentlich, wenn einer der Windows-PCs (z.B. 192.168.1.10) ein ping an http://www.mz-baghira.de schicken will (was ja auf Deinem Client nicht geht) ? Irgendwo muß es doch einen Unterschied geben!

es grüßt

TooniX

edit:
benutze bitte jeweils tcpdump -nvv und poste die relvanten Zeilen.

[storm]

21:16:52.537343 IP markus.32770 > router.domain: 57406+ PTR? 255.1.168.192.in-addr.arpa. (44)
21:16:52.567824 IP router.domain > markus.32770: 57406 NXDomain 0/1/0 (121)

hmm, was macht er denn hier? Wildcard-DNS? Zumindest kann er's nicht auflösen.

21:16:52.567989 IP markus.32770 > router.domain: 57407+ PTR? 10.1.168.192.in-addr.arpa. (43)
21:16:52.600338 IP router.domain > markus.32770: 57407 NXDomain 0/1/0 (120)

Hast du noch einen Rechner da, mit 192.168.1.10? Oder ist nur igendwas falsch konfiguriert? Webbrowser? Kennt er jedenfalls auch nicht. Achso, da ist ja noch ne Windows-Kiste. Dieser NetBIOS-Kram stiftet immer wieder Verwirrung.

21:16:53.844396 IP markus.32770 > router.domain: 12617+ A? http://www.mz-baghira.de. (35)
21:16:53.848990 IP router.domain > markus.32770: 12617- 1/0/0 A 51.179.58.192 (51)
21:16:53.858519 IP markus.32771 > router.domain: 57408+ PTR? 192.58.179.51.in-addr.arpa. (44)
21:16:53.871354 IP markus > 51.179.58.192: icmp 64: echo request seq 1
21:16:53.888745 IP router.domain > markus.32771: 57408 NXDomain 0/1/0 (108)

Seltsamer reply mit der 51.*, jedenfalls sagt er dann auch korrekt, dass er die Adresse nicht auflösen kann: NXDomain == Non Existant. Das muss wohl eine Eigenart deines Routers sein. Mit was machst du denn die Abfrage, sicherlich aus nem Browser heraus? Welchen, und hast du schon mal versucht mit host/dig/dnslookup einen der Namen aufzulösen?

BTW: eine IP reverse auflösen:

Code: Alles auswählen

$> host 141.20.1.3

ciao, frank

[mjm]

Hi,

ersma vielen Dank für Eure Hilfe!

Der Berliner DNS Server geht hervorragend - wenn ich den eintrage, funzt alles ganz normal...

Hast du noch einen Rechner da, mit 192.168.1.10? Oder ist nur igendwas falsch konfiguriert? Webbrowser? Kennt er jedenfalls auch nicht. Achso, da ist ja noch ne Windows-Kiste. Dieser NetBIOS-Kram stiftet immer wieder Verwirrung.

Yepp, die 10er Kiste gibt es (Mitbewohner). Ich hab eigentlich die NetBIOS Zeilen rausgemacht aus dem Dump - wohl nicht ganz alle.

Die Abfragen habe ich mit allem Möglichen gemacht. Erst natürlich im Browser (Firefox), nachdem das nicht ging mit ping und dig.
Wenn der Browser nicht auf die Seite gekommen ist, hat der ping es auch nie geschafft. ping bzw. dig haben dann auch die falsche IP Adresse angezeigt.

Wenn ich in diesem Stadium

Code: Alles auswählen

ifdown eth0; ifup eth0

gemacht habe, dann ging es manchmal - aber nur manchmal...

Der Router hat schon öfter Probleme gehabt. Am geilsten ist, dass sie's geschafft haben die Konfigurationsseiten auf dem Router so zu machen, dass kein Unix-Browser sie anzeigen kann. Das geht nur mit dem IE...
Updates vom Hersteller gibt's eins, aber dann geht VPN nicht mehr. Nicht so toll (Allnet).

Dump von der WIndows Kiste probier ich nachher noch (gibt's tcpdump für Windoze? Cygwin?), Das Blöde ist aber, dass es ja manchmal unter Linux geht. Ich weiss also nicht genau, welchen Host ich probieren soll.

Danke nochmal
Markus

[TooniX]

So, dann liegt das wohl schonmal nicht am Debian.

