Težave z DNS strežnikom

Pozdravljeni,

glede na to, da si prvič postavljam lasten DNS strežnik, mi niso povsem jasne nekatere stvari. Tisto, kar mi v tem trenutku ni povsem jasno je to, da DNS strežnik normalno deluje, ko do spletnih strani dostopajo uporabniki s slovenskega omrežja medtem ko z zunanjega omrežja vrne, da naslova ni mogoče 'resolvat'.

Naj še opišem zadevo, kako sem vse skupaj skonfiguriral.

Trenutno imam 1 statični IP naslov, kupljeno domeno v tujini 'mywebsite.com', vanj sem vpisal svoja NS naslova torej:

ns1.mywebsite.com - > kaže na moj statični ip naslov.
ns2.mywebsite.com - > prav tako kaže na moj statični ip naslov.

Master zone izgleda takole:

ttl 38400
mywebsite.com.  IN  SOA ns1.mywebsite.com. webmaster.mywebsite.com. (
            1452989086
            10800
            3600
            604800
            38400 )
mywebsite.com.            IN      A       89.212.***.***
mail.mywebsite.com.       IN      A       89.212.***.***
www.mywebsite.com.  IN  CNAME   mywebsite.com.
ns1.mywebsite.com.        IN      A       89.212.***.***
ns2.mywebsite.com.        IN      A       89.212.***.***
mywebsite.com.    IN      NS      ns1.mywebsite.com.
mywebsite.com.    IN      NS      ns2.mywebsite.com.
mywebsite.com.    IN      MX      10 mail.mywebsite.com.
ftp.mywebsite.com.        IN      A       89.212.***.***

nslookup in pa dig mi izpišeta kot je treba.

Name:   mywebsite.com
Address: 89.212.***.***

DIG:

;; ANSWER SECTION:
mywebsite.com.      25391   IN  A   89.212.***.***

v kolikor pa poskušam zadevo preverit z nekim tujim servisom, mi javi da zadeva ni dosegljiva ali pa da NS naslov nima pravilen A vnos. V glavnem čudno se mi zdi to, da uporabniki z različnih ponudnikov v Sloveniji dostopajo normalno do spletne strani, ko pa ostalim v tujini izpiše 'name lookup timed out'.

Ali v mojem primeru gre še vedno za tki. DNS propogacijo saj je DNS strežnik postavljen pred dvema dnevoma ali gre enostavno za napako/e v konfiguraciji.

Hvala za pomoč

Imeti moraš primarni in sekundarni DNS, kar je že prvi fail, če imaš oboje na istem strežniku IP naslovu, saj nima kdo reševati querije, če tvoj strežnik ni dosegljiv.

Priporočam, da se dogovoriš se s svojim ISP-jem, da bo gostil sekundarni DNS za tvojo domeno.

Kar se tiče A zapisov, mi ni bilo nikoli čisto jasno zakaj se v enih primerih uporablja varianta

example.com A 12.34.56.78

v drugih pa

example.com. A 12.34.56.78

Mislim, da celo obe varianti delujeta (jaz imam na Bind-u A zapise brez tiste pikice na koncu imena).

Glede na to, da ti 'lokalno' deluje nslookup, kakor tudi preko tvojega ISP-ja, bi načeloma res lahko posumil, da nekaj ni v redu nekje 'višje'.
'glue' record, ki ga je Miha 333 omenil, ne vem, če bo krivec, saj brez njega nebi mogel resolvati niti preko ISP-jevega DNS strežnika, temveč zgolj lokalno.

Ali je kakšna možnost, da A query-ji iz tujine sploh ne pridejo do tvojega strežnika? Imaš možnost, da to preveriš na požarni pregradi?
Teoretično bi namreč lahko ISP filtriral DNS queryje za 'nepoznane domene', ki prihajajo iz tujine. Pred časom je bilo precej sitnosti z DNS ojačitvenimi napadi, kar je vsak poskusil potem reševati po svoje. Posvet z upravljalcem DNS-a pri tvojem ISP bi ti lahko dal bolj konkreten odgovor.