Versuche nun, mit dem IE vom Rechner Deines Mitbewohners aus auf den Router zu kommen und die Einstellungen des DNS zu ändern (der Router wird sich wohl mittels DHCP den DNS vom Privider holen, aber evtl. gibts ja noch einen "alternativen DNS" oder so). Such Dir bei google den DNS Deines Providers heraus und trag den ein, das geht schneller als über die HU. (kleines Experiment: was passiert, wenn Du den aktuellen DNS, den der Router verwendet, bei Dir in die /etc/resolv.conf als erstes einträgst?)

tcpdump überwacht das gesamte Netzwerk. Den kannste auf dem Linux-Rechner laufen lassen, gehste ins andere Zimmer und machste ein ping vom Windows-Rechner. Ganz einfach.

Kann es eigentlich sein, daß sich Dein Router aus- und on demand wieder einwählt (Zeittarif)? Dann könnte es einfach Zufall gewesen sein, daß immer der Linux-Client dran glauben mußte.

vermutet

TooniX

[storm]

Hi,
Der Berliner DNS Server geht hervorragend - wenn ich den eintrage, funzt alles ganz normal...

Wie schon gesagt, das ist eine seltsame Unverträglichkeit. :)
Vielleicht frisst der Router bestimmte requests nicht, bzw schickt selbst kaputte requests raus. Und die seltsame IP-Adresse, die manchmal zurückkommt, ist vielleicht nur eine Anti-Verisign-Wildcards Massnahme ( http://www.heise.de/newsticker/meldung/40495 und http://www.wired.com/news/technology/0, ... 73,00.html).

Der Router hat schon öfter Probleme gehabt. Am geilsten ist, dass sie's geschafft haben die Konfigurationsseiten auf dem Router so zu machen, dass kein Unix-Browser sie anzeigen kann. Das geht nur mit dem IE...
Updates vom Hersteller gibt's eins, aber dann geht VPN nicht mehr. Nicht so toll (Allnet).

Frechheit, zurückschicken/verkaufen und neuen besorgen. Sowas gehört denen um die Ohren gehauen! Bei mir steht auch aus solchen Gründen ne kleine Linux-Box.

tcpdump für Windoze? Cygwin?

Ja. Oder auch ethereal.

ciao, frank

[mjm]

Versuche nun, mit dem IE vom Rechner Deines Mitbewohners aus auf den Router zu kommen und die Einstellungen des DNS zu ändern...

Der Router kriegt die DNS-Addresse bestimmt über DHCP - es gibt auf dem Router keine GUI, um die DNS Server zu sehen oder zu editieren. Ich weiß also auch nicht, was für einen DNS-Server er gerade verwendet...

Kann es eigentlich sein, daß sich Dein Router aus- und on demand wieder einwählt (Zeittarif)? Dann könnte es einfach Zufall gewesen sein, daß immer der Linux-Client dran glauben mußte.

Das macht er eigentlich nicht. Der Timeout, nachdem der Router "auflegen" soll, ist auf 400000 Sekunden oder so gesetzt (vielleicht spinnt er deswegen so rum kann nicht so weit zählen...) Ab und zu merkt man, dass es etwas dauert, das mag daran liegen, dass die Telekom die DSL Leitungen irgendwann nachts kurz kappt.

Und die seltsame IP-Adresse, die manchmal zurückkommt, ist vielleicht nur eine Anti-Verisign-Wildcards Massnahme

Das trau ich dem Ding nicht zu...

Frechheit, zurückschicken/verkaufen und neuen besorgen. Sowas gehört denen um die Ohren gehauen! Bei mir steht auch aus solchen Gründen ne kleine Linux-Box.

Naja, er war sehr günstig, und hat bis jetzt alle WIndoze-Kisten hervorragend vor Code Red etc. geschützt. Ansonsten funzt er ja, ich muss zum Konfigurieren nur an die Nachbarkiste... ok, ist schon nervig. Das mit der Linuxkiste als Router/Firewall wäre mir auch am liebsten gewesen, übers Jahr gesehen sind die Stromkosten aber schon viel höher.

Den Windoze-Dump mach ich heut abend,

Danke und Gruß
Markus

[mjm]

So, hier ist der Windoze-Dump:


21:11:05.136060 IP markus.1564 > http://www.debianforum.de.80: S 2317597884:2317597884(
0) win 65535 <mss 1460,nop,nop,sackOK>
21:11:05.161416 IP http://www.debianforum.de.80 > markus.1564: S 2298755958:2298755958(
0) ack 2317597885 win 5840 <mss 1460,nop,nop,sackOK>
21:11:05.161449 IP markus.1564 > http://www.debianforum.de.80: . ack 1 win 65535
21:11:05.161688 IP markus.1564 > http://www.debianforum.de.80: P 1:496(495) ack 1 win 6
5535
21:11:05.219799 IP http://www.debianforum.de.80 > markus.1564: . ack 496 win 6432
21:11:05.225643 IP http://www.debianforum.de.80 > markus.1564: P 1:286(285) ack 496 win
6432
21:11:05.237702 IP markus.1564 > http://www.debianforum.de.80: P 496:997(501) ack 286 w
in 65250
21:11:05.325233 IP http://www.debianforum.de.80 > markus.1564: . ack 997 win 7504
21:11:05.397539 IP http://www.debianforum.de.80 > markus.1564: . 286:1726(1440) ack 997
win 7504
21:11:05.413297 IP http://www.debianforum.de.80 > markus.1564: . 1726:3166(1440) ack 99
7 win 7504
21:11:05.413345 IP markus.1564 > http://www.debianforum.de.80: . ack 3166 win 65535
21:11:05.453823 IP http://www.debianforum.de.80 > markus.1564: . 3166:4606(1440) ack 99
7 win 7504
21:11:05.469673 IP http://www.debianforum.de.80 > markus.1564: . 4606:6046(1440) ack 99
7 win 7504
21:11:05.469727 IP markus.1564 > http://www.debianforum.de.80: . ack 6046 win 65535
21:11:05.478609 IP http://www.debianforum.de.80 > markus.1564: P 6046:6885(839) ack 997

win 7504
21:11:05.528541 IP markus.1565 > m1.nedstatbasic.net.80: S 2317752868:2317752868
(0) win 65535 <mss 1460,nop,nop,sackOK>
21:11:05.558920 IP m1.nedstatbasic.net.80 > markus.1565: S 4021904253:4021904253
(0) ack 2317752869 win 5840 <mss 1380,nop,nop,sackOK>
21:11:05.558950 IP markus.1565 > m1.nedstatbasic.net.80: . ack 1 win 65535
21:11:05.560211 IP markus.1565 > m1.nedstatbasic.net.80: P 1:402(401) ack 1 win
65535
21:11:05.595354 IP markus.1564 > http://www.debianforum.de.80: . ack 6885 win 64696
21:11:05.617085 IP m1.nedstatbasic.net.80 > markus.1565: . ack 402 win 6432
21:11:05.621072 IP m1.nedstatbasic.net.80 > markus.1565: P 1:222(221) ack 402 wi
n 6432
21:11:05.622372 IP m1.nedstatbasic.net.80 > markus.1565: F 222:222(0) ack 402 wi
n 6432
21:11:05.622412 IP markus.1565 > m1.nedstatbasic.net.80: . ack 223 win 65314
21:11:05.663827 IP markus.1565 > m1.nedstatbasic.net.80: F 402:402(0) ack 223 wi
n 65314
21:11:05.663928 IP markus.1564 > http://www.debianforum.de.80: P 997:1562(565) ack 6885
win 64696
21:11:05.693938 IP m1.nedstatbasic.net.80 > markus.1565: . ack 403 win 6432
21:11:05.725480 IP http://www.debianforum.de.80 > markus.1564: . ack 1562 win 9040
21:11:05.771160 IP
29 packets captured
48 packets received by filter
0 packets dropped by kernel


Ich seh da allerdings nix interessantes - ausser das es geht...

Gruß
Markus

[TooniX]

wußte gar nicht, daß Windows hellseherische Fähigkeiten hat. Woher kennt es die IP-Adresse von debianforum.de? Du hast den wichtigsten Teil (Anfrage beim Router) nicht mitgeschnitten.

Es war auch mehr als Anregung gemeint, wie Du das Problem selber angehen kannst. Vergleiche die Abfragen der verschieden Systeme, wenn sie den DNS des Routers kontaktieren. Irgendwo muß es einen Unterschied geben, da kann man sich dann mal Gedanken machen, woran dieser Unterschied liegen könnte.
Hier mußt Du abwägen, ob Dir die paar Prozent Performancegewinn die Suche Wert sind, ich halte ich es erstmal für ausreichend, wenn Du solange über den DNS Deines Providers gehst. Wenn Du reproduzierbare Unterschiede gefunden hast, beteilige ich mich gern an der Auflösung.

Gruß

TooniX

[mjm]

Hi,

mehr kommt da leider nicht. Der Dump wurde mit "WinDump" erstellt, tcpdump für WIndows hab ich nicht gefunden. Der DNS Query taucht in dem Dump tatsächlich nicht auf.

Seis drum, fürs Erste geht's.
Danke auf jeden Fall für Eure Zeit!

Gruß
Markus