Ker ne vemo, za katero domeno se gre, žal ne moremo sami ničesar preveriti.

Preveril tudi požarne zide, sprostil promet skozi port 53, se dvakrat prepričal da je vse ok, ampak še vedno zadeva ni v funkciji. Naslov moje domene je alvosec pika com.

Bom pa seveda preveril še pri ponudniku, če majo kakšne restrikcije.

http://www.intodns.com/alvosec.com
Zgleda da imaš še kar nekaj napak.

Vam normalno odpre stran?

Promet sem že včeraj spremljal ker je en požarni zid pred strežnikom. Gledal loge, spisal rule za nemoten prehod prometa skozi port 53 (UDP + TCP).

Ampak sem se danes poglobil v zadevo in spremljal promet na mašini kjer je firewall ter opazil, da ob večkratnem poizkusu z DNS queryji promet sploh ne pride do mašine?!

Spremljal sem požarni zid in hkrati strežnik ampak nič. Kot da je nekakšna pregrada pri ISP-ju. Danes čakam odgovor z njihove strani.

Morda se še komu sanja kaj bi lahko bilo narobe?

Jaz sem sedaj iz T-2 omrežja potestiral

dig www.alvosec.com

;www.alvosec.com. IN A

;; ANSWER SECTION:
www.alvosec.com. 38400 IN A 89.212.246.202

;; AUTHORITY SECTION:
alvosec.com. 38400 IN NS ns1.alvosec.com.
alvosec.com. 38400 IN NS ns2.alvosec.com.
alvosec.com. 38400 IN NS alvosec.com.

;; ADDITIONAL SECTION:
ns1.alvosec.com. 172797 IN A 89.212.246.202
ns2.alvosec.com. 172797 IN A 89.212.246.202
alvosec.com. 38400 IN A 89.212.246.202

;; Query time: 5585 msec
;; SERVER: 172.16.100.50#53(172.16.100.50)
;; WHEN: Wed Jan 20 09:42:56 2016
;; MSG SIZE rcvd: 147

in ti sedaj očitno deluje.

Kot so ti svetovali, sekundarni DNS obesi nekam drugam na drug IP. Je kar nekja servisov, ki ti omogočajo free sekundarni DNS. Zmanjšaj si še TTL za vse zapise. Imaš za port 53 odprt tako UDP kot TCP?

Lokalno že dela, problem je iz sveta...

Po moje ni težava niti pri tebi niti na T-2. Jaz bi na tvojem mestu zadeve pustil minimalno 24 ur tako kot so, saj iz T-2 omrežja delujejo. Verjetno se propagacija (ne vem če je to slovenska beseda), ni še naredila in glede na to, da konstantno delaš spremembe se tudi ne bo naredila še tako hitro. Torej, edino kaj še naredi je to, da zmanjšaš TTL, reloadaj named in pusti zadevo stat 24 ur. V kolikor jutri ne bo delalo, si sekundarca naredi nekje drugje, če nimaš nikjer možnosti mi pošlji ZS in ti na svojih strežnikih naredim sekundarca. OK?

In pa še nekaj, ali ima kakšne veze to ker še vedno ni urejen PTR zapis z njihove strani?

Kako to misliš? PTR imaš ti v svojih zapisih.

Če pogledaš rezultate na strani http://www.intodns.com/alvosec.com ti že da nekaj namigov, da nekaj očitno preprečuje dostop do tvojega DNS strežnika.

Zanimivo pa je, da RIPE-ov test nedelegiranih strežnikov kot rezultat vrne 'all tests are OK', medtem ko pade na testu delegiranih, češ da niti NS zapisov ni na voljo.

Kot sem že rekel, obstaja možnost, da T-2 iz tujine blokira DNS query-je za vse domene, ki jim niso 'poznane' kot gostujoče na njihovem omrežju.

Z delegacijo T-2 DNS strežnika kot sekundarnega bi načeloma lahko ubil dve muhi na en mah. Poleg tega pa po RFC-ju MORAŠ imeti najmanj 2 DNS serverja. Če 2x navedeš istega, je goljufanje pravil, kar lahko tudi kje povzroči kakšno dodatno težavico.

To ni pomembno (PTR) oz. ne vpliva na tole. Počakaj. Če ne bo, pa ti sekundarca kreiram.

Kot vidim, sedaj deluje. :D

Na svojem DNS serverju imaš odprt razreševalni strežnik, ki se lahko uporablja kot vmesna točka DDoS napadov... Svetujem, da omejiš rekurzivno razreševanje, saj bo v nasprotnem primeru kdaj glava bolela, ti boš pa čisto po nepotrebnem krivil ISPja, da ti ne da tolk pipce, kot jo plačuješ...

Živjo,

Prosil bi za pomoč pri urejanju DNS zapisov za email:

Trenutno imam narejeno takole:

A zapis na IP od serverja to seveda dela OK za preusmeritev na spletno stran ( z mailom predvidevam da nima veze)

A zapis mail.imedomene.com na IP serverja

MX zapis mail.imedomene.com na imedomene.com

Ko vpišem podatke v telefon, lahko normalno pošiljam in sprejemam maile. Problem pa je, ker ne deluje pošiljanje in prejemanje izven domene. Sepravi, maile si lahko pošiljajo samo lokalni userji, ne glede ali so na lokalni mreže ali preko druge WAN povezave. Sem mislil, da je težava ker še ni bilo osvežitve dns zapisov samo je sedaj že 2dni tako.

Pa prosim brez norčevanja J sem skoraj 100%, da sem te MX zapise narobe spesnil, čudno mi je da sploh lokalno stvar dela

wifito je 6. mar 2016 ob 11:31 izjavil:

Živjo,

Prosil bi za pomoč pri urejanju DNS zapisov za email:

Trenutno imam narejeno takole:

A zapis na IP od serverja to seveda dela OK za preusmeritev na spletno stran ( z mailom predvidevam da nima veze)

A zapis mail.imedomene.com na IP serverja

MX zapis mail.imedomene.com na imedomene.com

Ko vpišem podatke v telefon, lahko normalno pošiljam in sprejemam maile. Problem pa je, ker ne deluje pošiljanje in prejemanje izven domene. Sepravi, maile si lahko pošiljajo samo lokalni userji, ne glede ali so na lokalni mreže ali preko druge WAN povezave. Sem mislil, da je težava ker še ni bilo osvežitve dns zapisov samo je sedaj že 2dni tako.

Pa prosim brez norčevanja J sem skoraj 100%, da sem te MX zapise narobe spesnil, čudno mi je da sploh lokalno stvar dela

Preveri MX zapise, kakor je bilo omenjeno, ali pa napiši konkretno za katero domeno se gre, sicer ti živ bog ne more pomagati. No, lahko tudi copy-pastaš sem konkretne DNS zapise (vse!) in zakriješ domeno in IP-je, če ravno hočeš.

Ampak takole na prvo žogo se mi zdi, da si DNS prav nastavil. Težava je najbrž v nastavitvah samega mail strežnika in avtentikaciji uporabnikov oz. dovoljenjih za pošiljanje pošte zunanjim SMTP strežnikom. Zato si lahko pošiljajo med sabo, drugam pa ne.

sodnicaN je 10. mar 2016 ob 10:44 izjavil:

joj s temi mail strežniki so vedno samo problemi, če je možno ti toplo priporočam da uporabiš zunanjo rešitev

Od kje ti to, da so vedno težave z mail strežniki?

Jaz furam svojega že 20 let, pa nisem nikoli imel kakšnih resnih težav.
Seveda pa moraš znat zadeve skonfigurirat.
Kako že lepo rečejo "nije žvaka za seljaka"?